Diagnostische gegevens van Microsoft Defender Antivirus verzamelen

  • Van toepassing op: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business, Microsoft Defender for Individuals

Gebruik MpCmdRun.exe het om diagnostische gegevens van Microsoft Defender Antivirus te verzamelen wanneer Microsoft-support- of engineeringteams je helpen bij het oplossen van apparaatproblemen. Sla het supportpakket op het getroffen apparaat, of kopieer pakketten van meerdere apparaten naar een centrale locatie.

Opmerking

Als u in plaats daarvan een onderzoekspakket voor Defender for Endpoint wilt verzamelen, raadpleeg dan Een onderzoekspakket van een apparaat verzamelen.

Voor prestatieproblemen met Microsoft Defender Antivirus gebruik je Performance Analyzer for Microsoft Defender Antivirus.

Verzamel diagnostische gegevens met behulp van MpCmdRun

Kies op elk getroffen apparaat of je het diagnosepakket op het apparaat houdt of kopieert naar een centrale locatie:

  1. Open een verhoogde opdrachtprompt (een opdrachtpromptvenster dat je opende door 'Run as administrator' te selecteren) en gebruik vervolgens een van de volgende opties:

    • Sla de diagnostische logbestanden op het lokale apparaat op: Met de volgende opdrachten gaat u naar de meest recente beschikbare Microsoft Defender Antivirus-platformmap en maakt u het supportpakket:

      Tip

      Met de eerste opdracht gaat u naar de map met de nieuwste versie van <het antimalwareplatform> in %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Als dat pad niet bestaat, gaat het naar %ProgramFiles%\Windows Defender.

      (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -GetFiles

      Standaard MpCmdRun.exe genereert, comprimeert en slaat het de diagnostische logbestanden op naar C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cab.

      De .cab bestandsnaam is op elk apparaat hetzelfde.

    • Kopieer de diagnostische logbestanden naar een centrale locatie: De volgende syntaxis maakt het lokale ondersteuningspakket aan en kopieert het naar het opgegeven rootpad:

      (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -GetFiles -SupportLogLocation <RootPath>

      De tool maakt C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cab, en kopieert vervolgens het .cab bestand met een nieuwe naam naar een submap van <RootPath> (bijvoorbeeld P:\Data of \\Server01\Data). Het gekopieerde bestand gebruikt de volgende pad- en bestandsnaamsyntaxis: <RootPath>\<MMDD>\MpSupport-<Hostname>-<HHMM>.cab.

      • <RootPath> is de waarde die u hebt opgegeven voor -SupportLogLocation.
      • <MMDD> is de maand en dag waarop u de opdracht MpCmdRun hebt uitgevoerd (bijvoorbeeld 0318 voor 18 maart).
      • <Hostname> is de naam van het apparaat waarop u de opdracht MpCmdRun hebt uitgevoerd (bijvoorbeeld LAPTOP01).
      • <HHMM> is het uur en de minuut waarop je het MpCmdRun-commando uitvoerde (bijvoorbeeld 2221 voor 22:21).

    Opmerking

    Als de tool het .cab bestand niet naar de opgegeven locatie kan kopiëren, controleer dan de standaard lokale locatie op C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cab.

    Het volgende voorbeeld kopieert het ondersteuningspakket van het apparaat genaamd LAPTOP01 op 18 maart om 22:21:

    (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -GetFiles -SupportLogLocation "\\SERVER01\Data"

    Het resulterende .cab bestand is beschikbaar op \\SERVER01\Data\0318\MpSupport-LAPTOP01-2221.cab. De hostnaam en tijd in de bestandsnaam onderscheiden bestanden die van verschillende apparaten zijn verzameld.

  2. Wacht een paar minuten om MpCmdRun.exe de diagnostische logbestanden te genereren en te comprimeren. Het resulterende .cab bestand bevat:

    • Alle traceringsbestanden van Microsoft Antimalware Service.
    • Het Windows Update geschiedenislogboek.
    • Alle Microsoft Antimalware Service-gebeurtenissen uit het gebeurtenislogboek van het systeem.
    • Alle relevante Microsoft Antimalware Service-registerlocaties.
    • Het logboekbestand van MpCmdRun.
    • Het logboekbestand van het hulpprogramma voor het bijwerken van handtekeningen.

    Kopieer de .cab bestanden naar een veilige locatie waar Microsoft support toegang toe heeft, zoals een wachtwoordbeveiligde OneDrive-map.

Configureer de kopieerlocatie van het diagnostische bestand door gebruik te maken van Group Policy

Configureer het beleid Definieer het mappad voor het kopiëren van ondersteuningslogbestanden om diagnostische pakketten naar een centrale locatie te kopiëren nadat MpCmdRun.exe deze op elk apparaat heeft gemaakt. Wanneer je dit beleid configureert, hoef je de -SupportLogLocation optie met MpCmdRun.exe -GetFilesniet te gebruiken.

Gebruik de procedure in Configure Microsoft Defender Antivirus met Group Policy om een Group Policy-object (GPO) te openen en te bewerken dat van toepassing is op de doelapparaten. Voor domeingebaseerde groepsbeleid kun je de sjablonen beheren in de Groepsbeleid Centrale Store.

Om de kopieerlocatie van het diagnostische bestand te configureren:

  1. Ga in de groepsbeleid Beheereditor naar Computerconfiguratie>Beheersjablonen>Windows-onderdelen>Microsoft Defender Antivirus.

    Schermopname van Editor voor lokaal groepsbeleid met Microsoft Defender Antivirus geselecteerd in de consolestructuur.

  2. Open Definieer het mappad om ondersteunende logbestanden te kopiëren.

  3. Selecteer Ingeschakeld. Voer in Opties het directorypad in waar je wilt dat de tool supportpakketten kopieert.

    Schermafbeelding van Editor voor lokaal groepsbeleid met Ingeschakeld geselecteerd en een padwaarde opgegeven in de sectie 'Opties'.

  4. Kies OK.

De polis configureert de SupportLogLocation waarde onder HKLM\Software\Policies\Microsoft\Windows Defender.

Verwante onderwerpen

  • Laatst bijgewerkt om