Microsoft Defender Antivirus no Windows Server via PowerShell

Objetivo

Verificar o estado e a idade das assinaturas do Microsoft Defender Antivirus, forçar uma atualização das assinaturas, executar uma varredura sob demanda e revisar as exclusões configuradas no Windows Server, tudo a partir de uma sessão do PowerShell, sem usar a interface gráfica.

Pré-requisitos

Uma sessão elevada de administrador; Windows Server 2016 ou posterior, onde o Microsoft Defender Antivirus e o módulo PowerShell Defender vêm instalados por padrão (se os cmdlets estiverem ausentes, verifique com Get-WindowsFeature Windows-Defender). Se outro produto antivírus estiver instalado, verifique AMRunningMode no passo 1: no Windows Server, o Defender não passa sozinho para o modo passivo.

Passos

1. Verifique o estado geral e a atualização das assinaturas em uma única chamada: Get-MpComputerStatus. O cmdlet retorna campos como AntivirusEnabled, AntivirusSignatureAge e AntivirusSignatureLastUpdated, o que permite criar em script um limite de atualização (por exemplo, sinalizar tudo que tenha AntivirusSignatureAge -gt 2).
2. Force uma atualização das assinaturas fora do agendamento normal: Update-MpSignature, documentado como atualizador de "the antimalware definitions on a computer" (as definições antimalware de um computador). Sem -UpdateSource, usa a ordem de fallback configurada; -UpdateSource aceita InternalDefinitionUpdateServer (WSUS), MicrosoftUpdateServer, MMPC ou FileShares.
3. Execute uma varredura sob demanda: Start-MpScan -ScanType QuickScan ou -ScanType FullScan; Start-MpScan -ScanType CustomScan -ScanPath D:\data varre uma única pasta. O cmdlet aguarda o fim da varredura, o que em uma varredura completa pode levar horas; em sessões não supervisionadas, adicione -AsJob.
4. Revise as exclusões configuradas antes de confiar em uma varredura sem ameaças: Get-MpPreference | Select-Object ExclusionPath, ExclusionExtension, ExclusionProcess. Get-MpPreference "gets preferences for the Windows Defender scans and updates" (obtém as preferências das varreduras e atualizações do Windows Defender), incluindo todas as categorias de exclusão.
5. Aplique o princípio de exclusões mínimas: remova com Remove-MpPreference -ExclusionPath <path> qualquer caminho, extensão ou processo excluído que não tenha uma justificativa operacional documentada e atual (um agente de backup específico, um mecanismo de banco de dados específico); cada exclusão representa atividade de sistema de arquivos ou de processo que o Defender nunca inspeciona. Exclusões distribuídas por Group Policy ou Intune devem ser alteradas lá; caso contrário, voltam na próxima atualização da política.
6. As detecções são registradas no Windows Event Log em Microsoft-Windows-Windows Defender/Operational e podem ser consultadas no PowerShell com Get-MpThreatDetection, que lista as detecções recentes independentemente da saída da varredura em execução.

Resultado esperado

Get-MpComputerStatus informa AntivirusEnabled: True e um AntivirusSignatureLastUpdated recente; as listas de exclusão de Get-MpPreference correspondem a um conjunto aprovado e documentado; uma varredura intencional de uma pasta que contenha o arquivo de teste EICAR (onde a política permitir usá-lo) gera uma detecção visível em Get-MpThreatDetection.

Limites e base de verificação

Remover uma exclusão pode deixar mais lenta uma carga de trabalho que dependia de não ser varrida; remova uma por vez e monitore antes de remover a seguinte. Para desfazer uma alteração de exclusão, adicione-a novamente com Add-MpPreference -ExclusionPath <path> (o cmdlet complementar, que adiciona exclusões em vez de lê-las), usando o valor capturado no passo 4. Nenhum destes passos exige reinicialização.