知識マップ: 自社開発のWindowsアプリがウイルス扱いされたら ── Microsoft Defenderの誤検知対応と、性能影響との付き合い方
記事「自社開発のWindowsアプリがウイルス扱いされたら ── Microsoft Defenderの誤検知対応と、性能影響との付き合い方」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。
この記事は、自社開発のWindowsアプリがMicrosoft Defenderに誤検知される問題を、機械学習とクラウド保護による予測型の検知モデル、そしてUnknownカテゴリの扱いから説明する。難読化や自己解凍・同梱パッケージングは望ましくないアプリケーション分類の手がかりと重なり誤検知を招きやすく、信頼された認証局の証明書による一貫したコード署名がその軽減策になる。誤検知の恒久対応はサンプル申請ポータルへの提出で、隔離されたファイルはMpCmdRun.exeやイベントID1116/1117のログ確認を経て復元できる。除外設定は保護レベルの低下を伴う一時対応にとどめ、性能問題はPerformance analyzerで計測したうえでDev Driveのパフォーマンスモードやスキャン負荷の軽減で対処する。
flowchart LR
accTitle: Defender誤検知対応の知識マップ
accDescr: Microsoft Defenderの機械学習・クラウド保護ベースの検知が実績ゼロのバイナリや難読化された構造をどう疑うか、サンプル申請ポータルへの報告と隔離復元という正規の対処、除外設定が保護レベルの低下を伴う一時対応であること、性能問題をPerformance analyzerとDev Driveのパフォーマンスモードで扱う流れを示す図
windows_defender_antivirus["Microsoft Defender ウイルス対策"]
false_positive_detection["誤検知(false positive)"]
ml_based_detection["機械学習ベースの検知モデル"]
cloud_protection["クラウド保護"]
unknown_software_category["Unknown(認識されないソフトウェア)カテゴリ"]
obfuscation["難読化(オブファスケーション)"]
pua_classification["望ましくないアプリケーション(PUA)分類"]
code_signing_cert["コード署名証明書"]
mpcmdrun["MpCmdRun.exe"]
sample_submission_portal["サンプル申請ポータル"]
quarantine["隔離(quarantine)"]
quarantine_restore["隔離からの復元"]
event_1116_1117["検知/処置イベント(ID 1116/1117)"]
get_winevent["Get-WinEvent"]
caro_naming["CARO命名規則"]
exclusion_setting["除外設定(フォルダー除外)"]
reduced_protection["保護レベルの低下"]
defender_for_endpoint["Microsoft Defender for Endpoint(EDR)"]
msmpeng["MsMpEng.exe(Antimalware Service Executable)"]
antivirus_minifilter["ウイルス対策ミニフィルター"]
scan_performance_cost["スキャンによる性能コスト"]
performance_analyzer["Performance analyzer"]
dev_drive["Dev Drive"]
defender_performance_mode["パフォーマンスモード(open now, scan later)"]
cpu_throttling_setting["スキャンのCPU使用率上限(-CpuThrottling/ScanAvgCPULoadFactor)"]
windows_defender_antivirus -->|"利用する"| ml_based_detection
windows_defender_antivirus -->|"利用する"| cloud_protection
unknown_software_category -.->|"原因になり得る"| false_positive_detection
obfuscation -.->|"原因になり得る"| false_positive_detection
windows_defender_antivirus -->|"利用する"| pua_classification
code_signing_cert -->|"軽減する"| false_positive_detection
windows_defender_antivirus -->|"で構成できる"| mpcmdrun
mpcmdrun -.->|"軽減する"| false_positive_detection
sample_submission_portal -->|"推奨される対応"| false_positive_detection
false_positive_detection -.->|"原因になり得る"| quarantine
mpcmdrun -->|"利用する"| quarantine_restore
event_1116_1117 -->|"で確認できる"| get_winevent
false_positive_detection -.->|"で確認できる"| event_1116_1117
event_1116_1117 -->|"利用する"| caro_naming
exclusion_setting -.->|"推奨される対応"| false_positive_detection
exclusion_setting -->|"原因になり得る"| reduced_protection
defender_for_endpoint -->|"軽減する"| false_positive_detection
windows_defender_antivirus -->|"利用する"| msmpeng
msmpeng -->|"利用する"| antivirus_minifilter
antivirus_minifilter -.->|"原因になり得る"| scan_performance_cost
scan_performance_cost -.->|"で確認できる"| performance_analyzer
dev_drive -->|"利用する"| defender_performance_mode
defender_performance_mode -->|"軽減する"| scan_performance_cost
dev_drive -->|"推奨される対応"| scan_performance_cost
cpu_throttling_setting -.->|"軽減する"| scan_performance_cost
概念間の関係(全25件)
図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。
- Microsoft Defender ウイルス対策は機械学習ベースの検知モデルを利用します。
- Microsoft Defender ウイルス対策はクラウド保護を利用します。
- Unknown(認識されないソフトウェア)カテゴリは誤検知(false positive)の原因になることがあります。
- 難読化(オブファスケーション)は誤検知(false positive)の原因になることがあります。
- Microsoft Defender ウイルス対策は望ましくないアプリケーション(PUA)分類を利用します。
- コード署名証明書は誤検知(false positive)を軽減します。
- Microsoft Defender ウイルス対策はMpCmdRun.exeで構成できます。
- MpCmdRun.exeは誤検知(false positive)を軽減します。
- サンプル申請ポータルは誤検知(false positive)に対する本記事の推奨です。
- 誤検知(false positive)は隔離(quarantine)の原因になることがあります。
- MpCmdRun.exeは隔離からの復元を利用します。
- 検知/処置イベント(ID 1116/1117)はGet-WinEventで確認できます。
- 誤検知(false positive)は検知/処置イベント(ID 1116/1117)で確認できます。
- 検知/処置イベント(ID 1116/1117)はCARO命名規則を利用します。
- 除外設定(フォルダー除外)は誤検知(false positive)に対する本記事の推奨です。
- 除外設定(フォルダー除外)は保護レベルの低下の原因になることがあります。
- Microsoft Defender for Endpoint(EDR)は誤検知(false positive)を軽減します。
- Microsoft Defender ウイルス対策はMsMpEng.exe(Antimalware Service Executable)を利用します。
- MsMpEng.exe(Antimalware Service Executable)はウイルス対策ミニフィルターを利用します。
- ウイルス対策ミニフィルターはスキャンによる性能コストの原因になることがあります。
- スキャンによる性能コストはPerformance analyzerで確認できます。
- Dev Driveはパフォーマンスモード(open now, scan later)を利用します。
- パフォーマンスモード(open now, scan later)はスキャンによる性能コストを軽減します。
- Dev Driveはスキャンによる性能コストに対する本記事の推奨です。
- スキャンのCPU使用率上限(-CpuThrottling/ScanAvgCPULoadFactor)はスキャンによる性能コストを軽減します。
主要概念の定義
機械可読データ
このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。