【Windows】会社PCの保護履歴に身に覚えのない操作が表示された時の確認

デスクトップの右下に突然「保護履歴」の通知が表示されたり、Microsoft Defenderセキュリティセンターを開くと身に覚えのない脅威の検出記録が並んでいたりした経験はないでしょうか。特に会社支給のPCでは「許可」「隔離」「削除」などの操作に心当たりがないのに履歴が残っていると、不安になるでしょう。これは必ずしもウイルス感染を意味するわけではなく、バックグラウンドでのスキャン結果や他端末との同期情報、管理者が仕掛けたポリシーが要因であることも多いです。本記事では、自身の操作履歴だけでは判断できない保護履歴の読み解き方と、確認すべきポイントを整理します。

保護履歴の正体と現象の分類

Windowsの保護履歴は、Microsoft Defenderウイルス対策が検出した脅威に対するアクションの記録です。表示される情報には次の要素が含まれます。

• 検出日時と脅威の種類(トロイの木馬、ワーム、望ましくない可能性のあるソフトウェアなど)
• 検出されたファイルやプロセスの完全パス
• 実行されたアクション(隔離、削除、許可、復元など)
• 関連するインシデントIDや管理者によるコメント(存在する場合)

身に覚えのない操作が記録される主なパターンとして、以下の3つが考えられます。

1. 自動スキャンによる検出: 定期的なクイックスキャンやスケジュールスキャン、ダウンロード後のファイルチェックなど、ユーザーが意識していないタイミングで検出される場合。
2. 他端末からの同期: Microsoft 365でアカウント連携している場合、他のPCで行われた操作が履歴として同期されることがあります。
3. 管理者のリモート操作: EDR(エンドポイントの検出と応答)機能を通じて、セキュリティチームが行った対応が保護履歴に表示されるケース。

まずは、履歴の詳細を確認して、どのカテゴリに該当するか大まかに把握します。

端末側で確認すべき項目

Windowsセキュリティの保護履歴を開く

最も手軽な方法は、スタートメニューから「Windowsセキュリティ」を開き、「ウイルスと脅威の防止」→「保護履歴」を選択することです。ここに直近の検出が一覧で表示されます。各項目をクリックすると「詳細」ボタンが現れ、そこからさらに詳細情報(検出元、影響を受けたプロセス、MD5ハッシュなど)を確認できます。身に覚えのない操作があった場合、まずこの画面で「アクション」の内容を確認してください。たとえば許可と表示されているのに自分で許可した記憶がなければ、管理者側で許可設定が行われたか、SmartScreenの誤判定の可能性があります。

イベントビューアーでログを調査する

Windowsセキュリティの画面だけでは操作の発生源がわからない場合、イベントビューアーで詳細なトレースが可能です。次の手順で確認します。

1. Windowsキー + Rで「ファイル名を指定して実行」を開き、eventvwr.mscと入力してEnterキーを押します。
2. 左ペインから「アプリケーションとサービス ログ」→「Microsoft」→「Windows」→「Windows Defender」→「Operational」を展開します。
3. 右ペインの操作ウィンドウで「フィルター」をクリックし、イベントIDが1116(検出)、1117(アクション)、1118(修正)のログを抽出します。
4. 該当する日時のログをダブルクリックし、アクションIDやユーザー名のフィールドを確認します。操作がSYSTEMアカウントで行われていれば自動処理、特定のユーザー名が記録されていればそのユーザーの操作が原因です。
5. 複数のログが連続している場合、一連の流れ(検出→アクション)を追跡できます。

イベントビューアーでは、ローカルの管理者以外が操作した痕跡も記録されるため、管理者のリモート操作を特定できる場合があります。

SmartScreenが関与しているか確認する

Microsoft EdgeやファイルエクスプローラーでダウンロードしたファイルがSmartScreenによってブロックされることがあります。保護履歴に「望ましくない可能性のあるソフトウェア」として記録されるケースです。この場合、操作自体はユーザーが行っていないが、システムが自動で隔離したという状態が発生します。Edgeの設定(プライバシー、検索、サービス→SmartScreen)で詳細ログを確認できるため、履歴と照らし合わせてください。

アカウント側で確認すべき項目

サインイン中のユーザーアカウントの操作ログ

複数のユーザーアカウントで同じPCを共有している場合、別のユーザーの操作が保護履歴に残ることはありません。しかし、Microsoftアカウントや職場アカウント(Azure AD)でサインインしているPCでは、クラウド経由でポリシーが適用されることがあります。たとえば、管理者がMicrosoft 365 Defenderの自動調査機能を使ってファイルを隔離した場合、そのアクションが該当ユーザーの保護履歴に表示されます。この場合、操作を実行したのは管理者アカウントですが、通知先としてユーザーのPCに履歴が現れます。

Microsoft 365 Defenderポータルでの確認(管理者権限が必要)

もし自分でMicrosoft 365 Defenderポータルにアクセスできる環境であれば(通常はIT管理者のみ)、インシデントやアクションセンターから該当する端末の操作を確認できます。ただし、一般社員にはアクセス権がない場合が多いため、この項目は管理者に依頼する際の参考情報としてください。

管理設定側で確認すべき項目

グループポリシーやIntuneによる自動対応

企業ではグループポリシーやMicrosoft Intuneを用いて、あらかじめ脅威に対するアクションが定義されていることがあります。たとえば、トロイの木馬が検出されたら自動で隔離、望ましくない可能性のあるソフトウェアは許可する、といったルールです。この設定が有効だと、ユーザーが何もしなくても保護履歴にアクションが記録されます。自分の環境にどのようなポリシーが適用されているかは、管理者に問い合わせる必要があります。一般ユーザーがポリシー設定を直接確認する方法は標準では用意されていません。

EDR(Endpoint Detection and Response)の調査アクション

Microsoft Defender for Endpoint(旧称Microsoft Defender ATP)などのEDRソリューションを導入している場合、セキュリティ運用チームがリモートで端末にアクセスしてファイルを隔離・削除したり、調査のために一時的に許可したりすることがあります。その結果が保護履歴に記録されます。この場合、操作は完全に管理者側で行われているため、ユーザーが知らずに履歴が増えるのは正常です。ただし、明らかに許可されていないファイルを許可する設定など、あやしいアクションがあった場合は報告が必要です。

保護履歴で見られる主なアクションと発生原因

アクション	ユーザー操作の可能性	システム・管理者の操作の可能性
隔離	ユーザーが手動で隔離操作をした場合	自動スキャン後の隔離、管理者のリモート隔離、ポリシーによる自動隔離
許可(ホワイトリスト)	ユーザーが警告ダイアログで「許可」をクリックした場合	管理者がポリシーでファイルを許可、SmartScreenの誤判定
削除	ユーザーが手動で削除を選択した場合	自動クリーンアップ、管理者による削除
復元	隔離されたファイルを元に戻した場合	管理者が誤検知を解除して復元、または自動復元機能

実際の対応手順

身に覚えのない操作が表示された場合、以下の手順で行動してください。自己判断で操作を元に戻したり、ファイルを実行したりしないことが重要です。

1. まずは落ち着いて、保護履歴の内容をスクリーンショットまたはメモに記録します。特に検出日時、ファイルパス、アクション、インシデントID(あれば)を控えてください。
2. 自分が最近ダウンロードしたファイルやUSBメモリなどを思い出し、心当たりがあるか確認します。怪しい添付ファイルを開いていないか、身に覚えのないソフトウェアをインストールしていないかもチェックします。
3. イベントビューアーで前述の手順により、操作がどのアカウントで実行されたかを確認します。もしSYSTEMアカウントなら自動処理、自分のアカウントなら過去の操作の可能性があります。
4. PCを一度再起動し、保護履歴が変化するか、新しい通知が来るか観察します。再起動後に同じ履歴が増える場合は継続的な自動処理を示唆します。
5. 上記確認後、社内のセキュリティ担当者やヘルプデスクに以下の情報をまとめて報告してください。
   • 発生時刻と保護履歴のスクリーンショット
   • イベントログの該当イベントIDと詳細
   • 自分が心当たりのある操作(またはなかったこと)
   • PC名とサインインアカウント
6. 報告後、管理者からの指示を待ちます。指示がない限り、隔離されたファイルの復元や許可の取り消しは行わないでください。業務に支障が出る場合はその旨を管理者に伝え、優先順位を上げてもらいましょう。

よくある質問と失敗パターン

Q: 保護履歴に「許可」と出ているが、そのファイルを自分で許可した覚えがない。ウイルスに感染したのか?

A: 必ずしも感染とは限りません。管理者がポリシーで特定のアプリを許可する設定をした場合や、SmartScreenが誤って許可した場合にも表示されます。イベントログで操作元を確認し、管理者に問い合わせてください。

Q: 保護履歴が毎日のように増える。これは異常ではないか?

A: スケジュールスキャンが毎日実施されている場合や、管理者がEDRで定期的に調査を行っている場合、その記録が蓄積されます。特にファイル隔離の履歴が増え続ける場合は、何らかの永続的な脅威や誤検知が疑われるため、管理者に報告しましょう。

Q: 自分で何か操作してしまったかもしれない。履歴を消したい。

A: 保護履歴は手動で削除できません。一定期間経過すると古い履歴は自動的に消去されます。消去しようとする行為自体がセキュリティログの改ざんと見なされる可能性があるため、行わないでください。どうしても削除が必要な場合は管理者に相談してください。

失敗パターン: 自己判断で隔離を解除してしまった

身に覚えのない操作に不安を感じ、自分で隔離を解除してファイルを実行した結果、実際にマルウェアが動作してしまった事例があります。特に許可と表示されているファイルは危険ではないと誤解しがちですが、管理者が意図的に許可したものでなければ、再び検知される可能性が高いです。安全を優先し、必ず管理者の指示を仰いでください。

まとめ

会社PCの保護履歴に身に覚えのない操作が表示されても、多くの場合は自動処理や管理者のリモート操作が原因であり、すぐに危険が及ぶわけではありません。まずはWindowsセキュリティの画面とイベントビューアーで操作元を特定し、不明な点があれば管理者に報告してください。報告の際は、検出日時、ファイルパス、アクション内容、イベントログの詳細を添えると、迅速な対応が期待できます。自己判断での復元や許可は絶対に行わず、安全な業務環境を維持しましょう。

💻

Windowsトラブル完全解決データベース 起動不能、更新の不具合、動作が重い、設定の消失など、Windows 10/11のあらゆるトラブル解決手順を網羅しています。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。