การใช้ PowerShell เพื่อตรวจสอบคำจำกัดความของ Malware Defender ของ Windows Defender

Windows Defender สามารถอธิบายได้อย่างสมบูรณ์ว่าเป็นโปรแกรมป้องกันไวรัสหลังจากที่เปิดตัว Windows 10 แล้วเช่นเดียวกับโปรแกรมป้องกันไวรัสใด ๆ Windows Defender มีคำจำกัดความของฐานข้อมูลที่ใช้เพื่อระบุและบล็อกหรือลบภัยคุกคามหรือมัลแวร์ ความหมายของฐานข้อมูลคือชุดของมัลแวร์ที่โปรแกรมป้องกันไวรัสได้รับการตั้งโปรแกรมให้ระบุ หากมีการระบุลายเซ็นบางอย่างกับโปรแกรมบางโปรแกรมโปรแกรมดังกล่าวจะถูกตั้งค่าสถานะเป็นภัยคุกคามด้านความปลอดภัย ตอนนี้ Windows PowerShell ช่วยให้คุณสามารถมองเห็นกระโปรงหน้ารถและดูเครื่องยนต์ที่รัน Windows Defender ได้ คุณสามารถทำได้มากขึ้นโดยไม่ต้องใช้ความพยายามมากนัก

คู่มือนี้จะอธิบายสั้น ๆ เกี่ยวกับ Windows Defender และ Windows PowerShell จากนั้นจะเป็นการแนะนำสั้น ๆ เกี่ยวกับวิธีที่ Windows PowerShell ทำงานและวิธีใช้ PowerShell เพื่อจัดการ Windows Defender ในที่สุดเราจะเห็นว่าเราสามารถใช้ PowerShell เพื่อดูว่าไวรัสใดบ้างที่ Windows Defender สามารถระบุได้โดยดูที่ฐานข้อมูลคำจำกัดความของลายเซ็น

Windows Defender คืออะไร?

Windows Defender คือการป้องกันมัลแวร์ที่มาพร้อมกับและมีอยู่ใน Windows ซอฟต์แวร์นี้ช่วยในการระบุและลบไวรัสสปายแวร์และซอฟต์แวร์ที่เป็นอันตรายอื่น ๆ Windows Defender ทำงานในพื้นหลังและแจ้งให้คุณทราบเมื่อคุณต้องการดำเนินการเฉพาะ อย่างไรก็ตามคุณสามารถใช้มัลแวร์ได้ทุกเมื่อเพื่อสแกนหามัลแวร์หากคอมพิวเตอร์ของคุณทำงานไม่ถูกต้องหรือหากคุณคลิกลิงก์ที่น่าสงสัยทางออนไลน์หรือในข้อความอีเมล

Windows Defender ดูเหมือนจะมีกำหนดสำหรับการเปลี่ยนไปใช้แอป Windows ที่ทันสมัยหลังจากหลายปีที่มีส่วนติดต่อผู้ใช้ที่คล้ายคลึงกัน Windows Defender แรกปรากฏเป็นโปรแกรมป้องกันไวรัสสำหรับ Windows XP ตั้งแต่เวอร์ชั่น Vista มันถูกฝังอยู่ใน Microsoft OS ทั้งหมดเพื่อป้องกันซอฟต์แวร์ที่เป็นอันตราย ก่อน Windows 8 Windows Defender ป้องกันสปายแวร์ รวมถึงตัวแทนความปลอดภัยแบบเรียลไทม์หลายแห่งที่ตรวจสอบพื้นที่ทั่วไปหลายแห่งของ Windows สำหรับการเปลี่ยนแปลงซึ่งอาจเกิดจากสปายแวร์ นอกจากนี้ยังรวมถึงความสามารถในการลบซอฟต์แวร์ ActiveX ที่ติดตั้งไว้ได้อย่างง่ายดาย

ใน Windows 8 Windows Defender ถูกรวมเข้ากับผลิตภัณฑ์ป้องกันไวรัสอื่น - Microsoft Security Essentials - และตอนนี้ซอฟต์แวร์ป้องกันไวรัสที่มีคุณลักษณะครบถ้วนแล้ว ใน Windows 10 การตั้งค่า Windows Defender จะถูกควบคุมโดยแอป Settings ที่เข้าถึงได้จากการตั้งค่า การอัปเดตครบรอบของ Windows 10 ช่วยให้สามารถดูประกาศเรื่องขนมปังปิ้งและประกาศผลการสแกนแม้ว่าจะไม่มีไวรัสอยู่ก็ตาม

ข้อได้เปรียบหลักของ Defender คือใช้งานได้ง่ายมีการติดตั้งไว้ล่วงหน้าใน Windows ซึ่งเปิดใช้งานโดยค่าเริ่มต้นและแทบไม่จำเป็นต้องกำหนดค่าด้วยตนเอง นอกจากนี้ยังเป็นแอปพลิเคชันที่มีน้ำหนักเบามากและจะไม่รบกวนคุณด้วยป๊อปอัปตลอดเวลา

Windows PowerShell คืออะไร?

Windows PowerShell เป็นเชลล์ที่พัฒนาโดย Microsoft เพื่อวัตถุประสงค์ในการจัดการงานอัตโนมัติและการกำหนดค่า เชลล์อันทรงพลังนี้จะขึ้นอยู่กับ. NET framework และประกอบด้วยเชลล์บรรทัดคำสั่งและภาษาสคริปต์ ในตอนแรกคอมโพเนนต์ของ Windows เท่านั้น PowerShell ได้รับการทำ open-source และ cross-platform ในวันที่ 18 สิงหาคม พ.ศ. 2559 ซึ่งหมายความว่าทุกคนสามารถพัฒนาคำสั่งเพื่อใช้กับ PowerShell

Windows Defender มีเวอร์ชันบรรทัดคำสั่งอยู่เสมอซึ่งคุณสามารถเรียกใช้ได้จากหน้าต่างพร้อมรับคำสั่งทั่วไป อย่างไรก็ตาม Windows 10 นำมาพร้อมกับ cmdlets สำหรับ Windows Defender

cmdlet ( command-let ) เป็นคำสั่งที่มีน้ำหนักเบาที่ใช้ในสภาพแวดล้อม Windows PowerShell รันไทม์ Windows PowerShell เรียกใช้ cmdlet เหล่านี้ในบริบทของสคริปต์ระบบอัตโนมัติที่มีให้ที่บรรทัดคำสั่ง รันไทม์ Windows PowerShell ยังเรียกใช้โปรแกรมเหล่านี้ผ่านทาง Windows PowerShell APIs (อินเทอร์เฟซโปรแกรมประยุกต์) Cmdlets ดำเนินการและมักจะส่งคืนออบเจ็กต์ Microsoft .NET Framework ไปยังคำสั่งถัดไปในท่อ เช่นเดียวกับการดำเนินการคำสั่งอื่น ๆ คำสั่ง cmdlet ต้องมีอยู่เพื่อที่จะส่งคืนผลลัพธ์มิฉะนั้นจะแสดงข้อผิดพลาด

วิธีเปิดใช้ Windows PowerShell ในโหมดผู้ดูแลระบบ

คุณสามารถเรียกใช้ PowerShell ได้โดยการพิมพ์ PowerShell ในหน้าต่าง Run แต่จะไม่สามารถตัดมันได้ เนื่องจากวิธีนี้จะไม่รัน PowerShell ในโหมดผู้ดูแลระบบและไม่มีโหมดผู้ดูแลระบบคุณจะ จำกัด สิ่งที่คุณสามารถทำได้เนื่องจากสิทธิ์ ต่อไปนี้เป็นวิธีการเริ่มต้น PowerShell ในโหมดผู้ดูแลระบบ

1. ใน Windows 10 วิธีที่ง่ายและรวดเร็วที่สุดในการเปิด ไฟล์ File / Windows Explorer เปิดโฟลเดอร์ใดก็ได้ จากเมนู File ให้ไปที่ Open Windows PowerShell จากนั้นเลือก Open Windows PowerShell เป็น คำสั่ง Administrator
2. ตัวเลือกอื่น ๆ คือไปที่โฟลเดอร์ C : \ Windows \ System32 \ WindowsPowerShell \ v1.0 หรือ เวอร์ชันใดก็ได้ คลิกขวาที่ไฟล์ PowerShell.exe และเปิดเป็นผู้ดูแลระบบ แฟ้ม PowerShell_ise.exe ให้ PowerShell ในส่วนติดต่อผู้ใช้แบบกราฟิกแทน Command Prompt แต่ทั้งสองทำงานในลักษณะเดียวกันโดยใช้ cmdlets เดียวกัน
3. ตัวเลือกสุดท้ายคือการเปิด Command Prompt ในฐานะผู้ดูแลระบบและใช้เพื่อเปิด PowerShell ไปที่ เริ่ม> แอปพลิเคชันทั้งหมด / โปรแกรมทั้งหมด> ระบบ Windows / อุปกรณ์เสริม> คลิกขวาที่ Command Prompt และ เรียกใช้ในฐานะผู้ดูแลระบบ ในหน้าต่างพร้อมรับคำสั่งที่ปรากฏให้พิมพ์ PowerShell และกด Enter เส้นทางจะเปลี่ยนเป็น PS C: \ Windows \ System32> ซึ่งหมายความว่าคุณพร้อมที่จะใช้สภาพแวดล้อม PowerShell แล้ว

cmdlet Defender ของ PowerShell และวิธีการใช้งาน

เราได้พูดถึงสิ่งที่ cmdlets เป็นดังนั้นวิธีที่คุณใช้พวกเขา? คุณต้องพิมพ์คำสั่งนี้ลงในหน้าต่าง PowerShell

Windows PowerShell มี 12 cmdlets สำหรับ Windows Defender หากต้องการดูให้พิมพ์คำสั่ง Get-Command -Module Defender ลงในหน้าต่างพร้อมรับคำสั่ง PowerShell และกด Enter นี่คือรายการทั้งหมดของ cmdlets สำหรับ Windows Defender

ขอความช่วยเหลือจาก PowerShell เมื่อคุณติดอยู่

PowerShell มีความช่วยเหลือแบบคอนโซลที่กว้างขวาง หากคุณติดหรือคุณต้องการความช่วยเหลือคำอธิบายหรือตัวอย่างเกี่ยวกับ cmdlet ใช้คำสั่งเหล่านี้เพื่อรับข้อมูล

ถ้าคุณไม่สามารถรับข้อมูลใด ๆ ได้คุณจะต้องอัพเดตไฟล์วิธีใช้ cmdlet ของ Windows Defender เมื่อต้องการอัพเดตเมนูวิธีใช้ให้พิมพ์คำสั่งนี้ในหน้าต่าง Windows PowerShell หน้าต่าง Help - การปรับปรุงและรอสักครู่เพื่อดาวน์โหลดและติดตั้งไฟล์วิธีใช้ล่าสุด

การดำเนินงานมาตรฐานบางอย่างใน PowerShell เพื่อจัดการ Windows Defender

พ ร็อพเพอร์ตี้ Start-MpScan ในพรอมต PowerShell จะใหคุณเรียกใชการสแกนในระบบของคุณ นี่คือการสแกนของ Windows Defender ที่คุณสามารถเรียกใช้บนพีซีของคุณโดยใช้ Windows PowerShell

1. FullScan - การสแกนนี้ทำขึ้นสำหรับไฟล์ทั้งหมดในคอมพิวเตอร์รวมทั้งรีจิสทรีของระบบและแอปพลิเคชันปัจจุบันที่กำลังทำงานอยู่ เพียงใช้คำสั่งนี้เพื่อทำการสแกนแบบเต็มรูปแบบ: Start-MpScan -ScanType QuickScan
2. QuickScan - การทำเช่นนี้จะวิเคราะห์เฉพาะพื้นที่ที่อาจเป็นมัลแวร์เท่านั้น เมื่อต้องการสแกนอย่างรวดเร็วให้ใช้คำสั่งต่อไปนี้: Start-MpScan -ScanType FullScan
3. CustomScan - การสแกนแบบกำหนดเองจะทำให้ผู้ใช้เลือกโฟลเดอร์และไดรฟ์ที่ต้องการสแกน จำเป็นต้องใช้พารามิเตอร์เส้นทางสำหรับการสแกนนี้ นี่คือตัวอย่าง cmdlet เพื่อรันการสแกนแบบกำหนดเอง: Start-MpScan -ScanPath C: \ Users \ User1 \ Downloads

ถ้าคุณต้องการตรวจหาการปรับปรุงข้อกำหนดลายเซ็นไวรัสใหม่และอัปเดต Windows Defender คุณจะใช้คำสั่ง: Update-MpSignature

เมื่อต้องการแสดงสถานะปัจจุบันของตัวเลือกที่เปิดใช้งาน Windows Defender วันที่และรุ่นของไวรัสวันที่สแกนล่าสุดและประเภทอื่น ๆ ให้พิมพ์คำสั่งนี้ลงใน PowerShell: Get-MpComputerStatus

ถ้าคุณต้องการปิดใช้งานการป้องกันแบบเรียลไทม์ Defender ใช้คำสั่ง: Set-MpPreference -DisableRealtimeMonitoring $ true

มี cmdlets ของ Windows Defender ที่มีความซับซ้อนมากขึ้น แต่หน้านี้จะไม่เจาะลึกลงไป ตอนนี้คุณรู้พื้นฐาน cmdlets Defender พื้นฐานเราจะดูที่วิธีการได้รับการมองเข้าไปในฐานข้อมูลคำจำกัดความของ Windows Defender ลายเซ็น

การเข้าถึงฐานข้อมูลคำจำกัดความลายเซ็นของมัลแวร์ของ Windows Defender โดยใช้ PowerShell

ฐานข้อมูลคำจำกัดความของ Windows Defender จะบอกคุณว่า Windows Defender สามารถระบุว่าเป็นภัยคุกคามและแก้ปัญหาได้สำเร็จ cmdlet Get-MpThreatCatalog จะช่วยให้คุณทำเช่นนี้ได้ รายการทั้งหมดจะมีความยาวและจะสร้างขึ้นด้วยความเร็วที่พองบนหน้าจอ อย่างไรก็ตามคุณอาจใช้เวลาในการค้นหาสิ่งที่ต้องการและสิ่งที่อาจขาดหายไป เพียงพิมพ์คำสั่งนี้ลงในคำสั่ง PowerShell และกด Enter

Get-MpThreatCatalog

คุณสามารถใช้ปุ่มหยุดชั่วคราว / หยุดพักบนพีซีเพื่อหยุดการทำงานเอาต์พุตชั่วคราว หากต้องการหยุดหรือยกเลิกรายการทั้งหมดจากรายการให้กด Ctrl + C หากคุณทำอย่างใดอย่างหนึ่งคุณจะเห็นบันทึกของแต่ละภัยคุกคามในฐานข้อมูลพร้อมหกฟิลด์ นี่คือตัวอย่าง:

CategoryID: 4

SeverityID: 5

ThreatID: 5145

ThreatName: TrojanDownloader: Win32 / Zlob.CH

TypeID: 0

PSComputerName:

ให้เราดูสั้น ๆ ว่าแต่ละฟิลด์หมายถึงอะไร

CategoryID: นี่จะแสดงประเภทของมัลแวร์ / ภัยคุกคามที่ปรากฏ ต่อไปนี้เป็นค่าที่รู้จักและประเภทของภัยคุกคาม / มัลแวร์ที่พวกเขาชี้ไปที่:

SeverityID: นี่เป็นมาตราส่วน 1-5 ซึ่งระบุถึงภัยคุกคามที่ไม่ดีและ 5 เป็นระดับสูงสุด นี่คือสิ่งที่พวกเขาหมายถึง

ThreatID: หมายเลขนี้เป็นหมายเลขที่กำหนดให้กับมัลแวร์ / ภัยคุกคามเป็นรูปประจำตัว

ThreatName: นี่คือชื่อที่กำหนดให้กับมัลแวร์ที่ตรงกับหมายเลข ThreatID

TypeID: ค่า TypeID ระบุว่า Windows Defender ระบุมัลแวร์อย่างไร เป็นภัยคุกคามที่รู้จักหรือไม่รู้จัก? นี่คือค่านิยมและความหมาย

คุณอาจสังเกตเห็นว่าภัยคุกคามทั้งหมดที่ปรากฏบนหน้าจอเป็นภัยคุกคามประเภท (0) เนื่องจากส่วนใหญ่ของคำจำกัดความลายเซ็นที่ถูกเพิ่มเข้ามาได้รับการค้นคว้าและชนิดของภัยคุกคามที่พวกเขาก่อให้เกิดได้รับการจัดทำเป็นเอกสารแล้ว

PSComputerName: ชื่อของคอมพิวเตอร์ที่ใช้งานอยู่ ซึ่งมักจะว่างเปล่าหากคุณไม่ได้อยู่ในเครือข่ายและด้วยเหตุผลง่ายๆว่าฐานข้อมูลนี้เป็นแคตตาล็อกไม่ใช่กิจกรรม

สิ่งที่ต้องจำ

1. คำจำกัดความลายเซ็นเป็นแคตตาล็อกขนาดใหญ่ดังนั้นอาจต้องใช้เวลาสักครู่ก่อนที่คุณจะเห็นข้อมูลที่สร้างขึ้นบนหน้าจอ อดทน
2. เนื่องจากฐานข้อมูลมีขนาดใหญ่อาจทำให้หน่วยความจำของคุณสั่นไหว อย่างไรก็ตาม cmdlets มีขีด จำกัด ในหน่วยความจำที่ใช้และคุณมีแนวโน้มที่จะเห็นข้อความนี้: คำเตือน: การใช้หน่วยความจำของ cmdlet เกินระดับการเตือน PowerShell อาจกู้คืนและดำเนินการต่อกับกระบวนการนี้หรือเพียงแค่นำคุณกลับไปที่ท่อพร้อมท์ อดทน มิฉะนั้นคุณสามารถยกเลิกกิจกรรมได้โดยการกด Ctrl + C
3. หากหน้าจอของคุณแคบเกินไปให้พิมพ์คำสั่ง 'CLS' เพื่อล้างหน้าจอ นี้จะช่วยเพิ่มการใช้หน่วยความจำ

การสอบถามฐานข้อมูลคำจำกัดความลายเซ็น Defenders ของ Windows Defender

แบบสอบถามเป็นเพียงการร้องขอข้อมูล / ข้อมูลที่ได้จากการกลั่นที่ตรงตามเกณฑ์ที่กำหนดจากฐานข้อมูล เราได้เห็นฐานข้อมูลคำจำกัดความของ Windows Defender แล้ว ตอนนี้เรารู้ว่าเป็นฐานข้อมูลที่มีขนาดใหญ่มาก แต่คุณสามารถลดจำนวนข้อมูลที่สามารถแสดงผลได้โดยการเพิ่มพารามิเตอร์สองสามพารามิเตอร์ลงใน cmdlet ของคุณ ต่อไปนี้คือตัวอย่างบางส่วนของวิธีที่คุณสามารถทำได้

1. หากต้องการดูระเบียนทั้งหมดในฐานข้อมูลของมัลแวร์ที่ร้ายแรงที่สุดให้ใช้ cmdlet นี้:

รับ - MpThreatCatalog | where-object {$ _. ความรุนแรง -exq 5}

ค่า 5 จะแสดงคำจำกัดความที่มีระดับความรุนแรง 5 เท่านั้น

1. มีมัลแวร์หลายประเภทที่ Windows Defender สามารถระบุได้ หากต้องการให้เป็นศูนย์ในประเภทเดียวคุณจะต้องผ่านพารามิเตอร์ TypeID หรือสะดวกกว่าซึ่งเป็นพารามิเตอร์ ThreatName ตัวอย่างคือการดูเฉพาะภัยคุกคามที่รู้จักกันในชื่อไวรัส พิมพ์คำสั่งนี้ลงในหน้าต่างพรอมต์คำสั่ง PowerShell:

รับ - MpThreatCatalog | where-object {$ _. ThreatName -Match ^ Virus. *}

นอกจากนี้คุณยังสามารถใช้เกณฑ์มากกว่าหนึ่งเกณฑ์ในการค้นหาฐานข้อมูล สมมติว่าคุณต้องการดู ไวรัส ทั้งหมดที่มี ความรุนแรง เพียงแค่พิมพ์คำสั่งนี้ลงในหน้าต่าง PowerShell:

รับ - MpThreatCatalog | where-object {$ _. ความรุนแรง -Eq 5} | where-object {$ _. ThreatName -Match ^ Virus. *}

ด้วยวิธีนี้คุณสามารถมีเกณฑ์การค้นหาเพิ่มเติมเพื่อ จำกัด ข้อมูลที่แสดงให้แคบลง

1. แม้หลังจากการสืบค้นฐานข้อมูลของคุณแล้วคุณอาจยังพบข้อมูลจำนวนมากที่แสดงอยู่บนหน้าจอของคุณ ถ้าคุณต้องการดูผลลัพธ์บนหน้าจอทีละหน้าให้พิมพ์คำสั่งต่อไปนี้ที่พรอมต์ PowerShell:

รับ - MpThreatCatalog | where-object {$ _. ความรุนแรง -Eq 5} | เลือก ThreatName | มากกว่า

หรือ

รับ - MpThreatCatalog | where-object {$ _. ความรุนแรง -Eq 5} | where-object {$ _. ThreatName - จับเวลา ^ Virus. *} | เลือก ThreatName | มากกว่า

บรรทัดคำสั่งนี้จะเอาต์พุตออกมาเป็น คำสั่งเพิ่มเติม ซึ่งจะแสดงผลออกทีละหน้า ในการเลื่อนไปยังหน้าถัดไปให้กด [Spacebar] หากคุณกดปุ่ม [Enter] หน้าจอจะเลื่อนไปทีละบรรทัด ซึ่งจะช่วยให้คุณประหยัดเวลาในการรอที่จำเป็นในการแสดงข้อมูลทั้งหมดพร้อมกันก่อนที่คุณจะสามารถเริ่มดูและเลื่อนดูผลการค้นหาของคุณได้

มีคำสั่งเพิ่มเติมที่คุณสามารถใช้เพื่อ จำกัด คำค้นหาของคุณให้แคบลง การใช้ข้อมูลและตัวอย่างที่เราระบุไว้คุณจะสามารถทำสิ่งนี้ได้อย่างง่ายดาย โปรดจำไว้ว่าเวอร์ชันของ Windows Defender และ Windows PowerShell เวอร์ชันจะเป็นตัวกำหนดว่าคุณจะสามารถใช้ cmdlets สำหรับ Windows Defender ได้หรือไม่ การทดสอบนี้ได้รับการทดสอบสำหรับ Windows 10 หน้าการสนับสนุนของ Microsoft ระบุว่ามีให้บริการสำหรับ Windows Server 2016 และ Windows 10 Windows 7 รุ่นขายปลีก (ไม่ปรับปรุง) ดูเหมือนจะไม่รู้จัก cmdlet นี้ ในความเป็นจริง PowerShell ของ Windows 7 จะโยนข้อผิดพลาดหรือคืนช่องว่างเมื่อคุณพิมพ์ cmdlet นี้ การอัปเดตแอพพลิเคชันทั้งสอง (Defender และ PowerShell) อาจทำให้คุณกลับมาได้อีกครั้ง

PRO TIP: หากปัญหาเกิดขึ้นกับคอมพิวเตอร์หรือแล็ปท็อป / โน้ตบุ๊คคุณควรลองใช้ซอฟต์แวร์ Reimage Plus ซึ่งสามารถสแกนที่เก็บข้อมูลและแทนที่ไฟล์ที่เสียหายได้ วิธีนี้ใช้ได้ผลในกรณีส่วนใหญ่เนื่องจากปัญหาเกิดจากความเสียหายของระบบ คุณสามารถดาวน์โหลด Reimage Plus โดยคลิกที่นี่