WSUSでMicrosoft Defender（Windows Defender）の定義更新を配布したいのに、WSUS管理コンソールの「製品」にWindows Defenderが見当たらない――Windows Server 2016のWSUSでよくあるつまずきです。表示名の違いと「製品」「分類」の組み合わせを押さえれば解決できます。
症状として多いパターン
「WSUSでMicrosoft Defender（Windows Defender）の定義更新を配布したい」と思って手順書どおりに進めたのに、WSUSの［オプション］→［製品と分類］→［製品］で、チェックすべきはずの［Windows Defender］が見当たらない。結果として、WSUSにDefenderの定義更新（Definition Updates／定義の更新）が落ちてこない、もしくは更新一覧に出てこない、という状態になります。
この現象は、WSUSサーバーがWindows Server 2016であっても珍しくありません。理由は大きく2つあります。
- 製品名が環境や時期で変わっている（Windows Defender ではなく Microsoft Defender Antivirus と表示されるなど）
- 「製品」と「分類」のどちらかが未選択で、Defenderの定義更新が対象外になっている
つまり、表示されない＝非対応というより、「探し方」「選び方」がずれているケースがほとんどです。
まず押さえる前提
WSUSで扱うDefender関連の更新は、ざっくり分けると次の2系統です。
| 更新の種類 | WSUS上の分類の例 | 目的 | 特徴 |
|---|---|---|---|
| 定義更新（セキュリティインテリジェンス） | Definition Updates（定義の更新） | 検知パターンを最新化 | 更新頻度が高い。遅れると検知力が落ちやすい |
| プラットフォーム/エンジン更新 | Updates（更新プログラム）など | Defender本体の機能・エンジン改善 | 頻度は低めだが、一定期間で反映したい |
今回の主題は前者の定義更新（Definition Updates／定義の更新）です。WSUSで定義更新を扱うには、製品（Products）と分類（Classifications）の両方が噛み合っている必要があります。
結論
対処はシンプルです。WSUSで次を満たすように設定します。
- 製品（Products）で、Defenderに該当する製品にチェック
- 分類（Classifications）で、Definition Updates（定義の更新）にチェック
- 設定後に同期を実行し、更新が取得できることを確認
ポイントは、手順書どおり「Windows Defender」という文字列を探し続けないことです。表示名が変わっている場合は、近い名前の製品を選べばOKです。
製品名の「名称揺れ」を整理する
WSUSの「製品」ツリーに表示されるDefender関連の名称は、環境によって差が出ます。代表例を表にまとめます。
| WSUS上の表示名の例 | 意味 | このケースなら選ぶ | 注意点 |
|---|---|---|---|
| Windows Defender | Windows Defender（旧称）向けの更新 | 製品一覧にこの項目がある | 手順書がこの表記前提で書かれていることが多い |
| Microsoft Defender Antivirus | Microsoft Defender Antivirus（新称）向けの更新 | Windows Defenderが見当たらず、この項目がある | 探すべきは「同じ意味の別名」だと割り切る |
| System Center Endpoint Protection | SCEP向け定義更新 | SCEPを管理している場合のみ | 組み込みDefenderのためにチェックすると更新が増える |
| Forefront Endpoint Protection 2010 | FEP 2010向け定義更新 | 該当製品を使っている場合のみ | 混在環境では「どのクライアントに何を配るか」を整理する |
今回のテーマであるWindows Server 2016のDefender定義更新配布なら、基本はWindows DefenderまたはMicrosoft Defender Antivirusのどちらかを選べば足ります。
WSUSでの設定手順
ここからは、Windows Server 2016上のWSUS管理コンソール（WSUSコンソール）での具体手順です。操作の流れは「選択→同期→確認→承認」の順に進めると迷いません。
製品と分類を開く
- WSUS管理コンソールを開きます。
- 左ペインのツリーから［オプション］をクリックします。
- 中央の一覧から［製品と分類］を開きます。
製品でDefender相当の項目にチェック
［製品］タブで、Defenderに該当する製品を選択します。
- 「Windows Defender」があれば、それにチェック
- 見当たらなければ、ツリーを展開して「Microsoft Defender Antivirus」を探してチェック
ツリーが広くて見つからない場合は、次の探し方が役立ちます。
- ツリーの上位（Windows / Microsoft / System Center など）を順に展開していく
- チェックボックスの付いたツリーをクリックしてから、キーボードで「M」や「W」などを入力し、該当項目へジャンプする
- 「Defender」が付く項目が複数あるときは、まずAntivirusやWindows Defenderに近いものを優先する
分類でDefinition Updatesを必ず選ぶ
［分類］タブでは、最低限次を選択します。
- Definition Updates（定義の更新）
さらに、Defenderのプラットフォーム更新もWSUSで管理したい場合は、環境に合わせて次も検討します。
- Updates（更新プログラム）
- Security Updates（セキュリティ更新プログラム）
ただし分類を増やすほどWSUSに流れ込む更新が増え、運用負荷（同期時間、DB肥大、承認作業）が上がります。まずはDefinition Updatesだけで動作確認し、必要に応じて追加するのが安全です。
設定を反映して同期する
- ［OK］または［適用］で設定を保存します。
- WSUSコンソールで［今すぐ同期］を実行します（英語表記では「Synchronize Now」）。
- 同期が完了したら、Defenderの定義更新が取得できるか確認します。
同期直後は、メタデータ取り込みや初回の差分が多い場合に時間がかかることがあります。特に閉域網で上流WSUS経由の場合、上流側の設定が不足していると下流に降りてきません。
WSUSに定義更新が降りてきたか確認する
確認のポイントは「更新一覧にDefenderの定義更新が存在するか」「分類がDefinition Updatesになっているか」です。目安として、Defenderの定義更新はKB番号が同じで、バージョンだけが変わって増えていきます。
探すときのキーワード例
| 探し方 | キーワード例 | 補足 |
|---|---|---|
| KB番号で探す | KB2267602 | Defender定義更新でよく見かける代表例。表示名が変わってもKBが同じことがある |
| タイトルで探す | Definition Update / Security Intelligence Update | 「Definition Update」表記の環境と「Security Intelligence Update」表記の環境がある |
| 製品名で探す | Windows Defender / Microsoft Defender Antivirus | 製品の選択が正しいかの確認にも使える |
分類フィルターで先に絞ると早い
WSUSコンソールの「更新」一覧で、フィルターを次のように設定すると、目的の更新にたどり着きやすくなります。
| フィルター項目 | おすすめ設定 | 狙い |
|---|---|---|
| 分類 | Definition Updates（定義の更新） | 定義更新だけに絞る |
| 承認 | 未承認（Unapproved） | これから配布する更新だけを見る |
| 状態 | 任意（Any） | まずは存在確認を優先する |
承認のコツ
定義更新は頻度が高いので、手動承認だけで運用すると作業が追いつかなくなりがちです。WSUS運用としては、次のどちらかが現実的です。
- テスト用グループで数日確認してから本番グループへ承認する
- 定義更新に限っては自動承認にして追従する
自動承認ルールの例
| ルール名の例 | 対象分類 | 対象製品 | 承認先 | 意図 |
|---|---|---|---|---|
| Defender定義更新をテストへ自動承認 | Definition Updates（定義の更新） | Windows Defender または Microsoft Defender Antivirus | テスト用コンピューターグループ | 不具合がないか先に検証 |
| Defender定義更新を全体へ自動承認 | Definition Updates（定義の更新） | Windows Defender または Microsoft Defender Antivirus | 本番グループ | 定義を遅らせず配布する |
組織のポリシー上「必ずテストを挟む」必要がある場合は、上のように2段階（テスト→本番）にすると、リスクと作業量のバランスが取りやすいです。
承認作業で迷いやすいポイント
- 定義更新は数が多いので、「最新だけ承認したい」と考えがちですが、WSUSは更新の検出・適用をクライアント側で判断します。基本は定義更新を承認し続け、クライアントが必要なものを取りに行く運用が一般的です。
- 「Definition Update」と「Security Intelligence Update」で名称が違っても、やっていることは定義更新です。分類で判断するとブレません。
クライアント側で配布できているか確認する
WSUSに更新が降りてきても、クライアント側の設定や通信でつまずくことがあります。Defender定義更新が配布できているかは、次の観点で確認すると確実です。
確認観点の一覧
| 観点 | 何を見る | 例 | NGのときに疑うこと |
|---|---|---|---|
| WSUSの適用状況 | 更新履歴 | 「KB2267602」がインストールされている | WSUSポリシー未適用、承認漏れ、通信不可 |
| Defender側の状態 | Defenderの定義バージョン | 署名バージョンと最終更新日時が更新される | Defender無効化、別製品のAV、ポリシー制限 |
| WSUSサーバー到達性 | HTTP/HTTPS疎通 | クライアントからWSUSへ到達できる | FW、プロキシ、証明書、名前解決 |
PowerShellで定義更新日時を確認する
Windows Server 2016/Windows 10系のDefenderが有効なら、次のコマンドで定義更新の状態を確認できます。
Get-MpComputerStatus | Select-Object AMServiceEnabled,AntivirusEnabled,AntivirusSignatureVersion,AntivirusSignatureLastUpdated出力例としては、AntivirusSignatureLastUpdatedが最近の日時になっていること、AntivirusSignatureVersionが更新されていることを確認します。
更新履歴でKBを確認する
GUIで確認するなら、クライアント（またはサーバー）の更新履歴にDefender定義更新が入っているかを見ます。タイトルは環境により次のように揺れます。
- Definition Update for Windows Defender Antivirus – KB2267602
- Security Intelligence Update for Microsoft Defender Antivirus – KB2267602
名称が違っても、KBが一致していれば同系統の更新だと判断できます。
WSUS利用の基本GPOも合わせて確認する
端末がWSUSを参照していないと、承認しても配布されません。まずはWindows UpdateのGPOとして定番の設定が有効かを確認します（日本語環境の代表例）。
| 設定場所の例 | 設定名の例 | 要点 |
|---|---|---|
| コンピューターの構成 → 管理用テンプレート → Windows コンポーネント → Windows Update | イントラネット Microsoft 更新サービスの場所を指定する | WSUSのURLを指定し、端末がWSUSから更新を取得するようにする |
| 同上 | 自動更新を構成する | インストールタイミングを運用に合わせて制御する |
Defender定義更新だけが遅れる・失敗する場合は、Defender側の署名更新ソース設定やネットワーク制御も関係します。閉域網ではWSUS一本で固め、インターネット接続がある端末ではフォールバックを残すなど、要件に合わせて設計してください。
それでも「Windows Defender」が製品に見つからないときの追加切り分け
「Microsoft Defender AntivirusもWindows Defenderも無い」「そもそも製品ツリーが少ない」「設定しても同期してこない」という場合は、単純な名称揺れ以外の要因が混ざっています。代表的な切り分けを挙げます。
下流WSUSやレプリカ構成になっていないか
上流WSUSから同期している下流（ダウンストリーム）WSUSやレプリカの場合、製品と分類の選択が上流側で固定され、下流側で自由に変えられない構成があります。
- 下流側で「製品と分類」を変更しても反映されない
- 上流側でDefender関連を選んでいないため、下流に降りてこない
この場合は、上流WSUS側の製品・分類の選択を見直し、同期させるのが近道です。
更新元がMicrosoft Updateになっているか
WSUSの［オプション］には「更新元とプロキシ サーバー」に相当する設定があります。ここが意図せず別の上流（社内の別WSUSなど）になっていると、製品カテゴリや更新が想定どおりに入ってきません。
- Microsoft Updateから同期する構成か
- プロキシが必要な環境で正しく設定されているか
- 同期が成功しているか
同期が成功しているか
WSUSは「製品名の一覧（メタデータ）」も同期で更新されます。同期が失敗していると、新しい製品カテゴリや更新が見えないことがあります。
- WSUSコンソールで最後の同期結果が成功になっているか
- プロキシ設定やファイアウォールでMicrosoft Updateへの通信が遮断されていないか
- SSL構成や証明書の更新で通信が詰まっていないか
「同期が通っているのに更新が増えない」場合は、まず製品と分類の選択が正しいかに戻って確認するのが鉄則です。
WSUSのメタデータ・コンテンツ整合性
長期運用のWSUSでは、コンテンツ不整合やメタデータの不具合で更新がうまく揃わないケースもあります。軽微な不整合なら、WSUS標準の整合性チェックや再ダウンロードで改善することがあります。
- WSUSのヘルスチェック（wsusutil.exe checkhealth など）
- コンテンツの整合性（wsusutil.exe reset など）
ただし、環境によっては実行に時間がかかったり負荷が高かったりするため、実行する場合は運用時間帯や影響範囲を考慮してください。
運用で詰まりやすい落とし穴
最後に、実際の運用でハマりやすいポイントをまとめます。設定ができても、運用設計が弱いとトラブルになりがちです。
定義更新は想像以上に増える
Defender定義更新は短い間隔で配信されます。WSUSに取り込むと更新件数が増え、次の影響が出やすくなります。
- 同期が長くなる
- WSUS DBが肥大化しやすい
- 更新一覧の表示・検索が重くなる
そのため、WSUSでDefender定義更新を扱うなら、自動承認ルールと定期クリーンアップはセットで考えるのが実務的です。
定期クリーンアップの目安
WSUSコンソールには「サーバー クリーンアップ ウィザード」があり、不要な更新や不要なコンテンツを整理できます。Defender定義更新を扱う場合は、次のような頻度が目安になります。
| 項目 | 目安 | 狙い |
|---|---|---|
| サーバークリーンアップ | 週1回〜月1回 | 不要な更新・コンテンツを整理してDB負荷を下げる |
| 同期スケジュール | 定義更新は1日複数回も検討 | 定義が古くならないよう追従する |
| コンテンツ保存先の空き容量 | 余裕を持って確保 | 同期・ダウンロード失敗を防ぐ |
Defenderの最新性とWSUSの統制はトレードオフ
WSUSで統制できる一方、同期頻度や承認フロー次第で定義が古くなります。特にインターネット接続が可能な端末までWSUS一本に寄せると、次のような状況が起こりがちです。
- 「昨日の定義」で止まっている
- ゼロデイ対応の反映が遅れる
閉域網や厳格な制約がある場合はWSUS配布が有効ですが、そうでない端末はWSUSを優先しつつMicrosoft Updateへフォールバックさせるなど、現場の要件に合わせた設計が重要です。
まとめ
WSUSでMicrosoft Defender（Windows Defender）の定義更新を配布したいのに「Windows Defender」が表示されない場合、ほとんどは次のいずれかで解消します。
- WSUSの製品で、Windows DefenderまたはMicrosoft Defender Antivirusにチェック（名称揺れを吸収）
- WSUSの分類で、Definition Updates（定義の更新）にチェック
- 設定後に今すぐ同期を実行し、KB2267602などの定義更新がWSUSに降りることを確認
- 承認は手動でも可能だが、定義更新は自動承認＋定期クリーンアップの運用が安定
「Windows Defenderが無い＝配布できない」と決めつけず、近い名前の製品が存在しないか、そして分類がDefinition Updatesになっているかをセットで確認すると、最短で解決に近づけます。
コメント