- Microsoft Defender は、高度なレジストリおよびポリシー設定で更新および強化されている場合、非常に強力な保護を提供します。
- ランサムウェア保護、アカウント制御、ファイアウォール、エクスプロイト緩和などの機能は、Windows を保護するための鍵となります。
- セキュリティは、優れたユーザー プラクティス (パスワード、ローカル アカウント、ペアレンタル コントロール) と適切な技術的構成を組み合わせることで向上します。
- プロフェッショナルな環境では、Intune とグループ ポリシーにより、すべてのデバイスに統一されたセキュリティ戦略を適用できます。
Windows 10またはWindows 11を使用している場合、Microsoft Defenderというかなり優れたウイルス対策ソフトがデフォルトでインストールされています。問題は、ほとんどの人がそれをきちんと設定していないことです。デフォルト設定のままでは保護はされますが、本来得られる保護レベルには達していません。いくつかの適切な調整を行うことで、システムのセキュリティを次のレベルに引き上げることができます。
このガイドでは、家庭用PCと業務用環境の両方で、Microsoft Defenderを最適化して最高の保護を実現する方法を解説します。基本的なインターフェースオプションから、高度なレジストリ設定、ランサムウェア対策、プライバシー設定、ペアレンタルコントロール、Intuneやグループポリシーによる集中管理まで、あらゆる項目を網羅します。
Microsoft Defender を更新して状態を確認する
設定をいじる前に、Defenderのエンジンとシグネチャが最新の状態になっていることを確認してください。古いウイルス対策ソフトは、ウイルス対策ソフトがないのとほとんど同じくらい危険です。
セキュリティ更新プログラムを確認する最も簡単な方法は、システムトレイにある Windows セキュリティのアイコンを右クリックして「セキュリティ更新プログラムの確認」を選択することです。また、Windows セキュリティを開き、 「ウイルスと脅威の防止」に移動して、 「ウイルスと脅威の防止の更新プログラム」をクリックすることでも確認できます。
定期的にこのセクションを開いて、アップデートが滞っていないか、システムの状態が正しいかを確認することをお勧めします。これにより、分析エンジン、ヒューリスティック、マルウェアのシグネチャが最新の状態に保たれます。
WindowsレジストリからMicrosoft Defenderを強化する
Defenderの機能を最大限に活用したい場合は、グラフィカルインターフェースには表示されないオプションを有効にすることで、スキャンの強度と深度を大幅に向上させることができます。ただし、これにはWindowsレジストリの変更が必要となるため、操作には十分注意してください。
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender のパスに移動します。そのキー内に、MpEngineとSpynetという名前の新しい子キーを 2 つ作成します(「Windows Defender」を右クリック > 新規 > キーを選択し、適切な名前を入力します)。
次に、 MpEngineキーを開き、右側のペインで、MpBafsExtendedTimeoutという名前の新しい 32 ビット DWORD 値を作成します。その値に0x19 (10 進数で 25) を割り当てます。次に、 MpCloudBlockLevelという名前の別の 32 ビット DWORD を作成し、その値を0x2 ( 16 進数で 2) に設定します。
これらの設定は、Defender が疑わしいファイルを一時的にブロックできる期間と、クラウドの脅威を評価する際の厳格さを制御します。MpBafsExtendedTimeout を設定すると、最大ブロック時間が約 60 秒に延長され、クラウド サービスが分類する前に疑わしいファイルが実行される可能性が低くなります。MpCloudBlockLevel を 2 に設定すると、クラウド保護レベルが非常に厳格になり、Defender は評判の悪いものをブロックする可能性が高くなります。
次に、Spynetキーを開き、以下の32ビットDWORD値を作成します。
- 最初にブロックを無効にする 値は 0 です。
- スパイネットレポート 値は 2 です。
- LocalSettingOverrideSpynetReporting 値は 1 です。
- 送信サンプル同意 値は 1 です。
DisableBlockAtFirstSeenを0に設定すると、システムはMicrosoft Active Protection Serviceに対してリアルタイムチェックを実行します。つまり、新規ファイルが初めて表示された時点で、そのファイルの信頼性に疑問がある場合、すぐにブロックされる可能性があります。
SpynetReportingの値が2の場合、Microsoftのレピュテーションサービスへの高度なサブスクリプションが有効になり、検出されたマルウェアに関する詳細情報（ファイル名、動作、システムへの影響など）が送信されます。これはクラウドの防御力向上に役立ちますが、Microsoftと共有する情報が増えるため、プライバシーに影響が出る可能性があります。
LocalSettingOverrideSpynetReporting の値が 1 の場合、ローカル設定でデータ送信に関するグループポリシーを上書きできることを示します。これは、企業グループポリシーが存在する場合でも、特定のコンピューターで何かを調整する必要がある場合に便利です。
最後に、SubmitSamplesConsentを1に設定すると、テレメトリが許可した場合に疑わしいファイルのサンプルが自動的に送信されます。これにより、Microsoftは新たな脅威に対する迅速なシグネチャと検出モデルを生成する能力が向上します。
作業が完了したら、レジストリエディタを閉じてPCを再起動してください。それ以降、Defenderはより厳格な保護プロファイルで動作し、特に新たに発見された脅威に対してより効果的に防御します。
Defenderがスキャンするファイル、フォルダ、プロセスを選択する
奇妙に聞こえるかもしれませんが、最大限のセキュリティを確保するためには、Defenderにスキャン対象から除外する項目を指定する必要がある場合があります。これは、特定の重要なアプリケーションや開発ツールとの競合を回避し、パフォーマンスを最適化するために行われます。
Windows セキュリティを開き、「ウイルスと脅威の防止」に移動します。 「ウイルスと脅威の防止の設定」までスクロールダウンし、「設定の管理」をクリックします。一番下に「除外」セクションが表示されます。「除外の追加または削除」をクリックし、「除外の追加」をクリックします。
特定のファイル、ファイルの種類（拡張子）、フォルダ全体、またはプロセスを除外できます。ファイルまたはフォルダを選択すると、エクスプローラーが開き、パスを選択できます。ファイルの種類またはプロセスを選択すると、拡張子または実行ファイル名を入力するダイアログボックスが表示されます。
除外項目を追加すると、同じ画面に一覧表示されます。除外項目を削除するには、その横にある小さな矢印をクリックし、[削除]をクリックします。これらの除外項目は慎重に使用することをお勧めします。除外された項目は Defender が監視しなくなる項目なので、本当に必要なものだけを除外し、可能であれば、完全に信頼できる閉じたフォルダーやプロセスのみを除外対象にしてください。
同じウイルス対策および脅威対策パネルから、さまざまな種類のスキャンにもアクセスできます。
- クイックテストマルウェアが隠れている典型的なフォルダー。
- 試験を完了する: すべてのファイルとドライブの詳細な分析。
- 個別試験確認するフォルダーを選択します。
- Microsoft Defender オフラインスキャン永続的な脅威を排除するためのオフライン分析。
特定のフォルダ（例えば、ダウンロードフォルダやサードパーティ製ファイルを扱うディレクトリなど）に問題があると思われる場合は、カスタムスキャンを使用するのが最善策です。「今すぐスキャン」で場所を選択し、フォルダを選択して「フォルダを選択」をクリックします。Defenderがスキャンを開始し、スキャンされたファイルの数、経過時間、残り時間の目安を示す進行状況バーが表示されます。
そのすぐ下には「脅威履歴」があり、最終スキャンの日時と種類、検出された脅威の数、スキャン時間、およびレビューされたファイルの数を確認できます。また、隔離された脅威と、ユーザーが手動で許可した脅威も表示されます。
このセクションからは、隔離されているすべてのファイルを一度に削除することも、項目ごとに確認して、完全に削除するものと復元するものを決定することもできます（もちろん、潜在的に危険なファイルを再アクティブ化するリスクがあることを前提としています）。
Microsoft Defenderでランサムウェアから身を守る
Defenderの最も重要な機能の1つであり、デフォルトでは無効になっていることが多いのが、フォルダアクセス制御に基づくランサムウェア対策です。
ランサムウェアは、個人ファイルを暗号化し、アクセスを復元するために身代金（通常は仮想通貨）を要求します。身代金を支払っても何も保証されず、多くの場合、攻撃者のメールアドレスや連絡手段は閉鎖され、お金とデータの両方を失うことになります。
この保護機能を有効にするには、Windows セキュリティを開き、 「ウイルスと脅威の防止」に移動します。 「ランサムウェア対策」セクションまでスクロールダウンし、 「ランサムウェア対策の管理」をクリックします。そこに「フォルダー アクセスの制御」オプションが表示されます。
この機能を有効にすると、許可されていないアプリケーションが保護されたフォルダーを変更したり暗号化したりすることを防止できます。Windows はデフォルトでシステムフォルダーと特定のユーザーパスを保護しますが、必要に応じて他のフォルダーを追加することもできます。
同じパネルで、ロック履歴の確認、「保護されたフォルダーを追加」で新しい保護フォルダーを追加し、保護が不要になったフォルダーを削除できます（システムフォルダーは無効化できません）。仕事用の文書、写真、プロジェクトなど、ランサムウェアが簡単にアクセスできないように、重要なものはすべてここに保存しておくことが重要です。
さらに、バックアップをOneDriveにリンクすることもできます。Microsoftアカウントでサインインすると、最も重要なファイルの自動バックアップをクラウドに設定できます。これは攻撃自体を防ぐものではありませんが、PCが完全に暗号化された場合でもデータの復元に役立ちます。
Defenderの改ざん防止を有効にする
もう一つ非常に便利な機能は、改ざん防止機能です。この機能により、マルウェアやサードパーティ製アプリケーションがDefenderの重要な設定を変更して、密かに無効化したり弱体化させたりすることを防ぎます。
有効にするには、Windows セキュリティに戻り、「ウイルスと脅威の防止」を開き、「ウイルスと脅威の防止の設定」に移動して、「設定の管理」をクリックします。そこで、「改ざん防止」セクションを見つけてオンにします。
それ以降、正規のチャネル以外から重要なDefender設定を変更しようとする試みはすべて自動的にブロックされます。なお、この保護機能はWindows Defender自体のみを対象としています。サードパーティ製のウイルス対策ソフトを使用している場合は、同様の保護機能が設定されているかどうか、そのソフトの設定を確認する必要があります。
Microsoft Defenderによる個人情報盗難監視
Defenderは従来のウイルス対策ソフトの枠を超え、一部のプランや地域では、Experianなどのサードパーティの技術を利用して、個人情報盗難監視機能を統合しています。
この「個人情報盗難監視」機能は、あなたの個人データ（メールアドレス、身分証明書など）が不審な情報源やダークウェブに掲載されていないかを確認する役割を担っています。これは表面的な機能ではなく、継続的な監視を行い、個人情報の不正使用の可能性を検出した場合に警告を発します。
利用するには、My Defenderダッシュボードにログインし、「ID監視を開始する」オプションを選択してプロファイルを作成します。個人情報の入力が求められますが、入力された情報はダークウェブやその他の情報源から得られたデータと照合されます。また、家族を追加することで、同じ契約で複数のユーザーを保護することも可能です。
Windows の追加のセキュリティとプライバシー設定
WindowsにはDefender以外にも、真に堅牢な環境を構築したいのであれば、適切に設定すべきセキュリティオプションがいくつか含まれています。これらの多くは、セキュリティとプライバシーの両方に影響を与えます。
ログインを保護する: パスワード、PIN、または指紋
まず最初にすべきことは、誰かがあなたのパソコンの前に座って許可なくログインするのを防ぐことです。そのためには、パスワード、PIN、指紋認証、セキュリティキー、あるいは画像パスワードなど、安全なログイン方法を設定する必要があります。
「設定」＞「アカウント」＞「サインインオプション」に移動します。そこから、自分に最適なオプション（例えば、指紋認証またはPINを使用したWindows Hello）を選択し、ウィザードの手順に従ってください。完了したら、指示が表示されたらコンピューターを再起動して、起動時に新しい保護機能が適用されます。
定期的なパスワード変更を強制する
ビジネス環境では、パスワードを定期的に期限切れにするのが一般的です。これは、たとえ誰かがパスワードを盗んだとしても、その使用期間が比較的短いという利点があるためです。
対応しているバージョンのWindowsでは、ファイル名を指定して実行（Win + R）を開き、「netplwiz」と入力してEnterキーを押すことで設定できます。表示されたウィンドウで、「詳細設定」タブに移動し、「ローカルユーザーとグループ」セクションに「詳細オプション」と入力して「ユーザー」を選択します。次に、右側のペインで目的のユーザーをダブルクリックし、「パスワードの有効期限なし」のチェックを外します。
Windowsでは、デフォルトでは通常42日ごとにパスワードの変更が求められますが、これはグループポリシーで変更できます。グループポリシーにアクセスできない場合は、管理者権限のコマンドプロンプトを使用してコマンドラインから変更できます。
すべてのアカウントのアカウント有効期限を有効にするには、次のコマンドを実行します。
wmic UserAccount で PasswordExpires=True を設定する
特定のユーザーにのみ適用したい場合は、次のようにします。
wmic UserAccount、Name=UserName、PasswordExpires=True を設定します
ユーザー名を実際のアカウント名に置き換えてください。これにより、認証情報が定期的に更新されます。
ユーザーアカウント制御（UAC）
ユーザーアカウント制御（UAC）とは、プログラムがシステムに重大な変更を加えようとした際に表示される、あの煩わしいポップアップウィンドウのことです。しかし、まさにこの煩わしさこそが、悪意のあるソフトウェアがユーザーの知らないうちにシステムの機密部分を改ざんするのを防いでいるのです。
ユーザーアカウント制御（UAC）が有効になっていることを確認するには、コントロールパネルを開き、「システムとセキュリティ」>「セキュリティとメンテナンス」に進みます。「セキュリティ」セクションを展開し、ユーザーアカウント制御の状態を確認します。無効になっている場合は、リンクをクリックして設定を変更し、アプリケーションが変更を行おうとしたときに確認メッセージが表示されるレベルを選択します（セキュリティを優先する場合は、最低レベルに設定しないでください）。
Microsoftアカウントの代わりにローカルアカウントを使用する
マイクロソフトはほぼ全てのユーザーにクラウドアカウントを利用してもらおうとしているが、従来のローカルアカウントにはプライバシーと制御の面で明確な利点がある。デバイス間で設定やデータを同期しない一方で、攻撃対象領域を縮小できる。
現在 Microsoft アカウントでサインインしていて、ローカル アカウントに切り替えたい場合は、[設定] > [アカウント] > [ユーザー情報]に移動し、[ローカル アカウントでサインインする]オプションを探してください。ローカル アカウントがまだ存在しない場合は、まず [アカウント] > [家族とその他のユーザー] > [この PC に他のユーザーを追加する]から[Microsoft アカウントを持たないユーザーを追加する] を選択して作成してください。
作成後、「マイアカウント情報」に新しいユーザー名とパスワードを入力し、必要に応じてセキュリティの質問に答えてから、ログアウトしてローカルアカウントでログインしてください。これにより、クラウドからより隔離されたプロファイルが作成されます。
ペアレンタルコントロールと家族保護
Windowsには、子供がPCやインターネット上で何をするかを管理するために設計された「ファミリーオプション」というセクションがWindowsセキュリティに統合されています。
ファミリーダッシュボードでは、Microsoftアカウントにリンクされた子供用アカウントを追加したり、スクリーンタイム制限、 Webコンテンツの制限、許可するアプリやゲームを設定したり、アクティビティレポートを受け取ったりすることができます。
最も重要なオプションは次のとおりです。
- 未成年者がアクセスできる Web サイトを定義します (ホワイトリストまたはブラックリスト)。
- 毎日の PC 使用制限を設定します。制限を超えると、そのユーザーのコンピューターがロックされます。
- 許可するアプリとゲームを選択するか、選択したもの以外をすべてブロックします。
その他の高度なセキュリティ設定
主要機能以外にも、特にプロフェッショナルな環境やリスクの高い環境において、非常に高いセキュリティを備えたWindowsを実現したい場合は、確認しておくべき設定がいくつかあります。
脆弱性保護（エクスプロイト保護）をカスタマイズする
Windows 10および11には、組み込みの脆弱性対策システムが搭載されています。スタートメニューで「脆弱性対策」または「エクスプロイト」と検索すると、このシステムを見つけることができます。Windowsセキュリティ >アプリとブラウザーの制御にあります。また、エクスプロイトやパッチに関連するWindowsのセキュリティ脆弱性を確認することをお勧めします。
このツールには、システム全体用とプログラムごとの設定領域がそれぞれ1つずつあります。システム全体の設定は通常、デフォルトでかなり細かく調整されており、ほとんどの対策が有効になっているため、特別な事情がない限り、設定を複雑にする必要はありません。
本当に興味深いのは、プログラムごとの設定タブです。そこから、「カスタマイズするプログラムを追加」を使用して特定のアプリケーションを追加し、データ実行保護（DEP）、任意コード保護、低整合性イメージのブロック、その他のメカニズムなど、それぞれのアプリケーションに対する対策を調整できます。
最も脆弱なアプリケーション（ブラウザ、PDFリーダー、オフィススイート、デザインソフトウェアなど）は、より高いレベルのセキュリティ強化を行い、パッチ未適用の脆弱性が悪用される可能性を最小限に抑えるべきであるというのが基本的な考え方です。ただし、重要なプログラムを危険にさらさないためにも、Microsoftのドキュメントで各オプションの機能を確認することをお勧めします。
Windowsファイアウォールをチェックしてアクティブにしておく
当たり前のことのように思えるかもしれませんが、 Windowsファイアウォールが無効になっている、あるいは設定が間違っているコンピューターがまだ存在します。ネットワークポートをすべて開放したままでは、優れたウイルス対策ソフトもほとんど役に立ちません。Windowsファイアウォールを管理し、強化するために、最適な無料プログラムの使用を検討してください。
コントロールパネルから確認するには、[システムとセキュリティ] > [セキュリティとメンテナンス] > [セキュリティ]の順に進み、ファイアウォールの状態を確認してください。また、Windows セキュリティの[ファイアウォールとネットワーク保護]でも確認できます。ここでは、ドメイン、プライベート、パブリックネットワークの状態が表示されます。
少なくとも、公共ネットワークは厳重に保護されていること、そして見覚えのない着信接続を許可するような不審なルールがないことを確認してください。
Microsoft Defender 通知を管理する
DefenderはWindows起動時に自動的に起動し、バックグラウンドで動作し続けます。システムトレイのアイコンは、正常に動作している場合は緑色の丸の中に白いチェックマークが表示されます。そこから設定にアクセスして、通知などを調整できます。
アイコンをクリックし、左下隅の歯車アイコンをタップして「通知」セクションに移動すると、「通知の管理」リンクが表示されます。
その画面では、主に3つのブロックを操作できます。
- ウイルスと脅威からの保護通知.
- アカウント保護通知.
- ファイアウォールとネットワーク保護の通知.
ウイルスと脅威の通知では、一般的な「情報通知を受け取る」スイッチを無効にしたり、最近のスキャン結果、ユーザーの操作を必要としない検出、すでに無効化された疑わしいファイルのブロックなど、受信するアラートを選択したりできます。
アカウント保護通知は、例えばWindows Helloの問題や動的ロックに関する問題などを通知し、ファイアウォール通知はネットワーク構成の変更やトラフィックフィルタリングのインシデントを警告します。重要な情報を見逃すことなく、常に通知が表示されるのを避けるため、本当に役立つ通知のみを有効にできます。
セキュリティベンダー管理
ウイルス対策と脅威対策の画面には、「誰が私を守ってくれるのか？」のすぐ下に、「プロバイダーの管理」という目立たないが非常に便利なリンクがあります。
クリックすると、ウイルス対策、ファイアウォール、Web保護を担当するコンポーネントが表示されます。Defenderのみを使用している場合は、それが主要なソリューションとして表示されます。ここから、インストールされている他の製品に切り替えたり、設定を開いたり、必要に応じてMicrosoft Storeで追加のセキュリティアプリを検索してWeb保護を強化したりできます（たとえば、追加のブラウジングフィルターやフィッシング対策など）。
他のデバイスからの更新のダウンロードを無効にする
Windows 10 および 11 には、「配布の最適化」と呼ばれるオプションが含まれており、ネットワーク上の他の PC やインターネット上のコンピューターから更新プログラムをダウンロードして、コンピューターを更新プログラム用の一種の P2P ノードに変えることができます。
これによりダウンロード速度は向上しますが、同時にPCが他のユーザーとデータを共有できるようになります。セキュリティと制御を重視するのであれば、この機能をブロックするのが最善です。
これを行うには、[設定] > [更新とセキュリティ] > [Windows Update]の順に進み、[詳細オプション]を選択して、[配布の最適化] を選択します。そこで、 [他の PC からのダウンロードを許可する] スイッチをオフにします。
Windows のアップデートをチェックして自動化する
Windowsを常に最新の状態に保つことは、新たに発見された脆弱性に対するセキュリティパッチを確実に適用するために不可欠です。Windows Updateセクションから、保留中の更新プログラムを確認し、ダウンロードとインストールを強制的に実行できます。
「設定」＞「更新とセキュリティ」＞「Windows Update」を開いて、ステータスを確認してください。手動で更新する手間を省くため、自動更新を有効にしておくのが最善です。
ついでに、設定＞アプリでインストール済みプログラムの一覧を定期的に確認しましょう。不審なものやインストールした覚えのないものがあれば、調べて、迷ったら削除してください。多くの問題は、他のダウンロードと一緒に「裏口から」追加されたソフトウェアに起因しています。
プロフェッショナル環境における Microsoft Defender の管理
多数のチームを抱える組織では、Defenderの設定をチームごとに個別に調整するのは非効率的です。そのため、MicrosoftはIntuneとの連携やグループポリシーによる管理機能を提供し、統一されたポリシーの展開を可能にしています。
Microsoft Intune で Defender を構成する
Intune管理センターから、 WindowsとmacOSに特化したウイルス対策ポリシーを作成できます。これらのポリシーには、リアルタイム保護、スケジュールスキャン、アクセス制御、Windowsセキュリティのユーザーエクスペリエンスなど、さまざまな設定がグループ化されています。
新しいWindowsウイルス対策ポリシーの基本的なワークフローは次のとおりです。
- Intuneを開いて、 エンドポイントセキュリティ > ウイルス対策.
- プラットフォームを選択して新しいポリシーを作成します Windows 10、Windows 11、Windows Server そしてプロフィール Microsoft Defenderアンチウイルス.
- 名前と説明を入力し、セクションで必要なオプションを設定します 防御国 (たとえば、リアルタイム保護レベル、分析時間、マルウェアに対するアクションなど)。
- セグメント管理にスコープ ラベルを使用する場合は、スコープ ラベルを割り当てます。
- 対応するデバイスまたはユーザー グループにポリシーを割り当てて作成します。
macOSの場合も同様の手順で、macOSプラットフォームとウイルス対策プロファイルを選択します。Mac版Microsoft Defender for Endpointの具体的な設定については、別途ドキュメントを参照してください。
既存のポリシーを変更する必要がある場合は、リストから該当のポリシーを選択し、設定セクションの「編集」をクリックして必要な変更を行い、保存するだけです。Intuneは、変更後のポリシーを管理対象のコンピューターに反映します。
Defender のグループ ポリシー オブジェクト (GPO) の使用
Active Directory ドメインでは、管理テンプレートを使用して Defender を管理するのが一般的です。改ざん防止が有効になっている場合、保護対象構成に対する一部のグループ ポリシー オブジェクト (GPO) の変更は無視されることに注意してください。たとえば、GPO から直接改ざん防止を無効にすることはできません。一時的に無効にするにはトラブルシューティング モードを使用する必要があり、変更はロールバックされます。
ローカル コンピューター (またはドメイン GPO) でグループ ポリシーを使用して常時保護を構成するには、次の手順を実行します。
検索ボックスに「gpedit」と入力し、 「グループ ポリシーの編集」を選択して、ローカル グループ ポリシー エディターを開きます。次に、 「コンピューターの構成」>「管理用テンプレート」>「Windows コンポーネント」>「Microsoft Defender ウイルス対策」に移動します。
右側のパネルで、 「マルウェア対策サービスを通常の優先度で起動する」オプションを有効にしてください。これにより、システムの起動時にDefenderサービスが正しくロードされるようになります。
次に、 「リアルタイム保護」セクションに移動し、利用可能なさまざまなポリシーを確認します（最新のADMXバージョンによって異なります）。そこから、たとえば、リアルタイム保護を一時的に無効にするかどうか、ダウンロードしたファイル、スクリプト、メールの添付ファイルなどを検査するかどうかを定義できます。
スキャンセクションで、少なくとも「ヒューリスティックを有効にする」ポリシーを有効にしてください。これにより、Defenderはシグネチャだけでなく、動作ベースの分析手法を使用して未知のマルウェアを検出します。
GPO を介してリアルタイム保護を無効にする必要がある場合 (たとえば、制御されたテストのため) は、リアルタイム保護設定内の「リアルタイム保護を無効にする」オプションを有効にできます。ただし、改ざん防止機能が有効になっていてクラウドから管理されている場合は、この変更が妨げられる可能性があることに注意してください。
これらのポリシーをすべて最新の状態に保つには、最新のMicrosoft ADMX管理テンプレートを使用していることを確認してください。そうすることで、最新バージョンのWindowsで利用可能なすべての設定にアクセスできます。
Defenderエンジンの強化、ランサムウェア対策、アカウントポリシー、アップデート制御、集中管理といったこれらの調整を組み合わせることで、高価で多くの場合不要なサードパーティ製品に頼ることなく、Windowsを平均をはるかに上回るセキュリティ状態に保つことができます。
