Microsoft Defenderのサービス起動問題を解決する手順｜管理者が確認すべき設定と影響範囲

Microsoft Defenderで「脅威サービスが停止しました」「Microsoft Defender Antivirusがオフになっています」と表示される場合、まず確認すべきなのは、Defenderのサービス本体だけではありません。WinDefend、WdFilter、WdNisSvc、SecurityHealthService、wscsvcの状態、競合するウイルス対策製品、Defenderポリシー、改ざん防止、セキュリティインテリジェンス更新までを順に切り分ける必要があります。

2026年5月中旬に更新されたMicrosoft Learnの公式情報は、Microsoft Defender Antivirusのサービス起動問題を復旧するための手順を整理したものです。新機能の発表やCVE告知ではなく、管理者が障害対応・移行・展開時に参照すべきトラブルシューティング手順として読むのが適切です。英語版の最終更新表示は2026年5月14日、GitHub上の変更履歴もMay 14, 2026のコミットとして確認できます。日本語版では反映日の表示が異なるため、社内ナレッジ化する場合は「2026年5月中旬更新」として管理すると混乱を避けられます。(Microsoft Learn)

Microsoft Defenderのサービス起動問題で起きる主な症状

Microsoft Defenderのサービス起動問題は、単に「Defenderが開かない」だけではありません。Windows セキュリティの画面、イベントログ、管理ツール上の状態が食い違うことがあります。

確認場所	表示・兆候	管理者が見るべきポイント
Windows セキュリティ	「脅威サービスが停止しました。今すぐ再起動します」	Defender Antivirusサービスが停止、または起動に失敗している可能性
セキュリティ プロバイダー	Microsoft Defender Antivirusがオフ	他社製AV、ポリシー、改ざん防止、手動変更の影響を疑う
イベントログ	Event 5007	Defenderの構成変更。意図しない変更ならマルウェアやポリシー変更を確認
イベントログ	Event 5001	リアルタイム保護スキャンが無効化された状態
管理コンソール	端末の保護状態が不明・低下	Intune、GPO、Configuration Manager、MDE設定管理の競合を確認

公式ページでは、Windows Defender – OperationalイベントログにEvent 5007やEvent 5001が表示される場合があると説明されています。Event 5007はMicrosoft Defender Antivirusの構成変更、Event 5001はリアルタイム保護スキャンの無効化に関するイベントです。(Microsoft Learn)

2026年5月中旬の公式更新で押さえるべき変更点

今回の公式情報で重要なのは、復旧手順の流れがより実務寄りに整理された点です。GitHub上の変更履歴では、troubleshoot-service-startup-problems.mdに対して34行の追加と45行の削除があり、セキュリティインテリジェンスとエンジンの削除、プラットフォームのリセット、Microsoft Defender Antivirusの再有効化に関する手順が整理されています。(GitHub)

特に管理者が見落としやすい変更点は次の3つです。

観点	変更・整理された内容	実務上の意味
復旧手順	MpCmdRun.exe -RemoveDefinitions -Allに加えて、MpCmdRun.exe -ResetPlatformが明示されている	定義ファイルだけでなく、Defenderプラットフォーム側の状態もリセット対象として確認する
再有効化	Microsoft Defender Antivirusを再度有効化する手順が追加・整理されている	更新後に「定義更新はできたが保護が戻らない」状態を避ける
OS修復コマンド	以前の手順に含まれていたDISM/SFC中心の「リセット」記述が整理されている	まずDefender固有のサービス、ポリシー、プラットフォームを確認する流れになっている

注意したいのは、これは「すべての端末で一括実行すべき更新手順」ではない点です。ポリシー削除やDefender再有効化は、管理対象端末ではIntune、グループポリシー、Microsoft Defender for Endpointの設定管理と衝突する可能性があります。復旧コマンドを配布する前に、どの管理基盤がDefender設定を書き込んでいるかを必ず確認してください。

影響を受けやすい端末と管理形態

Microsoft Defenderのサービス起動問題は、個人PCよりも、複数の管理経路が混在する企業環境で長引きやすい問題です。特に次の環境では、単純な再起動やサービス開始だけでは解決しないことがあります。

対象環境	起きやすい問題	優先して確認すること
Intune管理端末	MDMポリシーとローカル設定の競合	Defenderポリシー、セキュリティベースライン、構成プロファイル
GPO管理端末	古い「Defender無効化」ポリシーが残る	gpresult、GPOの適用対象、OU単位の継承
Configuration Manager併用環境	Endpoint Protection設定や共管理の競合	クライアントログ、ワークロードの管理元
他社製AVから移行中	Defenderがアクティブにならない、またはパッシブのまま	他社製AVの登録状態、アンインストール残骸、Windows Security Center
Windows Server	パッシブモード設定や改ざん防止の影響	ForceDefenderPassiveMode、MDEオンボード順序
VDI・ゴールデンイメージ	古いプラットフォームや定義が展開される	イメージ作成時のDefender更新、初回起動後の更新元

Microsoft Defender Antivirusの設定管理には、Microsoft Defender for Endpointセキュリティ設定管理、Intune、Configuration Manager、GPO、PowerShell、WMI、レジストリなど複数の方法があります。Microsoftは、最良の結果を得るには1つの方法で管理することを推奨しています。(Microsoft Learn)

まずサービスとドライバーの状態を確認する

復旧作業の最初に、Microsoft Defender Antivirus関連のサービスとフィルタードライバーを確認します。管理者権限のPowerShellで次のコマンドを実行します。

Get-Service WinDefend, WdBoot, WdFilter, WdNisSvc, WdNisDrv, SecurityHealthService, wscsvc |
  Format-Table -Auto DisplayName, Name, StartType, Status

公式手順では、主な期待状態として次のように整理されています。WdBootは起動後に停止していても通常動作とされています。一方、WinDefend、WdFilter、WdNisSvc、WdNisDrvが停止している場合は、競合するAV製品、ポリシー、Defenderプラットフォーム、改ざん防止の影響を確認します。(Microsoft Learn)

表示名	サービス名	期待される状態	補足
Microsoft Defender Antivirus Service	WinDefend	Running	停止している場合は優先調査対象
Microsoft Defender Antivirus Mini-Filter Driver	WdFilter	Running	停止時は保護機能に影響
Microsoft Defender Antivirus Network Inspection Service	WdNisSvc	Running	ネットワーク検査系の確認対象
Microsoft Defender Antivirus Network Inspection System Driver	WdNisDrv	Running	ネットワーク検査ドライバー
Microsoft Defender Antivirus Boot Driver	WdBoot	Stopped	起動後に停止しているのは通常
Windows Security Service	SecurityHealthService	Running	Windows セキュリティ表示に関係
Security Center	wscsvc	Running	他社製AVの登録状態にも関係

ここでやってはいけないのは、services.mscやレジストリでサービスのスタートアップ種類を無理に変更することです。Microsoftは、wscsvc、WinDefend、MsMpEngなどの関連サービスを無効化・停止・変更しないよう案内しています。手動変更は不安定化や脆弱な状態につながる可能性があります。(Microsoft Learn)

復旧手順は「原因の切り分け」から進める

Microsoft Defenderのサービス起動問題では、いきなりポリシー削除やリセットを実行すると、原因を見失います。実務では次の順序で進めるのが安全です。

マルウェアの影響を除外する

公式手順では、Microsoft Safety Scannerを実行してマルウェアの影響を除外することが案内されています。Event 5007で意図しない構成変更が出ている場合、単なる設定ミスではなく、攻撃者やマルウェアが保護機能を無効化しようとした可能性も考えます。(Microsoft Learn)

運用上は、次のように扱うと判断しやすくなります。

状況	対応
1台だけ突然発生	Safety Scanner、イベントログ、直近のインストール履歴を確認
複数台で同時発生	GPO、Intune、Configuration Managerの変更履歴を優先確認
管理者操作後に発生	変更したポリシー、除外設定、AV移行作業をロールバック候補にする
不審なプロセスや権限昇格もある	MDEポータルやEDR調査を並行して実施

他社製ウイルス対策ソフトとの競合を確認する

Microsoft Defender Antivirusをプライマリのウイルス対策として使う場合、Microsoft以外のウイルス対策ソフトが残っていると起動問題の原因になります。公式手順でも、DefenderをプライマリAVとして使う場合はMicrosoft以外のAVソフトをアンインストールするよう案内されています。(Microsoft Learn)

ただし、Microsoft Defender for Endpoint環境で他社製AVと併用する設計の場合は話が変わります。Windows 10以降では、非Microsoft製のマルウェア対策製品が登録されているとDefender Antivirusがパッシブモードに入る構成があります。Windows Serverでは、MDEにオンボードする前にForceDefenderPassiveModeを設定する必要があるケースがあります。(Microsoft Learn)

移行時の判断基準は次のとおりです。

移行方針	Defenderの扱い	確認ポイント
Defenderを主AVにする	Active mode	他社製AVを完全に削除し、AMRunningModeがNormalになるか確認
他社製AVを主AVにする	Passive mode	MDEオンボード、EDR in block mode、相互除外を確認
Windows Serverで併用	事前にPassive mode設計	ForceDefenderPassiveModeをオンボード前に設定
Defenderを無効化したまま運用	原則避ける	スキャン・修復・更新が期待どおり動かないリスクを評価

状態確認には、次のPowerShellコマンドが実用的です。

Get-MpComputerStatus | Select-Object AMRunningMode

Normalならアクティブモード、Passiveならパッシブモード、EDR Block ModeならEDR in block modeで動作している状態です。(Microsoft Learn)

セキュリティインテリジェンスとDefenderプラットフォームをリセットする

サービス状態、マルウェア、他社製AVの切り分け後に、Microsoft Defender Antivirusのセキュリティインテリジェンス、エンジン、プラットフォームのリセットを検討します。

公式手順では、管理者権限のコマンドプロンプトでDefenderのプラットフォームディレクトリへ移動し、次のコマンドを実行する流れになっています。コマンドをコピーする場合は、余分な引用符や改行が混入していないか確認してください。(Microsoft Learn)

MpCmdRun.exe -RemoveDefinitions -All

MpCmdRun.exe -ResetPlatform

MpCmdRun.exe -RemoveDefinitions -Allは、セキュリティインテリジェンスとエンジンを削除するための手順です。MpCmdRun.exe -ResetPlatformは、Defenderプラットフォームのリセットに使われます。復旧後は、セキュリティインテリジェンスを更新します。

MpCmdRun.exe -SignatureUpdate -MMPC

更新元についても確認が必要です。Microsoft Defender Antivirusの保護更新は、Microsoft Update、WSUS、Configuration Manager、ネットワークファイル共有、セキュリティインテリジェンス更新サイトなど複数のソースを利用できます。更新元のフォールバック順序やWSUSの承認設定が不適切だと、リセット後に最新状態へ戻らないことがあります。(Microsoft Learn)

Defenderポリシーは削除前に必ずバックアップする

Microsoft Defender Antivirusのサービスが起動しない原因がポリシー競合の場合、公式手順ではDefenderポリシーのバックアップ後、設定済みポリシーを削除する手順が示されています。(Microsoft Learn)

バックアップ例は次のとおりです。

New-Item -Path "C:\DefenderTemp" -ItemType Directory; Invoke-Command {reg export 'HKLM\SOFTWARE\Policies\Microsoft\Windows Defender' C:\DefenderTemp\_DefenderAVBackup.reg}

削除コマンドは次のとおりです。

Remove-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender' -Force

ただし、この操作は慎重に扱うべきです。HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender配下は、GPOやMDE設定管理などから配布されるポリシーが関係します。削除して一時的に復旧しても、管理基盤から同じポリシーが再適用されれば再発します。

本番環境では、次の順序で進めるのが安全です。

手順	作業	目的
1	端末を1台だけ検証対象にする	全社展開による誤削除を防ぐ
2	レジストリをバックアップする	復元手段を確保する
3	GPO、Intune、Configuration Managerの適用元を確認する	再発原因を特定する
4	一時的にポリシーを削除して挙動を見る	ローカルポリシー競合か切り分ける
5	管理基盤側の設定を修正する	根本対策にする

Microsoftの設定トラブルシューティングでは、GPOならGpResult.exe /h C:\temp\GpResult_output.html、Intuneならmdmdiagnosticstool.exe -out "c:\temp\MDMDiagReport.zip"、Configuration ManagerならC:\Windows\CCM\Logsを確認する流れが示されています。(Microsoft Learn)

Microsoft Defender Antivirusを再有効化し、更新と改ざん防止を確認する

ポリシー競合やプラットフォームの問題を解消した後は、Microsoft Defender Antivirusを再有効化します。公式手順では、MpCmdRun.exe -WdEnableによる再有効化、セキュリティインテリジェンス更新、改ざん防止の確認、Microsoft Updateの実行が案内されています。(Microsoft Learn)

MpCmdRun.exe -WdEnable

その後、再度状態を確認します。

Get-Service WinDefend, WdFilter, WdNisSvc, WdNisDrv, SecurityHealthService, wscsvc |
  Format-Table -Auto DisplayName, Name, StartType, Status

Get-MpComputerStatus | Select-Object AMRunningMode, RealTimeProtectionEnabled, IsTamperProtected

改ざん防止は、ウイルスと脅威の防止、リアルタイム保護、クラウド保護、セキュリティインテリジェンス更新などの重要な設定が無効化・変更されるのを防ぐ機能です。一方で、管理者が意図して設定を変更した場合でも、変更が成功したように見えて実際には改ざん防止でブロックされることがあります。(Microsoft Learn)

運用上は、改ざん防止を「邪魔だから無効化する」のではなく、次のように扱うべきです。

状況	推奨対応
一時的な障害調査	トラブルシューティングモードを検討
Intune管理端末	Intune側の設定と対象グループを確認
GPOで設定変更している	改ざん防止により反映されない可能性を確認
本番展開前	検証端末で変更が実際に反映されるか確認
オフライン端末	一時無効化が反映されない可能性を考慮

2026年以降の管理で注意すべき設定取得の変更

管理者や開発者が特に注意すべきなのは、Defender設定をレジストリから直接読み取る運用です。

Microsoftの設定トラブルシューティングでは、2026年2月以降、Microsoft Defender for Endpoint構成管理が有効な組織で、ウイルス対策設定の保存方法が変更されることが説明されています。プラットフォームバージョン4.18.25110.6以降では、Defender for Endpoint構成管理を使う組織は、除外設定などをローカルデバイスのレジストリから直接読み取れなくなり、Get-MpPreferenceなどのサポートされたDefender PowerShellコマンドレットを使う必要があります。(Microsoft Learn)

これは、開発者や運用担当者のスクリプトに直接影響します。

旧来の実装	問題	見直し後
レジストリから除外パスを読む	MDE構成管理下で正しい値を取得できない可能性	Get-MpPreferenceを使用
ローカル設定だけで準拠判定する	IntuneやMDE側の設定と差異が出る	管理基盤のポリシーも確認
サービス停止を復旧条件にする	パッシブモードやEDR in block modeを誤判定	AMRunningModeを確認
例外的にレジストリを書き換える	改ざん防止やポリシー再適用で戻る	管理ツール側で設定変更

たとえば、監査スクリプトで除外設定を確認するなら、次のようなDefender PowerShellコマンドレットを基準にします。

Get-MpPreference

サービス起動問題の監視なら、サービス状態だけでなく、Defenderの実行モードも合わせて取得します。

Get-MpComputerStatus | Select-Object AMRunningMode, RealTimeProtectionEnabled, IsTamperProtected, AMProductVersion, AMEngineVersion

他社製AVからDefenderへ移行する場合の注意点

Microsoft Defender for Endpointへ移行する際は、「Defenderを有効化する日」と「他社製AVを削除する日」を分けて設計することがあります。このとき、端末がActive mode、Passive mode、Disabledのどれで動いているかを確認しないと、保護の空白や二重保護による性能劣化が起こります。

Microsoftの互換性ドキュメントでは、Defender Antivirusの状態は、Windowsのバージョン、Microsoft Defender Antivirusが主AVかどうか、Defender for Endpointにオンボードされているかによって変わると説明されています。Windows Serverでは、非Microsoft製AVを使う場合にパッシブモードを手動設定する必要があるケースもあります。(Microsoft Learn)

移行時の実務チェックは次のとおりです。

フェーズ	確認項目	失敗しやすいポイント
事前調査	既存AV、MDEオンボード状況、GPO/Intune設定	旧AVのアンインストール残骸を見落とす
パイロット	AMRunningMode、イベントログ、MDEポータル	一部端末だけパッシブのままになる
展開	更新元、改ざん防止、除外設定	WSUS未承認で定義更新が止まる
切り替え	他社製AV削除後にDefenderがActiveになるか	Windows Serverで手動設定が残る
運用	EDR in block mode、アラート、ヘルスレポート	パッシブモードの制約を理解しない

Defenderがパッシブモードの場合、EDR in block modeは、主AVではないDefender Antivirusを使ってEDR検出後の悪意ある成果物を修復する追加保護として機能します。ただし、リアルタイム保護やネットワーク保護、攻撃面縮小ルールなど、DefenderがActive modeであることを前提とする機能は同じようには動きません。(Microsoft Learn)

展開時に失敗しやすいポイント

Microsoft Defenderのサービス起動問題は、1台の復旧だけなら公式手順で解決できることがあります。しかし、管理者が本当に注意すべきなのは、同じ問題を複数台に広げないことです。

ポリシー削除コマンドを一括配布しない

Remove-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender' -Forceは強力なコマンドです。検証なしに全台配布すると、意図したDefender設定、除外設定、クラウド保護、スキャン設定まで影響を受ける可能性があります。

一括対応が必要な場合でも、最初は次のようにリングを分けます。

リング	対象	判断基準
Ring 0	IT管理者端末、検証VM	コマンドの副作用確認
Ring 1	影響の小さい部門の数台	ポリシー再適用と更新成功を確認
Ring 2	同一構成の端末グループ	イベント5007/5001の収束を確認
Ring 3	全社展開	MDEポータル、Intune、ヘルプデスク件数を監視

公式コマンドをそのままスクリプト化する前に環境差を吸収する

Defenderプラットフォームのパスは、端末によって%ProgramData%\Microsoft\Windows Defender\Platform\<platform version>配下の最新バージョンが異なります。公式手順では最新のプラットフォームディレクトリへ移動するコマンドが示されていますが、運用スクリプトに組み込む場合は、パスが存在しない場合、権限がない場合、MpCmdRun.exeが想定場所にない場合の処理を入れるべきです。(Microsoft Learn)

最低限、スクリプトには次の確認を入れます。

• 管理者権限で実行されているか
• 対象OSが想定範囲内か
• 他社製AVの有無と登録状態
• AMRunningModeの現在値
• 改ざん防止の状態
• 実行前後のイベントログ取得
• 失敗時にログを残す出力先

WSUSやConfiguration Manager環境では更新承認を確認する

Defenderプラットフォームやセキュリティインテリジェンスをリセットしても、更新元に到達できなければ保護状態は戻りません。WSUSを更新元にしている場合、Defender関連の更新が承認されているか、同期が止まっていないかを確認してください。Microsoftは、WSUSをダウンロード場所として設定している場合、管理ツールに関係なく更新の承認が必要だと説明しています。(Microsoft Learn)

管理者・開発者が次に確認すべきチェックリスト

障害対応後は、次のチェックリストで再発防止まで確認します。

チェック項目	確認方法	合格基準
Defenderサービス	Get-Service	WinDefendなど主要サービスがRunning
実行モード	Get-MpComputerStatus	設計どおりNormal、Passive、EDR Block Mode
リアルタイム保護	RealTimeProtectionEnabled	Active運用ならTrue
改ざん防止	IsTamperProtected	組織方針どおり有効
イベントログ	Windows Defender – Operational	5001/5007の原因が説明できる
ポリシー管理元	Intune、GPO、ConfigMgr、MDE	管理元が重複していない
更新元	Microsoft Update、WSUS、ConfigMgrなど	セキュリティインテリジェンス更新が成功
スクリプト	レジストリ直読みの有無	Get-MpPreferenceなど対応コマンドへ移行
移行端末	他社製AVの状態	Defenderのモードが設計どおり
展開計画	リング展開	検証端末で成功後に拡大

Microsoft Defenderのサービス起動問題は、サービスを再起動するだけでは解決しないことが多い障害です。最初にサービスとイベントログを確認し、次に他社製AV、ポリシー競合、Defenderプラットフォーム、更新元、改ざん防止を順に切り分けることで、原因を見失わずに復旧できます。

特に2026年以降は、Defender設定をレジストリから直接読む運用や、複数の管理ツールで同じ設定を配布する運用を見直すタイミングです。まずは検証端末で公式手順を再現し、Get-MpComputerStatus、Get-MpPreference、イベントログ、管理基盤のポリシーをセットで確認してください。その結果をもとに、復旧手順を社内の標準運用手順書として整備するのが、次に取るべき行動です。