GPO（グループポリシー）で「Windows Defender ウイルス対策を無効にします」を有効にしても、現在のWindowsでは期待どおりに停止するとは限りません。この記事では、現在のMicrosoft Defender ウイルス対策におけるポリシーの位置付けと、設定が効かないときの確認方法を解説します。
結論：一律に無効化する設定を配布するのではなく、使用するウイルス対策製品、Windowsの種類、Microsoft Defender for Endpointへの登録状況を確認します。リアルタイム保護がオフという表示だけでは、移行が正常に完了したとは判断できません。
公式資料確認：2026年10月。掲載画像は2020年当時の画面です。現在の環境で無効化できることを示す検証画像ではありません。
グループポリシー（GPO）の作成と適用手順
「グループポリシーて何？」という方は「グループポリシーの作成と適用手順」Active Directoryをフル活用して端末を完全制御しちゃおう！！で細かい説明をしていますのでご参照ください。実例を用いて説明をしていますので、全くの初心者でもグルーポプリシーが自由に扱えるようになります。
「Defenderを無効にする」GPOの現在の扱い
Microsoftの現行のポリシー資料では、「Turn off Microsoft Defender Antivirus」は未構成のままにすることが推奨されています。有効・無効のどちらを明示的に設定しても、予期しない動作やサポートされない動作につながる可能性があるためです。また、改ざん防止が有効な場合、この設定の変更は適用されません。
ポリシーの説明上は「有効」がウイルス対策の停止を指し、「無効」は他社製品の有無にかかわらずDefenderを動作させる設定です。「未構成」ではWindowsが動作を管理します。ポリシーの名称と実機の稼働状態を区別し、「無効」を選べば製品が停止する、と読み違えないようにしてください。
出典：Microsoft Learn：DisableAntiSpywareDefenderの説明と注意事項
GPOの場所と旧名称を確認する
対象は「ユーザーの構成」ではなく、「コンピューターの構成」です。現在の管理用テンプレートでは、次の場所にある「Turn off Microsoft Defender Antivirus」に対応する項目を確認します。日本語の表示はテンプレートの版により異なる場合があります。
コンピューターの構成
→ ポリシー（ドメインGPOの編集時）
→ 管理用テンプレート
→ Windows コンポーネント
→ Microsoft Defender ウイルス対策
→ Microsoft Defender ウイルス対策を無効にします2020年当時の画面では、フォルダー名と設定名が「Windows Defender ウイルス対策」でした。ローカルグループポリシーエディターでは、通常「コンピューターの構成」から直接「管理用テンプレート」を開きます。
項目が見つからない場合は、管理者が使用中のADMX・ADMLと対象OSの対応を確認します。テンプレートの管理方法については、グループポリシー（GPO）をWindows10 Feature Update（FU）に対応させる手順も参考になります。ただし、この記事は旧版を対象とするため、そこで紹介する古いテンプレートをそのまま現行環境へ導入しないでください。
他社製ウイルス対策へ切り替える場合
Windowsクライアント
Windows 10・11では、Windowsが他社製ウイルス対策製品を認識すると、Defenderは通常、自動で無効状態へ移行します。ただし、Defender for Endpointへの登録やWindows 11のSmart App Controlの状態により、パッシブモードになる場合があります。したがって、他社製品を使うために旧GPOで強制停止することを前提にしないでください。
まず移行先製品が正常に稼働し、Windows セキュリティに認識されているかを確認します。Windows セキュリティが残っていること自体は、Defenderが主なウイルス対策として動作している証拠にはなりません。
出典：Microsoft Learn：他のセキュリティ製品との互換性
Windows Server
Windows Serverでは、他社製品をインストールしただけで自動的にパッシブモードへ移行するとは限りません。クライアントPCと同じ切り替え手順を適用せず、サーバーOS、Defender for Endpointへの登録、導入方式に合った共存構成を管理者が確認します。
特に、Defender for Endpointに登録済みのWindows Server 2012 R2以降で、Defenderプラットフォームが4.18.2208.0以降の場合、従来の停止GPOは完全な無効化ではなく、パッシブモードとして扱われます。ただし、登録前から停止GPOが設定されていた場合は無効状態が維持されるなど、適用順序でも結果が変わります。改ざん防止はアクティブ状態からパッシブ状態への切り替えを制限するため、上記の動作を無条件に期待できません。
未登録のサーバーで他社製品を使う構成にも別の公式手順があります。サーバーの役割や保護機能に影響するため、本記事の旧画面だけで停止・アンインストールを進めず、セキュリティ管理者が移行先製品の手順と併せて判断してください。
出典：Microsoft Learn：Windows Serverでの構成とモード、Windows Serverのパッシブモードの条件
GPOを設定しても無効にならない主な理由
- 改ざん防止で保護されている：GPOの変更が成功したように見えても、保護対象の設定変更はブロックされることがあります。管理画面上の設定値だけで反映を判断しません。
- 旧設定の適用条件が変わっている：DisableAntiSpywareやDisableAntivirusは旧来の設定です。Microsoftは、Defender for Endpointに登録した端末ではプラットフォーム4.18.2108.4以降でこれらの停止設定を無視すると説明しています。レジストリ値を追加し直す方法を一般的な解決策にしないでください。
- 対象や管理元が違う：想定したコンピューターにGPOが適用されているか、別のGPOやIntuneなどの管理設定が関係していないかを確認します。ローカルの設定画面だけでは組織全体の管理状態は分かりません。
出典：Microsoft Learn：改ざん防止のトラブルシューティング、DisableAntiSpywareの適用制限
反映されないからといって、改ざん防止を解除したり、Defender関連サービスを停止したりする方法へ進めないでください。会社管理の端末では、後述の確認結果を管理者へ渡します。
設定を変更せずに保護状態を確認する
1．現在のウイルス対策製品を確認
スタートメニューから「Windows セキュリティ」を開き、「ウイルスと脅威の防止」にあるプロバイダー管理の項目で、現在のウイルス対策製品を確認します。表示名や配置はWindowsの版によって異なります。会社管理の端末では、製品側の管理コンソールの状態も管理者に確認してもらってください。
2．PowerShellでDefenderの状態を表示
Windows PowerShellで次の読み取り用コマンドを実行すると、Defenderの状態とプラットフォームのバージョンを表示できます。保護機能の設定は変更しません。
Get-MpComputerStatus | Select-Object AMRunningMode, AMProductVersion, AntivirusEnabled, RealTimeProtectionEnabled, IsTamperProtected- AMRunningMode：Normalならアクティブモードです。パッシブモードはDefenderが主なウイルス対策ではない状態で、完全停止とは異なります。EDR Block Modeなど、別の表示になる場合もあります。
- AMProductVersion：Defenderプラットフォームのバージョンを確認します。
- AntivirusEnabled・RealTimeProtectionEnabled：Defender側のウイルス対策・リアルタイム保護の状態です。他社製品の保護状態を示す値ではありません。
- IsTamperProtected：改ざん防止の状態です。Trueなら有効です。
空欄やコマンドのエラーを「停止できた」と解釈しないでください。対象OS、Defenderコンポーネントの有無、実行環境を管理者に確認します。
出典：Microsoft Learn：Get-MpComputerStatus、稼働モードの確認、改ざん防止の状態確認
3．コンピューターに適用されたGPOを確認
管理者がコマンドプロンプトを管理者として開き、次を実行すると、コンピューター側のグループポリシー適用結果の概要を表示できます。
gpresult /scope computer /rこれは設定の強制更新ではなく、適用結果の読み取りです。概要にGPO名があっても、Defenderの保護設定がそのとおりに動作している証明にはなりません。必要に応じて管理者が詳細なRSoP情報や管理コンソールと照合します。出力には組織名や端末情報が含まれるため、公開掲示板へそのまま貼り付けないでください。
以前の無効化GPOを見直すときの注意点
以前の手順を使って停止GPOを配布済みの場合は、管理者が変更管理の手順に沿って、対象GPOの設定・適用範囲・利用中のウイルス対策製品を記録し、バックアップを確保します。旧設定を撤回する目的なら、対象の停止ポリシーだけを「未構成」に戻す方針を検討します。これは前述のMicrosoftの推奨に基づく見直しであり、組織の既存ポリシーを利用者が独断で変更する手順ではありません。
「未構成」は、そのGPOからの指定をなくす意味です。他のGPOや管理ツールの指定まで解除するものではなく、Defenderの即時再有効化を保証する操作でもありません。いきなり全端末に展開したり、GPO全体を削除したりせず、管理者がテスト対象で確認し、反映後に主なウイルス対策製品と保護状態を再確認してください。
重い・誤検知する場合は原因を調べる
目的が「PCが重い」「業務アプリが検知される」という問題の解決なら、恒久的な停止GPOを作る前に、発生時刻、対象アプリ、検知名、保護の履歴を整理します。性能問題については、Microsoftが提供するDefenderのパフォーマンスアナライザーで、スキャンに時間を要するファイルやプロセスを調べられます。
会社管理の端末では、これらの情報にWindowsのバージョン、Defenderの状態、他社製品の稼働状況を添えて管理者に相談してください。保護全体の停止やドライブ全体の除外を一般的な解決策にせず、原因に合った対応を検討します。
確認のゴールは「Defenderを止められたこと」ではなく、意図した構成でウイルス対策が継続していることです。
コメント
コメント一覧 （2件）
＞「未構成」を「無効」に変更します。
上記は間違いです。
この設定を「無効」ではなく「有効」にすると、Windows defenderが無効になると書いてあります。
ご指摘ありがとうございます。(^^)/