Raccogliere i dati diagnostici di Microsoft Defender Antivirus

Utilizzi MpCmdRun.exe per raccogliere dati diagnostici di Microsoft Defender Antivirus quando il supporto Microsoft o i team di ingegneria ti aiutano a risolvere problemi con i dispositivi. Salva il pacchetto di supporto sul dispositivo interessato, oppure copia i pacchetti da più dispositivi a una posizione centrale.

Raccogli dati diagnostici utilizzando MpCmdRun

Su ciascun dispositivo interessato, scegli se mantenere il pacchetto diagnostico sul dispositivo o copiarlo in una posizione centrale:

1. Apri un Prompt dei comandi con privilegi elevati (una finestra del Prompt dei comandi aperta selezionando Esegui come amministratore), quindi usa una delle opzioni seguenti:

   • Salva i file di log diagnostici sul dispositivo locale: I seguenti comandi cambiano nella cartella più recente disponibile della piattaforma antivirus Microsoft Defender e crea il pacchetto di supporto:

     Consiglio

     Il primo comando passa alla directory corrispondente alla versione più recente della <piattaforma antimalware> in %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Se tale percorso non esiste, passa a %ProgramFiles%\Windows Defender.

     (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
     
     MpCmdRun.exe -GetFiles
     

     Di default, MpCmdRun.exe genera, comprime e salva i file di log diagnostici su C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cab.

     Il .cab nome del file è lo stesso su ogni dispositivo.

   • Copia i file di log diagnostici in una posizione centrale: La seguente sintassi crea il pacchetto di supporto locale e lo copia nel percorso radice specificato:

     (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
     
     MpCmdRun.exe -GetFiles -SupportLogLocation <RootPath>
     

     Lo strumento crea C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cab, e poi copia il .cab file con un nuovo nome in una sottocartella di <RootPath> (ad esempio, P:\Data o \\Server01\Data). Il file copiato utilizza la seguente sintassi di percorso e nome file: <RootPath>\<MMDD>\MpSupport-<Hostname>-<HHMM>.cab.

     • <RootPath> è il valore specificato per -SupportLogLocation.
     • <MMDD> è il mese e il giorno in cui è stato eseguito il comando MpCmdRun (ad esempio, 0318 per il 18 marzo).
     • <Hostname> è il nome del dispositivo in cui è stato eseguito il comando MpCmdRun , ad esempio LAPTOP01.
     • <HHMM> è l'ora e il minuto in cui esegui il comando MpCmdRun (ad esempio, 2221 per 22:21).

   Nota

   Se lo strumento non può copiare il .cab file nella posizione specificata, controlla la posizione locale predefinita in C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cab.

   Il seguente esempio copia il pacchetto di supporto dal dispositivo chiamato LAPTOP01 il 18 marzo alle 22:21:

   (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
   
   MpCmdRun.exe -GetFiles -SupportLogLocation "\\SERVER01\Data"
   

   Il file risultante .cab è disponibile a \\SERVER01\Data\0318\MpSupport-LAPTOP01-2221.cab. Il nome host e l'ora nel nome del file distinguono i file raccolti da diversi dispositivi.

2. Aspetta qualche minuto per MpCmdRun.exe generare e comprimere i file di log diagnostici. Il file .cab risultante include:

   • Tutti i file di traccia del servizio Microsoft Antimalware.
   • Log della cronologia degli aggiornamenti di Windows.
   • Tutti gli eventi del servizio Microsoft Antimalware dal registro eventi di sistema.
   • Tutti i percorsi pertinenti del Registro di sistema di Microsoft Antimalware Service.
   • File di log di MpCmdRun.
   • File di log dello strumento di supporto per l'aggiornamento delle firme.

   Copia i .cab file in una posizione sicura a cui il supporto Microsoft possa accedere, come una cartella OneDrive protetta da password.

Configura la posizione di copia del file diagnostico utilizzando la Group Policy

Configura il criterio Definisci il percorso della directory per copiare i file di log di supporto per copiare i pacchetti di diagnostica in una posizione centrale dopo che MpCmdRun.exe li ha creati su ciascun dispositivo. Quando configuri questa policy, non è necessario usare l'opzione -SupportLogLocation con MpCmdRun.exe -GetFiles.

Usa la procedura in Configura Microsoft Defender Antivirus usando la Group Policy per aprire e modificare un oggetto Group Policy (GPO) che si applica ai dispositivi target. Per la Politica di Gruppo basata su dominio, puoi gestire i template nello Storage Centrale della Politica di Gruppo.

Per configurare la posizione di copia del file diagnostico:

1. Nell'Editor Gestione criteri di gruppo, passare a Configurazione computer>Modelli amministrativi>Componenti di Windows>Microsoft Defender Antivirus.

   

2. Apri Definisci il percorso della directory per copiare i file di log di supporto.

3. Selezionare Abilitato. In Opzioni, inserisci il percorso della directory dove vuoi che lo strumento copi i pacchetti di supporto.

   

4. Seleziona OK.

La policy configura il SupportLogLocation valore sotto HKLM\Software\Policies\Microsoft\Windows Defender.

Contenuti correlati

• Risolvere i problemi di analisi di Microsoft Defender Antivirus
• Analizzatore prestazioni per Microsoft Defender Antivirus