Trend Micro Apex Oneセキュリティエージェントを使用している環境において、インストール時にMicrosoft Defenderが無効化となり、Windowsセキュリティの「ウイルスと脅威の防止」に「Trend Micro Apex Oneウイルス対策が有効になっています」という表示になるはずが、Microsoft Defenderが有効となっている表示となる。

Question

【使用環境】

エディション：Windows Server 2022

バージョン：21H2

OSビルド：20348.2582

インストール済み更新プログラム：KB5040437,KB5039889,KB5040571,KB5034439,KB5014856

ウイルス対策ソフトウェア：Trend Micro Apex One（セキュリティエージェント）

Apex Oneのバージョン：14.0.12932、14.0.12980

【症状（問題点）】

Apex one セキュリティエージェントをインストール後、Windowsセキュリティの

「ウイルスと脅威の防止」に「Trend Micro Apex Oneウイルス対策が有効になっています」

という表示に切り替わらない。Microsoft Defenderが有効時と同じ表示になっている。

また、Apex Oneをインストールしているにもかかわらず、Microsoft Defender Antivirus の

セキュリティインテリジェンス更新プログラムが配信されてしまう。

※Trend Micro技術窓口曰く、通常であればインストール後にMicrosoft Defenderが

　自動的に無効となり、Windowsセキュリティの「ウイルスと脅威の防止」画面では

　「Trend Micro Apex Oneウイルス対策が有効になっています」という表示に

　切り替わる仕様である、とのこと。（添付画像参照）

【Trend Micro技術窓口よりご提示頂いた確認作業内容】

・サービス「Apex One NT WSC Service」の起動有無

→状態は「実行中」であり、スタートアップの種類は「自動」であった。(動作としては正常)

※Apex One NT WSC Serviceが起動していない場合にMicrosoft Defender が起動する場合がある

　とTrend Micro技術窓口より案内をいただき、確認したが、Apex One NT WSC Serviceは

　「実行中」であり、スタートアップの種類は「自動」であったため、問題なし。

※サービス「Apex One NT WSC Service」は、Windows セキュリティセンターへ

　Apex One エージェントの情報を通知する動作を担っているとのこと。

　本サービスが起動しないことで Windows 上ではセキュリティ対策製品が

　インストールされていると判断できず、Microsoft Defender が起動する動作に

　つながってしまうとのこと。

・Microsoft Defender無効化

→「ウイルスと脅威の防止」の画面に、「ウイルス対策プロバイダーがアクティブに

　なっていません。デバイスは脆弱な状態です。」と表記されており、

　切り替わってはいなかったため、改善せず。

※無効化の手順については、「https://news.trendmicro.com/ja-jp/2023-05-31-article-microsoftdefender-turnoff/」の「Microsoft Defenderを完全に無効化する方法」を参照した。

また、Microdsoft Defender Antivirusのセキュリティインテリジェンス更新プログラムについては

Microsoft Defenderを無効にしたためか、配信されなくなりました。

・Microsoft Defender無効化状態にて、eicarファイルを用いたウイルス検知テストの実施

→正常にApex Oneにてファイル検知され、自動でファイル削除された。

※Apex Oneが正常に動作しているかについては、Microsoft Defender無効化状態にて

　eicarファイルでウイルス検知テストを実施したところ、正常にウイルス検知され、

　自動でファイル削除されたことで正常に動作していると判断しました。

・Apex one セキュリティエージェントの再インストール

→Microsoft Defender有効化状態、無効化状態にて試したが、症状改善されず。

【確認結果】

Trend Micro技術窓口へ問い合わせ、ご提示頂いた確認作業の結果、

Apex Oneの機能としては有効であるが、Microsoft Defenderも有効となっており、

手動で無効化する必要がある。

また、Microsoft Defenderが自動無効化されない症状はOS側に問題がある

可能性が高い。

以上により、Trend Micro技術窓口よりMicrosoft社側へ調査依頼をしていただきたい

と要望がありました。

【質問事項】

つきましては以下質問事項にご回答お願いいたします。 

・Microsoft Defenderが無効状態かつ、Apex Oneが有効な状態にもかかわらず

「ウイルスと脅威の防止」に「ウイルス対策プロバイダーがアクティブになっていません。

デバイスは脆弱な状態です。」と表記される理由

・どのようにすれば「ウイルスと脅威の防止」に「Trend Micro Apex Oneウイルス対策が有効になっています」と表示されるのか

以上。

宜しくお願いいたします。

Answer 1

トレンドマイクロでも現象が再現できるのであれば、あなたの環境に問題の原因がある訳では無いので、この問題はトレンドマイクロと Microsoft が協力して解決すべき問題です。あなたが顧客として何かできるというものではなありません。

一次的にはトレンドマイクロの問題なので、トレンドマイクロの対応に満足できないのであれば、トレンドマイクロの製品の利用を止めるしかないでしょう。

Answer 2

セキュリティソフトをインストールした場合にDefenderを無効化するのはセキュリティソフト側で制御されていると思います。

個別環境の問題ではなく他のPCでの再現性が認められたということであれば、ユーザー側で対処するというようTrend Micro側で対処していく問題だと思います。

もっとも、セキュリティソフトメーカーはマイクロソフトからDefenderの技術仕様にかかる情報をある程度は提供されていて、それに基づいた仕様にしているとか相互に連携している部分があるのかもしれませんが、詳細については分かりません。

セキュリティソフトをインストールしてもDefenderはアンインストールされるわけではなく無効化されるだけで機能は残されています。

McAfeeや前の投稿のリンク先の質問者が使っているSentinelOneではDefenderの定期スキャンのオン・オフの設定が可能ですし、McAfeeでは以前は無効化されていたファイアウォールが「高度なファイアウォール」となりDefenderと併用されています。

Edgeの設定（プライバシー、検索、サービス）の「Microsoft Defender SmartScreen」でもオン・オフの設定が可能です。

また、ずいぶん前のことなので記憶はあいまいですが、トレンドマイクロでも一部機能は併用可能であったようです（根拠は不明で内容は正確ではないかもしれません）。

下のスレッドを参考にしてください。

＜「Windowsファイアウォール」機能との併用について＞のリンクは切れてしまっていますが、トレンドマイクロの企業版セキュリティソフトの情報で併用可能との説明があったように思います（記憶はかなり曖昧です）。

回答の下にある＜返信数(9) Ｖ＞をクリックして質問者の投稿を確認すると、トレンドマイクロから次のような回答があったということです。

下の２つ目のスレッドでも同様の回答があったようです（McAfeeの高度なファイアウォールとよく似ています）。

　＜トレンドマイクロ・ウイルシバシタークラブセンターと確認結果

　１、ファイアウオールはウイルスバスターと併用することは問題なし

　２、 ファイアウォールチューナーは 、WindowsファイアウォールにはないIDS(侵入検知システム)機能と、ネットワークウイルスからの防御を提供している機能で、Windowsファイアウォールと併用することでより高いセキュリティを保つことが可能＞

　　WindowsDefenderを完全無効化するには

　　defenderとfirewallの併用について

Apex Oneは使っていないので確認できませんが、Defenderの定期スキャンのオン・オフの設定、Defenderファイアウォールの無効化状態、EdgeのSmartScreenの設定を確認していけば、Defenderの機能は完全には無効化されていないことが確認できるのかもしれません。

解決につながる情報は提供できませんでしたが、他社製品では問題なくできていることなので、トレンドマイクロが実態を把握できていれば改善されることが期待できると思います。

マイクロソフト側での対応も考えられますが、こちらはあまり期待できそうにありません（あくまで個人的な感想です）。

Answer 3

この応答は自動的に翻訳されています。これにより、文法上の誤りや奇妙な言い回しが発生する可能性があります。

こんにちは

たぶん、このテストもできるでしょう。

Apex OneとDefenderを完全にアンインストールしてから、Windows Defenderを再度再インストールします。Windows Defenderのみを使用して、動作を監視してみてください。

また、Apex OneとDefenderを完全にアンインストールしてから、Apex Oneを再インストールします。Apex Oneのみを使用してみて、動作を監視します。

よろしくお願いいたします

モリー

Answer 4

本件についてTrend Micro技術窓口より、補足がありました。

前提として、Trend MicroのWindows Server プラットフォームでは、

サーバー役割と機能で「Microsoft Defenderウイルス対策」をインストールしておらず、

そのサーバー構成が正しいとのことでした。

また、Trend Micro技術窓口からは「Apex Oneを運用する場合にはDefenderの無効化を推奨しており、

無効化の方法についてはMicrosoft社へお問い合わせ下さい。」とご案内されましたが、

実際にはDefenderの無効化ではなく、Defender機能自体を削除してからApexOneをインストールするのが正しいインストール方法でした。

※Trend Micro技術窓口曰く、Apex Oneインストール前にWindows Defenderの機能を

　停止できるのであればアンインストール、無効化、どちらでも問題ないとのことです。

よって、Defenderの無効化は様々ありますが、

Windows Server プラットフォームでApexOneを運用する場合は

予めサーバーの役割と機能よりDefender機能を削除してから、Apex Oneをインストールすることが正規の運用方法ということですね。

しかしながら、本事象の表示問題については解決していなかったため、

Trend Microへお伝えしたところ、

今後どういった利用環境であっても、ウイルスと脅威の防止画面で

「Trend Micro Apex Oneウイルス対策が有効になっています」と表記されるような仕様に

変更できるよう社内で改善をご検討するとのことです。

ひとまず本件はクローズします。

これまで質問にご丁寧にご対応くださりありがとうございました。

Answer 5

私ならこうする、という話です。

1. まずトレンドマイクロのサポートの支援を受けて、Apex One を完全に削除します。
2. その状態で Windows Defender やセキュリティセンターの動作が（少なくとも見かけ上）問題ないことを確認します。
3. 次に、可能である限りのプロセス（常駐アプリ、サービス）を停止した状態で Apex One のインストールを行います。
4. 問題が改善しているか確認します。