Defender 检测与处置日志
Microsoft Defender 防病毒把检测、处置与配置变更都记入“应用程序和服务日志 > Microsoft > Windows > Windows Defender > Operational”：1116 表示检测到威胁、1117 表示已按策略处置、1006 表示扫描发现威胁、1000/1001 是扫描开始与结束、5001 与 5007 记录实时保护被关闭或配置被修改。主机侧被拦截与放行的完整流水都在这里，是判断“防护是否起过作用、攻击者是否动过防护”的第一手记录。
基本信息
| 适用平台 | Windows 10/11 与 Windows Server 2016 及以上（含内置 Defender 防病毒） |
|---|---|
| 日志名 | Microsoft-Windows-Windows Defender/Operational |
| 核心事件 | 1116 检测、1117 处置、1006 扫描检出、1000/1001 扫描起止、5001 实时保护关闭、5007 配置变更 |
| 配套命令 | Get-MpThreatDetection、Get-MpComputerStatus、Get-MpPreference |
| 关键字段 | Threat Name、Severity、Path、Process Name、Action |
典型使用场景
- 确认某台主机在事件窗口内是否检出过恶意文件，以及检出后是清除、隔离还是仅告警
- 识别攻击者关闭实时保护的动作：5001 与 5007 的时间点常紧邻载荷落地时间
- 核对排除项（ExclusionPath/ExclusionProcess）是否被恶意添加，这是绕过防护的常用手段
- 把检出路径与样本哈希登记进取证清单，跨主机关联同一样本家族
- 评估处置有效性：1116 有检出但 1117 显示失败，说明载荷可能仍在运行
查询与核对
查询与核对
# 检出与处置事件
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' |
Where-Object { $_.Id -in 1116,1117 } |
Select-Object -First 20 TimeCreated, Id, Message | Format-List
# 直接查威胁检测清单（含时间、威胁名与资源路径）
Get-MpThreatDetection | Select-Object InitialDetectionTime, ThreatID, Resources | Format-List
# 防护状态与配置：实时保护是否被关、排除项是否被改动
Get-MpComputerStatus | Select-Object RealTimeProtectionEnabled, AntivirusEnabled
Get-MpPreference | Select-Object ExclusionPath, ExclusionProcess, DisableRealtimeMonitoring事件 ID 速查
| 事件 ID | 含义 | 判读要点 |
|---|---|---|
| 1116 | 检测到恶意软件 | 含威胁名与文件路径，是检出起点 |
| 1117 | 已对恶意软件执行操作 | 动作可能是清除、隔离、允许，允许需重点说明 |
| 1006 | 扫描检出威胁 | 与 1116 配合确认检出场景 |
| 5001 | 实时保护已禁用 | 被攻击者关闭的直接证据 |
| 5007 | 配置已更改 | 排除项增删会记录在此，注意新增的路径与进程 |
| 1000 / 1001 | 扫描开始 / 结束 | 用于判断检出是否来自实时防护而非定时扫描 |
攻击者常在落地载荷前先关闭实时保护或添加排除项，处置时不要只清样本：必须同时恢复防护配置、核查 5001/5007 的修改者，并检查该时段内是否还有其他未拦截的载荷。
Defender 平台版本更新会调整事件字段与措辞，跨版本比对同一字段前先在少量事件上确认字段位置，避免用错列。