| 用途 | 防护侧检测记录复核 |
|---|---|
| 日志 | Microsoft-Windows-Windows Defender/Operational |
查询
查询
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' |
Where-Object { $_.Id -in 1116,1117 } | Select-Object -First 20 TimeCreated, Message检测名与样本哈希一起登记，便于跨主机关联。
Defender 检测与处置日志
Defender 的事件（1116/1117 检测与处置、1006 扫描）给出检测名称、路径与处置动作，是主机侧防护的完整流水。
易错点
- 被攻击者关防护时段无日志，留心策略变更事件
- 告警去重后按入侵链节点归类，不要平铺堆报告
数据来源与参考
- Microsoft Docs（Defender 事件 ID）