Configurar e gerir Microsoft Defender Antivírus com a ferramenta de linha de comandos MpCmdRun

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Utilize a ferramenta de linha de comandos MpCmdRun.exe para executar análises, gerir atualizações de informações de segurança e configurar Microsoft Defender Antivírus. MpCmdRun é útil para automatização em scripts e tarefas agendadas.

  • Tem de executar MpCmdRun numa Linha de Comandos elevada (uma janela da Linha de Comandos que abriu ao selecionar Executar como administrador). Por exemplo:

    1. Abra o menu Iniciar e, em seguida, escreva cmd.
    2. Clique com o botão direito do rato no resultado da Linha de Comandos e, em seguida, selecione Executar como administrador.

  • Por predefinição, a pasta que contém MpCmdRun não está na variável de ambiente PATH, pelo que tem de navegar para a pasta antes de a executar. MpCmdRun.exe está nas seguintes localizações em dispositivos Windows x64:

    • C:\Program Files\Windows Defender
    • C:\ProgramData\Microsoft\Windows Defender\Platform\<antimalware platform version>

    A versão mais recente de MpCmdRun está sempre na C:\ProgramData\Microsoft\Windows Defender\Platform\<antimalware platform version> pasta, se estiver disponível. Para aceder à melhor localização disponível sem conhecer as versões ou a disponibilidade, utilize o seguinte comando de diretório de alterações melhorado (cd):

    (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

    Para obter mais informações sobre a plataforma antimalware, veja Microsoft Defender Atualizações e linhas de base do Antivírus.

MpCmdRun utiliza a seguinte sintaxe:

MpCmdRun.exe -Command [-CommandOptions]

No exemplo seguinte, MpCmdRun inicia uma análise antivírus completa no dispositivo.

MpCmdRun.exe -Scan -ScanType 2

As secções Comandos e opções e Erros Comuns mpCmdRun descrevem os comutadores disponíveis e as informações de resolução de problemas.

Pré-requisitos

  • Windows

Comandos e opções em MpCmdRun

Os comandos e as opções disponíveis estão descritos na tabela seguinte.

Comando Opção Descrição
-? ou -h Apresenta todos os comandos disponíveis e as respetivas opções.
-AddDynamicSignature -Path <path> Carrega informações de segurança dinâmicas a partir da localização especificada.
-CaptureNetworkTrace -Path <path> Captura a entrada de rede do serviço Proteção de Rede e guarda-a na localização especificada. Para parar o rastreio, utilize -Path sem um valor.

Nota: NT AUTHORITY\LocalService tem de ter acesso de escrita ao caminho especificado (por exemplo, C:\Windows\Temp\MpCmdRun).
-CheckExclusion -Path <PathAndFilename or Path> Verifica se o ficheiro ou caminho especificado está excluído da análise. Para obter mais informações, consulte Verificar se um arquivo ou pasta é excluído usando MpCmdRun.
-DeviceControl -TestPolicyXml <PathAndFilename> -Groups or -Rules Valida o ficheiro de política XML das regras de Controlo de Dispositivos especificado.
-Groups Identifica o ficheiro especificado como um ficheiro de política de grupos.
-Rules Identifica o ficheiro especificado como um ficheiro de política de regras.
-DisplayECSConnection Apresenta os URLs utilizados pelo serviço Defender Core para ligar ao Serviço de Experimentação e Configuração (ECS).
-GetFiles [Opções] Gera, comprime e guarda Microsoft Defender ficheiros de registo relacionados com o Antivírus no ficheiro C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cabpredefinido . Para obter mais informações, veja Recolher Microsoft Defender dados de diagnóstico do Antivírus.
-DlpTrace Inclui os ficheiros de rastreio de prevenção de perda de dados (DLP) no ficheiro .cab.
-SupportLogLocation <RootPath> Especifica a pasta raiz de uma localização central onde o ficheiro de MpSupportFiles.cab local é copiado. O ficheiro é copiado com um nome de ficheiro exclusivo para um caminho de subpasta baseado em datas: <RootPath>\<MMDD>\MpSupport-<Hostname>-<HHMM>.cab. Para obter mais informações, veja Recolher Microsoft Defender dados de diagnóstico do Antivírus.
-GetFilesDiagTrack Gera, comprime e guarda Microsoft Defender ficheiros de registo relacionados com o Antivírus no ficheiro %TEMP%\DiagOutputDir\MpSupportFiles.cab.
-HeapSnapshotConfig -Enable or -Disable -Pid <ProcessID> or -Name <ProcessName.exe> Ativa ou desativa a configuração da área dinâmica para dados snapshot (rastreio) para o ID do processo especificado ou o nome do processo.
-Pid <ProcessID> O valor do ID do processo. Os valores válidos são:
  • 0 (Predefinição): MsMpEng.exe
  • 1: MpDefenderCoreService.exe
  • 2: NisSrv.exe
  • 3: MpDlpService.exe
  • Um valor personalizado: o ID do processo especificado.
-Name <ProcessName.exe> O nome do processo.
-ListAllDynamicSignatures Lista os IDs signatureSet de todas as atualizações de informações de segurança dinâmicas carregadas.
-ListCustomASR Lista quaisquer regras personalizadas de redução da superfície de ataque (ASR) configuradas no dispositivo.
-OSCA Verifica se a funcionalidade Aceleração de Cópia do SO está ativada.
-RegisterWmiSchema Regista novamente o esquema MOF MpProtection se não corresponder ao esquema instalado mais recente.
-RemoveDefinitions [Options] Restaura o conjunto anterior de definições de assinatura.
-All Restaura as informações de segurança instaladas para uma cópia de segurança anterior ou para o conjunto predefinido original.
-DynamicSignatures Remove apenas atualizações de informações de segurança transferidas dinamicamente.
-Engine Restaura o motor instalado anteriormente.
-RemoveDynamicSignature -SignatureSetID <SignatureSetID> Remove a atualização de informações de segurança dinâmica especificada.
-ResetPlatform Repõe os binários da plataforma para %ProgramFiles%\Windows Defender.
-Restore [Options] Restaura ou lista itens em quarentena.
-ListAll Lista todos os itens em quarentena.
-Name <name> [-All] Restaura o item em quarentena mais recentemente com base no nome de ameaça especificado. Se utilizar -All, todos os itens em quarentena são restaurados com base no nome de ameaça especificado. Uma ameaça pode mapear para vários ficheiros.
-FilePath <QuarantinedFilePath> Restaura um item em quarentena com base no caminho do ficheiro do item em quarentena.
-Path <path> Especifica onde restaurar os itens em quarentena.
  • Se não utilizar -Path, o item é restaurado para a localização original e removido da quarentena.
  • Se utilizar -Path, o item é restaurado para o caminho especificado, mas o item não é removido da quarentena.
-Output <filename> Escreve todos os nomes de itens em quarentena no ficheiro especificado com codificação UTF-8.
-RevertEdr -ToVersion <value> Reverte os binários de detecção e resposta de ponto de extremidade (EDR) para a versão especificada. Disponível na plataforma versão 4.18.26030.3011 ou posterior. Os valores válidos são:
  • Caixa de entrada: reverte o EDR para a versão da caixa de entrada armazenada em %ProgramFiles%\Windows Defender Proteção Avançada contra Ameaças.
  • Anterior: reverte o EDR para a versão anteriormente instalada (N-1), se um backup estiver disponível em %ProgramData%\Microsoft\Windows Defender Proteção Avançada contra Ameaças\Platform.
-RevertPlatform Reverte os binários da plataforma para a versão instalada anteriormente da plataforma Defender.
-Scan [Options] Procura software malicioso. Normalmente, -Scan sem opções, é executada uma análise rápida, a menos que esteja configurado um tipo de análise predefinido diferente no dispositivo.

As análises rápidas e as análises completas têm tempos limite predefinidos. A análise para automaticamente após o passar do tempo:
  • Análises rápidas: um dia
  • Análises completas: Sete dias
-ScanType <value> Especifica o tipo de análise antimalware a executar. Os valores válidos são:
  • 0: predefinição, de acordo com a configuração do dispositivo.
  • 1: Análise rápida.
  • 2: Análise completa
  • 3: Análise personalizada

O código de retorno é um dos seguintes valores:
  • 0: Um dos seguintes resultados:
    • Não foi encontrado software maligno.
    • Software maligno encontrado e remediado com êxito.
  • 2: Um dos seguintes resultados:
    • Software maligno encontrado e não remediado.
    • Software maligno encontrado e ação do utilizador necessária para concluir a remediação.
    • Erros de análise.
-BootSectorScan Válido apenas para análises personalizadas. Ativa a análise do setor de arranque.
-Cancel Tenta cancelar análises rápidas ativas ou análises completas.
-CpuThrottling Especifica a percentagem máxima de utilização da CPU. O valor predefinido é 50.
-DisableRemediation Válido apenas para análises personalizadas.
  • As exclusões de ficheiros são ignoradas.
  • Arquivo ficheiros são analisados.
  • As ações não são aplicadas após a deteção.
  • As entradas do registo de eventos não são escritas após a deteção.
  • As deteções da análise personalizada não são apresentadas na interface de utilizador.
  • As deteções da análise personalizada são apresentadas na saída do comando.
-File <PathAndFilename or Path> Válido apenas para análises personalizadas. Especifica o ficheiro ou pasta a analisar.
-ReturnHR Em vez de devolver 0 ou 2, devolva o HRESULT real do comando de análise.
-Timeout <days> O valor predefinido é 7 para análises completas e 1 para todos os outros tipos de análise. O valor máximo é 30.
-SignatureUpdate [Options] Verifica a existência de novas atualizações de informações de segurança.
-UNC <path> Transfere atualizações diretamente a partir da partilha de ficheiros UNC especificada. Se não especificar um valor de caminho, a atualização é feita diretamente a partir da localização UNC pré-configurada.
-MMPC Transfere atualizações diretamente a partir do Centro de Proteção contra Malware da Microsoft.
-Trace [Options] Inicia um rastreio de ações pelo Serviço Microsoft Antimalware. Por predefinição, todos os eventos Erro, Aviso e Informativo para todos os componentes são registados. Os resultados são armazenados em C:\ProgramData\Microsoft\Windows Defender\Support\MPTrace-<YYYMMDD>-<UTC HHMMSS>-<GUID>.bin.
-Grouping <value> Especifica o componente a incluir no rastreio. Os valores válidos são:
  • 0x1: Serviço
  • 0x2: Motor de Proteção Contra Software Maligno
  • 0x4: Interface de Utilizador
  • 0x8: Proteção Real-Time
  • 0x10: Ações agendadas
  • 0x20: WMI
  • 0x40: NIS/GAPA
  • 0x80: Centro de Segurança do Windows
  • 0x100: DLP externo
  • 0x200: Proteção do Browser
-Level <value> Especifica os níveis de gravidade do evento a incluir no rastreio. Os valores válidos são:
  • 0x1: Erros
  • 0x2: Avisos
  • 0x4: Mensagens informativas
  • 0x8: Chamadas de função
  • 0x10: Verboso
  • 0x20: Desempenho
-TrustCheck -File <PathAndFilename> Verifica o status de fidedignidade do ficheiro especificado. Os ficheiros benignos podem não ser fidedignos. Apenas conhecidos, os bons ficheiros são fidedignos.
-ValidateMapsConnection Verifica se o dispositivo consegue comunicar com o serviço cloud do Antivírus Microsoft Defender. Disponível no Windows 10 versão 1703 (abril de 2017) ou posterior.
-WdEnable Reativa Microsoft Defender Antivírus no dispositivo.

Erros mpCmdRun comuns

A tabela seguinte lista os erros comuns que poderá encontrar com MpCmdRun.

Mensagem de erro Motivo possível
ValidateMapsConnection falhou (800106BA) ou 0x800106BA O serviço antivírus Microsoft Defender está desativado. Ative o serviço e tente novamente. Se precisar de ajuda para reativar Microsoft Defender Antivírus, consulte Reinstalar/ativar o Antivírus Microsoft Defender nos pontos finais.

No Windows 10 versão 1909 (novembro de 2019) ou anterior e Windows Server 2019 ou anterior, o serviço era anteriormente denominado Windows Defender Antivírus.
0x80070667 Executou o MpCmdRun.exe -ValidateMapsConnection comando numa versão não suportada do Windows. Execute o comando em versões suportadas do Windows:
  • Windows 10 versão 1703 (abril de 2017) ou posterior.
  • Windows Server 2019 ou posterior.
MpCmdRun não é reconhecido como um comando interno ou externo, programa operável ou ficheiro em lote. Por predefinição, a pasta que contém MpCmdRun não está na variável de ambiente PATH. Tem de executar MpCmdRun.exe de %ProgramFiles%\Windows Defender ou %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version> (recomendado).

Para aceder ao melhor diretório disponível numa janela da Linha de Comandos, utilize o seguinte comando de diretório de alterações melhorado (cd): (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1.
ValidateMapsConnection não conseguiu estabelecer uma ligação ao MAPS (hr=80070005 httpcode=450) Tem de executar MpCmdRun numa Linha de Comandos elevada. Por exemplo:
  1. Abra o menu Iniciar e, em seguida, escreva cmd.
  2. Clique com o botão direito do rato no resultado da Linha de Comandos e, em seguida, selecione Executar como administrador.
ValidateMapsConnection não conseguiu estabelecer uma ligação ao MAPS (hr=80070006 httpcode=451) Uma firewall está a bloquear a ligação ou a fazer uma inspeção TLS.
ValidateMapsConnection não conseguiu estabelecer uma ligação ao MAPS (hr=80004005 httpcode=450) Possíveis problemas relacionados com a rede. Por exemplo, problemas de resolução de nomes.
ValidateMapsConnection não conseguiu estabelecer uma ligação ao MAPS (hr=0x80508015) Uma firewall está a bloquear a ligação ou a fazer uma inspeção TLS.
ValidateMapsConnection não conseguiu estabelecer uma ligação ao MAPS (hr=800722F0D) Uma firewall está a bloquear a ligação ou a fazer uma inspeção TLS.
ValidateMapsConnection não conseguiu estabelecer uma ligação ao MAPS (hr=80072EE7 httpcode=451) Uma firewall está a bloquear a ligação ou a fazer uma inspeção TLS.

Confira também

  • Last updated on