Microsoft Defender for Endpoint Plan 1 / Plan 2とは？E3とE5の端末防御を整理
この記事について
この記事は、生成AIを活用した自動生成フローで作成しています。Microsoft公式情報を2026-09-18に再確認し、Plan 1/2とE3/E5、mixed licenseを実務目線で整理しています。検証ステータス：📘 Microsoft公式情報確認済み・実機未確認
Microsoft Defender for Endpoint（MDE）は、Windows、macOS、Linux、Android、iOSなどの端末を守るエンドポイントセキュリティです。EndpointはPCやスマートフォンなど利用者が操作する端末、EDRは侵入後の挙動を記録・検知して調査や対応につなげるEndpoint Detection and Responseです。
E3/E5とPlan 1/2
2026年時点のMicrosoft公式情報では、Microsoft 365 E3はDefender for Endpoint Plan 1、Microsoft 365 E5はPlan 2を含む構成です。P1は予防・Attack Surface Reductionを中心に、P2はEDR、高度な調査・対応などを広げます。
| 観点 | Plan 1 | Plan 2 |
|---|---|---|
| 次世代保護 / ASR | ○ | ○ |
| EDRを含む高度な検知・調査 | — | ○ |
| 自動調査・修復などP2機能 | — | ○ |
| Microsoft 365の代表SKU | E3 | E5 |
詳細機能は更新されるため最新のMicrosoft比較表を正本にします。
flowchart LR LIC[E3=P1 / E5=P2] --> ONB[端末をOnboard] ONB --> SIG[センサー/保護信号] SIG --> PORTAL[Microsoft Defender portal] PORTAL --> OPS[監視・調査・対応]
まず試す：変更せず状態を読む
Defender portalの Settings > Endpoints > Licenses で契約状態を確認し、次に Assets > Devices で端末を1台開いてOS、onboarding、last seenを読みます。端末隔離や検疫は最初の確認では実行しません。
MicrosoftはP1/P2が混在するテナント向けにmixed modeを案内しています。ユーザーへのライセンス割当だけでなくsubscription settingsと端末タグ等の条件を確認します。設定反映には時間がかかる場合があります。
PowerShellでローカル状態を見る
Get-MpComputerStatus |
Select-Object AntivirusEnabled, RealTimeProtectionEnabled,
AntivirusSignatureLastUpdated
見る点はAVとリアルタイム保護、定義更新日時。成功条件は状態が取得できること。ただしこれはローカルDefender Antivirusの確認で、MDEへのonboarding成功を単独で証明しません。1か所変えるなら Select-Object に AMRunningMode を加え、動作モードを確認します。
一般利用者・事務職・情シスの視点
一般利用者は警告を自己判断で解除せず報告します。事務職は端末交換や在宅PCが管理対象に入っているかを確認する業務フローを持つと実務的です。情シスは「ライセンス割当→onboarding→ポリシー→センサー正常性→アラート運用」を別工程として検証します。
管理者が確認する点
E3=P1、E5=P2と追加Security SKU
mixed-license時のsubscription settings
onboard済み端末数と対象OS
Intune等のEndpoint security policy
EDR/ASR/Firewall/AVの責任分界
P2はユーザー単位で、Microsoft公式では1ユーザー最大5台の同時onboard端末というライセンス説明があること
サーバーはクライアントと条件が異なるためDefender for Servers等を別確認
隔離など強い操作のRBACと承認
Microsoft公式一次情報
Plan 1/2は単なる「ウイルス対策の強弱」ではなく、予防から検知・調査・対応までどこをサービスとして持つかの違いです。
