Microsoft Defender for Endpoint の問題のトラブルシューティング

[アーティクル]
11/04/2024

適用対象:

Defender for Endpoint を試す場合は、無料試用版にサインアップしてください。

問題が発生した場合は、Microsoft Defender for Endpointオンボードプロセスのトラブルシューティングが必要になる場合があります。このページでは、展開ツールの 1 つを使用してデプロイするときに発生する可能性があるオンボードの問題と、デバイスで発生する可能性がある一般的なエラーをトラブルシューティングする詳細な手順について説明します。

オンボードツールに関する問題のトラブルシューティングを開始する前に、デバイスをサービスにオンボードするための最小要件が満たされているかどうかをチェックすることが重要です。デバイスをサービスにオンボードするためのライセンス、ハードウェア、ソフトウェアの要件について説明します。

ヒント

この記事のコンパニオンとして、Microsoft Defender for Endpointセットアップガイドを参照してベストプラクティスを確認し、攻撃面の縮小や次世代保護などの重要なツールについて学習します。環境に基づいてカスタマイズされたエクスペリエンスを実現するには、Microsoft 365 管理センターの Defender for Endpoint 自動セットアップガイドにアクセスできます。

オンボードツールに関する問題のトラブルシューティング

オンボードプロセスを完了し、1 時間後にデバイスの一覧にデバイスが表示されない場合は、オンボードまたは接続の問題を示している可能性があります。

グループポリシーを使用してデプロイするときのオンボードのトラブルシューティング

グループポリシーを使用したデプロイは、デバイスでオンボードスクリプトを実行することによって行われます。グループポリシーコンソールは、デプロイが成功したかどうかを示しません。

オンボードプロセスを完了し、1 時間後に [デバイス] リストにデバイスが表示されない場合は、デバイスにスクリプトの出力をチェックできます。詳細については、「スクリプトを使用してデプロイするときのオンボードのトラブルシューティング」を参照してください。

スクリプトが正常に完了した場合は、発生する可能性がある追加のエラーに関するデバイスでのオンボードの問題のトラブルシューティングに関するページを参照してください。

Microsoft Endpoint Configuration Managerを使用してデプロイするときのオンボードの問題のトラブルシューティング

次のバージョンのConfiguration Managerを使用してデバイスをオンボードする場合:

Microsoft Endpoint Configuration Manager
System Center 2012 Configuration Manager
System Center 2012 R2 Configuration Manager

上記のバージョンのConfiguration Managerを使用したデプロイは、デバイスでオンボードスクリプトを実行することによって行われます。デプロイは、Configuration Manager コンソールで追跡できます。

デプロイが失敗した場合は、デバイス上のスクリプトの出力をチェックできます。

オンボードが正常に完了したが、デバイスが 1 時間後に [デバイス] リスト に表示されない場合は、発生する可能性がある追加のエラーについては、「デバイスのオンボードの問題のトラブルシューティング」を参照してください。

スクリプトを使用してデプロイするときのオンボードのトラブルシューティング

デバイス上のスクリプトの結果を確認します。

[スタート] をクリックし、「イベントビューアー」と入力し、Enter キーを押します。
Windows ログ>Application に移動します。
WDATPOnboarding イベントソースからイベントを探します。

スクリプトが失敗し、イベントがエラーである場合は、次の表のイベント ID をチェックして、問題のトラブルシューティングに役立てることができます。

注:

次のイベント ID は、オンボードスクリプトにのみ固有です。

イベント ID	エラーの種類	解決手順
`5`	オフボードデータが見つかりましたが、削除できませんでした	レジストリに対するアクセス許可を確認します。具体的には `HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection`.
`10`	オンボードデータをレジストリに書き込むことができませんでした	レジストリに対するアクセス許可を確認します。具体的には `HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection`. スクリプトが管理者として実行されていることを確認します。
`15`	SENSE サービスを開始できませんでした	サービスの正常性を確認します (`sc query sense` コマンド)。中間状態 ('Pending_Stopped', 'Pending_Running' ではないことを確認し、(管理者権限で) スクリプトをもう一度実行してみてください。デバイスがWindows 10実行されていて、バージョン 1607 でコマンドを実行`sc query senseSTART_PENDING`が返される場合は、デバイスを再起動します。デバイスを再起動しても問題が解決しない場合は、KB4015217にアップグレードして、オンボードをもう一度試してください。
`15`	SENSE サービスを開始できませんでした	エラーのメッセージがシステムエラー 577 またはエラー 1058 が発生した場合は、Microsoft Defenderウイルス対策 ELAM ドライバーを有効にする必要があります。手順については、「Microsoft Defenderウイルス対策がポリシーによって無効にされていないことを確認する」を参照してください。
`15`	SENSE サービスを開始できませんでした	SENSE 機能オンデマンド (FoD) がインストールされていない可能性があります。インストールされているかどうかを判断するには、管理 CMD/PowerShell プロンプトから次のコマンドを入力します。`DISM.EXE /Online /Get-CapabilityInfo /CapabilityName:Microsoft.Windows.Sense.Client~~~~`エラーが返された場合、または状態が "インストール済み" でない場合は、SENSE FoD をインストールする必要があります。インストール手順については、「オンデマンドで使用可能な機能: SENSE Client for Microsoft Defender for Endpoint」を参照してください。
`30`	スクリプトがサービスの実行を開始するまで待機できませんでした	サービスの起動に時間がかかったか、開始中にエラーが発生した可能性があります。 SENSE に関連するイベントとエラーの詳細については、「イベントビューアーを使用してイベントとエラーを確認する」を参照してください。
`35`	スクリプトが必要なオンボード状態レジストリ値を見つけることができません	SENSE サービスが初めて開始されると、オンボード状態がレジストリの場所に書き込まれます `HKLM\SOFTWARE\Microsoft\Windows Advanced Threat Protection\Status`. 数秒後にスクリプトを見つけることができませんでした。手動でテストし、存在する場合はチェックできます。 SENSE に関連するイベントとエラーの詳細については、「イベントビューアーを使用してイベントとエラーを確認する」を参照してください。
`40`	SENSE サービスのオンボード状態が 1 に設定されていません	SENSE サービスが正しくオンボードできませんでした。 SENSE に関連するイベントとエラーの詳細については、「イベントビューアーを使用してイベントとエラーを確認する」を参照してください。
`65`	特権が不十分	管理者特権でスクリプトをもう一度実行します。
`70`	オフボードスクリプトは、別のorganization用です	SENSE サービスがオンボードされている正しいorganizationのオフボードスクリプトを取得します。

Microsoft Intuneを使用したオンボードの問題のトラブルシューティング

Microsoft Intuneを使用してエラーコードをチェックし、問題の原因のトラブルシューティングを試みることができます。

Intuneでポリシーを構成していて、デバイスに反映されない場合は、MDM の自動登録を構成する必要がある場合があります。

オンボード中の問題の考えられる原因を理解するには、次の表を使用します。

エラーコードと OMA-URIs テーブルのMicrosoft Intune
コンプライアンス違反に関する既知の問題の表
モバイルデバイス管理 (MDM) イベントログテーブル

イベントログとトラブルシューティング手順が機能しない場合は、ポータルの [デバイス管理 ] セクションからローカルスクリプトをダウンロードし、管理者特権のコマンドプロンプトで実行します。

エラーコードと OMA-URIs をMicrosoft Intuneする

エラーコード 16 進	エラーコード 12 月	エラーの説明	OMA-URI	考えられる原因とトラブルシューティングの手順
0x87D1FDE8	-2016281112	修復に失敗しました	オンボードオフボーディング	考えられる原因: 間違った BLOB でオンボードまたはオフボードが失敗しました。間違った署名または PreviousOrgIds フィールドがありません。トラブルシューティングの手順: [デバイスイベントログ] セクションの [エージェントのオンボードエラーの表示] セクションでイベント ID を確認します。次の表の MDM イベントログを確認するか、「 Windows での MDM エラーの診断」の手順に従います。
			オンボードオフボーディング SampleSharing	考えられる原因: Microsoft Defender for Endpointポリシーレジストリキーが存在しないか、OMA DM クライアントに書き込むアクセス許可がありません。トラブルシューティングの手順: 次のレジストリキーが存在することを確認します。 `HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection` 存在しない場合は、管理者特権でコマンドを開き、キーを追加します。
			SenseIsRunning OnboardingState OrgId	考えられる原因: 読み取り専用プロパティによる修復の試行。オンボードに失敗しました。トラブルシューティングの手順: 「デバイスでのオンボードの問題のトラブルシューティング」のトラブルシューティング手順を確認します。次の表の MDM イベントログを確認するか、「 Windows での MDM エラーの診断」の手順に従います。
			すべて	考えられる原因:サポートされていない SKU/プラットフォーム (特に Holographic SKU) にMicrosoft Defender for Endpointをデプロイしようとします。現在サポートされているプラットフォーム: Enterprise、Education、Professional。サーバーはサポートされていません。
0x87D101A9	-2016345687	SyncML(425): 送信者が受信者に対して適切なアクセス制御アクセス許可 (ACL) を持っていないため、要求されたコマンドが失敗しました。	すべて	考えられる原因:サポートされていない SKU/プラットフォーム (特に Holographic SKU) にMicrosoft Defender for Endpointをデプロイしようとします。現在サポートされているプラットフォーム: Enterprise、Education、Professional。

コンプライアンス違反に関する既知の問題

次の表に、コンプライアンス違反の問題と、問題に対処する方法について説明します。

ケース	現象	考えられる原因とトラブルシューティングの手順
`1`	デバイスは SenseIsRunning OMA-URI に準拠しています。ただし、OrgId、Onboarding、OnboardingState OMA-URI では準拠していません。	考えられる原因: Windows のインストールまたはアップグレード後にユーザーが OOBE に合格したことを確認します。 OOBE オンボード中に完了できませんでしたが、SENSE は既に実行されています。トラブルシューティングの手順: OOBE が完了するまで待ちます。
`2`	デバイスは OrgId、Onboarding、OnboardingState OMA-URI によって準拠していますが、SenseIsRunning OMA-URI では準拠していません。	考えられる原因: Sense サービスのスタートアップの種類が "遅延開始" に設定されています。これにより、システム起動時に DM セッションが発生したときに、Microsoft Intune サーバーが SenseIsRunning によってデバイスを非準拠として報告することがあります。トラブルシューティングの手順: 問題は 24 時間以内に自動的に修正されます。
`3`	デバイスが非準拠	トラブルシューティングの手順: オンボードポリシーとオフボードポリシーが同じデバイスに同時にデプロイされていないことを確認します。

モバイルデバイス管理 (MDM) イベントログ

MDM イベントログを表示して、オンボード中に発生する可能性のある問題のトラブルシューティングを行います。

ログ名: Microsoft\Windows\DeviceManagement-EnterpriseDiagnostics-Provider

チャネル名: 管理

ID	重要度	イベントの説明	トラブルシューティングの手順
1819	Error	Microsoft Defender for Endpoint CSP: ノードの値の設定に失敗しました。 NodeId: (%1)、TokenName: (%2)、結果: (%3)。	Windows 10用の累積的な更新プログラム (1607) をダウンロードします。

デバイスでのオンボードの問題のトラブルシューティング

使用する展開ツールがオンボードプロセスでエラーを示していないが、デバイスが 1 時間以内にデバイスの一覧に表示されない場合は、次の検証トピックを参照して、Microsoft Defender for Endpoint エージェントでエラーが発生した場合にチェックします。

デバイスイベントログでエージェントのオンボードエラーを表示する
診断データサービスが有効になっていることを確認する
サービスが開始するように設定されていることを確認する
デバイスにインターネット接続があることを確認する
Microsoft Defenderウイルス対策がポリシーによって無効にされていないことを確認する

デバイスイベントログでエージェントのオンボードエラーを表示する

[スタート] をクリックし、「イベントビューアー」と入力し、Enter キーを押します。
[イベントビューアー (ローカル)] ウィンドウで、[アプリケーションとサービスログ>Microsoft>Windows>SENSE] を展開します。

注:

SENSE は、Microsoft Defender for Endpoint を動作させる動作センサーを指して使用される内部名です。
[ 操作] を選択してログを読み込みます。
[ 操作 ] ウィンドウで、[ 現在のログのフィルター] をクリックします。
[ フィルター ] タブの [ イベントレベル]: [ 重大]、[ 警告]、および [エラー] を選択し、[OK] をクリック します。

問題を示すイベントが [ 操作] ウィンドウに表示されます。次の表の解決策に基づいて、トラブルシューティングを試みることができます。

イベント ID	メッセージ	解決手順
`5`	Microsoft Defender for Endpointサービスが変数でサーバーに接続できませんでした	デバイスにインターネットアクセスがあることを確認します。
`6`	Microsoft Defender for Endpoint サービスはオンボードされておらず、オンボードパラメーターが見つかりませんでした。エラーコード: 変数	オンボードスクリプトをもう一度実行します。
`7`	Microsoft Defender for Endpoint サービスがオンボードパラメーターを読み取れませんでした。エラーコード: 変数	デバイスにインターネットアクセスがあることを確認してから、オンボードプロセス全体をもう一度実行します。
`9`	Microsoft Defender for Endpoint サービスが開始の種類を変更できませんでした。エラーコード: 変数	オンボード中にイベントが発生した場合は、再起動してオンボードスクリプトの実行を再試行します。詳細については、「オンボードスクリプトをもう一度実行する」を参照してください。オフボード中にイベントが発生した場合は、サポートにお問い合わせください。
`10`	Microsoft Defender for Endpoint サービスがオンボーディング情報を保持できませんでした。エラーコード: 変数	オンボード中にイベントが発生した場合は、オンボードスクリプトの実行を再試行します。詳細については、「オンボードスクリプトをもう一度実行する」を参照してください。問題が解決しない場合は、サポートにお問い合わせください。
`15`	URL: 変数を使用してコマンドチャネルを開始できないMicrosoft Defender for Endpoint	デバイスにインターネットアクセスがあることを確認します。
`17`	Microsoft Defender for Endpoint サービスが接続ユーザーエクスペリエンスとテレメトリサービスの場所を変更できませんでした。エラーコード: 変数	オンボードスクリプトをもう一度実行します。問題が解決しない場合は、サポートにお問い合わせください。
`25`	Microsoft Defender for Endpoint サービスがレジストリ内の正常性状態をリセットできませんでした。エラーコード: 変数	サポートに問い合わせてください。
`27`	Windows Defender でMicrosoft Defender for Endpoint モードを有効にできませんでした。オンボーディングプロセスに失敗しました。エラーコード: 変数	サポートに問い合わせてください。
`29`	オフボーディングパラメーターを読み取れませんでした。エラーの種類: %1、エラーコード: %2、説明: %3	デバイスにインターネットアクセスがあることを確認し、オフボーディングプロセス全体をもう一度実行してください。
`30`	Microsoft Defender for Endpointで $(build.sense.productDisplayName) モードを無効にできませんでした。エラーコード: %1	サポートに問い合わせてください。
`32`	$(build.sense.productDisplayName) サービスは、オフボードプロセス後にそれ自体を停止するように要求できませんでした。エラーコード: %1	サービスの開始の種類が手動であることを確認し、デバイスを再起動します。
`55`	セキュリティで保護された ETW 自動ロガーの作成に失敗しました。エラーコード: %1	デバイスを再起動します。
`63`	外部サービスの開始の種類を更新しています。名前: %1、実際の開始の種類: %2、予期される開始の種類: %3、終了コード: %4	前述のサービスの開始の種類の変更の原因を特定します。終了コードが 0 でない場合は、開始の種類を想定した開始型に手動で修正します。
`64`	停止した外部サービスを開始します。名前: %1、終了コード: %2	イベントが再び表示され続ける場合は、サポートにお問い合わせください。
`68`	予期しないサービスの開始の種類です。サービス名: %1、実際の開始の種類: %2、予期される開始の種類: %3	開始の種類の変更の原因を特定します。前述のサービス開始の種類を修正しました。
`69`	サービスが停止しています。サービス名: %1	前述のサービスを開始します。問題が解決しない場合は、サポートにお問い合わせください。

デバイスには、Microsoft Defender for Endpoint エージェントが正常に機能するために依存する追加のコンポーネントがあります。 Microsoft Defender for Endpoint エージェントイベントログにオンボード関連のエラーがない場合は、次の手順に進み、追加のコンポーネントが正しく構成されていることを確認します。

診断データサービスが有効になっていることを確認する

注:

ビルド 1809 以降Windows 10、Defender for Endpoint EDR サービスは DiagTrack サービスに直接依存しなくなりました。このサービスが実行されていない場合でも、EDR サイバー証拠をアップロードできます。

デバイスが正しく報告されていない場合は、Windows 診断データサービスが自動的に開始され、デバイスで実行されていることをチェックする必要がある場合があります。サービスが他のプログラムまたはユーザー構成の変更によって無効になっている可能性があります。

まず、Windows の起動時にサービスが自動的に開始されるように設定されていることをチェックしてから、サービスが現在実行されていることをチェックする必要があります (そうでない場合は開始します)。

サービスが開始するように設定されていることを確認する

コマンドラインを使用して、Windows 診断データサービスのスタートアップの種類をチェックします。

デバイスで管理者特権のコマンドラインプロンプトを開きます。

a. [ スタート] をクリックし、「 cmd」と入力し、 Enter キーを押します。

b. [コマンドプロンプト] を右クリックして [管理者として実行] を選択します。
次のコマンドを入力して、Enter キーを押します。
```
sc qc diagtrack
```
サービスが有効になっている場合、結果は次のスクリーンショットのようになります。

START_TYPEがAUTO_STARTに設定されていない場合は、サービスを自動的に開始するように設定する必要があります。

コマンドラインを使用して、Windows 診断データサービスを自動的に開始するように設定します。

デバイスで管理者特権のコマンドラインプロンプトを開きます。

a. [ スタート] をクリックし、「 cmd」と入力し、 Enter キーを押します。

b. [コマンドプロンプト] を右クリックして [管理者として実行] を選択します。
次のコマンドを入力して、Enter キーを押します。
```
sc config diagtrack start=auto
```
成功のメッセージが表示されます。次のコマンドを入力して変更を確認し、Enter キーを押します。
```
sc qc diagtrack
```
サービスを開始します。コマンドプロンプトで、次のコマンドを入力し、 Enter キーを押します。
```
sc start diagtrack
```

デバイスにインターネット接続があることを確認する

Microsoft Defender ATP センサーでは、センサーデータをレポートし、Microsoft Defender for Endpoint service サービスと通信するために、Microsoft Windows HTTP (WinHTTP) が必要になります。

WinHTTP は、インターネット閲覧プロキシ設定やその他のユーザーコンテキストアプリケーションとは独立しており、特定の環境で使用できるプロキシサーバーを検出できる必要があります。

センサーにサービス接続があることを確認するには、「サービス URL へのクライアント接続の確認」で説明されている手順Microsoft Defender for Endpoint従います。

検証が失敗し、環境でプロキシを使用してインターネットに接続している場合は、「プロキシとインターネット接続の設定を構成する」トピックで説明されている手順に従います。

Microsoft Defenderウイルス対策がポリシーによって無効にされていないことを確認する

重要

以下は、2020 年 8 月 (バージョン 4.18.2007.8) 更新プログラムをまだ受け取っていないデバイスMicrosoft Defenderウイルス対策に適用されます。

この更新プログラムにより、Microsoft Defender ウイルス対策をシステムポリシーを使用してクライアントデバイスでオフにすることはできません。

問題: Microsoft Defender for Endpoint サービスはオンボード後に開始されません。

症状: オンボードは正常に完了しましたが、サービスを開始しようとするとエラー 577 またはエラー 1058 が表示されます。

解決策: デバイスがサードパーティのマルウェア対策クライアントを実行している場合、Microsoft Defender for Endpoint エージェントでは、早期起動マルウェア対策 (ELAM) ドライバーを有効にする必要があります。システムポリシーによってオフになっていないことを確認する必要があります。

ポリシーの実装に使用するツールに応じて、次の Windows Defender ポリシーがクリアされていることを確認する必要があります。
- DisableAntiSpyware
- DisableAntiVirus
たとえば、グループポリシーでは、次の値のようなエントリは存在しません。
- <Key Path="SOFTWARE\Policies\Microsoft\Windows Defender"><KeyValue Value="0" ValueKind="DWord" Name="DisableAntiSpyware"/></Key>
- <Key Path="SOFTWARE\Policies\Microsoft\Windows Defender"><KeyValue Value="0" ValueKind="DWord" Name="DisableAntiVirus"/></Key>

重要

disableAntiSpyware設定は廃止され、2020 年 8 月 (バージョン 4.18.2007.8) 更新プログラムの時点で、Microsoft Defenderウイルス対策のすべてのWindows 10 デバイスでは無視されます。

ポリシーをクリアした後、オンボード手順をもう一度実行します。
前のレジストリキーの値をチェックして、レジストリキー HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defenderを開くことによって、ポリシーが無効になっていることを確認することもできます。
注:

すべての Windows Defender サービス (wdboot、 wdfilter、 wdnisdrv、 wdnissvc、 windefend) は既定の状態である必要があります。これらのサービスの起動を変更することはサポートされていないため、システムの再イメージ化が強制される可能性があります。 WdBootとWdFilterの既定の構成の例:
- <Key Path="SYSTEM\CurrentControlSet\Services\WdBoot"><KeyValue Value="0" ValueKind="DWord" Name="Start"/></Key>
- <Key Path="SYSTEM\CurrentControlSet\Services\WdFilter"><KeyValue Value="0" ValueKind="DWord" Name="Start"/></Key>
Microsoft Defenderウイルス対策がパッシブモードの場合、これらのドライバーは手動 (0) に設定されます。

オンボーディングに関する問題のトラブルシューティング

注:

次のトラブルシューティングガイダンスは、Windows Server 2016以前のバージョンの Windows Server にのみ適用されます。

サーバーのオンボード中に問題が発生した場合は、次の検証手順に従って、考えられる問題に対処してください。

また、次のチェックが必要になる場合もあります。

タスクマネージャーの [プロセス] タブでMicrosoft Defender for Endpoint サービスが実行されていることを確認します。以下に例を示します。
イベントビューアー>Applications とサービスログ>Operation Manager を確認して、エラーがあるかどうかを確認します。
[サービス] で、Microsoft 監視エージェントがサーバー上で実行されているかどうかをチェックします。例えば、
Microsoft Monitoring Agent>Azure Log Analytics (OMS) で、ワークスペースをチェックし、状態が実行中であることを確認します。
ポータルの [デバイス] リストにデバイス が反映されていることを確認します。

新しく構築されたデバイスのオンボードの確認

オンボードが新しくビルドされたデバイスにデプロイされていても完了していない場合があります。

次の手順では、次のシナリオのガイダンスを提供します。

オンボードパッケージが新しく構築されたデバイスにデプロイされる
すぐに使用できないエクスペリエンス (OOBE) または最初のユーザーログオンが完了していないため、センサーが起動しない
エンドユーザーが最初のログオンを実行する前にデバイスがオフまたは再起動される
このシナリオでは、オンボードパッケージがデプロイされていても SENSE サービスは自動的に開始されません

注:

SENSE サービスを次のバージョン以降の Windows バージョンで開始するには、OOBE 後のユーザーログオンが不要になりました。Windows 10 Version 1809または Windows Server 2019、または Windows Server 2022 と 2021 年 4 月 22 日の更新プログラムロールアップ。 Windows 10バージョン 1909 と 2021 年 4 月の更新プログラムのロールアップ。 Windows 10バージョン 2004/20H2、2021 年 4 月 28 日の更新プログラムロールアップ。

注:

次の手順は、Microsoft Endpoint Configuration Managerを使用する場合にのみ関連します。 Microsoft エンドポイント Configuration Managerを使用したオンボードの詳細については、「Microsoft Defender for Endpoint」を参照してください。