Microsoft Defenderポータルの使い方：各メニューの役割と毎週行う5つの確認

要点： Microsoft Defenderポータル（security.microsoft.com）は、Microsoft 365のセキュリティアラート、インシデント、メール保護、デバイス保護、レポート、ポリシーをまとめた単一の入口です。以前の名称はMicrosoft 365 Defenderでした。表示されるのは、契約しているライセンスに含まれるメニューだけです。毎週、インシデントとアラート、隔離と送信、アクションセンター、メールのセキュリティレポート、Secure Scoreの5つを確認します。

「Defenderポータルを見ておいて」と言われたばかりの情シス担当者向けに、どこを開き、何が重要かを整理します。読み終えると、各メニューの役割、必要なロール、繰り返せる週次の確認手順が分かります。メニュー名は2026年10月28日にMicrosoft Learnで確認しました。ポータルは頻繁に更新されるため、お使いの画面ではメニューの位置が少し違う場合があります。

ポータルとは何か、名称はどうなったか

Microsoft Defenderポータルは、組織全体の防御、検出、調査、対応を1か所に集めたものです。その裏側にあるMicrosoft Defender XDRが、Defender for Endpoint、Defender for Office 365、Defender for Identity、Defender for Cloud Appsなど、Microsoftのセキュリティ製品のシグナルを相関分析します。古い記事や多くの管理者は今も「Microsoft 365 Defender」と呼びますが、Microsoft Learnでは現在「Microsoft Defender portal」と表記されています。

覚えておくべき点が2つあります。

• ポータルには、契約に含まれる機能だけが表示されます。Defender for Office 365はあってもDefender for Endpointがなければ、メール関連の機能は見えますが、デバイス保護は見えません。
• Defenderが相関分析するのは、ライセンスを取得し、プロビジョニング済みのMicrosoftセキュリティ製品のシグナルです。ライセンスのない製品からはデータが入りません。

自社のライセンスを確認するには、Microsoft 365 E3・E5・EMSのセキュリティ機能比較をご覧ください。

サインインできる人

適切なロールを持つ職場アカウントでsecurity.microsoft.comを開きます。以下のページの多くでは、閲覧のみならSecurity ReaderかGlobal Reader、変更にはSecurity Administratorが使えます。できるだけ権限の小さいロールを選んでください。メールのポリシーのページにはOrganization Managementロールグループも使え、Defenderポータルには［Permissions］配下に独自の統合ロールベースアクセス制御（Unified RBAC）もあります。

ポータルの各メニュー

Home

セキュリティの状況をまとめたカードが並びます。Add cardsで表示内容を選べ、ガイド付きツアーもあります。

Investigation & response

• Incidents & alerts：アラートは個々の検出結果で、インシデントは関連するアラートをメール、デバイス、IDにまたがる1つの攻撃ストーリーにまとめたものです。毎日の作業キューになります。
• Hunting：Kusto Query Language（KQL）による高度なハンティング。クエリからカスタム検出ルールも作れます。
• Actions & submissions：Action center（アクションセンター）には、自動調査と自動対応が作成した調査とアクションが表示されます。Submissions（送信）は、メール、添付ファイル、URLをMicrosoftに送って分析してもらう画面で、ユーザーが迷惑メールやフィッシングとして報告したメールも確認できます。

Threat intelligence

• Threat analytics：活動中の攻撃者、新しい手口、脆弱性、マルウェアについてMicrosoftの研究者がまとめたレポートと、関連するインシデントです。

Email & collaboration

Defender for Office 365または組み込みのメール保護がある場合に通常表示されます。実際の表示はライセンスによって異なります。

• InvestigationsとExplorer：Plan 2のみ。Plan 1ではExplorerの代わりにReal-time detectionsがあります。
• Review：Quarantine（保留されたメールとファイルの管理者ビュー）、Restricted entities（制限されたユーザーやコネクタ）、Malware trends、Plan 2のAction center。
• CampaignsとThreat trackers：Plan 2のみ。
• Exchange message trace：メールの行き先を調べます。
• Attack simulation training：Plan 2のみ。
• Policies & rules > Threat policies：Preset Security PoliciesとConfiguration analyzer（Templated policies）、フィッシング対策・スパム対策・マルウェア対策・Safe Attachments・Safe Links（Policies）、Tenant Allow/Block List、Email authentication settings（DKIMとARC）、Advanced delivery、Enhanced filtering、Quarantine policies（Rules）。アラートポリシーもここにあります。

推奨値はExchange Online Protectionの設定、Plan 2限定の機能はDefender for Office 365 Plan 1とPlan 2の違いを参照してください。

ライセンスによって表示されるその他のメニュー

契約内容によって、さらにメニューが表示されます。Microsoft LearnのDefender for Endpointに関するページには、次のものが載っています。

• Assets > Devices：デバイスのインベントリ。
• Endpoints > Vulnerability managementとConfiguration management：ソフトウェアの脆弱性、推奨事項、デバイス構成の検出結果（Defender for Endpoint Plan 2には脆弱性管理のコア機能が含まれます）。
• IDやクラウドアプリに関するメニューは、Defender for IdentityやDefender for Cloud Appsのライセンスに依存します。ライセンスがなければ表示されません。

メニューの名称はライセンスやポータルのバージョンで多少異なるため、ご自身の画面で確認してください。

ReportsとSystem

• Reports > Email & collaboration > Email & collaboration reports：メールのセキュリティレポートとDefender for Office 365のレポート。
• System > Audit：監査ログの検索と、監査ログの保持ポリシー。
• System > Permissions：DefenderのUnified RBAC、Microsoft Entraのロール（ここでは閲覧のみ）、Email & collaborationのロール。
• System > Health：Service healthとMessage center。
• System > Settings > Microsoft Defender XDR：Defender XDRのインシデントメール通知、アラートの調整、Streaming API。Email & collaboration配下には、ユーザー報告の設定、ユーザータグ、Plan 2では優先アカウントの保護とTeams保護があります。

毎週行う5つの確認

1. Incidents & alerts。 Investigation & response > Incidents & alerts > Incidentsを開きます。重大度順に並べ、重大度が高いもの、複数のアラート元を持つアクティブなもの、担当者がいないものを見ます。新しいインシデントには担当者がいません。Manage incidentを開き、Assign toで担当を指定し（1ユーザーまたは1グループのみ）、StatusをActiveからIn progressに変え、完了したらResolvedを選んで解決メモを書きます。ClassificationはTrue positive、Informational, expected activity、False positiveから選びます。Microsoftは、インシデントケース（incident cases）が現在プレビューで、推奨される新しい使い方だと説明しています。ここで説明したのは従来のキューで、項目名は似ています。週末の目標は、担当者のいない重大度「高」のインシデントをゼロにすることです。
2. 隔離（Quarantine）と送信（Submissions）。 Email & collaboration > Review > Quarantineで、誤って保留された正規のメールを探し、安全ならリリースします。Actions & submissions > Submissionsでは、ユーザーが報告したメールを見直し、判定が誤っているものをMicrosoftに再送信します。同じ送信者やドメインが何度も保留されるなら、ポリシーを見直す合図です。
3. Action center。 Actions & submissions > Action centerを開き、自動調査と自動対応が作成した調査とアクションを確認します。保留中のものは見落とさないようにします。Defender for Office 365では、Action centerはPlan 2の機能なので、Plan 1ではメールについてこの確認は当てはまりません。
4. メールのセキュリティレポート。 Reports > Email & collaboration > Email & collaboration reportsを開きます。マルウェア、フィッシング、スパムの件数を先週と比べ、急な変化に注意します。
5. Secure Scoreと構成のドリフト。 security.microsoft.com/securescoreでMicrosoft Secure Scoreを開き、新しい推奨アクションを確認します。次にConfiguration analyzerのConfiguration drift analysis and historyタブで、誰が脅威ポリシーを変更し、その変更で防御が弱まっていないかを見ます。ドリフト分析には統合監査が有効である必要があります。Microsoft Secure Scoreを上げる方法もご覧ください。

月に一度はThreat intelligence > Threat analyticsも確認し、掲載されている脅威が自社に関係するかを考えます。

よくある失敗

1. アラートだけを見る。 アラートは断片です。それらをまとめたインシデントを起点にします。
2. 分類せずにインシデントを閉じる。 Microsoftは、インシデントを分類するとDefenderの検出が時間とともに改善されると説明しています。
3. ポータルの担当者がいない。 担当者と代理を決め、週次の確認をカレンダーに入れます。
4. Plan 1でPlan 2のページを期待する。 Explorer、Campaigns、Threat trackers、Attack simulation training、InvestigationsはPlan 2のみです。メニューが見えない場合は、対応するライセンスがないことが多いです。
5. 閲覧のためにGlobal Administratorを全員に付与する。 閲覧だけならSecurity ReaderかGlobal Readerにします。
6. 構成のドリフトを無視する。 善意の変更でポリシーが静かに弱くなっても、アラートは出ません。

動作の確認方法

1. 指名した担当者がsecurity.microsoft.comにサインインし、毎週の5ページを開ける。
2. インシデントキューに、1週間以上担当者がいない重大度「高」のインシデントがない。
3. Quarantineのページで、直近にリリースした3通がなぜリリースされたかを説明できる。
4. ドリフトのタブで、直近のポリシー変更を誰が行ったか確認できる。
5. 対応が不要だった場合も含め、週次の確認が記録されている（「今週は対応なし」の一行で構いません）。

FAQ

Microsoft Defenderポータルはありますか。

あります。security.microsoft.comで、以前の名称はMicrosoft 365 Defenderです。Defender XDRとその他のMicrosoftセキュリティサービスを1か所にまとめています。

Microsoft 365 DefenderポータルのURLは何ですか。

security.microsoft.comです。Configuration analyzerはsecurity.microsoft.com/configurationAnalyzer、Secure Scoreはsecurity.microsoft.com/securescoreに直接アクセスできます。

Microsoftのセキュリティチームからのメールが本物かどうか、どう見分けますか。

これはMicrosoftの機能ではなく一般的な注意点です。予期しないメール内のリンクからサインインしないでください。自分でsecurity.microsoft.comを入力するか、Microsoft 365管理センターを開き、同じメッセージやアラートがそちらにあるか確認します。

Defender for Endpoint Plan 1とPlan 2の違いは何ですか。

Plan 1は、次世代マルウェア対策、攻撃面の縮小ルール、デバイス制御、ファイアウォール、ネットワーク保護といった中核のエンドポイント保護を提供します。Plan 2はそこにEDR、自動調査と修復、脆弱性管理、脅威分析、サンドボックスが加わります。

ポータル上で、Defender for Office 365のPlan 1とPlan 2はどう違いますか。

Plan 1にはSafe Attachments、Safe Links、Real-time detectionsがあります。Plan 2ではThreat Explorer、Campaigns、Threat trackers、自動調査と自動対応、Attack simulation trainingが加わります。

関連記事：Microsoft 365セキュリティチェックリスト。

これらのページを毎日チームに見てもらいたい場合は、セキュリティオペレーションセンター（SOC）サービスをご覧ください。

着手前に本格的な監査の料金を知りたい場合は、Microsoft 365 セキュリティ監査の費用で人数別の固定料金をまとめています。