【Microsoft Defender】検疫履歴を確認してもファイル名が分からない時の見方

Microsoft Defenderがファイルを検疫した後、履歴画面でファイル名が表示されず、何が隔離されたのか分からないというケースがあります。特に、組織でMicrosoft 365 Business PremiumやE5ライセンスを利用している場合、EDR(エンドポイントの検出と対応)やSmartScreenによるブロックが発生すると、ファイル名の代わりにプロセス名やURLだけが記録されることがあります。この記事では、検疫履歴でファイル名が分からない原因を整理し、別の手段で詳細を確認する方法を説明します。また、管理者への報告時に必要な情報や、業務影響を最小限に抑えるための判断基準も併せて紹介します。

ファイル名が表示されない主な原因

Microsoft Defenderでファイル名が履歴に残らない理由は、検知の仕組みによって異なります。以下の3パターンが代表的です。

パターン1:ネットワークベースの検知(SmartScreen / ネットワーク保護)

悪意のあるサイトへのアクセスをブロックした場合、履歴にはURLやプロセス名(ブラウザのexeファイルなど)が表示されることが多く、ダウンロードされたファイル名は記録されません。これは、ファイルが完全にディスクに書き込まれる前にブロックされるためです。

パターン2:EDRの「隔離」ではなく「ブロック」アクション

Microsoft 365 Defender(旧Microsoft 365 Security Center)のEDR機能では、ファイルを隔離する代わりにプロセスを強制終了したり、ネットワーク接続をブロックしたりするアクションが取られることがあります。この場合、検疫履歴には「プロセス名」と「ファイルパス」の一部だけが表示され、元のファイル名が省略されることがあります。

パターン3:ランサムウェア保護によるフォルダー制限

ランサムウェア対策の「フォルダーへのアクセス制御」が有効な場合、許可されていないアプリが保護フォルダーにアクセスしようとすると、そのアプリ(プロセス)がブロックされます。この時、履歴には「ブロックされたアプリ」と「アクセス先フォルダー」が表示され、対象ファイル名は表示されないことがあります。

手順:検疫履歴でファイル名を特定する方法

1. Windowsセキュリティアプリを開く:[スタート]メニューから「Windowsセキュリティ」を検索して起動します。左メニューの「ウイルスと脅威の防止」をクリックし、「保護の履歴」を開きます。
2. イベントの詳細を確認する:検疫されたイベントをクリックして展開します。「検出された脅威」や「プロセス」の欄に、ファイル名の代わりに「Process: C:\Program Files\…」などが表示されている場合、そのプロセス名が手がかりになります。
3. Microsoft 365 Defenderポータルを確認する:組織の管理者アカウントでMicrosoft 365 Defenderにアクセスします。左メニューの「インシデントとアラート」→「インシデント」を選択し、該当する時刻のアラートを開きます。ここでは、ファイルのハッシュ値や完全なファイルパスが表示されることが多いです。
4. イベントビューアーを確認する:管理者権限がある場合、イベントビューアー(eventvwr.msc)を開き、「アプリケーションとサービス ログ」→「Microsoft」→「Windows」→「Windows Defender」→「Operational」でログを確認します。イベントID 1116(検出)や1117(アクション)に詳細なファイル名が記録されている可能性があります。
5. PowerShellで詳細を取得する:管理者としてPowerShellを起動し、Get-MpThreatDetection コマンドを実行します。出力結果のResources列にファイルパスが含まれている場合があります。ただし、この方法は初めての方向けではなく、管理者が操作することを推奨します。

状況別:ファイル名が分からない場合の比較表

検知の種類	履歴に表示される情報	ファイル名の特定方法	業務影響の例
SmartScreen(Web保護)	URL、プロセス名(例: chrome.exe)	ブラウザのダウンロード履歴を確認するか、管理者がポータルで詳細を確認	重要な資料のダウンロードがブロックされた
EDR(プロセス終了)	プロセス名、ファイルパス(部分)	ポータルでインシデントの「ファイル」タブを確認	社内アプリが突然終了し、業務が中断した
ランサムウェア保護(フォルダー制限)	ブロックされたアプリ名、アクセス先フォルダー	アクセス先フォルダー内のファイルを調べるか、イベントビューアーで詳細を確認	Officeファイルが保存できなくなった

失敗パターン:やってはいけない自己判断

検疫履歴でファイル名が分からないからといって、以下のような行動を取ると、セキュリティリスクを高めたり、社内ポリシー違反になる可能性があります。

• 許可するボタンをむやみにクリックする:「許可する」や「デバイス上で許可する」というオプションが表示されても、ファイル名が不明な場合は絶対にクリックしないでください。悪意のあるファイルを許可してしまうリスクがあります。
• リアルタイム保護をオフにする:一時的にでも無効化すると、他のファイルも守られなくなります。業務上の正当な理由がない限り、設定を変更しないでください。
• 検知されたファイルを手動でダウンロードし直す:ブロックされたからといって別のサイトから再ダウンロードする行為は、さらに危険なファイルを入手する可能性があります。必ず管理者の指示を仰いでください。

管理者へ報告するために必要な情報

ファイル名が分からないまま管理者に連絡する場合、以下の情報を伝えると調査がスムーズになります。

• 検知された日時:正確な時刻(秒単位まで)をメモしてください。
• 影響を受けた操作:何をしようとしたときにブロックされたか(例:Webサイト A からファイルをダウンロード、アプリケーション B を起動など)。
• 表示されたメッセージ:保護の履歴に表示された文言やコード(例:「Trojan:Win32/…」など)。
• デバイス名とユーザー名:対象のPC名(設定→システム→詳細情報で確認)と自分のアカウント名。
• スクリーンショット:可能であれば、保護の履歴画面やポータルのアラート画面を撮影しておきます。

よくある質問

Q1. ファイル名が表示されないのは、Defenderのバグですか?

多くの場合、バグではなく設計上の動作です。上記のパターンに該当しているかを確認してください。それでも不審な場合は、管理者に問い合わせて環境設定を確認してもらいましょう。

Q2. 自分でイベントビューアーを確認しても大丈夫ですか?

読み取りだけなら問題ありませんが、ログの削除や設定変更はしないでください。管理者権限が必要な操作は、管理者の指示なしに行わないでください。

Q3. 業務で必要なファイルがブロックされた場合、すぐに許可してよいですか?

いいえ、まずは管理者に報告し、そのファイルが安全かどうかを確認してもらってください。管理者が許可する場合は、Defenderのポリシーで許可リストに追加するなどの対応を取ります。

Q4. この問題を再発防止するにはどうしたらよいですか?

組織のセキュリティポリシーに従い、管理者が適切な許可リストや除外設定を行うことが必要です。ユーザー側では、Defenderの設定を変更せず、不審なファイルをダウンロードしないよう注意してください。

まとめ

検疫履歴でファイル名が分からない場合でも、保護の履歴の詳細やMicrosoft 365 Defenderポータル、イベントビューアーを確認することで、ブロックされたファイルやプロセスを特定できる可能性があります。どの確認方法を使うにしても、自己判断で検疫を解除せず、必ず管理者に状況を報告することが大切です。業務に支障が出た場合は、必要な情報を整理して迅速に連絡しましょう。また、根本的な原因を解決するには、組織のセキュリティポリシーとDefenderの設定を管理者と一緒に見直すことが最も確実です。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。