【MDE】組織管理のDefenderを停止するトラブルシューティングモード手順

はじめに

業務システムが急に重くなったり、社内アプリが起動しなくなったりした際、「Microsoft Defenderが原因かどうかを切り分けるために、対象PCのリアルタイム保護やDefenderサービスを一時的に止めたい」という場面は現場で頻繁に発生します。しかし、組織管理下のPCではローカル管理者権限や PsExec -i -s によるSYSTEM権限を使っても操作が拒否され、切り分け作業が完全にストップしてしまった経験はないでしょうか。

私も過去に、基幹システムのバッチ処理がタイムアウトする障害対応で、原因切り分けのためにDefenderを停止しようとあらゆるコマンドを試したもののすべて弾かれ、最終的にIntuneの全体ポリシーを変更すべきか悩んで冷や汗をかいた経験があります。その後、MDEの標準機能である「トラブルシューティングモード」の手順を整備したことで、他の端末のセキュリティレベルを一切下げずに、対象端末のみ数分で切り分けテストができるようになりました。

この記事では、ローカル管理者やSYSTEM権限でもDefenderを停止できない「改ざん防止（Tamper Protection）」の仕組みと、公式かつ安全に一時解除を行う「トラブルシューティングモード」の活用手順を解説します。

読み終えるころには、障害発生時でも全社ポリシーをいじることなく、特定の1台だけで迅速にDefender起因の切り分けテストを完了できるようになります。

この記事の要点

• 改ざん防止（Tamper Protection）が有効な環境では、ローカル管理者やSYSTEM権限であっても sc stop や Set-MpPreference による無効化はOSカーネルレベルで拒否される
• 特定の端末で障害切り分けを行う際は、Microsoft Defenderポータルから対象のデバイスに対して「トラブルシューティングモード」を有効化する
• トラブルシューティングモード中はローカル管理者権限で改ざん防止を一時オフにでき、開始から4時間が経過すると自動的に元の保護状態へ強制復帰する

項目	動作確認・検証環境
検証年月	2026年9月
対象OS	Windows 11 Pro / Enterprise 23H2・24H2
対象環境	Microsoft Defender for Endpoint (MDE) オンボーディング済み端末
必要権限	Defenderポータル操作：セキュリティ管理者 / 端末操作：ローカル管理者

---

結論：ローカル管理者やSYSTEM権限でも止まらない理由は「改ざん防止」

結論からお伝えすると、組織で管理されているMicrosoft Defenderのサービス（WinDefend や Sense）をローカルから停止できないのは、「改ざん防止（Tamper Protection）」およびカーネルレベルの「保護されたプロセス（PPL: Protected Process Light）」が有効になっているため です。

この保護を突破して無理やりサービスを強制終了させる裏技は存在せず、仮にセーフモード等を悪用しようとしてもセキュリティアラートが発報されます。正規の切り分け手段である 「トラブルシューティングモード（Troubleshooting Mode）」 を使うのが唯一の正解です。

なぜ「sc stop WinDefend」や「PsExec -s」が拒否されるのか？

標的型攻撃やランサムウェアは、侵入後にまずローカル管理者権限や NT AUTHORITY\SYSTEM 権限を奪取し、PowerShellやレジストリ操作でDefenderを無効化しようと試みます。

これを防ぐため、Windowsの改ざん防止機能は以下のように設計されています。

1. PPL（Protected Process Light）によるプロセス保護: MsMpEng.exe（WinDefend）や MsSense.exe は、Microsoft署名を持つ保護されたカーネルプロセスとして動作し、SYSTEM 権限であってもサービスの停止やプロセスキル（taskkill）を受け付けません。
2. クラウド署名トークンによる設定ロック: 改ざん防止がオンの状態では、IntuneやMDEクラウドからの署名付きポリシー変更以外のローカル操作（GUI、PowerShell、レジストリ、GPO）をすべて破棄します。

実際に管理者やSYSTEM権限で以下のコマンドを実行しても、すべてエラーまたは無視されます。

実行した操作・コマンド	実行権限	実際の結果・エラー内容
sc.exe stop WinDefend	管理者 / SYSTEM	[SC] ControlService FAILED 5: アクセスが拒否されました。
Set-MpPreference -DisableRealtimeMonitoring $true	管理者 / SYSTEM	エラー表示なし、または拒否され、実際の設定値は False のまま変化しない
レジストリ DisableAntiSpyware の追加	SYSTEM	書き込んでもDefenderエンジンに無視されるか、即座に削除・復元される

このように、端末ローカルの操作だけで無理に止めようとするアプローチは時間と労力の無駄になります。

---

正規の手順：「トラブルシューティングモード」で一時的に制限を解除する方法

特定の1台だけでDefenderを一時停止して動作検証を行いたい場合は、Microsoft Defenderポータルから 「トラブルシューティングモード」 をオンにします。

ステップ1：Microsoft Defenderポータルから対象端末のモードを開始する

まず、管理者側でポータルから対象デバイスに対して許可を与えます。

1. Microsoft Defenderポータル（https://security.microsoft.com）にセキュリティ管理者以上の権限でサインインします。
2. 左メニューの 「資産」>「デバイス」 を開き、切り分け対象のPC名をクリックして詳細ページを開きます。
3. 画面右上の 「...（その他のアクション）」 メニューをクリックし、「トラブルシューティング モードをオンにする」 を選択します。
4. 確認ダイアログが表示されたら、実行理由（例：「基幹アプリ動作遅延の切り分け検証のため」など）を入力して承認します。

数分以内（通常1〜3分程度）にクラウドから対象PCへ通知が飛び、端末上でトラブルシューティングモードがアクティブになります。この際、ユーザーのデスクトップ画面に「IT管理者がトラブルシューティングモードを有効にしました」というトースト通知が表示されます。

ステップ2：クライアント端末側で状態を確認するPowerShellコマンド

端末側にトラブルシューティングモードが反映されたかどうかは、管理者権限のPowerShellで Get-MpComputerStatus を実行すると正確に確認できます。

# トラブルシューティングモードと改ざん防止の状態を確認
Get-MpComputerStatus | Select-Object TroubleshootingMode, TamperProtectionSource, IsTamperProtected, RealTimeProtectionEnabled

反映が完了すると、TroubleshootingMode の値が Enabled（有効）になり、終了予定時刻が確認できるようになります。

ステップ3：改ざん防止をオフにしてリアルタイム保護を一時停止する

トラブルシューティングモードが有効になっている間（最大4時間）だけ、端末のローカル管理者は自身の判断で「改ざん防止」をオフに切り替えられるようになります。

1. 端末で 「Windows セキュリティ」 アプリを開き、「ウイルスと脅威の防止」>「設定の管理」 を開きます。
2. 一番下にある 「改ざん防止」 のスイッチがグレーアウトから操作可能な状態に変わっているため、これを 「オフ」 に切り替えます。
3. 続いて、PowerShell（管理者）から以下のコマンドでリアルタイム保護や振る舞い監視を一時的に無効化し、問題の事象が再現するか検証します。

# リアルタイム保護と振る舞い監視を一時的に無効化（検証用）
Set-MpPreference -DisableRealtimeMonitoring $true
Set-MpPreference -DisableBehaviorMonitoring $true

# 無効化されたことを確認（RealTimeProtectionEnabled が False になる）
Get-MpComputerStatus | Select-Object RealTimeProtectionEnabled, BehaviorMonitorEnabled

検証が完了したら、4時間のタイムアウトを待たずに以下のコマンドで速やかに保護を元に戻し、Windowsセキュリティ画面から「改ざん防止」もオンに戻しておきましょう。

# 検証完了後、即座に保護を再有効化
Set-MpPreference -DisableRealtimeMonitoring $false
Set-MpPreference -DisableBehaviorMonitoring $false

---

現場で押さえておくべき「トラブルシューティングモード」3つの注意点

トラブルシューティングモードは非常に便利ですが、本番環境で使う際には以下の3つの仕様と注意点を必ず押さえておいてください。

注意点1：4時間経過すると「無条件で元の組織ポリシー」へ強制復帰する

トラブルシューティングモードの有効期限は 開始から最大4時間（240分） に固定されています。

この4時間が経過すると、ローカルで変更した改ざん防止のオフ設定やリアルタイム保護の無効化設定はすべて破棄され、自動的に組織のポリシー（保護有効・改ざん防止オン）へ強制復帰 します。「検証後に戻し忘れて無防備なまま放置される」というヒューマンエラーをシステム側で防げるため、セキュリティ運用上も非常に安全な設計になっています。

注意点2：変更操作やイベントはすべて監査ログ・Advanced Huntingに記録される

トラブルシューティングモードの開始・終了や、その間にローカルで行われた設定変更は、すべてイベントログおよびMDEのクラウドログに記録されます。

SOC（セキュリティ監視チーム）が別途存在する環境では、事前連絡なしにトラブルシューティングモードを使ってリアルタイム保護をオフにすると、「端末でセキュリティ機能の無効化を検知した」としてインシデント確認の連絡が飛んでくることがあります。実施前には必ずチケット番号や実施目的をSOC・セキュリティ担当者と共有してください。

注意点3：そもそもモードが開始できない場合の前提条件チェック

ポータル上で「トラブルシューティングモードをオンにする」がグレーアウトしていたり、端末にいつまでも反映されない場合は、以下の前提条件を満たしているか確認してください。

• MDEへ正常にオンボーディングされ、現在オンライン通信が可能であること（オフライン端末にはクラウドから開始命令が届きません）
• マルウェア対策クライアントのバージョン（AMProductVersion）が 4.18.2203.5 以上であること

バージョンの確認は以下のコマンドで行えます。

(Get-MpComputerStatus).AMProductVersion

---

よくある質問（FAQ）

Q: トラブルシューティングモードを使えば WinDefend や Sense サービス自体も完全に停止できますか？

A: トラブルシューティングモードで改ざん防止をオフにすると、リアルタイム保護や振る舞い監視、クラウド保護などの各スキャン機能を完全に無効化（実質的な停止状態に）できます。ただし、EDRセンサーである Sense サービス自体はクラウドからのモード終了制御を維持するため稼働し続けます。切り分けテストとしては、リアルタイム保護と振る舞い監視の無効化で十分な切り分けが可能です。

Q: オフライン（ネットワーク隔離中）の端末で改ざん防止を解除する方法はありますか？

A: ネットワークから完全に遮断されている端末には、ポータルからのトラブルシューティングモード開始命令が届きません。一時的にMDEクラウド通信のみが通る検疫VLAN等に接続してモード反映を受けるか、ハードウェア障害等でどうしても起動しない場合は回復環境からのOSリストア等を検討する必要があります。

Q: 4時間経過する前にポータル側からトラブルシューティングモードを強制終了できますか？

A: はい、可能です。Microsoft Defenderポータルの対象デバイス画面で「...」メニューから「トラブルシューティング モードをオフにする」を選択すれば、4時間を待たずに数分で強制終了し、改ざん防止と組織ポリシーを再適用させることができます。

---

まとめ

組織管理下のMicrosoft Defenderで安全に障害切り分けを行うポイントは以下の通りです。

• ローカル管理者やSYSTEM権限で無理にサービス停止を試みても、改ざん防止（Tamper Protection） により拒否されるため時間を浪費しない
• 特定の端末だけで切り分けを行う際は、Defenderポータルから 「トラブルシューティングモード」 をオンにする
• モード有効中にローカルで改ざん防止をオフにし、Set-MpPreference でリアルタイム保護を一時停止して事象を検証する
• 検証が終わったら速やかに設定を戻し、ポータルからもトラブルシューティングモードをオフにして完了とする

この正規フローを手順書化しておけば、全社ポリシーを変更するリスクを冒さずに、安全かつスピーディな障害切り分けが実現できます。

関連記事

• 【検証】SYSTEM権限でも弾かれる！？Defenderフォルダアクセス制御とhosts書き込みの罠
• Windows運用記事：Microsoft Defenderの定時スキャン時間をPowerShellで変更する方法
• 【社内情シス必携】依頼スクリプトの管理者実行代行「権限昇格」チェックリスト