Windows Defenderが有効か無効かを確認する方法画面・PowerShell・イベントログで止まっていないかを見る

Microsoft Defender（以前の名前はWindows Defender）が動いているかは、Windows セキュリティの「ウイルスと脅威の防止」の画面か、PowerShellの Get-MpComputerStatus で確認できます。止まっていた場合は、イベントログ「Windows Defender/Operational」を見ると、いつ止まったかが分かります。

この記事では、1台での確認手順、他社のウイルス対策ソフトがあるときの見え方、改ざん防止、止まった日時の追い方、グループポリシーで止められているケース、複数台で確かめるときの手間を順に説明します。

Windows セキュリティの画面で確認する

スタートメニューで「Windows セキュリティ」を開き、「ウイルスと脅威の防止」を選びます。緑のチェックが付き、「操作は不要です」と出ていれば、ウイルス対策は動いています。

続けて「ウイルスと脅威の防止の設定」の「設定の管理」を開き、次の2つがオンかを確かめます。

• リアルタイム保護：ファイルを開いたり保存したりするたびに検査する機能です。ここがオフだと、Defenderは常時の見張りをしていません。
• 改ざん防止：リアルタイム保護などの設定を、ほかのプログラムが勝手に変えられないようにする機能です（後で詳しく説明します）。

他社のウイルス対策ソフトを入れているPCでは、この画面に他社製品の名前が出ます。どの製品がPCを守っているかは、Windows セキュリティの「設定」（歯車）にある「プロバイダーの管理」で一覧にできます。

Windows Serverの場合

デスクトップ エクスペリエンスのあるWindows Serverでは、同じ画面で確認できます。画面のない Server Core では、次のPowerShellで確かめます。なお、Windows Server 2016・2019では、Windows セキュリティの画面に改ざん防止の状態が出ません。こちらもPowerShellで確かめます。

PowerShellで確認する（Get-MpComputerStatus）

PowerShellを管理者として開き、次を実行します。

Get-MpComputerStatus | Select-Object AMRunningMode, AMServiceEnabled, AntivirusEnabled, RealTimeProtectionEnabled, IsTamperProtected, AntivirusSignatureLastUpdated, AntivirusSignatureAge

AMRunningMode が Normal、AntivirusEnabled と RealTimeProtectionEnabled が True なら、Defenderはふだんどおり動いています。Windows 10・11とWindows Server 2016以降で使えるコマンドです。

コマンドプロンプトで手早く見るなら、Defenderのサービス（WinDefend）の状態を出す方法もあります。STATE が RUNNING なら動いています。

sc query WinDefend

Defenderなどの防御が止められたときだけ、管理者ご本人が登録したLINEに届き、その場で画面の確認・ネットワーク分離・電源オフができます（アプリップリキー）。全PC・サーバーの状態も1画面で見られるので、何もない日は見に行かずに済みます。

価格と初月無料を見る資料を見る（PDF）

PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）

他社のウイルス対策ソフトがあるときの見え方

「Defenderが無効」と出ても、異常とは限りません。他社のウイルス対策ソフトがあると、Defenderは次のように動きを変えます（Microsoft Defender for Endpoint に登録していない場合）。

受動モード（Passive）は、基本的に Defender for Endpoint に登録した端末で使われる動き方で、Defenderは主のウイルス対策としては働きません。Windows 10・11では、他社製品の期限が切れたりアンインストールされたりして保護が止まると、自動で無効になっていたDefenderが自動で有効に戻る仕組みがあります。

大切なのは、「いま、何かしらのウイルス対策が動いているか」と「前と変わっていないか」です。Windows 10・11では、Windows セキュリティに登録されているウイルス対策製品を次のコマンドで一覧にできます（Windows Serverではこの方法は使えません）。

Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntivirusProduct | Select-Object displayName, timestamp

Windows Serverで他社製品を使うときは、Defenderと二重に動いていないかに注意します。逆に他社製品をやめたときは、Defenderを有効に戻し忘れていないかを確かめます。

改ざん防止（Tamper Protection）を確認する

改ざん防止は、Defenderの大事な設定を、ほかのプログラムやレジストリの書き換えで変えられないようにする機能です。有効にしていると、次のような設定が固定されます。

• リアルタイム保護・動作の監視・クラウドによる保護がオンのまま保たれる
• ウイルスの定義の更新が行われる
• 除外（検査しないフォルダーなど）を勝手に足したり変えたりできない

改ざん防止が有効なときは、グループポリシーやレジストリで設定を変えようとしても、成功したように見えて反映されません。変更が止められると、イベントID 5013が記録されます。

確認は、Windows セキュリティの「ウイルスと脅威の防止の設定」→「設定の管理」の「改ざん防止」か、PowerShellの IsTamperProtected で行います。

Get-MpComputerStatus | Select-Object IsTamperProtected, RealTimeProtectionEnabled

組織で一括管理していないPCでは、管理者のアカウントで Windows セキュリティの画面からオンにできます。PowerShellでは、ふだんは改ざん防止を切り替えられません。

いつ止まったかをイベントログで追う

Defenderの動きは、イベントビューアーの「アプリケーションとサービス ログ → Microsoft → Windows → Windows Defender → Operational」に残ります。止まっていたときに見るイベントIDは次のとおりです。

直近30日の分を、PowerShellでまとめて出すには次を実行します（管理者として実行）。

Get-WinEvent -FilterHashtable @{ LogName = 'Microsoft-Windows-Windows Defender/Operational'; Id = 5001, 5004, 5007, 5010, 5012, 5013, 2001; StartTime = (Get-Date).AddDays(-30) } -ErrorAction SilentlyContinue |
  Select-Object TimeCreated, Id, Message | Format-List

5001の時刻の前後に、ソフトのインストールや保守作業がなかったかを照らし合わせます。5007は、変更前と変更後の値を見ると、何が変わったかが分かります。Microsoftも、思い当たらない5007はマルウェアによる変更のおそれがあるので設定を確かめるよう案内しています。

グループポリシーで止められているケース

画面でリアルタイム保護をオンにしても、すぐ戻ってしまう、または操作できない場合は、グループポリシーで止められていることがあります。Windows セキュリティの画面に、組織によって管理されている旨の表示が出るのが目安です。

設定の場所は、グループポリシー（1台なら gpedit.msc）の「コンピューターの構成 → 管理用テンプレート → Windows コンポーネント → Microsoft Defender ウイルス対策 → リアルタイム保護」です。ここの「リアルタイム保護を無効にする」が「有効」になっていると、リアルタイム保護は止まります。

実際にどの設定が効いているかは、管理者のコマンドプロンプトやPowerShellで次のように確かめます。

gpresult /h C:\temp\gpresult.html
Get-MpPreference | Select-Object DisableRealtimeMonitoring, DisableBehaviorMonitoring
reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /s

DisableRealtimeMonitoring が True なら、リアルタイム保護を止める設定が入っています。よくあるのは、以前のトラブル対応や業務ソフトの導入のときに一時的に止め、そのまま戻し忘れているケースです。誰がいつ入れた設定かを確かめてから戻します。なお、改ざん防止が有効なら、グループポリシーでリアルタイム保護をオフにすることはできません。

よくあるつまずきと直し方

Get-MpComputerStatusがエラーになる

他社製品によってDefenderが無効になっているPCや、Windows ServerでDefenderの機能を削除したサーバーでは、状態を取得できずにエラーになることがあります。その場合は、Windows セキュリティの「プロバイダーの管理」や、上の SecurityCenter2 のコマンドで、ほかのウイルス対策が動いているかを確かめます。

イベントが見つからないと表示される

Get-WinEvent は、条件に合うイベントが1件もないとエラーを出します。期間内にDefenderが止まった記録がない、という意味なので、慌てる必要はありません。上の例のように -ErrorAction SilentlyContinue を付けると表示されなくなります。

オフにしても勝手にオンに戻る

Windows セキュリティの画面でリアルタイム保護をオフにしても、少し時間がたつと自動でオンに戻ります。一時的に止める操作のための仕組みなので、正常な動きです。

オンにしてもすぐオフに戻る

グループポリシーか、他社製品が原因のことがほとんどです。前の節の方法でポリシーを確かめ、他社製品があるなら、そちらが動いているかを確かめます。

止まったことに気づくのが大切な理由

Defenderが止まる理由の多くは、他社製品の導入や保守作業など、心当たりのあるものです。ただ、Microsoftも説明しているとおり、攻撃のときには、データを持ち出したりマルウェアを入れたりするために、セキュリティの機能を止めようとする動きがよく見られます。ランサムウェアでも、暗号化の前にウイルス対策を止める段階を通ることがあり、防御の停止は前兆の1つです。

大切なのは、止まったことにその日のうちに気づき、「誰が・なぜ止めたか」を答えられることです。心当たりがあれば、それで確認は終わります。ほかの前兆（社内の偵察・パスワードの持ち出し・バックアップの削除）の確かめ方は、ランサムウェアの前兆に気づく方法にまとめています。

複数台・全台で確かめるときの手間

Get-MpComputerStatus は -CimSession でほかのPCを指定できます。管理用のPCから、複数台をまとめて確かめる例です。

'PC01','PC02','PC03' | ForEach-Object {
  try {
    $s = Get-MpComputerStatus -CimSession $_ -ErrorAction Stop
    [pscustomobject]@{ PC名 = $_; モード = $s.AMRunningMode; リアルタイム保護 = $s.RealTimeProtectionEnabled; 改ざん防止 = $s.IsTamperProtected; 定義の更新 = $s.AntivirusSignatureLastUpdated }
  } catch {
    [pscustomobject]@{ PC名 = $_; モード = '取得できない'; リアルタイム保護 = $null; 改ざん防止 = $null; 定義の更新 = $null }
  }
} | Format-Table -AutoSize

各PCでWinRMが有効になっている必要があります（前提条件はWindows Updateの適用状況をまとめて確認する方法で説明しています）。

この方法で残る手間

• 確かめたその瞬間の状態しか分かりません。夜中に止まって朝には戻っていた、という動きは、イベントログを1台ずつ見ないと分かりません。
• 持ち出し中・テレワーク中のPCには届かず、「取得できない」が残ります。
• 毎日続けるには、誰かが実行して結果を読む必要があります。夜間・休日は見る人がいません。

Windows標準のタスクスケジューラで、5001が記録されたらメールなどを送る仕組みも作れますが、1台ずつの設定になり、届いてもその場で止めるのは難しいのが実情です（手順は夜間・休日にPCの異変に気づく方法で紹介しています）。

防御の停止にその場で気づける形にする

アプリップリキーを使うと、アプリップリキーを入れた全PC・サーバーを1か所で管理できます。台数・利用者・OS・空き容量が1画面に並び、毎朝7時には前日のまとめがLINEに届くので、PCを1台ずつ見て回らずに済みます。そのうえで、Defenderの停止のような動きには、次のように気づけます。

• 前兆があるときだけ届く：防御の停止・バックアップの削除・社内の偵察・パスワードの持ち出しといった、ランサムウェアの前兆を検知すると、管理者ご本人が登録したLINEに届きます。何もない日は何も届きません。
• その場で確かめて止められる：LINEのボタンから、そのPCの画面の確認・ネットワーク分離・電源オフ（確認付き）ができます。外出先や休みの日でも、PCの前に行かずに対応できます。電源を切ったPCは、遠隔では起動できません。
• 監査ポリシーが無効なPCでも使える：Windowsの監査の設定を1台ずつ見直さなくても、前兆に気づけます。
• 心当たりのある動きは知らせない：保守で使う社内ツールなど、心当たりのある動きは、そのPC・その起動元に限って知らせないようにでき、大事な知らせが埋もれません。

各PCのDefenderの設定を一覧にする機能ではなく、止められたという動きに気づくための仕組みです。ADは要らず、ワークグループのPCでもそのまま使えます。インターネットにつながっていないPCは、管理の対象外です。

さらに、アプリップリキーはPC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにします（PC版・サーバー版。リモートデスクトップでのログインも対象）。2要素認証になりますが、毎回の操作はスマホのワンタッチなので、社員の手間はほとんど増えません。

よくある質問

いまの運用を棚卸ししてみる

ウイルス対策の状態を見て回る作業のように、台数の分だけ人の手がかかる作業は、ログインの記録や退職者のアカウントの扱いなどにも残っていることがあります。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりの対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。個人情報の入力は不要で、会員登録もありません。

参考・出典

• Microsoft Learn「Get-MpComputerStatus」
• Microsoft Learn「Microsoft Defender ウイルス対策と他のセキュリティ製品との互換性」
• Microsoft Learn「Windows で改ざん防止を構成する」
• Microsoft Learn「Microsoft Defender ウイルス対策の常時保護を構成する」
• Microsoft Learn「Microsoft Defender ウイルス対策のイベント ID とエラー コード」

※ 本記事は2026年11月時点の一般的な解説です。表示される項目名は、Windowsの版や表示言語によって変わることがあります。