今回は、Windows 11のWindows セキュリティにある保護の履歴を使って、検出された脅威やブロックされたアプリを確認する方法を紹介します。
ファイルをダウンロードした直後に「脅威が見つかりました」という通知が出たものの、すぐに消えてしまい、何が起きたのかわからなかったという経験はないでしょうか。保護の履歴には、Microsoft Defender ウイルス対策が行った処理や、ブロックされたアプリ、オフになっている重要な機能などがまとめて記録されています。通知を見逃したときや、必要なファイルが消えてしまったときに、状況を確かめる場所として覚えておくと安心です。
保護の履歴とは
保護の履歴は、Windows セキュリティアプリの機能の一つです。Microsoft Defender ウイルス対策がユーザーの代わりに行った対応が、一覧として表示されます。
記録される主な内容
- マルウェアの検出と、それに対して行われた処理（検疫、ブロックなど）
- 削除された望ましくない可能性のあるアプリ
- Microsoft Defender SmartScreenによってブロックされたアプリ
- 無効になっている重要なセキュリティ機能に関するお知らせ
履歴が残る期間に注意
保護の履歴に表示されるイベントは、約2週間で一覧から消える仕組みになっています。古い記録をあとからさかのぼって調べることはできないため、気になる通知が出たときは、できるだけ早めに確認するのがコツです。
保護の履歴を開く方法
- スタートメニューまたはタスクバーの検索ボックスに「Windows セキュリティ」と入力し、アプリを開きます。
- 左側のメニューから「保護の履歴」を選択します。
通知領域にある盾のアイコンからWindows セキュリティを開くこともできます。また、「ウイルスと脅威の防止」の画面にある「保護の履歴」のリンクからも同じ画面に移動できます。
管理者権限が必要な場合がある
脅威の詳細を表示するには、そのパソコンの管理者権限が必要です。標準ユーザーでサインインしている場合は、詳細を開く際に管理者のパスワードなどを求められることがあります。家族で共用しているパソコンでは、管理者アカウントを持つ人と一緒に確認するとスムーズです。
保護の履歴の見方
カードと色分けの意味
保護の履歴では、イベントが1件ずつカードの形で並びます。対応が必要なものは色で区別されています。
- 赤色：すぐに対応が必要な重大な項目
- 黄色：急ぎではないものの、時間のあるときに確認しておきたい項目
カードを選ぶと内容が展開され、検出された脅威の名前や対象のファイル、行われた処理などの詳細を確認できます。まずは赤色のカードがないかを見て、あれば優先して内容を確かめましょう。
マルウェア関連の主な表示
マルウェアが検出されたときは、状況に応じて次のような表示になります。
- 脅威が検出されました（対処が必要）：Defenderが脅威の可能性を見つけ、どう扱うかをユーザーが決める必要がある状態です。「操作」から検疫するか、デバイスでの許可を選べます。
- 検疫済みの脅威：脅威が隔離され、現時点では害を及ぼさない状態です。「削除」でパソコンから取り除くか、「復元」で元に戻すかを選べます。
- 脅威がブロックされました：Defenderが脅威をブロックし、削除まで完了した状態です。基本的にユーザー側の操作は必要ありません。
- 修復の未完了：Defenderが対処を試みたものの、完全には取り除けなかった状態です。カードを展開し、案内されている追加の手順を確認します。
アプリのブロックや機能がオフになっている場合
マルウェア以外にも、次のような記録が表示されることがあります。
- SmartScreenが、望ましくない可能性のあるアプリをインストール前にブロックした記録
- Microsoft EdgeのSmartScreenなど、重要なサービスがオフになっていることを知らせる記録
重要なサービスがオフになっている場合は、該当するカードの「操作」から機能をオンに戻せます。自分で意図的にオフにした覚えがない場合は、オンに戻しておくのが安全です。
保護の履歴を活用するコツ
迷ったときは「検疫」を選ぶ
「対処が必要」と表示されたファイルが安全かどうか判断できないときは、検疫を選ぶのが基本です。検疫したファイルは隔離されるだけなので、あとから安全だと確認できた場合でも対応を見直せます。
反対に、よくわからないまま「デバイスで許可」を選ぶと、本当に危険なファイルだった場合に個人情報やパソコンが被害を受けるおそれがあります。許可は、提供元がはっきりしていて信頼できるファイルに限るようにしましょう。
誤検知と思われるときの対応
自分で作成したツールや、信頼できる提供元のファイルが脅威として扱われることもあります。こうした誤検知と考えられる場合は、カードの「操作」から「許可」を選べます。
ただし、すでに削除されたファイルの場合、許可の設定は次にそのファイルが現れたときに適用されます。手元で使うには、ファイルをもう一度ダウンロードし直す必要があります。SmartScreenでブロックされたアプリを許可した場合も同様です。
許可した脅威を取り消す方法
誤って許可してしまった場合は、あとから取り消せます。
- Windows セキュリティを開き、「ウイルスと脅威の防止」を選択します。
- 「現在の脅威」の欄にある「許可された脅威」を開きます。
- 一覧から取り消したい項目を選び、「許可しない」を選択します。
許可しないに戻した項目は一覧から外れ、次に検出されたときには、Windows セキュリティが改めて対処します。
検疫済みのファイルを復元するときの流れ
検疫済みのファイルを「復元」すると、ファイルはパソコンに戻りますが、Defenderがもう一度脅威として検出し、保護の履歴に新しい「対処が必要」の項目が作られます。そのファイルが安全だと確信できる場合は、その新しい項目で「デバイスで許可」を選ぶ必要があります。復元だけで使えるようになるわけではない点を押さえておくと、操作の途中で戸惑わずに済みます。
オフラインスキャンの結果もここで確認できる
Microsoft Defender ウイルス対策のオフラインスキャンは、パソコンを再起動し、Windowsを読み込まない状態で検査を行う機能です。スキャンが終わるとパソコンは自動的に再起動しますが、検査結果は画面に表示されたままにはなりません。
オフラインスキャンの結果は、再起動後に保護の履歴を開いて確認します。スキャンを実行したあとは、忘れずに保護の履歴をチェックする流れをセットで覚えておくと便利です。
脅威の侵入経路を振り返る
「脅威がブロックされました」と表示された場合、ユーザー側で必要な操作は基本的にありません。それでも、どこから脅威が入り込もうとしたのかを振り返っておくと、同じことの繰り返しを防げます。主な経路として、次のようなものが考えられます。
- メールに添付された不審なファイル
- 安全性が確認できないWebサイトからのダウンロード
- 感染したUSBメモリなどの外部記憶装置
カードに表示されるファイルの場所や名前を手がかりに、心当たりのあるメールやダウンロードを思い出してみましょう。
まとめ
Windows 11のWindows セキュリティにある保護の履歴では、Microsoft Defenderが行った検出や検疫、ブロックの記録を確認できます。
- Windows セキュリティを開き、左側のメニューから「保護の履歴」を選ぶ
- イベントは約2週間で消えるため、気になる通知が出たら早めに確認する
- 赤色のカードは優先して対応し、判断に迷うファイルは検疫を選ぶ
- 誤って許可した場合は「許可された脅威」から「許可しない」に戻せる
- オフラインスキャンの結果も保護の履歴で確認する
通知を見逃してしまったときやファイルが急に消えたときは、まず保護の履歴を開いて何が起きたのかを確かめてみてください。状況がわかれば、次に取るべき対応も判断しやすくなります。