Microsoftは、Windows 11およびWindows 10の月次セキュリティ更新（Patch Tuesday）において、Microsoft Defenderのセキュリティ更新を今後含めなくなることを正式に発表した。これにより、Defenderの定義ファイルは月次サイクルに縛られず、専用チャネルを通じた独立した配信に一本化される。
なぜ今この変更なのか
これまでのPatch Tuesdayには、Windows本体の累積更新プログラムとともに、Microsoft Defenderのセキュリティインテリジェンス（ウイルス定義ファイル等）が含まれていた。しかし実際のところ、Defenderはすでに独自の高頻度更新メカニズムを持っており、1日に複数回、定義ファイルをアップデートしている。
月次のPatch Tuesdayに同じ情報を重複して含めることは、更新パッケージの肥大化を招くだけでなく、配信経路が二重になることで管理上の複雑さにもつながっていた。今回の変更はこの冗長性を解消するものだ。
IT管理者への実務的影響
この変更が直接影響を与えるのは、エンタープライズ環境でWindows Updateを厳密に管理しているIT管理者だ。以下の点を確認しておきたい。
WSUS / MECM環境の確認 Microsoft Endpoint Configuration Manager（MECM）やWSUS経由でパッチ管理を行っている場合、Defenderの定義ファイル更新が別カテゴリで配信されていることを改めて確認する必要がある。「Patch Tuesdayのみ承認」という運用ポリシーを採っている場合、Defender定義の更新を別途自動承認する設定が必要になるケースがある。
ネットワーク帯域の最適化 定義ファイルの更新頻度は高いため、多拠点環境では配信最適化（Delivery Optimization）やキャッシュサーバーの設定を見直す価値がある。更新トラフィックが集中すると業務帯域に影響が出る組織もあるだろう。
監視・レポートの調整 Defender定義の更新状況をPatch Tuesdayの適用状況と一括で追跡していた場合、ダッシュボードやレポート定義の見直しが必要になる場合もある。
変更がもたらすセキュリティ上のメリット
セキュリティの観点から見ると、この変更は明確にプラス方向だ。マルウェアや新種の脅威は、月に一度のサイクルを待ってくれない。定義ファイルの更新がPatch Tuesdayのリリーススケジュールから切り離されることで、最新の脅威情報をより迅速にエンドポイントへ届けられる。
また、Patch Tuesday本体の更新パッケージが軽量化されることで、展開時のダウンロード量や処理時間の削減も期待できる。品質テストの観点からも、スコープが絞られることで月次更新の安定性向上に寄与する可能性がある。
最近のPatch Tuesdayでは「当てたら壊れた」という報告が散見され、DellやHPの一部PCがBitLockerリカバリーループに陥った事例も話題になった。大量展開前の十分なテストの重要性は変わらないが、Defender定義を切り離すことで月次更新のリスク評価がシンプルになる副次効果も期待したい。
筆者の見解
率直に言えば、「なぜもっと早くやらなかったのか」という気持ちはある。Defenderの定義ファイルは元々、月次更新とは独立して高頻度で配信される設計になっていた。それをわざわざPatch Tuesdayにも含め続けていたこと自体、設計上の冗長さだった。
ただ、こうした「当然の整理」を着実に積み上げていく姿勢はきちんと評価したい。セキュリティ更新の経路をシンプルにし、IT管理者が管理しやすい形に近づけていく方向性は正しい。
日本のエンタープライズ環境では、WSUS運用が今でも主流の組織は少なくない。今回の変更を機に、Defender定義ファイルの更新ポリシーを棚卸しするのは良いタイミングだ。「セキュリティパッチはPatch Tuesdayで一括管理」というシンプルな前提が少しずつ崩れつつある今、更新経路ごとに適切なポリシーを設計できる管理体制を整えておきたい。
出典: この記事は Microsoft making much needed change to Windows 11, 10 Patch Tuesday security updates の内容をもとに、筆者の見解を加えて独自に執筆したものです。