Konfigurowanie programu antywirusowego Microsoft Defender i zarządzanie nimi za pomocą narzędzia wiersza polecenia MpCmdRun

  • Dotyczy: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Użyj narzędzia wiersza polecenia MpCmdRun.exe, aby uruchamiać skanowania, zarządzać aktualizacjami analizy zabezpieczeń i konfigurować program antywirusowy Microsoft Defender. MpCmdRun jest przydatny do automatyzacji w skryptach i zaplanowanych zadaniach.

  • Musisz uruchomić polecenie MpCmdRun w wierszu polecenia z podwyższonym poziomem uprawnień (okno wiersza polecenia otwarte przez wybranie pozycji Uruchom jako administrator). Przykład:

    1. Otwórz menu Start , a następnie wpisz cmd.
    2. Kliknij prawym przyciskiem myszy wynik wiersza polecenia , a następnie wybierz pozycję Uruchom jako administrator.

  • Domyślnie folder zawierający element MpCmdRun nie znajduje się w zmiennej środowiskowej PATH, dlatego przed jego uruchomieniem należy przejść do folderu. MpCmdRun.exe znajduje się w następujących lokalizacjach na urządzeniach z systemem Windows x64:

    • C:\Program Files\Windows Defender
    • C:\ProgramData\Microsoft\Windows Defender\Platform\<antimalware platform version>

    Najnowsza wersja mpcmdRun jest zawsze w folderze C:\ProgramData\Microsoft\Windows Defender\Platform\<antimalware platform version> , jeśli jest dostępny. Aby przejść do najlepszej dostępnej lokalizacji bez znajomości wersji lub dostępności, użyj następującego rozszerzonego katalogu zmian (cd):

    (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

    Aby uzyskać więcej informacji na temat platformy ochrony przed złośliwym kodem, zobacz Microsoft Defender Aktualizacje i punkty odniesienia programu antywirusowego.

Program MpCmdRun używa następującej składni:

MpCmdRun.exe -Command [-CommandOptions]

W poniższym przykładzie program MpCmdRun uruchamia pełne skanowanie antywirusowe na urządzeniu.

MpCmdRun.exe -Scan -ScanType 2

W sekcjach Polecenia i opcje oraz Typowe błędy MpCmdRun opisano dostępne przełączniki i informacje dotyczące rozwiązywania problemów.

Wymagania wstępne

  • System Windows

Polecenia i opcje w narzędziu MpCmdRun

Polecenia i dostępne opcje są opisane w poniższej tabeli.

Polecenia Opcja Opis
-? Lub -h Wyświetla wszystkie dostępne polecenia i ich opcje.
-AddDynamicSignature -Path <path> Ładuje dynamiczną analizę zabezpieczeń z określonej lokalizacji.
-CaptureNetworkTrace -Path <path> Przechwytuje dane wejściowe sieciowe z usługi Ochrony sieci i zapisuje je w określonej lokalizacji. Aby zatrzymać śledzenie, użyj polecenia -Path bez wartości.

Uwaga: NT AUTHORITY\LocalService musi mieć dostęp do zapisu do określonej ścieżki (na przykład C:\Windows\Temp\MpCmdRun).
-CheckExclusion -Path <PathAndFilename or Path> Sprawdza, czy określony plik lub ścieżka nie jest wykluczona ze skanowania. Aby uzyskać więcej informacji, zobacz Sprawdzanie, czy plik lub folder jest wykluczony przy użyciu narzędzia MpCmdRun.
-DeviceControl -TestPolicyXml <PathAndFilename> -Groups or -Rules Weryfikuje określony plik zasad XML reguł kontroli urządzeń.
-Groups Identyfikuje określony plik jako plik zasad grupy.
-Rules Identyfikuje określony plik jako plik zasad reguł.
-DisplayECSConnection Wyświetla adresy URL używane przez usługę Defender Core do nawiązywania połączenia z usługą Experimentation and Configuration Service (ECS).
-GetFiles [Opcje] Generuje, kompresuje i zapisuje Microsoft Defender plików dziennika związanych z programem antywirusowym w pliku C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cabdomyślnym . Aby uzyskać więcej informacji, zobacz Zbieranie danych diagnostycznych programu antywirusowego Microsoft Defender.
-DlpTrace Zawiera pliki śledzenia ochrony przed utratą danych (DLP) w pliku .cab.
-SupportLogLocation <RootPath> Określa folder główny centralnej lokalizacji, w której jest kopiowany lokalny plik MpSupportFiles.cab. Plik jest kopiowany z unikatową nazwą pliku do ścieżki podfolderu opartego na dacie: <RootPath>\<MMDD>\MpSupport-<Hostname>-<HHMM>.cab. Aby uzyskać więcej informacji, zobacz Zbieranie danych diagnostycznych programu antywirusowego Microsoft Defender.
-GetFilesDiagTrack Generuje, kompresuje i zapisuje Microsoft Defender plików dziennika związanych z programem antywirusowym w pliku %TEMP%\DiagOutputDir\MpSupportFiles.cab.
-HeapSnapshotConfig -Enable or -Disable -Pid <ProcessID> or -Name <ProcessName.exe> Włącza lub wyłącza konfigurację migawki sterty (śledzenia) dla określonego identyfikatora procesu lub nazwy procesu.
-Pid <ProcessID> Wartość identyfikatora procesu. Prawidłowe wartości to:
  • 0 (wartość domyślna): MsMpEng.exe
  • 1: MpDefenderCoreService.exe
  • 2: NisSrv.exe
  • 3: MpDlpService.exe
  • Wartość niestandardowa: określony identyfikator procesu.
-Name <ProcessName.exe> Nazwa procesu.
-ListAllDynamicSignatures Wyświetla listę identyfikatorów zestawu podpisów wszystkich załadowanych aktualizacji dynamicznej analizy zabezpieczeń.
-ListCustomASR Wyświetla listę wszelkich niestandardowych reguł zmniejszania obszaru ataków (ASR) skonfigurowanych na urządzeniu.
-OSCA Sprawdza, czy funkcja przyspieszania kopiowania systemu operacyjnego jest włączona.
-RegisterWmiSchema Ponownie rejestruje schemat MOF MpProtection, jeśli nie jest zgodny z najnowszym zainstalowanym schematem.
-RemoveDefinitions [Options] Przywraca poprzedni zestaw definicji podpisów.
-All Przywraca zainstalowaną analizę zabezpieczeń do poprzedniej kopii zapasowej lub oryginalnego zestawu domyślnego.
-DynamicSignatures Usuwa tylko dynamicznie pobierane aktualizacje analizy zabezpieczeń.
-Engine Przywraca wcześniej zainstalowany aparat.
-RemoveDynamicSignature -SignatureSetID <SignatureSetID> Usuwa określoną aktualizację dynamicznej analizy zabezpieczeń.
-ResetPlatform Resetuje pliki binarne platformy z powrotem do .%ProgramFiles%\Windows Defender
-Restore [Options] Przywraca lub wyświetla listę elementów poddanych kwarantannie.
-ListAll Wyświetla listę wszystkich elementów poddanych kwarantannie.
-Name <name> [-All] Przywraca ostatnio poddany kwarantannie element na podstawie określonej nazwy zagrożenia. Jeśli używasz programu -All, wszystkie elementy poddane kwarantannie zostaną przywrócone na podstawie określonej nazwy zagrożenia. Zagrożenie może być mapowane na wiele plików.
-FilePath <QuarantinedFilePath> Przywraca element poddany kwarantannie na podstawie ścieżki pliku elementu poddanej kwarantannie.
-Path <path> Określa miejsce przywracania elementów poddanych kwarantannie.
  • Jeśli nie używasz polecenia -Path, element zostanie przywrócony do oryginalnej lokalizacji i usunięty z kwarantanny.
  • Jeśli używasz polecenia -Path, element zostanie przywrócony do określonej ścieżki, ale element nie zostanie usunięty z kwarantanny.
-Output <filename> Zapisuje wszystkie nazwy elementów poddanej kwarantannie do określonego pliku z kodowaniem UTF-8.
-RevertEdr -ToVersion <value> Przywraca pliki binarne wykrywania i odpowiedzi punktu końcowego (EDR) do określonej wersji. Dostępne w wersji 4.18.26030.3011 lub nowszej. Prawidłowe wartości to:
  • Skrzynka odbiorcza: przywraca EDR do wersji skrzynki odbiorczej przechowywanej w %ProgramFiles%\Windows Defender Advanced Threat Protectionprogramie .
  • Poprzedni: Przywraca EDR do wcześniej zainstalowanej wersji (N-1), jeśli kopia zapasowa jest dostępna w programie %ProgramData%\Microsoft\Windows Defender Advanced Threat Protection\Platform.
-RevertPlatform Przywraca pliki binarne platformy z powrotem do wcześniej zainstalowanej wersji platformy Defender.
-Scan [Options] Skanuje pod kątem złośliwego oprogramowania. Zazwyczaj -Scan bez opcji szybkie skanowanie jest uruchamiane, chyba że na urządzeniu skonfigurowano inny domyślny typ skanowania.

Szybkie skanowanie i pełne skanowanie mają domyślne przekroczenia limitu czasu. Skanowanie zostanie automatycznie zatrzymane po upływie czasu:
  • Szybkie skanowanie: jeden dzień
  • Pełne skanowanie: siedem dni
-ScanType <value> Określa typ skanowania oprogramowania chroniącego przed złośliwym kodem do uruchomienia. Prawidłowe wartości to:
  • 0: wartość domyślna zgodnie z konfiguracją urządzenia.
  • 1: Szybkie skanowanie.
  • 2: Pełne skanowanie
  • 3: Skanowanie niestandardowe

Zwracany kod jest jedną z następujących wartości:
  • 0: Jeden z następujących wyników:
    • Nie znaleziono złośliwego oprogramowania.
    • Wykryto złośliwe oprogramowanie i udało się je skorygować.
  • 2: Jedno z następujących wyników:
    • Znaleziono złośliwe oprogramowanie, które nie zostało skorygowane.
    • Znaleziono złośliwe oprogramowanie i akcję użytkownika wymaganą do ukończenia korygowania.
    • Błędy skanowania.
-BootSectorScan Prawidłowa tylko w przypadku skanowania niestandardowego. Umożliwia skanowanie sektora rozruchowego.
-Cancel Próbuje anulować aktywne szybkie skanowanie lub pełne skanowanie.
-CpuThrottling Określa maksymalny procent użycia procesora CPU. Wartość domyślna to 50.
-DisableRemediation Prawidłowa tylko w przypadku skanowania niestandardowego.
  • Wykluczenia plików są ignorowane.
  • Archiwum pliki są skanowane.
  • Akcje nie są stosowane po wykryciu.
  • Wpisy dziennika zdarzeń nie są zapisywane po wykryciu.
  • Wykrycia ze skanowania niestandardowego nie są wyświetlane w interfejsie użytkownika.
  • W danych wyjściowych polecenia są wyświetlane wykrycia ze skanowania niestandardowego.
-File <PathAndFilename or Path> Prawidłowa tylko w przypadku skanowania niestandardowego. Określa plik lub folder do skanowania.
-ReturnHR Zamiast zwracać wartość 0 lub 2, zwróć rzeczywistą wartość HRESULT polecenia skanowania.
-Timeout <days> Wartość domyślna to 7 dla pełnego skanowania i 1 dla wszystkich innych typów skanowania. Maksymalna wartość to 30.
-SignatureUpdate [Options] Sprawdza dostępność nowych aktualizacji analizy zabezpieczeń.
-UNC <path> Pobiera aktualizacje bezpośrednio z określonego udziału plików UNC. Jeśli nie określisz wartości ścieżki, aktualizacja zostanie wykonana bezpośrednio ze wstępnie skonfigurowanej lokalizacji UNC.
-MMPC Pobiera aktualizacje bezpośrednio z Centrum firmy Microsoft ds. ochrony przed złośliwym oprogramowaniem.
-Trace [Options] Uruchamia śledzenie akcji przez usługę Microsoft Antimalware. Domyślnie rejestrowane są wszystkie zdarzenia Błąd, Ostrzeżenie i Informacyjne dla wszystkich składników. Wyniki są przechowywane w pliku C:\ProgramData\Microsoft\Windows Defender\Support\MPTrace-<YYYMMDD>-<UTC HHMMSS>-<GUID>.bin.
-Grouping <value> Określa składnik do uwzględnienia w śledzeniu. Prawidłowe wartości to:
  • 0x1: usługa
  • 0x2: Aparat ochrony przed złośliwym oprogramowaniem
  • 0x4: Interfejs użytkownika
  • 0x8: ochrona Real-Time
  • 0x10: zaplanowane akcje
  • 0x20: WMI
  • 0x40: NIS/GAPA
  • 0x80: centrum Zabezpieczenia Windows
  • 0x100: zewnętrzny DLP
  • 0x200: Ochrona przeglądarki
-Level <value> Określa poziomy ważności zdarzenia do uwzględnienia w śledzeniu. Prawidłowe wartości to:
  • 0x1: błędy
  • 0x2: ostrzeżenia
  • 0x4: komunikaty informacyjne
  • 0x8: wywołania funkcji
  • 0x10: Pełne
  • 0x20: wydajność
-TrustCheck -File <PathAndFilename> Sprawdza stan zaufania określonego pliku. Niegroźne pliki mogą nie być zaufane. Tylko znane, dobre pliki są zaufane.
-ValidateMapsConnection Sprawdza, czy urządzenie może komunikować się z usługą w chmurze programu antywirusowego Microsoft Defender. Dostępne w Windows 10 wersji 1703 (kwiecień 2017 r.) lub nowszej.
-WdEnable Ponownie włącza program antywirusowy Microsoft Defender na urządzeniu.

Typowe błędy MpCmdRun

W poniższej tabeli wymieniono typowe błędy, które mogą wystąpić przy użyciu polecenia MpCmdRun.

Komunikat o błędzie Możliwa przyczyna
Niepowodzenie validateMapsConnection (800106BA) lub 0x800106BA Usługa antywirusowa Microsoft Defender jest wyłączona. Włącz usługę i spróbuj ponownie. Jeśli potrzebujesz pomocy przy ponownym włączeniu programu antywirusowego Microsoft Defender, zobacz Ponowne instalowanie/włączanie programu antywirusowego Microsoft Defender w punktach końcowych.

W Windows 10 wersji 1909 (listopad 2019 r.) lub starszej i Windows Server 2019 r. lub starszej nazwa usługi miała wcześniej nazwę Windows Program antywirusowy Defender.
0x80070667 Uruchomiono MpCmdRun.exe -ValidateMapsConnection polecenie w nieobsługiwanej wersji systemu Windows. Uruchom polecenie w obsługiwanych wersjach systemu Windows:
  • Windows 10 wersji 1703 (kwiecień 2017 r.) lub nowszej.
  • Windows Server 2019 r. lub nowszy.
MpCmdRun nie jest rozpoznawany jako wewnętrzne lub zewnętrzne polecenie, program operacyjny lub plik wsadowy. Domyślnie folder zawierający element MpCmdRun nie znajduje się w zmiennej środowiskowej PATH. Musisz uruchomić MpCmdRun.exe z %ProgramFiles%\Windows Defender lub %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version> (zalecane).

Aby przejść do najlepszego dostępnego katalogu w oknie wiersza polecenia, użyj następującego rozszerzonego katalogu zmian (cd): (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1.
ValidateMapsConnection nie może nawiązać połączenia z usługą MAPS (hr=80070005 httpcode=450) Musisz uruchomić polecenie MpCmdRun w wierszu polecenia z podwyższonym poziomem uprawnień. Przykład:
  1. Otwórz menu Start , a następnie wpisz cmd.
  2. Kliknij prawym przyciskiem myszy wynik wiersza polecenia , a następnie wybierz pozycję Uruchom jako administrator.
ValidateMapsConnection nie może nawiązać połączenia z usługą MAPS (hr=80070006 httpcode=451) Zapora blokuje połączenie lub przeprowadza inspekcję protokołu TLS.
ValidateMapsConnection nie może nawiązać połączenia z usługą MAPS (hr=80004005 httpcode=450) Możliwe problemy związane z siecią. Na przykład problemy z rozpoznawaniem nazw.
ValidateMapsConnection nie może nawiązać połączenia z usługą MAPS (hr=0x80508015) Zapora blokuje połączenie lub przeprowadza inspekcję protokołu TLS.
ValidateMapsConnection nie może nawiązać połączenia z usługą MAPS (hr=800722F0D) Zapora blokuje połączenie lub przeprowadza inspekcję protokołu TLS.
ValidateMapsConnection nie może nawiązać połączenia z usługą MAPS (hr=80072EE7 httpcode=451) Zapora blokuje połączenie lub przeprowadza inspekcję protokołu TLS.

Zobacz też

  • Ostatnia aktualizacja o