Windows Server 2025 / DefenderとWindowsファイアウォールを点検する

Windows Serverの基本保護は、更新、管理者の分離、マルウェア対策、接続範囲の制限を組み合わせます。現在値を確認して必要な例外だけを追加し、保護と役割の両方が機能するか確認します。

役割ごとの正常状態を記録する

DC、ファイルサーバー、Webサーバーは必要な通信が異なります。役割、アクセス経路、バックアップ、更新を記録します。一般用と管理用アカウントを分け、遠隔管理の接続元と必要なポートを明確にしてください。

セキュリティベースラインは検討の出発点です。説明のないレジストリ一式を全サーバーへ適用せず、版、役割への影響、戻し方を項目ごとに確認します。

Defenderの状態と鮮度を確認する

Get-MpComputerStatus | Select-Object AMRunningMode,AntivirusEnabled,RealTimeProtectionEnabled,AntivirusSignatureLastUpdated
Get-MpPreference | Select-Object ExclusionPath,ExclusionProcess,ExclusionExtension

アクティブ・パッシブなどの状態を意図した製品構成と照合します。Defender Antivirusの動作も確認します。エンジンと定義の更新経路を用意し、問い合わせ失敗は導入状態、権限、他製品との構成を調べます。

例外は公式の役割別要件と実際の必要性に限定します。全ドライブや全実行ファイルを除外して問題を回避しません。

プロファイルと有効な規則を調べる

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction,DefaultOutboundAction
Get-NetFirewallRule -PolicyStore ActiveStore | Where-Object Enabled -eq 'True' | Select-Object DisplayName,Direction,Action,Profile

Domain、Private、Publicはネットワーク認識に従います。ドメイン認識ができない場合はDNSと認証経路を調べ、単にPrivateへ変えて隠さないでください。ローカルとGPOの実効規則を確認します。

Windowsファイアウォールの案内に従い保護を維持します。待ち受け、プロトコル、ポート、接続元、適用プロファイルを分けて確認します。狭い許可を加えても別の広い許可は残ります。

実習用の一つの規則を作って戻す

隔離ドメインのFS1で、CLIENT1の現在IPからのICMPv4だけを許可します。CLIENT1のコンソールで値を確認し、規則名が未使用の場合に実行します。

$clientAddress = [ipaddress](Read-Host 'CLIENT1の現在のIPv4アドレス')
New-NetFirewallRule -Name 'Lab-ICMPv4-From-Client' -DisplayName 'Lab ICMPv4 from CLIENT1' -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress $clientAddress -Profile Domain -Action Allow

CLIENT1からping 172.24.50.20を試します。Domain限定なので現在のプロファイルと既存のICMP許可も確認してください。コマンドによる規則管理も参照します。

Remove-NetFirewallRule -Name 'Lab-ICMPv4-From-Client'

削除後も応答するなら別の許可がある可能性があります。失敗させる目的で関連規則をまとめて消さず、作成したものだけを戻します。

保護と必要なサービスを一緒に確認する

変更後は管理接続と、認証・DNS・共有・Webなど実際の役割を確認します。拒否ログは試験時刻と接続元を関連付けます。復旧では変更した例外やポリシーだけを元の記録と比較して戻します。

保護を止めたためにサービスが使えた状態では完了にしません。必要な通信を限定して設計し直し、コンソールとバックアップからの復旧経路を保ちます。