Microsoft Defender Antivirus unter Windows Server per PowerShell verwalten

Ziel

Status und Alter der Signaturen von Microsoft Defender Antivirus prüfen, ein Signaturupdate erzwingen, einen On-Demand-Scan ausführen und die konfigurierten Ausnahmen unter Windows Server prüfen, und zwar aus einer PowerShell-Sitzung ohne grafische Oberfläche.

Voraussetzungen

Eine Administratorsitzung mit erhöhten Rechten; Windows Server 2016 oder neuer, wo Microsoft Defender Antivirus und das zugehörige PowerShell-Modul Defender standardmässig installiert sind (fehlen die Cmdlets, mit Get-WindowsFeature Windows-Defender prüfen). Ist ein anderes Antivirenprodukt installiert, in Schritt 1 den Wert AMRunningMode prüfen: Unter Windows Server wechselt Defender nicht von selbst in den passiven Modus.

Schritte

1. Gesamtstatus und Aktualität der Signaturen in einem Aufruf prüfen: Get-MpComputerStatus. Das Cmdlet liefert unter anderem die Felder AntivirusEnabled, AntivirusSignatureAge und AntivirusSignatureLastUpdated. Damit lässt sich ein Schwellenwert für die Aktualität skripten (z. B. alles markieren, bei dem AntivirusSignatureAge -gt 2 gilt).
2. Ein Signaturupdate ausserhalb des regulären Zeitplans erzwingen: Update-MpSignature; laut Dokumentation aktualisiert es "the antimalware definitions on a computer" (die Antimalware-Definitionen auf einem Computer). Ohne -UpdateSource gilt die konfigurierte Fallback-Reihenfolge; -UpdateSource akzeptiert InternalDefinitionUpdateServer (WSUS), MicrosoftUpdateServer, MMPC oder FileShares.
3. Einen On-Demand-Scan ausführen: Start-MpScan -ScanType QuickScan oder -ScanType FullScan; Start-MpScan -ScanType CustomScan -ScanPath D:\data scannt einen einzelnen Ordner. Das Cmdlet wartet, bis der Scan beendet ist, was bei einem vollständigen Scan Stunden dauern kann; in unbeaufsichtigten Sitzungen -AsJob ergänzen.
4. Die konfigurierten Ausnahmen prüfen, bevor einem sauberen Scanergebnis vertraut wird: Get-MpPreference | Select-Object ExclusionPath, ExclusionExtension, ExclusionProcess. Get-MpPreference "gets preferences for the Windows Defender scans and updates" (liefert die Einstellungen für Windows-Defender-Scans und -Updates), einschliesslich aller Ausnahmekategorien.
5. Das Prinzip möglichst weniger Ausnahmen anwenden: Jeden Ausnahmepfad, jede Dateiendung und jeden Prozess, die nicht durch einen dokumentierten, aktuellen betrieblichen Grund gestützt sind (ein bestimmter Backup-Agent, eine bestimmte Datenbank-Engine), mit Remove-MpPreference -ExclusionPath <path> entfernen; jede Ausnahme steht für Dateisystem- oder Prozessaktivität, die Defender nie untersucht. Ausnahmen, die per Gruppenrichtlinie oder Intune verteilt werden, müssen dort geändert werden, sonst kehren sie bei der nächsten Richtlinienaktualisierung zurück.
6. Funde werden im Windows-Ereignisprotokoll unter Microsoft-Windows-Windows Defender/Operational aufgezeichnet und lassen sich in PowerShell mit Get-MpThreatDetection abfragen. Das Cmdlet listet die jüngsten Funde unabhängig von der Ausgabe des laufenden Scans auf.

Erwartetes Ergebnis

Get-MpComputerStatus meldet AntivirusEnabled: True und einen aktuellen Wert bei AntivirusSignatureLastUpdated; die Ausnahmelisten von Get-MpPreference entsprechen einer freigegebenen, dokumentierten Menge; ein gezielter Scan eines Ordners mit der EICAR-Testdatei (sofern die Richtlinie deren Verwendung erlaubt) erzeugt einen Fund, der über Get-MpThreatDetection sichtbar ist.

Grenzen und Prüfbasis

Das Entfernen einer Ausnahme kann einen Workload verlangsamen, der darauf angewiesen war, nicht gescannt zu werden. Ausnahmen daher einzeln entfernen und das Verhalten beobachten, bevor die nächste entfernt wird. Um eine Änderung an den Ausnahmen rückgängig zu machen, die Ausnahme mit Add-MpPreference -ExclusionPath <path> (dem Gegenstück, das Ausnahmen hinzufügt statt ausliest) und dem in Schritt 4 festgehaltenen Wert erneut anlegen. Keiner dieser Schritte erfordert einen Neustart.