Collecter les données de diagnostic de l’antivirus Microsoft Defender

Utilisez MpCmdRun.exe cela pour collecter les données de diagnostic de l’antivirus Microsoft Defender lorsque le support Microsoft ou les équipes d’ingénierie vous aident à résoudre les problèmes de l’appareil. Sauvegardez le package de support sur l’appareil concerné, ou copiez les packages de plusieurs appareils vers un emplacement central.

Remarque

Pour recueillir à la place un package d’enquête Defender for Endpoint, voir Recueillir un package d’enquête à partir d’un appareil.

Pour les problèmes de performance de l’antivirus Microsoft Defender, utilisez l’analyseur de performance pour Microsoft Defender Antivirus.

Collectez des données de diagnostic en utilisant MpCmdRun

Sur chaque appareil concerné, choisissez de conserver le boîtier de diagnostic sur l’appareil ou de le copier à un emplacement central :

1. Ouvrez une invite de commande surélevée (une fenêtre d’invite que vous avez ouverte en sélectionnant Exécuter en tant qu’administrateur), puis utilisez l’une des options suivantes :

   • Enregistrez les fichiers journaux de diagnostic sur l’appareil local : Les commandes suivantes passent au dernier dossier disponible de la plateforme antivirus Microsoft Defender et créez le package de support :

     Conseil

     La première commande bascule vers le répertoire de la dernière version de la <plateforme antimalware> dans %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Si ce chemin n’existe pas, il passe à %ProgramFiles%\Windows Defender.

     (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
     
     MpCmdRun.exe -GetFiles
     

     Par défaut, MpCmdRun.exe génère, compresse et sauvegarde les fichiers journaux de diagnostic dans C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cab.

     Le nom de .cab fichier est le même sur tous les appareils.

   • Copiez les fichiers journaux de diagnostic vers un emplacement central : La syntaxe suivante crée le package de support local et le copie sur le chemin racine spécifié :

     (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
     
     MpCmdRun.exe -GetFiles -SupportLogLocation <RootPath>
     

     L’outil crée C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cab, puis copie le .cab fichier avec un nouveau nom dans un sous-dossier de <RootPath> (par exemple, P:\Data ou \\Server01\Data). Le fichier copié utilise la syntaxe suivante du chemin et du nom de fichier : <RootPath>\<MMDD>\MpSupport-<Hostname>-<HHMM>.cab.

     • <RootPath> est la valeur que vous avez spécifiée pour -SupportLogLocation.
     • <MMDD> est le mois et le jour où vous avez exécuté la commande MpCmdRun (par exemple, 0318 pour le 18 mars).
     • <Hostname> est le nom de l’appareil sur lequel vous avez exécuté la commande MpCmdRun (par exemple, LAPTOP01).
     • <HHMM> c’est l’heure et la minute où vous avez exécuté la commande MpCmdRun (par exemple, 2221 pour 22:21).

   Remarque

   Si l'outil ne peut pas copier le .cab fichier à l'emplacement spécifié, vérifiez l'emplacement local par défaut à C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cab.

   L’exemple suivant copie le package de support de l’appareil nommé LAPTOP01 le 18 mars à 22h21 :

   (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
   
   MpCmdRun.exe -GetFiles -SupportLogLocation "\\SERVER01\Data"
   

   Le fichier résultant .cab est disponible à \\SERVER01\Data\0318\MpSupport-LAPTOP01-2221.cab. Le nom d’hôte et l’heure dans le nom de fichier distinguent les fichiers collectés sur différents appareils.

2. Patientez quelques minutes pendant que MpCmdRun.exe génère et compresse les fichiers journaux de diagnostic. Le fichier résultant .cab comprend :

   • Tous les fichiers de trace de Microsoft Antimalware Service.
   • Le journal de l’historique des mises à jour de Windows.
   • Tous les événements de service Microsoft Antimalware du journal des événements système.
   • Tous les emplacements du Registre pertinents pour le service Microsoft Antimalware.
   • Le fichier journal de MpCmdRun.
   • Fichier journal de l’outil d’assistance de mise à jour des signatures.

   Copiez les .cab fichiers dans un endroit sécurisé accessible par le support Microsoft, comme un dossier OneDrive protégé par mot de passe.

Configurez l’emplacement de la copie du fichier de diagnostic en utilisant la Stratégie de Groupe

Configurez la stratégie Définir le chemin d’accès du répertoire pour copier les fichiers journaux de support afin de copier les packages de diagnostic vers un emplacement central après leur création sur chaque appareil par MpCmdRun.exe. Lorsque vous configurez cette politique, vous n’avez pas besoin d’utiliser l’option -SupportLogLocation avec MpCmdRun.exe -GetFiles.

Utilisez la procédure dans Configurer l’antivirus Microsoft Defender à l’aide de la politique de groupe pour ouvrir et modifier un objet de politique de groupe (GPO) qui s’applique aux appareils cibles. Pour la Stratégie de Groupe basée sur le domaine, vous pouvez gérer les modèles dans le Magasin central de Stratégie de groupe.

Pour configurer l’emplacement de copie du fichier de diagnostic :

1. Dans l’Éditeur de gestion des stratégies de groupe, accédez à Configuration ordinateur>Modèles d’administration>Composants Windows>Microsoft Defender Antivirus.

   

2. Ouvrir Définir le chemin du répertoire pour copier les fichiers journaux de support.

3. Sélectionnez Activé. Dans Options, saisissez le chemin du répertoire où vous souhaitez que l’outil copie les packages de support.

   

4. Cliquez sur OK.

La politique configure la valeur SupportLogLocation sous HKLM\Software\Policies\Microsoft\Windows Defender.

Contenu connexe

• Résoudre les problèmes d’analyse antivirus Microsoft Defender
• Analyseur de performances pour Microsoft Defender Antivirus