マイクロソフトがWindowsカーネルからウイルス対策ソフトを削除 ― なぜそれが重要なのか

• マイクロソフトは、システムの安定性を向上させ、クラッシュのリスクを最小限に抑えるため、ウイルス対策ツールとエンドポイント検出ツールをWindowsカーネルから分離する。
• この変更により、セキュリティソフトウェアがユーザーモードで隔離され、2024年のCrowdStrike事件のように、大量のブルースクリーンエラーが発生する事態を防ぐことができます。
• Microsoft Defenderおよびサードパーティ製のウイルス対策ツールは、引き続き通常どおり動作しますが、より安全で管理された環境で動作します。

マイクロソフトは、アンチウイルス（AV）およびエンドポイント検出・対応（EDR）ソフトウェアの動作方法を再構築するため、これらの機能をWindowsカーネルから分離する。この変更はプライベートプレビュー段階に近づいており、より大規模なWindowsレジリエンスイニシアチブの一環である。これは、2024年に発生したCrowdStrikeの攻撃のように、カーネルレベルのアップデートの不具合によって数百万台のシステムが使用不能になったような、重大なシステム障害を最小限に抑えるための長期戦略である。

マイクロソフトがこの変更を行う理由

従来、ウイルス対策ツールやEDRツールは、プロセス、メモリ、ドライバへの完全なアクセス権を取得するために、カーネル（Windows 11、10、およびそれ以前のバージョンの特権コア）の奥深くで動作していました。これは、高度な脅威を検出する上で効果的であった一方で、カーネルのバグや不適切なアップデートによってシステム全体がクラッシュする可能性があるため、CrowdStrikeの事件のように、これらのツールが恐ろしい存在でもありました。

マイクロソフトは、AV/EDRツールをユーザーモードで分離することで、重要なシステムコンポーネントへのアクセスを制限しています。つまり、ウイルス対策エンジンが正しく動作しなかった場合でも、コンピュータがクラッシュする可能性が大幅に低くなります。

一般消費者にとっての意味とは

Windows 11の一般ユーザーにとって、この移行はほとんど意識されないでしょう。これは良いことです。Microsoft Defenderウイルス対策ソフト（またはその他のサードパーティ製ウイルス対策ソフト）は引き続き動作し、ノートパソコン、タブレット、デスクトップパソコンは保護されたままです。ただし、より安全で管理された環境でバックグラウンドで動作するようになります。

Microsoft Defenderをアンインストールすることは可能でしょうか？簡潔に言うと、現時点ではできません。Microsoft Defenderは、特にサードパーティ製のウイルス対策ソフトをインストールしないユーザーにとって、オペレーティングシステムのデフォルトのセキュリティコンポーネントとして残ります。しかし、Defenderをカーネルから分離することで、モジュール性の向上につながる可能性があります。将来的には、システムの整合性を損なうことなく、デフォルトのウイルス対策ソフトを無効化または置き換えることが容易になるかもしれません。

もう一つ重要な点は、ウイルス対策ソフトのアップデートが失敗した場合でも、システムの他の部分は保護されるため、ブルースクリーンエラーの発生頻度が減るということです。

さらに、このソフトウェア大手は「クイックマシンリカバリ」と呼ばれる新機能の開発に取り組んでおり、ネットワーク管理者が起動不能になったデバイスをより迅速に復旧できるようにする。これは、CrowdStrikeのカーネルクラッシュによって引き起こされた混乱への直接的な対応策である。この機能は、組織だけでなく一般ユーザーにも提供される予定だ。

企業にとっての意味とは

企業やプロフェッショナルにとっても、これは歓迎すべき変化です。カーネルレベルのウイルス対策システムは、アップデートの失敗、ドライバの競合、互換性チェックの漏れなど、常にリスクを抱えており、数千台のマシンが一瞬にしてダウンする可能性がありました。今回のアーキテクチャ変更により、サードパーティ製のセキュリティツールがオペレーティングシステムの重要なレイヤーから分離されるため、組織はシステム障害に対する脆弱性が低減され、復旧が容易になります。

マイクロソフトは既に、CrowdStrike、Bitdefender、Sophos、Trend Micro、ESETなどのパートナー企業と協力し、各社のツールがカーネル外部でも動作するように取り組んでいます。また、これは一方的な決定ではなく、アンチウイルス機能をオペレーティングシステムに統合する方法を共同で再設計したものであると強調しています。

さらに、この新しいプラットフォームでは、セキュリティアップデートの展開をより細かく制御することが可能になります。技術部門は、段階的なロールアウト、より優れたテレメトリ機能、および改善されたロールバックオプションの恩恵を受けることができます。

マイクロソフトは不正対策システムも修正したいと考えている。

カーネルからアンチウイルスソフトを削除することは確かに前進ではあるものの、問題はそれだけではない。ゲームにおける多くのアンチチート対策は、カーネルレベルのドライバを使用してチートツールやメモリ改ざんを検出する。しかし、これにはアンチウイルスソフトと同様のリスクが伴う。例えば、コーディングの不備やアップデートの遅延などが挙げられ、システムの安定性を損なう可能性がある。

マイクロソフトは現在、ゲーム開発者と協力して、カーネルに依存しない不正対策メカニズムを設計しており、これにより、より安定したゲームプレイと誤検出によるアカウント停止の減少が期待できる。

ウイルス対策ツールとEDRツール向けの新しいアーキテクチャは、現在Windows 11と将来のバージョンを念頭に置いて開発されています。この変更がWindows 10にバックポートされるという兆候はありません。しかし、マイクロソフトは2025年10月14日のサポート終了後もユーザーがWindows 10を使い続けやすくする計画を立てているため、この変更が以前のバージョンのオペレーティングシステムにも適用される可能性は依然としてあります。