【Microsoft Defender】攻撃面の縮小ルールで業務操作が制限された時の対処法

Microsoft Defenderの攻撃面の縮小ルール(ASRルール)は、不正なコード実行やスクリプトの悪用を防ぐ強力なセキュリティ機能です。しかし、誤検知や過剰なブロックによって、本来許可されるべき業務操作が制限されることがあります。特にOfficeアプリケーションからのマクロ実行や、スクリプトを利用したツールの動作が妨げられるケースが多く報告されています。この記事では、ASRルールによって業務操作がブロックされた場合に、原因を特定し、管理者へ適切に報告するための手順を解説します。自分で設定を無効化するのではなく、会社のセキュリティ基準を維持しながら問題を解決する方法を理解しましょう。

攻撃面の縮小ルールとは何か

攻撃面の縮小ルールは、Microsoft Defender ATP(現在はMicrosoft 365 Defender)の一部として提供される、高度な攻撃対策機能です。特定のソフトウェア動作(例:Officeアプリからの子プロセス作成、スクリプトの実行、メールからの実行ファイルの起動など)を許可リスト方式で制御します。これにより、エクスプロイトやマルウェアの侵入経路を事前に塞ぐことができます。

代表的なASRルールの例

ASRルールはGUIDで管理されており、たとえば以下のようなルールがあります。

ルール名	GUID	ブロックされる主な操作
Officeアプリからの子プロセス作成の防止	D4F940AB-401B-4EFC-AADC-AD5F3C50688A	WordやExcelからPowerShellやCmd.exeが起動される操作(例:マクロからのスクリプト実行)
実行可能ファイルのメールからのダウンロードと実行の防止	BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550	Outlookで添付された.exeファイルを直接開こうとする操作
スクリプトの実行の防止	5BEB7EFE-FD9A-4556-801D-275E5FFC04CC	.js、.vbs、.ps1などのスクリプトファイルをダブルクリックして実行する操作

業務操作が制限される代表的なシナリオ

ASRルールによって業務に影響が出るケースは、主に以下の3パターンです。

• マクロを含むOffice文書の利用: ExcelやWordのマクロが正常に動作せず、エラーメッセージが表示される。特にVBAから外部コマンドを呼び出す処理がブロックされます。
• スクリプトベースの社内ツール: 業務で使用するPowerShellスクリプトやバッチファイルが実行できなくなる。管理者が配布した自動化ツールも対象になります。
• 特定アプリケーションのインストールや更新: インストーラーがスクリプトを起動する場合や、一時ファイルを生成する動作がブロックされることがあります。

これらのシナリオでは、ユーザーに「操作がブロックされました」や「このアプリは管理者によってブロックされています」といったメッセージが表示されることが一般的です。

制限が発生したときの最初の切り分け手順

ブロックがASRルールによるものかどうかを確認するには、以下の手順を実行します。管理者権限がなくても確認できる内容です。

1. イベントビューアーを開きます(Windowsキー+R → eventvwr.msc と入力)。
2. 左ペインで「アプリケーションとサービス ログ」→「Microsoft」→「Windows」→「Windows Defender」→「Operational」を展開します。
3. 右側の「現在のログをフィルター」をクリックし、「イベントID」に「1121」(ブロック)または「1122」(監査モードでの検出)を指定してフィルターを適用します。
4. 最近のイベントを確認し、ブロックされた日時とプロセスをメモします。イベントの詳細タブには「Path」や「ProcessName」などの情報が含まれています。
5. 特に「ASR Rule ID」として記載されているGUIDを控えておくと、どのルールが適用されたか特定できます。

イベントログに記録がない場合、ブロックの原因はASRルール以外(例:ファイルのアクセス権限や別のセキュリティ製品)である可能性が高いです。

イベントログの見方と判断基準

イベント1121の詳細には以下の情報が含まれます。

• Path: ブロックされたファイルのフルパス
• ProcessName: ブロックをトリガーしたプロセス(例:WINWORD.EXE)
• ASR Rule ID: 該当するルールのGUID
• Detection Method: ‘Block’ または ‘Audit’

これらの情報をもとに、どのルールがどの操作をブロックしたのかを特定できます。GUIDを検索すると、公式ドキュメントでルールの説明を確認できます。

管理者へ報告すべき情報と連絡のタイミング

ASRルールによるブロックを発見したら、速やかにIT部門またはセキュリティ管理者へ連絡してください。自分で設定を変更しようとせず、以下の情報を整理して報告します。

• ブロックが発生した日時と操作内容
• 使用していたアプリケーション名とバージョン(例:Microsoft 365 Apps for Enterprise バージョン2401)
• イベントビューアーから取得した「ASR Rule ID」と「Path」
• 業務への影響範囲(どの程度の頻度で発生するか、代替手段の有無)
• ブロックがなければ正常に動作していたことの確認(例:別のPCでは動く、過去は動いていたなど)

連絡は、社内の規定に従ってチケットシステムやメール、チャットなどを利用します。緊急性が高い場合は電話で伝えましょう。

報告時に避けるべき行為

以下の行為は、セキュリティリスクやポリシー違反につながるため絶対に行わないでください。

• ローカルグループポリシーやレジストリを編集してASRルールを無効化すること
• サードパーティ製のツールを使ってDefenderの設定を変更すること
• ブロックされたファイルを別の場所にコピーして実行を試みること
• 管理者の許可なく監査モードに切り替えること

安全な一時回避策と注意点

管理者による対応が完了するまでの間、業務を継続するための安全な回避方法をいくつか紹介します。ただし、これらの方法はあくまで一時的なものであり、恒久的な解決にはなりません。

• 別のアプリケーションで代用する: 例えば、マクロが必要な処理をPower Automateや別のツールで代替できないか検討します。
• ファイルを信頼できる場所に移動する: 管理者が設定した除外パス(例:特定のネットワーク共有フォルダ)にファイルを配置するとブロックを回避できる場合があります。ただし、自分で除外パスを追加しないでください。
• スクリプトの実行形式を変更する: .ps1ファイルを.exeに変換するなど、ルールの対象外となる形式に変更する方法もありますが、セキュリティ評価が必要なため管理者の承認を得てから行ってください。
• クラウド版のツールを利用する: オンプレミスで動作するスクリプトがブロックされる場合、クラウドサービス版に移行することで問題を回避できることがあります。

これらの回避策は、管理者に相談した上で実施することが重要です。自己判断で行うと、監査ログに記録されず、セキュリティインシデントの原因になる可能性があります。

再発防止のための設定見直し依頼

管理者は、ブロックされた操作が正当な業務である場合、以下のような対策を検討します。

• 特定のルールを監査モードに変更して影響を測定する
• 対象のファイルやプロセスを除外リストに追加する
• ルールの適用範囲を見直し、業務に必要な動作を許可する
• 定期的にASRルールのログを確認し、誤検知が発生していないか監視する

ユーザー側からは、問題を報告するだけでなく、実際の業務フローや必要な操作を具体的に説明することで、管理者が適切な判断を下せるよう協力しましょう。

よくある質問(Q&A)

Q1: ASRルールがブロックしているかどうか、画面に出るエラーだけで判断できますか?

エラーメッセージだけではASRルールかどうか断定できません。必ずイベントビューアーで確認してください。他のセキュリティ製品やアクセス権限のエラーと見分ける必要があります。

Q2: イベントログに1121が記録されていないのにブロックされるのはなぜですか?

ASRルール以外の要因が考えられます。例えばファイルのアクセス権限、別のセキュリティソフト、Windows Defenderのウイルス対策機能などです。管理者に相談して総合的に調査してもらいましょう。

Q3: 自分で一時的にASRルールを無効にすることはできますか?

会社PCでは管理者がグループポリシーなどで設定を制御しているため、ユーザー権限での無効化は通常できません。もし可能な設定があったとしても、ポリシー違反になるので行わないでください。

Q4: 管理者に報告した後、どれくらいで対応してもらえますか?

対応時間は会社の体制によります。緊急度の高い業務であれば、優先的に扱われるよう理由を明確に伝えましょう。また、ログのスクリーンショットを添付するとスムーズです。

まとめ

攻撃面の縮小ルールによる業務制限は、セキュリティと業務効率のバランスを取る上で避けて通れない問題です。重要なのは、自分で設定を変更せず、正確な情報を管理者に伝えることです。イベントビューアーでルールGUIDを特定し、ブロックされた操作の詳細を報告することで、迅速な解決につながります。管理者の適切な判断のもとで除外設定やルールの調整が行われれば、セキュリティを維持しながら業務を継続できます。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。