Microsoftは2026年10月14日、企業向けの「Microsoft Defender for Endpoint」をLinuxデスクトップへ広げると発表した。現在は公開プレビューで、Linuxサーバーと同じエージェントを使い、開発者の業務端末も既存のセキュリティ運用へ加えられる。Microsoftが挙げるのは、ソースコードやクラウドにアクセスする端末が侵害されたとき、ソフトウェアを開発・出荷する仕組みまで攻撃の足場になり得るというリスクだ。ただし、対応するLinuxを使っていることと、管理画面でワークステーションに分類されることは別であり、導入前には契約と実際の保護範囲まで確かめる必要がある。
サーバー用の保護を開発者の端末へ広げる
Linuxデスクトップ専用のエージェントを新たに配る方式ではない。Microsoftの公式発表によると、サーバー向けの展開パッケージ、導入方法、セキュリティ機能をそのままワークステーションに適用する。既にLinuxサーバーをDefenderで管理している企業なら、導入と調査の手順を開発者端末にも使える設計だ。
対象機能はウイルス対策に加え、端末上の活動を検出して調査・対応するEDRや脅威分析にも及ぶ。脆弱性管理に加え、端末一覧とセキュリティ設定管理も利用できる。さらに、蓄積した情報を検索する高度なハンティング、遠隔で調査・対応するライブレスポンス、端末の隔離も挙げられている。これらはLinuxサーバーで提供してきた機能の拡張であり、Windows版との全機能の一致を意味するものではない。
Microsoftは、開発者のLinux端末がソースコードの保管先やCI/CDに接続すると説明する。CI/CDは、コード変更の統合からテスト、配信までを継続的に進める仕組みで、クラウドやコンテナー環境も日常の接続先になる。端末そのものに加え、その先にある開発基盤を守るという考え方である。
企業側の利点は、開発者の机にあるLinuxと、データセンターやクラウドのLinuxを同じポータルで調査できることにある。一方、今回の発表は運用の一本化を説明したもので、検出率や管理工数の改善幅を実測で示した発表ではない。Microsoft Learnの新機能一覧も、デスクトップ対応を「Preview」として掲載している。
対応OSでもワークステーションと判定されるとは限らない
DefenderはLinux端末をサーバーかワークステーションかに自動分類する。ただし前提条件の文書には、利用できる情報からワークステーションと確定できない場合、既定でサーバーに分類すると明記されている。自動分類には、判別しきれなかった場合の扱いも含まれる。
判定に使うのは、OSのメタデータやディストリビューション固有の製品情報だけではない。契約・ライセンスの情報やシステムの用途宣言も参照し、クラウドの情報、仮想デスクトップを示す情報などを所定の順序で評価する。画面がGNOMEやKDEで動いているからといって、それだけでワークステーション扱いになるわけではない。
デスクトップのサポート対象であることと、ワークステーションとして分類されることは別の条件である。 Microsoftの発表と前提条件を2026年10月16日時点で照合すると、対応環境、端末分類、ライセンスは次のように分けられる。
| 確認する条件 | Microsoftが示す基準 | 管理者が確かめる対象 |
|---|---|---|
| サポート対象の環境 | 対応するディストリビューションとカーネル。デスクトップ環境には依存しない | OSの版とCPUアーキテクチャ |
| サーバーかワークステーションか | OS情報や用途などを評価。確定できなければサーバーが既定 | 登録後の端末一覧での分類 |
| デスクトップの必要契約 | Defender for Endpoint Plan 2、または同プランを含むMicrosoft 365 E5 / E7 | 対象端末に適用するライセンス |
表は公式の前提条件の対応ディストリビューション節とライセンス節を、判定対象ごとに分類したものだ。サーバーと表示された結果だけから、料金や契約が自動的に切り替わるとは判断できない。実機での分類精度や課金処理を検証した比較ではなく、導入時に別々に確認すべき条件を示している。
対応OSの範囲にも版とアーキテクチャの違いがある。例えばUbuntu LTSは、x64では16.04から26.04までの掲載版が対象だが、ARM64の一覧は20.04以降となる。Debianはx64で9〜13、ARM64で11〜13とされ、同じディストリビューション名でも条件はそろわない。RHELやFedoraなどを含め、導入する版を公式の対応表に照らす必要がある。
また、対応OSをベースにカスタマイズした環境で導入・動作できても、検証済みのサポート基準に入るとは限らない。Microsoftは、問題が起きた際に標準の対応ディストリビューションでの再現を求める場合があると説明する。派生OSを使う開発チームでは、インストールできるかに加え、障害時に支援を受けられる条件まで見ておきたい。
契約については、Linuxデスクトップに必要なのは企業向けのDefender for Endpoint Plan 2であり、Microsoft 365 E5とE7にも含まれる。サーバー側にはDefender for Serversなど別の契約の選択肢があるため、同じエージェントだから同じ契約を流用できるとは言えない。
導入の焦点は共存と開発作業の負荷へ
既存のセキュリティ製品との共存は、サーバー向けの制約を引き継ぐ。Microsoftは、ほかのFanotifyベースのセキュリティ製品との併用をサポートせず、システム停止を含む予期しない挙動が起こり得ると警告している。ブロックモードで動く競合アプリは、状態確認コマンドmdatp healthのconflicting_applicationsに表示されるという。
ウイルス対策をパッシブにして利用する方法は案内されているが、無条件に保護機能を重ねればよいわけではない。一方、RHELとFedoraのFAPolicyDは例外で、mdatp healthが正常を示す場合、Defenderのアクティブモードとの併用をサポートする。既存ツールの名前と動作モードを把握したうえで判断する条件である。
ファイルの置き場所によっても保護の範囲は変わる。前提条件の表では、ext4やxfs、btrfsなどがリアルタイム保護とクイック・フルスキャンの対象だ。これに対し、NFSやCIFS、SSHFSなどは追加のカスタムスキャン対象として記載されている。共有ストレージ上の作業ファイルまで、ローカルディスクと同じ方式で常時監視されると考えるのは早計だろう。
通信経路の確認も要る。認証付きプロキシやPAC・WPADによるプロキシ設定には対応せず、SSL検査を伴う通信の傍受もサポート対象外とされる。静的または透過プロキシを使う構成で、Defenderの必要な接続先へ通信できるようにする必要がある。端末隔離についても、iptablesとip6tables、またはそれぞれのnft版が前提となるため、機能一覧に名前があるだけで利用準備が整うわけではない。
性能では、最低要件と実際の業務負荷を分けて考える。公式の最低要件はCPUが1コア、ディスクが2 GB、メモリーが1 GBだが、高負荷の処理では追加リソースを要する場合がある。Microsoftの性能問題の診断資料は、短時間にCPUやディスク、メモリーを多用する処理が性能問題につながり得ると説明している。開発用端末なら、普段のビルドやテストを実行したときの影響が評価対象になる。
診断には、どのプロセスがスキャンを引き起こしたかを見るリアルタイム保護統計などを使える。ただし、この統計が扱うのはウイルス対策に関わる性能問題で、全ファイル操作を記録するものではない。エージェントの起動と保護の有効化以降にスキャンを起こした活動が対象であり、EDR側の負荷には別の診断も必要になる。開発ディレクトリを一括して保護対象から外す前に、原因と除外の安全性を確かめたい。
一般提供日は、今回確認したMicrosoftの発表と仕様には示されていない。公開プレビューでの評価では、対応OSと端末分類を確認し、共有ストレージも含めた保護範囲を把握したうえで、日常の開発作業を試すことになる。その条件を確かめて初めて、企業はLinux開発者の端末を既存の調査・対応の手順へ組み込める。
