MacのMicrosoft Defenderに赤い×が残った。拡張機能の許可で直した

Macのメニューバーに表示されるMicrosoft Defenderの盾アイコンと赤い× — 今回は、この赤い「×」が消えない状態から始まりました。

先に結論。登録済みでも、保護は動いていなかった

ポータルに端末が出ることと、Mac上で保護が動くことは別です。 今回の赤い「×」は、試用版そのものではありませんでした。

healthy は、Defender自身が出す「正常か」の結果です。ターミナルの「mdatp health --field licensed」は true でした。一方、「mdatp health」の healthy は false です。

システム拡張は、macOSがアプリにファイルや通信の監視を許す仕組みです。その拡張機能が、「activated waiting for user」（ユーザーの許可待ち）になっていました。

許可したあとは healthy が true、エラーは0件です。Defenderの版は 101.26072.0017 です。

管理画面の登録と、Mac上の拡張機能の許可は別 — 登録は済んでいても、拡張機能が許可待ちだと赤い×が残ります。

管理画面は正常に見えていた

Microsoft Defenderのポータルでは、次の状態でした。

登録デバイスは1台
オンボードされていない端末は0台
危険度「高」の端末は0台
高露出の端末は0台

ここだけ見ると、導入は終わっています。Macのメニューバーだけが、赤い「×」のままでした。導入の完了は、ポータルの台数ではなく、そのMacの healthy で見ます。

人数で数える契約の話は、Defender for Businessの記事です。今回は、入れたあとにMacが保護されているかの確認です。

アプリは「修正」のまま。下の欄はすべて緑だった

Defenderのアプリを開いたとき、画面上部には次が出ていました。

「Microsoft Defender の確認が必要です。詳細はこちら」
青い「修正」ボタン

一方、その下の「ウイルスと脅威の防止」では、次の3つはすべて緑のチェックでした。

現在の脅威はありません
ウイルスと脅威の防止の設定は、アクションは不要です
保護の定義は最新です

見た目だけでは、もう直っているように見えます。上部の修正指示と、メニューバーの赤い「×」は、healthy が false のあいだ消えませんでした。 「修正」を押しても、今回の原因であるシステム拡張の許可には進めず、表示はそのまま残りました。

ウイルス検知や定義ファイルの更新が問題ではないときは、アプリ内の案内だけでは足りないことがあります。ターミナルの「mdatp health」と、システム設定の拡張機能を見ます。

Microsoft Defenderアプリ上部に修正ボタンが残り、下の各項目は緑のチェックになっている画面 — 下は正常に見えても、上部の「修正」は残ることがあります。

試用版かどうかを、先にコマンドで見た

試用中だったので、最初はライセンスを疑いました。ターミナルで「mdatp health --field licensed」を実行すると、結果は true でした。

少なくともこのMacでは、試用版であることが赤い「×」の直接の原因ではありません。別の端末で false なら、拡張機能の前にライセンスを直します。true なら、次は healthy の中身を見ます。

healthyがfalseだった項目

全体は、ターミナルの「mdatp health」で見ます。今回、おかしかったのは次です。組織IDや端末IDは載せていません。

項目	許可の前
healthy	false
health_issues	no active event provider と network event provider not running
licensed	true
リアルタイム保護の設定	true
リアルタイム保護が使えるか	false
リアルタイム保護の仕組み	利用不可
ネットワーク監視	利用不可
定義ファイル	最新
フルディスクアクセス	有効

設定がオンでも、使える状態とは限りません。今回も、リアルタイム保護は「有効」と出ながら「利用不可」でした。定義ファイルとフルディスクアクセスは問題ありません。見る場所は、macOSのシステム拡張です。

Microsoftも、拡張や許可が足りないとき healthy が false になりうると説明しています。確認手順は、macOSの拡張機能のトラブルシューティングです。

拡張機能は、入っているのに許可待ちだった

登録状況は、「systemextensionsctl list」で見ます。Microsoft Defenderの2つが、どちらも「activated waiting for user」でした。

識別子	役割	今回の状態
com.microsoft.wdav.epsext	ファイルやプロセスの監視	許可待ち
com.microsoft.wdav.netext	ネットワークの監視	許可待ち

Microsoftの説明では、この表示はインストール済みで、利用者の承認を待っている状態です。動いているときは「activated enabled」になります。

詳細は、「mdatp health --details system_extensions」でも見られます。今回の結果は、次のとおりです。

ネットワーク拡張は、インストール済みで enabled が true
Endpoint Security拡張は、インストール済みで ready が false

enabled が true でも、health_issues にはネットワーク側が動いていないと出ていました。項目が1つ真でも、保護が動いていることにはなりません。

セキュリティ機能拡張とネットワーク機能拡張の2つを許可する — 両方をオンにしてから、healthyを見ます。

直したのは、システム設定の2つのスイッチ

このMacでは、アプリを入れ直さず、次の順で許可しました。画面の名前は、macOSの版で変わることがあります。同じクリックで必ず直る、とは書きません。見つからないときは、システム設定で「Defender」と検索します。

Appleメニューから「システム設定」を開く
「一般」の「ログイン項目と機能拡張」を開く
「Microsoft Defender 機能拡張」を開く
「セキュリティ機能拡張」と「ネットワーク機能拡張」をオンにする
「完了」を押す。管理者の確認や、ネットワークフィルタの許可が出たら、内容を見て承認する

この操作のあと、メニューバーの赤い「×」と、アプリ上部の「修正」の表示は消えました。

会社のMacで、IntuneやJamfなどの管理が入っている場合は、個人のスイッチでは許可できないことがあります。そのときは、端末の管理者に拡張の承認を依頼します。Microsoftが手動導入で求めているのも、システム拡張の承認と、必要なアクセス許可です。手順の全体は、手動展開のドキュメントにあります。

許可のあと、healthyはtrueになった

許可のあと、同じ「mdatp health」をもう一度実行しました。見るのは、赤い「×」が消えたことと、healthy が true になったことの両方です。

項目	許可の前	許可のあと
healthy	false	true
エラー	2件	0件
リアルタイム保護が使えるか	false	true
リアルタイム保護の仕組み	利用不可	Endpoint Security拡張
ネットワーク監視	利用不可	ネットワークフィルタ拡張
メニューバー	赤い「×」	警告なし
アプリ上部	「確認が必要」と「修正」	表示なし

定義ファイルは最新のまま、フルディスクアクセスも有効のままでした。

許可のあとも、次は無効のままでした。

振る舞いの監視
ネットワーク保護の強制
情報漏えい防止

基本のリアルタイム保護とは別の機能です。契約とポリシーで、使うかどうかを決めます。

このMacでは、別のネットワーク拡張も動いていました。今回のログだけでは、それが原因とは言えません。止めずに、Defender側の許可だけで赤い「×」は消えました。

同じ表示のときの順番

次の順で見ると、再インストールの前に原因が分かれます。

メニューバーの赤い「×」と、アプリ上部の「修正」表示を確認する
「mdatp health --field licensed」でライセンスを見る
「mdatp health」で healthy と health_issues を見る
「systemextensionsctl list」で許可待ちかを見る
セキュリティ機能拡張とネットワーク機能拡張を許可する
もう一度「mdatp health」を実行し、healthy が true かを確認する

コマンドの結果を人に渡すときは、組織ID、端末のID、ユーザー名を消します。

Windows側の更新、暗号化、バックアップは、1〜10人の設定と費用です。公開しているホームページのログイン画面は、この許可では減りません。サイト側はセキュリティの考え方です。