Microsoft 365の端末セキュリティ対策（Defender for Endpoint編）｜P1・P2・Defender for Businessの違いと、入れただけでは効かない設定
Microsoft 365 E3 や Business Premium を契約していれば、パソコンを守る Microsoft Defender の機能はすでに手元にあります。
ただし、ライセンスがあることと、端末が守られていることは別の話です。Microsoft Defender for Endpoint と Microsoft Defender for Business は、端末をつなぎ、既定では有効になっていない設定を整えて、はじめて本来の守りになります。
ウイルス対策ソフトを入れる、Windows を最新に保つ、といった基本は押さえている組織が多いと思います。それでも Defender を導入するときには、Microsoft の公開情報を読まないと気づきにくい点が残ります。
- ライセンスを割り当てただけでは守られず、端末を Defender につなぐ「オンボード」が要る
- 他社のウイルス対策ソフトを残すと、攻撃面の縮小ルールやネットワーク保護が動かない。E3 に含まれる P1 では、EDR のブロック モードも使えない
- Business Premium の組織で、一部の人にだけ E5 のセキュリティを足しても、組織全体は Defender for Business のまま変わらない
この記事では、Windows に最初から入っている Defender との違い、ライセンスごとに使える機能、端末のつなぎ方、他社のウイルス対策ソフトとの関係、入れただけでは有効にならない設定を、Microsoft Learn の公開情報をもとに解説します。
目次
株式会社ロクシアシステムズは、福岡と東京を拠点に、全国のお客様へ Microsoft 365・Azure の導入支援と、AIの業務活用（AIプライベート）の支援を提供しているIT企業です。
Windowsに最初から入っているDefenderとの違い
Windows 10・11 には、Microsoft Defender ウイルス対策が標準で入っています。追加のライセンスが無くても、ウイルスなどの不正なプログラムを見つけて取り除きます。
Defender for Endpoint は、別のウイルス対策ソフトを入れるものではありません。Windows に入っている Defender ウイルス対策と、Windows に組み込まれたセンサーを、組織の管理につなぐ仕組みです。つないだ端末は Microsoft Defender ポータルにまとめて表示され、設定の配布や攻撃の調査ができるようになります。
| 項目 | Windows 標準の Defender ウイルス対策 | Defender for Endpoint／Defender for Business |
|---|---|---|
| 守る仕組み | 不正なプログラムの検出と駆除 | 同じエンジンに加え、攻撃面の縮小ルールやネットワーク保護などを、組織の設定として配る |
| 見える範囲 | その端末の画面と通知だけ | 組織のすべての端末と、アラートの一覧 |
| 侵入された後 | 対応の仕組みは無い | EDR で攻撃の流れを追い、端末を隔離する（P2 と Defender for Business） |
どのライセンスで何が使えるか｜P1・P2・Defender for Business
端末を守る Defender には3つの形があり、契約しているプランによって入っているものが違います。
- Defender for Endpoint P1：Microsoft 365 E3 に含まれる
- Defender for Endpoint P2：Microsoft 365 E5 に含まれる
- Defender for Business：Microsoft 365 Business Premium に含まれる。単体でも契約できる
| 機能 | P1 | Defender for Business | P2 |
|---|---|---|---|
| 次世代の保護（ウイルス対策・クラウド保護） | ○ | ○ | ○ |
| 攻撃面の縮小ルール・ネットワーク保護・デバイス制御・ファイアウォール | ○ | ○ | ○ |
| EDR（侵入後の検出と対応） | × | ○（中小企業向けに簡略化） | ○ |
| 自動調査と修復 | × | ○ | ○ |
| 脅威と脆弱性の管理（コア機能） | × | ○ | ○ |
| 脅威の分析 | × | ○（簡略化） | ○ |
| 30日分の高度な追求（データを検索して攻撃を探す）と、6か月のデータ保持 | × | × | ○ |
E3 の P1 でできないこと
P1 は、侵入を防ぐための機能がそろったプランです。一方で、侵入された後に気づいて対応する EDR と、自動調査と修復は含まれません。
防ぐ仕組みをすり抜けた攻撃を見つけたい場合は、P2 への切り替えか、Microsoft 365 E5 Security などのアドオンを検討します。E3 の組織では、まず P1 の範囲で守りを固め、そのうえで EDR が要るかを判断する順番が現実的です。
Defender for Businessを選ぶときの条件｜300人の上限・ライセンスの混在・サーバー
Defender for Business は、従業員300人までの組織に向けたプランです。P1 には無い EDR や自動調査と修復を含み、設定の画面も簡単にしてあります。選ぶときには、次の3つの条件を確かめます。
- ユーザー数の上限：300ユーザーまで。1ライセンスで、1人が使う端末を5台まで守れる
- ライセンスの混在：Defender for Business と Defender for Endpoint P2 を、同じ組織の中で人によって使い分けることはできない
- サーバー：ユーザー向けのライセンスではサーバーを守れない。別のライセンスが要る（後の章で説明）
一部の人にだけ E5 のセキュリティを足した場合
Business Premium の組織で、管理者など一部の人にだけ Microsoft 365 E5 Security を追加しても、組織全体は Defender for Business のままです。その人たちの端末だけが P2 の機能を使えるようにはなりません。
P2 に切り替えるには、すべての利用者に P2 を含むライセンスを用意したうえで、Microsoft のサポートに切り替えを依頼します。300人を超える見込みがある組織も、Defender for Endpoint のプランを選ぶことになります。
端末をつなぐ（オンボード）｜Intune・グループ ポリシー・スクリプト
ライセンスを割り当てても、それだけでは端末は Defender ポータルに表示されません。端末ごとにオンボードの手続きをして、はじめて保護と監視の対象になります。オンボードの資材は、Defender ポータルの「設定」→「エンドポイント」→「オンボーディング」から取得します。
| 方法 | 向いている端末 | 使い方 |
|---|---|---|
| Microsoft Intune | Intune に登録済みの端末 | エンドポイント セキュリティの EDR ポリシーで、オンボードの設定を配る |
| グループ ポリシー | オンプレミスの Active Directory に参加している端末 | オンボード用のスクリプトを、起動時のタスクとして配る |
| Configuration Manager | Configuration Manager で管理している端末 | オンボードの構成を配る |
| ローカル スクリプト | 検証用の端末や、少ない台数 | 端末ごとに管理者権限でスクリプトを実行する |
Intune と組み合わせたときの設定の持ち方
Microsoft 365 E3 と Business Premium には Microsoft Intune も含まれるため、オンボードの後の設定も Intune のエンドポイント セキュリティから配るのが基本です。ウイルス対策、攻撃面の縮小ルール、ファイアウォール、EDR の設定を、それぞれのポリシーとして端末に届けます。
Intune に登録していない端末でも、「セキュリティ設定の管理」を使うと、Intune の同じポリシーを Defender 経由で届けられます。どの経路で設定を配るかは1つに決めておき、グループ ポリシーと Intune から同じ設定を二重に配らないようにします。
他社のウイルス対策ソフトが残っている場合｜パッシブ モードとEDRのブロック モード
すでに他社のウイルス対策ソフトを使っている端末では、Defender ウイルス対策の状態が自動で切り替わります。どの状態になるかは、オンボードしているかどうかで決まります。
| 端末の状況 | Defender ウイルス対策 | 何が起きるか |
|---|---|---|
| 他社ソフトなし | アクティブ | すべての保護が動く |
| 他社ソフトあり・オンボード済み（Windows 10・11） | パッシブ モード | 検出の情報は Defender に集まるが、守りの多くは止まる |
| 他社ソフトあり・オンボードしていない（Windows 10・11） | 無効 | Defender ウイルス対策は動かない |
パッシブ モードで止まるのは、リアルタイム保護、クラウド保護、ネットワーク保護、攻撃面の縮小ルール、フォルダーへのアクセスの制御、望ましくない可能性のあるアプリケーションの保護です。定期的なスキャンと定義の更新は続き、エンドポイント DLP とデバイス制御は動きます。
EDR のブロック モードは P2 の機能
パッシブ モードの端末では、Defender が攻撃を見つけても、他社ソフトが止めなければ攻撃はそのまま進みます。これを補うのが EDR のブロック モードで、EDR が見つけた不正なものを Defender が取り除きます。ただしこれは Defender for Endpoint P2 の機能で、E3 に含まれる P1 では使えません。
Windows Server は自動では切り替わらない
Windows Server では、他社ソフトがあってもパッシブ モードに自動では切り替わりません。他社ソフトを残したままオンボードする場合は、オンボードの前にレジストリ HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection に ForceDefenderPassiveMode（値は1）を設定します。設定しないと、2つのウイルス対策ソフトが同時に動くことになります。
入れただけでは有効にならない設定｜攻撃面の縮小ルール・ネットワーク保護・改ざん防止
オンボードが済んでも、いくつかの守りは既定では動いていません。特に効果の大きい3つの設定について、既定の状態と進め方をまとめます。
| 設定 | 既定の状態 | 進め方 |
|---|---|---|
| 攻撃面の縮小（ASR）ルール | 未構成（動いていない） | 標準保護ルールの3本はすぐにブロック。ほかのルールは監査モードで影響を見てからブロックか警告にする |
| ネットワーク保護 | 無効（Defender for Business は既定のポリシーで有効） | 監査モードで影響を見てからブロックにする |
| 改ざん防止 | 有効 | 無効にされている端末が無いかを確かめる |
攻撃面の縮小ルールは「標準保護ルール」から
攻撃面の縮小ルールは、Office のマクロからの子プロセス起動など、攻撃によく使われる動きを止める Windows の機能です。業務アプリの動きを止めてしまうこともあるため、多くのルールは監査モードで数週間ようすを見てから切り替えます。ただし、次の3本は業務への影響が少ないとして、Microsoft がすぐにブロックにするよう勧めています。
- 悪用された脆弱な署名付きドライバーの悪用をブロックする
- Windows ローカル セキュリティ機関サブシステム（lsass.exe）からの資格情報の盗用をブロックする
- WMI イベント サブスクリプションを使用した永続化をブロックする
攻撃面の縮小ルールが動くのは Windows だけで、Defender ウイルス対策がアクティブで、リアルタイム保護とクラウド保護が有効な端末に限られます。前の章のパッシブ モードの端末では動きません。
（2026年11月更新）
補足：2026年、攻撃面の縮小ルールの警告モードで、利用者が自分でブロックを解除する操作に管理者の承認が必要になりました。警告モードを使う場合は、承認の流れも決めておきます。また、改ざん防止の設定名は英語表記で「controlled configuration」に変わっています。
ネットワーク保護と改ざん防止
ネットワーク保護は、フィッシングサイトや評判の悪いサイトへの接続を端末で止める機能です。Microsoft Edge では SmartScreen が同じ役割を担うため、Chrome など Edge 以外のブラウザーを守るにはネットワーク保護をブロックにします。
改ざん防止は、攻撃者が Defender の保護を止めるのを防ぐ機能で、既定で有効になっています。ただし、端末の管理者や過去の設定で無効になっていることがあるため、Defender ポータルで端末ごとの状態を確かめておきます。
Windows以外の端末とサーバー
Defender for Endpoint と Defender for Business は、Windows 以外の端末も守れます。ただし、つなぎ方と使える機能は端末の種類ごとに違います。
| 端末 | つなぎ方 | 注意する点 |
|---|---|---|
| macOS | Intune やローカル スクリプトで、Mac 用の Defender を入れてオンボードする | 攻撃面の縮小ルールは対象外 |
| iOS・Android | Microsoft Defender アプリを Intune から配る | 守りの中心は、フィッシングサイトなど危険な接続の検出 |
| サーバー（Windows Server・Linux） | パソコンと同じ手順でオンボードできる | ユーザー向けのライセンスには含まれない。サーバー用のライセンスが別に要る |
サーバーに必要なライセンス
Defender for Endpoint P1・P2 も Defender for Business も、ユーザーが使う端末のためのライセンスで、サーバーを守る権利は含まれません。サーバーには、次のどちらかを用意します。
- Microsoft Defender for Business servers：Business Premium か Defender for Business の組織が追加するもの。1つの組織で60台まで
- Microsoft Defender for Servers：Microsoft Defender for Cloud のプランで、Azure 上のサーバーにも、オンプレミスのサーバーにも使える
Defender を導入する手順
- 端末とサーバーを洗い出し、OS と、入っているウイルス対策ソフトを一覧にする
- 契約しているプラン（E3・E5・Business Premium）とサーバーの台数を確かめ、足りないライセンスを決める
- 設定を配る経路（Intune・グループ ポリシー・セキュリティ設定の管理）を1つに決める
- 少ない台数でオンボードし、Defender ポータルに表示されることを確かめる
- 攻撃面の縮小ルールの標準保護ルールをブロックにし、ほかのルールとネットワーク保護を監査モードで配る
- 他社のウイルス対策ソフトを残すなら、パッシブ モードで止まる機能を踏まえて、Defender への切り替え時期を決める
- すべての端末へ広げ、監査の結果を見ながらルールをブロックに切り替える
弊社の支援
弊社は、Microsoft 365 と Azure の導入とセキュリティ設定を支援しています。Defender の導入で時間がかかるのは、オンボードの操作よりも、端末と入っているソフトを洗い出し、業務を止めずに攻撃面の縮小ルールを強めていく作業です。
ライセンスの確認から、オンボードの経路の設計、Intune でのポリシー作成、監査モードの結果の読み解き、他社ソフトからの切り替えまでをご一緒に進めます。端末以外も含めたセキュリティ対策の全体像は、ゼロトラストとはで解説しています。
資料のご案内
Microsoft 365 セキュリティ対策ガイド【端末編】
Intune による端末の管理と、Defender で端末を守る設定の進め方をまとめています。
よくあるご質問
こちらをクリックして「よくある質問」を表示
Microsoft 365 E3 だけで Defender for Endpoint は使えますか？
Microsoft 365 E3 には Defender for Endpoint P1 が含まれています。端末をオンボードし、攻撃面の縮小ルールなどを設定すれば使えます。侵入された後に対応する EDR と自動調査と修復は P2 の機能なので、必要なら P2 か Microsoft 365 E5 Security などを追加します。
Windows に最初から入っている Defender だけでは足りませんか？
不正なプログラムの検出と駆除は、Windows 標準の Defender ウイルス対策でもできます。足りないのは、組織のすべての端末の状態をまとめて見ることと、同じ設定を全台に配ることです。攻撃を受けたときに、どの端末で何が起きたかを追うこともできません。
Business Premium の Defender for Business と、E3 の P1 はどちらが機能が多いですか？
Defender for Business には P1 に無い EDR と自動調査と修復が含まれるため、端末を守る機能は Defender for Business のほうが多くなります。ただし300ユーザーまでという上限があり、30日分のデータを検索して攻撃を探す「高度な追求」と6か月のデータ保持は P2 にしかありません。
他社のウイルス対策ソフトと併用できますか？
併用はできます。オンボード済みの Windows 10・11 では Defender ウイルス対策がパッシブ モードになり、検出の情報は Defender に集まります。ただし、攻撃面の縮小ルール、ネットワーク保護、クラウド保護は動きません。Windows Server はオンボードの前にパッシブ モードの設定が要ります。
攻撃面の縮小ルールは、最初からブロックにしても大丈夫ですか？
標準保護ルールの3本は、Microsoft がすぐにブロックにするよう勧めています。ほかのルールは業務アプリの動きを止めることがあるため、監査モードで記録を見て、除外する対象を決めてからブロックか警告に切り替えます。
サーバーも同じライセンスで守れますか？
守れません。Defender for Endpoint P1・P2 と Defender for Business は、ユーザーが使う端末のためのライセンスです。サーバーには、Defender for Business servers（Business Premium などに追加・60台まで）か、Microsoft Defender for Cloud の Defender for Servers を用意します。
Defender は、契約しただけでは本来の守りになりません。端末をつなぎ、既定では動いていない設定を、業務を止めない順番で有効にしていくことが大切です。お使いのプランと端末の状況をお聞かせいただければ、導入の進め方をご提案します。お問い合わせよりお気軽にご相談ください。
関連サービス・関連コラム
- セキュリティ強化支援（ゼロトラスト）
- クラウド導入支援（Microsoft 365）｜安全で生産性の高い働き方の基盤を構築
- ゼロトラストとは｜中小企業がMicrosoft 365で始めるセキュリティ
- Microsoft 365・Azureの特権ID管理｜PIMで管理者権限を必要なときだけ有効にする
- Microsoft 365のメールセキュリティ対策（DMARC編）｜SPF・DKIMを整えてp=rejectまで段階的に強める
- Microsoft 365の端末セキュリティ対策（Windows LAPS・BitLocker編）｜ローカル管理者パスワードと回復キーをIntuneで管理する
まずは無料トライアルで、効果をご確認ください
「AIプライベート」は短期・低コストで試せます。帳票入力（AI-OCR）・電話対応（AI-Voice）・計画づくり（AI-Enhance）の自動化から、クラウド（Azure・Microsoft 365）・DXのご相談まで、お気軽にどうぞ。
