【Microsoft Defender】EDRの警告後にPCがネットワークから切り離された時の対応

Microsoft DefenderがEDR(Endpoint Detection and Response)による警告を発した後、社内のポリシーによってPCがネットワークから自動的に切り離されることがあります。これはランサムウェアなどの脅威が社内に拡散するのを防ぐための安全措置ですが、業務が継続できなくなるため、迅速な対応が求められます。しかし、焦って自己判断で再接続や検知の無効化を行うと、セキュリティリスクを高めるだけでなく、インシデント対応の妨げになります。本記事では、EDR警告後のネットワーク切断が発生した理由を整理し、ユーザー自身が確認すべきポイント、管理者への報告手順、および再発防止策を具体的に解説します。

EDR警告後にPCがネットワークから切り離される仕組み

EDRはエンドポイント上で不審な挙動を検知すると、組織のセキュリティポリシーに基づいて自動対応を実行します。その一つが「ネットワークの隔離」です。この機能は、感染した端末が他の端末やサーバーと通信できないようにすることで、マルウェアの横展開を防ぎます。隔離は通常、管理者が設定したポリシーによって自動的に行われ、ユーザーは自分で解除できません。警告の原因となる検知には、ファイルの実行、メモリ操作、レジストリ変更などがあります。

EDRと自動隔離の関係

Microsoft Defender for EndpointのEDRは、機械学習や行動分析を用いて脅威をリアルタイムに検出します。検出された脅威の深刻度が高い場合、管理ポリシーで「自動対応(自動調査・自動隔離)」が有効になっていれば、端末のネットワーク接続が自動的に遮断されます。この動作は通常、セキュリティチームが事前に設定しており、ユーザー側で変更することはできません。隔離中は、社内LANやインターネットへのアクセスが制限されるため、メールやファイル共有、Web会議などが使えなくなります。

トリガーとなる検知イベントの種類

EDRがネットワーク隔離をトリガーする主なイベントは以下の通りです。

• マルウェアの実行: ウイルスやランサムウェアが実行されたと判定された場合
• 不審なPowerShellスクリプト: 管理者権限でのスクリプト実行や異常なコマンド
• ファイルの暗号化動作: 大量のファイルが短時間で変更されるなどのランサムウェア挙動
• 既知の悪意あるIPへの通信: C&Cサーバーへの接続が試みられた場合
• SmartScreenによる警告を無視したファイル実行: Windows Defender SmartScreenが警告したファイルを強行実行した場合

ネットワーク切り離しが発生したら最初に確認すべきこと

PCがネットワークから切り離されたと気づいたら、慌てずに以下の手順で状況を把握してください。自己判断で再接続を試みる前に、現在の状態と検知内容を確認することが重要です。

画面に表示されるメッセージの種類

多くの場合、タスクバーの通知領域に盾のアイコン(Windowsセキュリティ)が表示され、クリックすると「ネットワークが制限されています」や「管理者により隔離されました」といったメッセージが表示されます。また、Microsoft 365 Defenderポータルにアクセスできる環境であれば、ポータル上で「アクティブなアラート」として詳細が確認できます。ただし隔離中はインターネット接続が切れている可能性があるため、別の端末からポータルを確認することになります。

1. タスクバーのネットワークアイコンを確認し、「インターネットなし」または「制限あり」の表示があるか確認します。
2. Windowsセキュリティアプリを開き(スタートメニューで「Windows セキュリティ」と検索)、「デバイスのセキュリティ」→「セキュリティの概要」で保護履歴を確認します。
3. 保護履歴に「重大」レベルのアラートが記録されている場合、それをクリックして詳細を開きます。検知されたファイルのパス、動作、推奨アクションが表示されます。
4. もし端末からMicrosoft 365 Defenderポータルにアクセスできる場合は、ブラウザで「security.microsoft.com」にログインし、「アラートキュー」から自端末に関するアラートを探します。
5. アラートの詳細画面で「デバイスの隔離」というアクションが行われているか確認します。多くの場合、自動対応として「隔離」が記録されています。

状況別の対応フロー

ネットワーク切断の原因や検知内容によって、ユーザーが取るべき行動は異なります。以下の表で、代表的なシナリオにおける判断基準と報告の要点をまとめました。

検知内容	隔離状態	ユーザーの行動例	管理者への報告内容
SmartScreen警告を無視してファイル実行	ネットワーク隔離済み	実行したファイル名と入手経路をメモする。絶対に再度実行しない。	ファイル名、ダウンロード元URL、実行日時、自分が行った操作
既知のマルウェア検知(例:ランサムウェア)	ネットワーク隔離+ファイル隔離	他のPCに影響がないか周囲に確認。自分では何も操作しない。	隔離されたファイルのパス、検出名、アラートID
不審なPowerShellコマンドの実行	ネットワーク隔離のみ	実行したスクリプトの内容や意図を説明できるようにする。	スクリプトの内容、実行した目的、管理者権限の有無

よくある失敗パターンと注意点

ネットワーク切り離しに遭遇したユーザーが陥りがちな失敗と、それを避けるための注意点を紹介します。

「すぐに許可してしまいたい」誘惑

業務が止まる焦りから、Windowsセキュリティの設定で「脅威を許可する」や「ファイルを復元する」といった操作をしてしまうケースがあります。しかし、これは検知された脅威をシステム上で有効にしてしまう行為であり、感染を拡大させる恐れがあります。たとえ自分が安全だと思っていても、EDRが検知したということは何らかのリスクがあると判断された証拠です。絶対に許可操作をせず、管理者の指示を待ってください。

SmartScreenの警告を無視して実行した場合

ファイルをダウンロードした際にSmartScreenが「このファイルは危険な可能性があります」と警告したにもかかわらず、そのまま実行したためにEDRが検知し、ネットワーク隔離が発動することがあります。この場合、ユーザー自身が警告を無視したことが原因であるため、管理者に正直に報告することが重要です。隠蔽したりファイルを削除したりすると、インシデント調査が困難になります。また、同様の操作を繰り返さないように、ファイルの入手先を信頼できるかどうかを確認する習慣をつけてください。

管理者へ報告する際に準備すべき情報

ネットワーク隔離が発生した場合、管理者またはセキュリティチームに連絡して指示を仰ぐ必要があります。その際、以下の情報を事前にまとめておくと対応がスムーズになります。

• アラートの詳細: Windowsセキュリティの保護履歴に表示される「重大度」「検出名」「影響を受けたファイル」
• 操作の記録: ネットワーク切断直前に自分が行った操作(ファイルのダウンロード、実行、メールの添付ファイルの保存など)
• 端末情報: コンピューター名、ユーザーアカウント、OSバージョン
• 時刻: ネットワーク切断に気付いた時刻、および最近のファイル操作の時刻
• スクリーンショット: エラーメッセージや保護履歴の画面を保存しておくと役立ちます

まとめ

Microsoft DefenderのEDRによるネットワーク切断は、組織を守るための重要な仕組みです。ユーザー自身ができることは、まず慌てずに状況を確認し、検知された内容を正確に管理者へ伝えることです。自己判断で再接続や検知の無効化を行うと、後々大きな問題に発展する可能性があります。日頃からSmartScreenの警告に従い、不審なファイルを実行しない習慣を身につけておくことで、このような事態を予防できます。もし隔離が発生した場合も、適切な手順で対応すれば業務影響を最小限に抑えられるでしょう。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。