Exécuter l’analyse du client sur Windows

Article
05/05/2024

S’applique à :

Option 1 : Réponse en direct

Vous pouvez collecter les journaux de prise en charge de l’analyseur Defender pour point de terminaison à distance à l’aide de Live Response.

Option 2 : Exécuter MDE’analyseur client localement

Téléchargez l’outil Analyseur de client MDE ou l’outil Analyseur de client bêta MDE sur l’appareil Windows que vous souhaitez examiner.

Le fichier est enregistré dans votre dossier Téléchargements par défaut.
Extrayez le contenu de MDEClientAnalyzer.zip dans un dossier disponible.
Ouvrez une ligne de commande avec des autorisations d’administrateur :
1. Accéder à Démarrer et taper cmd.
2. Cliquez avec le bouton droit sur Invite de commandes et sélectionnez Exécuter en tant qu'administrateur.
Tapez la commande suivante, puis appuyez sur Entrée :
```
*DrivePath*\MDEClientAnalyzer.cmd
```
Remplacez DrivePath par le chemin d’accès où vous avez extrait MDEClientAnalyzer, par exemple :
```
C:\Work\tools\MDEClientAnalyzer\MDEClientAnalyzer.cmd
```

En plus de la procédure précédente, vous pouvez également collecter les journaux de prise en charge de l’analyseur à l’aide de la réponse en direct.

Remarque

Sur Windows 10 et 11, Windows Server 2019 et 2022, ou Windows Server 2012R2 et 2016 avec la solution unifiée moderne installée, le script de l’analyseur client appelle dans un fichier exécutable appelé MDEClientAnalyzer.exe pour exécuter les tests de connectivité aux URL de service cloud.

Sur Windows 8.1, Windows Server 2016 ou toute édition précédente du système d’exploitation où Microsoft Monitoring Agent (MMA) est utilisé pour l’intégration, le script de l’analyseur client appelle dans un fichier exécutable appelé MDEClientAnalyzerPreviousVersion.exe pour exécuter des tests de connectivité pour les URL de commande et de contrôle (CnC) tout en appelant également l’outil TestCloudConnection.exe de connectivité Microsoft Monitoring Agent pour les URL de canal de données cybernétiques.

Points importants à garder à l’esprit

Tous les scripts et modules PowerShell inclus avec l’analyseur sont signés Par Microsoft. Si les fichiers ont été modifiés d’une manière ou d’une autre, l’analyseur est censé se fermer avec l’erreur suivante :

Si vous voyez cette erreur, la sortie issuerInfo.txt contient des informations détaillées sur la raison pour laquelle cela s’est produit et le fichier affecté :

Exemple de contenu après la modification de MDEClientAnalyzer.ps1 :

Contenu du package de résultats sur Windows

Remarque

Les fichiers exacts capturés peuvent changer en fonction de facteurs tels que :

Version de windows sur laquelle l’analyseur est exécuté.
Disponibilité du canal du journal des événements sur l’ordinateur.
État de début du capteur EDR (l’assistant est arrêté si la machine n’est pas encore intégrée).
Si un paramètre de résolution des problèmes avancé a été utilisé avec la commande analyzer.

Par défaut, le fichier de MDEClientAnalyzerResult.zip décompressé contient les éléments suivants.

MDEClientAnalyzer.htm

Il s’agit du fichier de sortie HTML main, qui contient les résultats et les conseils que le script d’analyseur exécuté sur l’ordinateur peut produire.
SystemInfoLogs [Dossier]
- AddRemovePrograms.csv
  
  Description : Liste des logiciels x64 installés sur le système d’exploitation x64 collectés à partir du Registre.
- AddRemoveProgramsWOW64.csv
  
  Description : liste des logiciels x86 installés sur le système d’exploitation x64 collectés à partir du Registre.
  - CertValidate.log
    
    Description : résultat détaillé de la révocation de certificat exécutée en appelant CertUtil.
  - dsregcmd.txt
    
    Description : sortie de l’exécution de dsregcmd. Cela fournit des détails sur la Microsoft Entra status de la machine.
  - IFEO.txt
    
    Description : Sortie des options d’exécution de fichier image configurées sur l’ordinateur
  - MDEClientAnalyzer.txt
    
    Description : il s’agit d’un fichier texte détaillé avec les détails de l’exécution du script de l’analyseur.
  - MDEClientAnalyzer.xml
    
    Description : format XML contenant les résultats du script de l’analyseur.
  - RegOnboardedInfoCurrent.Json
    
    Description : informations de machine intégrées collectées au format JSON à partir du Registre.
- RegOnboardingInfoPolicy.Json
  
  Description : configuration de la stratégie d’intégration collectée au format JSON à partir du Registre.
  - SCHANNEL.txt
    
    Description : détails sur la configuration SCHANNEL appliquée à la machine, telles que collectées à partir du Registre.
  - SessionManager.txt
    
    Description : Les paramètres spécifiques du Gestionnaire de session sont rassemblés à partir du Registre.
  - SSL_00010002.txt
    
    Description : détails sur la configuration SSL appliquée à la machine collectée à partir du Registre.
EventLogs [Dossier]
- utc.evtx
  
  Description : Exportation du journal des événements DiagTrack
- senseIR.evtx
  
  Description : Exportation du journal des événements d’investigation automatisée
- sense.evtx
  
  Description : Exportation du journal des événements sensor main
- OperationsManager.evtx
  
  Description : Exportation du journal des événements de Microsoft Monitoring Agent
MdeConfigMgrLogs [Dossier]
- SecurityManagementConfiguration.json
  
  Description : configurations envoyées à partir de MEM (Microsoft Endpoint Manager) à des fins d’application.
- policies.json
  
  Description : paramètres des stratégies à appliquer sur l’appareil.
- report_xxx.json
  
  Description : résultats d’application correspondants.

Voir aussi

Conseil

Voulez-vous en savoir plus ? Engage avec la communauté Microsoft Security dans notre communauté technique : Microsoft Defender pour point de terminaison Tech Community.

Partage via