ELAM (Early Launch Antimalware) og Microsoft Defender Antivirus

Gælder for:

• Microsoft Defender XDR
• Microsoft Defender for Endpoint Plan 2
• Microsoft Defender for Business
• Microsoft Defender for Endpoint Plan 1
• Microsoft Defender for enkeltperson

Platforme:

• Windows 11, Windows 10, Windows 8.1, Windows 8
• Windows Server 2019, Windows Server 2016, Windows Server 2012 R2, Windows Server 2012

Det at registrere malware, der starter tidligt i opstartscyklussen, var en udfordring, før Windows 8. I august 2012 indarbejdede Microsoft Defender Antivirus (MDAV) til Windows 8 eller nyere og Windows Server 2012 og senere en ny funktion kaldet ELAM-driveren (Early Launch Antimalware). ELAM bekæmper trusler ved tidlig start (f.eks. rootkits eller skadelige drivere, der kan skjules fra registrering) ved hjælp af en Wdboot.sys driver, der starter før andre startdrivere. ELAM muliggør evaluering af andre drivere og hjælper Windows-kernen med at beslutte, om disse drivere skal initialiseres.

Hvor logføres ELAM-registreringerne?

ELAM-registreringen er logget på samme placering som de andre Microsoft Defender Antivirus-trusler, f.eks. Event ID 1006.

Hvordan gør jeg holde MDAV ELAM-driveren opdateret?

MDAV ELAM-driveren leveres med den månedlige "Platformopdatering".

Kan elmalwarepolitikken (Early Launch Antimalware) ændres?

ELAM kan ændres her:

Computerkonfiguration>Administrative skabeloner>System>Early Launch Antimalware

Hvordan kan jeg kontrollere, at MDAV ELAM-driveren er indlæst?

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\EarlyLaunch BackupPath (streng) C:\Windows\ELAMBKUP\WdBoot.sys (værdi)

Hvordan gør jeg gendanne MDAV ELAM-driveren til en tidligere version?

C:\ProgramData\Microsoft\Windows Defender\Platform<antimalware platform version>\MpCmdRun.exe -RevertPlatform.

Eksempel:

C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.24010.12-0\MpCmdRun.exe -RevertPlatform