Windows Defender Antivirus の謎メッセージの件（3/25 解決済み）

(PR) 新刊のお知らせ『Windows版Docker＆Windowsコンテナーテクノロジ入門』(PR)

3/25 追記) この問題はマルウェア対策プラットフォーム 4.18.2003.8（2020/03/24 PDT、KB4052623）で解消したようです。これで修正されたっていう公式情報ないですけど（問題があったという公式情報もないですけど）。

Windows 10 の Windows Defender Antivirus が最近、「スキャン中にスキップされた項目」という謎メッセージで終了する件。


Windows Defender, "Items Skipped During Scan" https://answers.microsoft.com/en-us/protect/forum/all/windows-defender-items-skipped-during-scan/7b2bdd94-fd8c-48ae-ae68-4ddd854ce597

Windows Defender の 4.18.1908.7 or ちょっと前の定義にバグ？（最新の定義で解消済）

Windows 10 の Windows Defender のマルウェア対策プラットフォーム バージョン 4.18.1908.7 （9/16 PT リリース）またはある期間に提供されてた定義、または両者の組み合わせが原因で、クイックスキャンやフルスキャンが正常に動作しないという問題があるった模様。Microsoft Security Essentials （4.10.209.0 だから大丈夫？） や System Center Endpoint Protection にも影響するしてたかもしれない（Defender も MSE も本番環境で使ってないから知らんけど）。

Windows Defender malware scans are failing after a few seconds
https://www.zdnet.com/article/windows-defender-malware-scans-are-failing-after-a-few-seconds/

追記）ウイルス対策の定義（セキュリティインテリジェンスって呼びたいらしいけど）の特定バージョンの問題かもしれない。または新しい定義で問題に対処したのかもしれない。最新の定義で問題は解消済み。

Windows 10 の Windows Defender オフラインがちゃんと使える子になった件

以下のドキュメントによると...

Windows 10 Version 1903 の新機能 (IT 技術者向けコンテンツ)
https://docs.microsoft.com/ja-jp/windows/whats-new/whats-new-windows-10-version-1903

"Windows セキュリティ アプリの機能強化で、保護の履歴が追加されました。これには、脅威と実行可能なアクションに関するわかりやすい詳細情報が含まれています。また、フォルダー アクセスの制御ブロックが、保護の履歴、Windows Defender オフライン スキャン ツール アクションのほか、保留中の推奨事項すべてに含まれるようになりました。 "

（日本語が少しあれなので、オリジナルの英語も）
"Windows Security app improvements now include Protection history, including detailed and easier to understand information about threats and available actions, Controlled Folder Access blocks are now in the Protection history, Windows Defender Offline Scanning tool actions, and any pending recommendations."

というのがあります。「Windowsセキュリティ」（旧称、Windows Defender セキュリティセンター）の「保護の履歴」は、以前の「脅威履歴（Threat history）」を置き換えるもの。コントロールされたフォルダーアクセスのブロック履歴はこれまで Microsoft-Windows-Windows Defender/Operational ログで追跡できましたが、「保護の履歴」で確認できるようになったのは良いニュース。

もう 1 つ気になるのが、Windows Defender オフライン スキャン ツール云々。

どういうことかというと、Windows Defender オフラインのスキャン結果を確認できるのと（→）、オフラインで検出された脅威に対して「許可」操作（削除された脅威を復元するものではなく、今後は脅威として駆除しないという許可）を行えるというもの。

あれ、もしかしていままでできなかったの？ というわけで確認してみました。

2017 年 4 月以降、Windows 8.1 の Windows Defender 用コマンドレッドが全滅の件（その後）

2年以上前に書いた以下の投稿、現在でも直ってないらしい。

2017 年 4 月以降、Windows 8.1 の Windows Defender 用コマンドレッドが全滅（回避策あり） ［2017/05/12］

公式の回避策が出てました。


Windows 8.1: You cannot use Windows PowerShell to manage Windows Defender after installing the October 9, 2018 update
https://support.microsoft.com/en-us/help/4497578/

公式とはいっても、Defender モジュールの Defender.psd1 を修正するという上記で書いたのとほぼ同じ方法。2018年10月のMonthly Rollupから見たいに書いてるけど、それ以前からでした。また、↑はどう変更したらいいのか分かり難いし、Defender.psd1 のアクセス許可の話が "This step requires administrative permissions."とだけ書いていて、ローカル管理者なら簡単に変更できそうに見えるけど、実際にはちょっと面倒。2017/05/12 の投稿に、robocopy コマンドを利用した方法（Defender.psd1 のアクセス許可の変更必要なし）があります。

2017 年 4 月以降、Windows 8.1 の Windows Defender 用コマンドレッドが全滅（回避策あり）

Windows 8 以降に標準搭載される Windows Defender にも影響する、Microsoft Malware Protection Engine の重大な脆弱性問題が先日公開されました。

マイクロソフト セキュリティ アドバイザリ 4022344
Microsoft Malware Protection Engine 用のセキュリティ更新プログラム
[URL] https://technet.microsoft.com/ja-jp/library/security/4022344.aspx

Windows Defender 自体の定義の更新と一緒に更新されるので、Windows Update を明示的に実行しなくても、Windows Defender が有効（別の対策ソフトを使っていない場合) なら、定期的な定義の更新で自然と脆弱性は解消されているはずです。気になる人は、Windows Defender のバージョン情報で「エンジンのバージョン：1.1.13704.0」またはそれより新しくなっていれば問題ないです（Windows 10 なら［設定 > 更新とセキュリティ > Windows Defender］ でも確認可）。

Windows Defender はWindows 8 以降に搭載され、Windows PowerShell の Defender モジュールも利用可能になっています。Windows 8.1 (Windows 8 は EOS なので省略) や Windows 10 なら、Windows PowerShell を開いて...

PS C:\> Get-MpComputerStatus 
または
PS C:\> (Get-MpComputerStatus).AMEngineVersion

でエンジンのバージョンを確認することができる...はずなのですが、Windows 8.1 でなんとなく実行してみたところ、エラーが発生。しかも、Windows Defender 関連のコマンドレット（Defender モジュール）が全滅状態になっていました。（ここから本題。今回の脆弱性とは別の話）

インターネットで検索してみると...

Windows 8/8.1 の Windows Defender の定義の更新間隔を確実に短縮する方法

Windows 8/8.1 に標準搭載されているマルウェア対策 (アンチ ウイルス、アンチ スパイウェア、ネットワーク検査システム (NIS)) の定義ファイルは、既定では Windows Update を通じて更新されます。Windows Defender の UI を開いて ［更新］ タブから手動更新することもできます。が、Windows Defender って定義の更新が少ないような気がしません？

どうやら、既定のままだといくら自動／手動で更新しようとしても、リリース済みの定義ファイルの数バージョンはスキップされるようです。というわけで、例えば、1 時間に 1 回、自動で更新して、常に最新バージョンの定義ファイルを確実に受け取る方法を考えてみました。

MpCmdRun.exe -SignatureUpdate のコマンドラインをタスク スケジューラで自動実行するんでしょって思ったあなた。それじゃあ、ダメなんです。

VDI と Windows Defender (Windows 8 以降の)

Windows 8 以降に標準搭載されているマルウェア対策ソフトの Windows Defender。いつ定義が更新されるのか、いつスキャンが始まるのかといった謎を調べていたところ、興味深い仕様を発見。

仮想デスクトップ インフラストラクチャ （VDI) で Windows 8 や 8.1 の仮想デスクトップを同じ仮想化ホストで複数同時実行する場合、マルウェア対策のスキャンの開始時間が重なると、ファイル I/O や CPU 負荷が集中するという課題がありますが、Windows Defender だと既定でスケジュール スキャンや更新がスケジュールされた開始時刻の前後 30 分以内にランダム化されるようになっているようです。

Windows Defender Offline、CD/DVD だと定義更新できないはウソ（だと思う）

マイクロソフトから Windows Defender Offline という、CD/DVD や USB メモリから起動
可能なマルウェア検索・駆除ツールが出ています（昨年から？）。Windows Security Essentials や Windows 8 の Windows Defender と同じ UI、同じエンジン、同じ定義ファイルを使うツールです。

Windows Defender Offline とは
[URL] http://windows.microsoft.com/ja-jp/windows/what-is-windows-defender-offline
TechNet Blogs > 日本のセキュリティチーム > Windows Defender Offrline 概要
[URL] http://blogs.technet.com/b/jpsecurity/archive/2014/06/26/windows-defender-offline.aspx

マイクロソフトの説明もそうなんですが、このツールの解説記事をいくつか見た限り、皆さんエンジンや定義の更新について、誤解しているような気がします。私が間違っているのかもしれません。

Windows 8.1 Preview > Windows Defender でウイルス駆除

Windows 8 の Windows Defender は、スパイウェア対策エンジンだけでなく、ウイルス対策エンジンも搭載しています。Windows 7 の Windows Defender はスパイウェア対策だけなので、ウイルス対策は自分で用意する必要がありましたが、Windows 8 からは OS 標準機能だけで、簡易ではありますがウイルス対策済みということになります。

さて、本日、知人の USB メモリ (子供のスポ少関連の文書が入った USB メモリ＝ご家庭で最も警戒すべきヤツ) を介して我が家の PC にウイルス (トロイの木馬とワーム) がやってきました。メインの PC でつかっている ESET NOD32 さんが検出してくれました。こんな機会はめったにありません。せっかくなので、NOD 32 さんにはちょっと休憩してもらい、Windows 8 の Windows Defender でもちゃんと検出されるか、壊れても差しさわりのない Windows 8.1 Preview 環境で試してみました。

定例アップデート > Windows Defender の更新（KB2781197）で何が変わる？

今日は、3 月の Windows Update 日。Windows 8 の Windows Defender 向けに KB2781197 がオプションで流れてきました。

サポート技術情報によると、Windows Defenderのサービス、ドライバー、UI を更新するそうです。さらに、新しいマルウェア駆除機能（new malware remendiation functionality）の追加、改ざん防止機能の改善（anti-tampering improvements）、全体のパフォーマンスの改善が行われているとのこと。

KB2781197 をインストールした場合と、しない場合の違いを簡単に比較してみました。