「現在の脅威はありません」「履歴はありません」と出ていても、Microsoft Defender（Windows Defender）が本当に動いているのか不安になる――そんなときに、いきなりDISMやSFCを回して時間を溶かす必要はありません。この記事では、公式のテストファイル（EICAR）を使った“最短・安全”の確認手順と、反応しない場合の切り分け、必要時のみのDISM/SFCの使いどころまでを、現場でそのまま使える形で解説します。企業PC・自宅PCどちらでも再現でき、Windows 11/10に対応します。
結論：最短で正しく確かめる手順
- 公式テストファイル（EICAR）でリアルタイム保護を検証：ダウンロード直後に「脅威を検出しました」と通知され、ファイルが隔離されれば正常。
- 通知が出ない場合は基本設定を確認：定義の最新化（Windows Update/Defenderの更新）、リアルタイム保護・クラウド提供の保護・改ざん防止が有効か、第三者製ウイルス対策の併存がないかを見ます。
- PowerShellで客観的に状態を確認：
Get-MpComputerStatusで主要フラグがTrueかをチェック。 - 必要時のみクイックスキャンを実行：
Start-MpScan -ScanType QuickScanで手動検査。 - それでも不安・不具合が残るときだけDISM→SFC：OSコンポーネント破損の可能性を切り分けます。
「脅威なし」「履歴なし」でも不安になる理由と前提
Windows セキュリティのホームに表示される「現在の脅威はありません」は、あくまで現時点でアクティブな脅威がないことを示します。また「履歴なし」は、最近の検出イベントが「保護の履歴」に残っていない状態を指すに過ぎません。つまり、これらの表示だけでリアルタイム保護の有無や検出エンジンの健全性までは判断できません。だからこそ、短時間で確実に反応を確かめられる“擬似マルウェア”を使うのが合理的です。
公式テストファイル（EICAR）でリアルタイム保護を検証する
なぜEICARなのか
- 無害・安全：EICARファイルは実害のないテスト用文字列で、OSやデータを破壊しません。
- 再現性が高い：主要なセキュリティ製品が「マルウェア相当」として検出するよう設計されています。
- 最小手順で判定できる：ダウンロードした瞬間にDefenderが検出・隔離・通知すればOKという、明快な合格基準が持てます。
実施前の注意
- このページにはEICARの文字列本文は掲載しません。Web上の「Microsoft Defender Anti‑malware validation」の公式テストページから.txtのテストファイルを取得してください（外部リンクは掲載しません）。
- 企業PCの場合、Intune/GPOなどのポリシーでテストファイルのダウンロードや通知が制御されている場合があります。
- 第三者製のウイルス対策が常駐していると、Defenderのリアルタイム保護は自動で無効化されます。「ウイルスと脅威の防止は他のプロバイダーによって管理されています」と表示される場合は、その製品側の挙動になります。
手順（最短版）
- 任意のブラウザで公式のテストページを開く。
- 「Download test file」（.txt）をクリックして保存。
- 直後に通知が表示され、ダウンロードが失敗するか、ファイルが自動で隔離されれば正常。保護の履歴に検出結果が記録されます。
ブラウザ別のよくある挙動
- Microsoft Edge：SmartScreenの警告が先に出ることがあります。保存を続行しても、Defenderが最終的に検出・隔離します。
- Chrome/Firefox：ダウンロード完了後、即時にDefenderが隔離するのが一般的です。
Zip版で「オンデマンド/解凍時」の反応も確認したい場合
EICARはZipに圧縮したテスト用ファイルも用意されています。リアルタイム保護が有効なら、Zipの保存時または解凍時に検出・隔離されます。Zipはメール添付の想定など、解凍操作に対する監視も検証できるため、ヘルプデスクのチェックリストとして有用です。
反応しない／通知が出ない場合の追加チェック
設定（Windows 11/10 共通）
- Windows Updateを実行し、更新プログラムとセキュリティインテリジェンス（定義ファイル）を最新化。
- 設定 > プライバシーとセキュリティ > Windows セキュリティを開き、ウイルスと脅威の防止 設定で以下がオンか確認：
- リアルタイム保護
- クラウド提供の保護
- 自動サンプル送信
- 改ざん防止（Tamper Protection）
- 第三者製ウイルス対策の常駐がないか確認。併存時はDefenderのリアルタイム保護が停止します。
PowerShellでサービス/保護状態を機械的に確認
管理者権限のWindows PowerShellで以下を実行します。
Get-MpComputerStatus | Select RealTimeProtectionEnabled, AMServiceEnabled, AntivirusEnabled, NISEnabled, ISEnabled
Trueが並べば、サービスとリアルタイム保護は稼働中です。必要に応じて定義更新とクイックスキャンも実行します。
Update-MpSignature
Start-MpScan -ScanType QuickScan
サービス自体の稼働も見たい場合：
Get-Service -Name WinDefend, SecurityHealthService
イベントログで「証跡」を残す
GUI通知に頼らず、証跡として記録を取りたい場合は、イベント ビューアーで次のログを確認します。
- アプリケーションとサービス ログ > Microsoft > Windows > Windows Defender > Operational
代表的なイベントの目安：
- 定義更新成功／失敗
- 脅威検出・隔離・修復（EICAR等）
- スキャン開始・完了
表で一気に把握：何をどう確かめ、どう判断するか
| テスト方法 | 検証できる要素 | 期待される結果 | NG時の一次対処 |
|---|---|---|---|
| EICAR（.txt）ダウンロード | リアルタイム保護、通知、隔離、履歴記録 | 通知表示＋自動隔離、保護の履歴に記録 | 定義更新・設定ON・第三者製AV停止・再試行 |
| EICAR（Zip）解凍 | 解凍時検知、オンデマンド監視 | 解凍操作で検出・隔離 | リアルタイム保護/クラウド保護ON、再試行 |
| Get‑MpComputerStatus | サービス/保護フラグの稼働 | Trueが並ぶ | サービス再起動・更新・ポリシー確認 |
| Update‑MpSignature | 定義の最新化 | 最新版に更新 | ネットワーク/WSUS/更新ポリシー確認 |
| Start‑MpScan（クイック） | オンデマンドスキャンの動作 | 完了し、問題なし/検出ありの結果 | 検出時は隔離確認、検出なしで不審時はフルスキャン検討 |
| イベントログ確認 | 検出・更新・スキャンの証跡 | 相応のイベントが記録 | サービス/ログ設定・ポリシーの見直し |
DISM / SFC は「最後の手段」：目的と正しい使いどころ
DISMやSFCはOSコンポーネントの整合性回復が目的で、Defender単体の機能確認には直接関係しません。誤用で致命的な副作用が起きる可能性は低いものの、管理者権限・再起動を伴うことがあり、十数～数十分かかることも。EICARやPowerShellのチェックで正常が確認できているなら、実行の必要はありません。
それでも以下の状況では、OS側の破損が疑われるため有効です。
- Windows Updateの失敗やDefender定義の更新失敗が続く
- Defenderサービスの起動失敗・不定期クラッシュが見られる
- システムファイルの欠落や署名の破損がログに出ている
実行コマンド（管理者権限のコマンド プロンプト）：
DISM /Online /Cleanup-Image /RestoreHealth
sfc /scannow
推奨順序はDISM → SFCです。DISMでコンポーネント ストアを健全化してからSFCでシステムファイルを検証・修復すると、成功率が上がります。
トラブルシューティング・フロー（反応しない／挙動が不安定）
- EICARテストを再実施（できれば別ブラウザでも）。
- Windows UpdateでOSと定義を最新化。
- 設定でリアルタイム保護/クラウド保護/自動サンプル送信/改ざん防止がONか確認。
- 第三者製AVの常駐を確認（併存時はDefender無効）。アンインストールまたはリアルタイム保護の重複を解消。
- PowerShellで状態確認：
Get-MpComputerStatus | Select AntivirusEnabled, AMServiceEnabled, RealTimeProtectionEnabled - クイックスキャン実施：
Start-MpScan -ScanType QuickScan - イベントログで検出や更新の履歴を確認（Operationalログ）。
- ポリシーの干渉を疑う：企業管理下ではGPO/Intuneで「Microsoft Defender Antivirusを無効にする」「通知の抑制」「検出時の動作変更」等が設定されている場合があります。
- ネットワーク要因：プロキシ/WSUS/SSL検証の問題で定義更新やクラウド保護に届いていないケース。オフライン環境では特に要注意。
- ここまでで改善しなければDISM→SFCでOS整合性を修復し、再検証。
「保護の履歴」が空のまま…ありがちな原因
- 最近の検出が本当にない：EICARテストが未実施、または第三者製AVが検出しており、Defenderの履歴に残っていない。
- 通知が抑制されている：フォーカスアシストや組織ポリシーで通知が抑制され、気づかないだけ。
- UIの反映遅延：検出直後は履歴反映までタイムラグが出ることがあります（証跡はイベントログが確実）。
PowerShellで使える“運用に効く”追加コマンド
ヘルプデスクや管理者運用で役立つコマンドを目的別にまとめます。
| 目的 | コマンド | 補足 |
|---|---|---|
| 定義更新 | Update-MpSignature | ネットワーク制約下では時間がかかることがあります。 |
| クイックスキャン | Start-MpScan -ScanType QuickScan | よく使うパスを重点的にチェック。所要時間が短い。 |
| フルスキャン | Start-MpScan -ScanType FullScan | 時間は長いが、不審挙動が続く場合の最終確認に。 |
| 状態確認 | Get-MpComputerStatus | fl | 定義日、サービス、保護フラグ、エンジンバージョンなどを一覧で把握。 |
| 除外設定の確認 | Get-MpPreference | 除外フォルダ/プロセスが過剰でないか確認。必要最小限に。 |
企業利用・上級者向けの観点
- 併用検討：Defender for Endpoint（EDR）やSmartScreen、Application Control（WDAC）と合わせると、検出→封じ込め→調査の流れが滑らかになります。
- ポリシー整備：クラウド提供の保護や改ざん防止は既定で有効化。通知やユーザー操作の権限は過剰に縛りすぎないことが、現場の一次対応スピードを上げます。
- 監査と可観測性：イベント転送（Windows Event Forwarding）やSIEM連携で、検出・修復の証跡を中央集約。EICARテストを定期ジョブ化して監視ダッシュボードに表示する運用も有効です。
やってはいけないこと
- EICAR文字列のコピペ保存：テストのためにエディタへ直接貼り付けると、保存時に即時削除されて作業が中断します。公式の.txtまたは.zipのテストファイルを使いましょう。
- 無闇な除外設定：検出が邪魔だからとフォルダやプロセスを除外に入れるのは本末転倒。最小限・期間限定で。
- いきなりDISM/SFC：まずはテスト・設定確認・定義更新で切り分けてから。時間と再起動コストの無駄です。
ケース別の判断基準（シナリオ集）
| 状況 | まず行うこと | 次に行うこと | 最終的な判断 |
|---|---|---|---|
| 通知は出たが履歴が空 | イベントログで検出イベントを確認 | 数分後に履歴再確認・OS再起動 | ログに証跡があれば正常。UI反映遅延の可能性 |
| EICARがダウンロードできない | 別ブラウザで試す | ネットワーク/ポリシーによるブロックを確認 | SmartScreen等で事前に止まっても、Defenderが働いていると判断可 |
| 第三者製AVをインストール済み | Windows セキュリティのプロバイダー表示を確認 | 片方に統一（併用のリアルタイムはNG） | Defenderの無効は仕様。製品側の動作で判定 |
| 定義更新が失敗する | 手動でUpdate-MpSignature | Windows Updateのトラブルシュート、ネットワーク確認 | 解決しなければDISM→SFC |
| スキャンが終わらない/落ちる | イベントログ・サービス状態を確認 | クリーンブートで再試行 | 改善しなければDISM→SFC、復旧ポイント検討 |
よくある質問
EICARは本当に安全ですか？
はい。EICARはテスト用に定義された無害な文字列です。実害はありません。ただし、実運用環境に残しっぱなしにしないこと、Zip解凍の検証が終わったら削除することを推奨します。
検出通知がうるさいのですが？
テスト時だけは通知が出るのが正常です。フォーカスアシストや通知設定で抑止は可能ですが、恒常的な抑止は見逃しリスクを高めます。
Windows Serverでも同じですか？
概ね同様ですが、エディションや役割によっては機能の有効/無効やUIが異なります。サーバーは構成管理（GPO/Intune/Configuration Manager）との整合が重要です。
クラウド提供の保護をオフにしても良い？
基本はオン推奨です。未知の脅威に対する検出力に影響します。オフにする合理的理由（オフライン運用等）がある場合のみ、期間限定で。
現場向けチェックリスト（そのまま使える簡易版）
- EICAR（.txt）ダウンロードで即検出・隔離・通知された
- 保護の履歴にEICAR検出が記録された
- Get‑MpComputerStatusの主要フラグが
True - Update‑MpSignatureで定義が最新
- Start‑MpScan（クイック）が正常完了
- イベントログに検出・更新・スキャンの記録が残る
- 第三者製AVの併存なし、または役割分担が明確
まとめ：安全・効率・再現性の高い“4段階”で判定する
Microsoft Defenderの動作確認は、まず公式テストファイル（EICAR）でリアルタイム保護の反応を確かめるのが最も簡単で確実です。通知・隔離・履歴という明快な合格基準を持てるため、現場での“言った言わない”を排し、証跡も残せます。反応しない場合は、定義更新→設定確認→PowerShellでの状態確認→（必要なら）オンデマンドスキャンの順に切り分け、それでも不具合が疑われるときにだけDISM→SFCでOS整合性を回復しましょう。時間と再起動を要する重い手段に頼る前に、まずは短時間で再現性の高いテストで、Defenderが「ちゃんと働いているか」を賢く見極める――これが最短で安全なベストプラクティスです。
付録：確認コマンド早見表
| 区分 | コマンド | 意味 |
|---|---|---|
| 状態 | Get-MpComputerStatus | Defenderのサービス・保護状態・定義/エンジン情報を取得 |
| 更新 | Update-MpSignature | セキュリティインテリジェンス（定義）の更新 |
| スキャン | Start-MpScan -ScanType QuickScan | クイックスキャン。時間短く一次診断に最適 |
| スキャン（全体） | Start-MpScan -ScanType FullScan | フルスキャン。所要長いが徹底確認に有効 |
| サービス | Get-Service WinDefend | Windows Defender Antivirus Serviceの稼働確認 |
| ログ | イベントビューアー（Defender Operational） | 検出・更新・スキャンの証跡を確認 |
| OS整合性 | DISM /Online /Cleanup-Image /RestoreHealth | コンポーネントストアの破損修復（必要時のみ） |
| OS整合性 | sfc /scannow | システムファイルの検証・修復（DISM後に） |
安全に運用するためのベストプラクティス
- 定義更新は自動更新に任せつつ、週1回は手動更新で到達性を確認。
- 除外設定は最小限・期限付きで管理（開発ビルドやバックアップ領域など）。
- イベントログや保護の履歴を月次で点検し、通知抑制や誤検知の傾向を把握。
- ヘルプデスク手順書にEICARテストの実施手順と合否基準を明記し、誰がやっても同じ結果が出るように標準化。
コメント