想定読者
・Microsoft Defender for Endpoint（MDE）の設計や導入に関わる方
・Microsoft Defender Antivirus（MDAV）のパターンファイル更新や配布方式について理解したい方
・更新方式の選択や設計判断に悩んでいる方
本記事は 2026年6月時点の公開情報をもとに整理しています。
最新情報は必ず公式ドキュメントを確認してください。
はじめに
Microsoft Defender for Endpoint（MDE）を導入する際、オンボーディングやポリシー設定に注目が集まりがちですが、Microsoft Defender Antivirus（MDAV）のパターンファイル配布方式の設計も重要なポイントです。MDEの設計・導入を進めていると、MDAVのパターンファイル更新について質問を受けるケースが少なくありません。
MDAVのパターンファイル更新は、
- どこから取得するか （更新元）
- どの順でフォールバックするか （優先順位）
といった複数の設計要素によって成り立っており、更新元・優先順位・ネットワーク制約・運用設計が絡むため、意外と理解が難しい領域です。本記事では、複数の導入経験をもとに、パターンファイル配布方式の選択と設計判断のポイントを整理します。
※ 本記事では現場で通じやすいように「パターンファイル」と表現しますが、正式には MDAV の「セキュリティ インテリジェンス」を指します。
補足：Defender更新プログラムの整理（前提知識）
セキュリティインテリジェンス（パターンファイル）の更新とは別に、Defenderには製品としての更新プログラムも存在します。少し分かりにくい部分のため、ここで整理しておきます。主に関係する更新は以下の3つです。
- プラットフォームの更新
- エンジンの更新
- セキュリティインテリジェンスの更新
プラットフォームは、Defenderの基盤となる機能やコンポーネント全体に関わる更新です。エンジンは、マルウェアの検知・スキャン処理を行うコアロジックに関わる更新です。セキュリティインテリジェンスは、マルウェア定義（いわゆるパターンファイル）に相当する更新です。
これらはそれぞれ独立したバージョンを持ち、異なる頻度でリリースされます。
- プラットフォーム／エンジン：月次程度でリリース
- セキュリティインテリジェンス：1日に複数回配信されることもある
本記事で扱っているのは、これらのうち「セキュリティインテリジェンスの更新（パターンファイル）」に関する内容となります。
Defenderのパターンファイル配布方式の選択肢
MDAVのパターンファイル更新は、複数の取得方式が用意されており、環境に応じて選択することが可能です。主な取得方式は以下の通りです。
Windowsの場合
Windowsでは、以下の更新ソースを利用することができます。
- Microsoft Update（インターネットからの直接取得）
- WSUS（Windows Server Update Service）
- ネットワークファイル共有
- Microsoft Configuration Manager
これらは単一で利用するだけでなく、優先順位（フォールバック順序）を設定して組み合わせて利用することも可能であり、環境や運用要件に応じた設計が求められます。
参考 Microsoft Defender ウイルス対策が更新プログラムを受け取る方法と場所を管理する - Microsoft Defender for Endpoint | Microsoft Learn
Linuxの場合
Linuxでは、以下のいずれかの構成となります。
- インターネットからの直接取得
- ミラーサーバによる配布
Windowsと比較すると選択肢はシンプルで、「インターネットからの直接取得」または「ミラーサーバからの配布」のいずれかで設計することになります。
補足：ミラーサーバによる配布
インターネット接続が制限されているクライアント環境では、ローカルにミラーサーバを構築し、ミラーサーバ側でインターネットからパターンファイルを取得し各端末に配布する構成が提供されています。
※Linuxにおけるミラーサーバは、中継というよりも「オフライン対応や配布経路の制御」を目的とした構成となります。
配布方式の設計例（実案件ベース）
実際の導入では、要件や環境に応じてこれらの方式を選択します。以下に具体例を紹介します。
①NW帯域を考慮した配布方式の設計例
要件
本ケースでは、以下の要件を考慮して設計を行いました。
- クライアント台数が多く、パターンファイル更新によるNW帯域への影響が懸念されていた
- インターネットへの直接接続を極力抑えたいという方針があった
構成
上記の要件を踏まえ、以下の構成としました。
- Windowsサーバ・クライアント：ネットワークファイル共有
- Linuxサーバ：インターネットからの直接取得
採用理由
本構成とした主な理由は以下の通りです。
- 組織としてWSUSを廃止する方針であり、WSUSに依存しない構成が求められていた。
- インターネットへの直接アクセスを抑制しつつ、中継配布を実現する必要があった。
- Linuxサーバは台数が限定的であり、パターンファイル更新によるネットワーク帯域への影響が小さいと想定されたため、インターネットからの直接取得とした。
構成の詳細と設計上のポイント
ネットワークファイル共有による配布は、WSUSと比べてイメージしづらい部分があります。 ここでは実際の構成を簡単に紹介します。
本構成では、ファイル共有サーバ側でMicrosoftが提供するPowerShellスクリプトを定期実行し、インターネット（Microsoft Update）からパターンファイルを取得します。 取得したパターンファイルは共有フォルダ上に配置され、各端末はこの共有フォルダを参照して更新を行います。このように、「インターネット → 共有フォルダ → 各端末」というシンプルな経路で配布を行う構成となります。
※なお、パターンファイル更新の通信量は比較的小さいため、環境によっては大きな影響とならないケースもあります。
②WSUS環境を前提とした配布方式の設計例
要件
本ケースでは、以下の要件を考慮して設計を行いました。
- 既存システムの更改に伴い、システム全体の構成や運用方式との整合性を考慮する必要がある
- クライアントはVDI（AVD）環境であり、セッションやプロファイル管理の影響を受ける構成である
構成
上記の要件を踏まえ、以下の構成としました。
- Windowsサーバ・クライアント：WSUS（Windows Server Update Service）
採用理由
本構成とした主な理由は以下の通りです。
- パターンファイル更新以外にもWSUSを利用する前提のシステムであったため。
- WSUSは新機能開発こそ終了しているものの、セキュリティ更新は継続されるため、現時点で運用上の支障はないと判断したため。
構成の詳細と設計上のポイント
設計にあたっては、想定していた挙動と実際の動作に差異が見られた点がポイントとなりました。フォールバック構成において、環境による挙動差が確認されました。
Windowsサーバ／クライアントともに、当初はWSUSを優先としつつ、取得できない場合にはインターネットからの直接取得へフォールバックする構成を想定していました。
その動作を検証したところ、同一構成であるにもかかわらず、サーバ／クライアントで挙動に差異が見られました。Windowsサーバでは正常にフォールバックが機能しましたが、Windowsクライアントでは、同様の条件でもインターネットからの直接取得へ切り替わらない状態となりました。
調査の結果、以下の点が影響している可能性が示唆されました。
- FSLogixなどのプロファイル管理システムとの競合の可能性
- VDI環境におけるプロファイル管理など、環境依存による挙動への影響
これらの問題については継続調査が必要な状況でしたが、本ケースでは運用開始までの期間や安定稼働の重要性を踏まえ、挙動の一貫性や予測可能性を重視しました。その結果、当初想定していた「WSUS＋インターネットフォールバック」の構成は採用せず、WSUSからの取得に限定することで、安定した運用を優先しました。
配布方式設計でつまずきやすいポイント
これまで見てきた通り、パターンファイルの配布方式には複数の選択肢が存在しますが、単に方式を選択するだけでは十分とは言えません。実際の設計・導入を通じて、以下のような難しさがあると感じています。
① 想定と実際の挙動の差異
・設計上は意図した通りに動作する前提で構成を組みますが、実際には環境や各種設定・条件によって挙動が変わるケースがあります。
「設定上可能か」ではなく、「実際にどのように動作するか」を前提とした設計が重要です。特定の環境でのみ発生する問題もあり、一般的な知見だけでは判断できないケースがあるため、事前検証や実環境での確認が重要となります。
② 既存インフラと将来性のバランス
・既存のWSUSなどのインフラがある場合、それを前提とした設計が求められる一方で、将来の運用や方針を踏まえた見直しも必要となります。
「既存を活かす」か「将来を見据えて変える」かは、要件や状況に応じて判断すべきポイントとなります。
③ 構成のシンプルさと複雑さのトレードオフ
・中継構成や複数経路を持たせることで柔軟性は高まる一方で、構成が複雑になることで挙動のばらつきや運用負荷が増加する場合があります。
必ずしも機能的に多い構成が最適とは限らず、シンプルで一貫した構成の方が有効なケースも多いと考えられます。
④ 組織・運用面での制約
・クライアント環境（マスターイメージ等）を別チームが管理している場合、設定変更や配布方式の見直しには関係部署との調整が必要となります。
技術的な最適解だけでなく、実現可能性（変更のしやすさ・調整コスト）も含めた設計判断が求められます。
これらを踏まえると、配布方式の設計は「どの方式を選ぶか」ではなく、「どの前提条件のもとで何を優先するか」を決めるプロセスであると考えられます。
なお、具体的な設定方法や更新の仕組みの詳細については、以下の資料が参考になります。
参考 Windows デバイスの Microsoft Defender ウイルス対策(MDAV) のセキュリティインテリジェンス(定義ファイル)更新設定について
おわりに
Defenderのパターンファイル配布は、複数の選択肢があり、一見すると機能や構成の違いで判断できるように見えます。しかし実際の導入や運用の現場では、
- 環境依存による挙動差
- 既存インフラや運用方針
- 構成のシンプルさと運用性
といった複数の要素が絡み合い、「正解が一つではない」領域であることを実感しました。
配布方式の設計は「どの方式を選ぶか」ではなく、「どの前提のもとで何を優先するか」を決めるプロセスです。
そのうえで、こうした前提や制約を踏まえて検討を行った結果として、特別な要件がない場合は、Microsoft Updateによる直接取得が最もシンプルで安定するケースが多いというのが実務を通じた実感です。
本記事が、配布方式設計を検討する際の一助となれば幸いです。
We Are Hiring!