主页 / server / 问题 / 933468
Accepted
Bob
Asked: 2018-10-02 06:00:16 +0800 CST

Windows Defender Powershell ThreatAction 枚举映射到什么？

  • 772

我正在查看 Server 2016 中的默认 Defender 配置。我不确定如何发现这些“0”对 ThreatDefaultAction 的含义：

HighThreatDefaultAction                       : 0
LowThreatDefaultAction                        : 0
MAPSReporting                                 : 2
ModerateThreatDefaultAction                   : 0

我会从Set-MpPreference文档中认为它是隔离区，但同一段文本引用了一个以“清洁”而不是“隔离区”开头的参数集。这种对 ThreatIdDefaultActions 的解释在它的列表中甚至没有 0：Add-MpPreference

powershell

3 个回答

  1. 绝对看起来那里缺少文档。如果您查看示例，SignatureScheduleDay它会更好地记录映射，它与参数集列出的完全一致。

    最好的选择是它们根据“参数集”进行映射。这也与帮助文件的语法部分映射相同：

                                 0   |      1     |   2    |   3   |      4      |     5    |   6   
[-HighThreatDefaultAction {Clean | Quarantine | Remove | Allow | UserDefined | NoAction | Block}]

    我检查了 github 中是否列出了与此相关的问题，但没有找到。你肯定可以在那里查询更多：https ://github.com/MicrosoftDocs/windows-powershell-docs/blob/master/docset/windows/defender/set-mppreference.md

    • 1

  2. 所有HighThreatDefaultAction, LowThreatDefaultAction,ModerateThreatDefaultAction和都是枚举类型SevereThreatDefaultAction的属性。它们的值指定对给定级别的威胁采取哪种自动补救措施。UnknownThreatDefaultAction[ThreatAction]

    上述任何属性的零值应视为未定义，因为成功执行Remove-MpPreference的 cmdlet 将其值设置为零。以下示例中的演示：

    PS C:\WINDOWS\system32> Import-Module Defender

PS C:\WINDOWS\system32> Get-MpPreference | Select-Object -Property *DefaultAction


HighThreatDefaultAction     : 2
LowThreatDefaultAction      : 0
ModerateThreatDefaultAction : 0
SevereThreatDefaultAction   : 2
UnknownThreatDefaultAction  : 0


PS C:\WINDOWS\system32> Remove-MpPreference -Force -HighThreatDefaultAction

PS C:\WINDOWS\system32> Get-MpPreference | Select-Object -Property *DefaultAction


HighThreatDefaultAction     : 0
LowThreatDefaultAction      : 0
ModerateThreatDefaultAction : 0
SevereThreatDefaultAction   : 0
UnknownThreatDefaultAction  : 0

    Set-MpPreference但是，文档中还有另一个模糊之处；例如：

    -HighThreatDefaultAction

    指定对高级别威胁采取的自动补救措施。此参数的可接受值为：

    Quarantine
Remove
Ignore

    但尝试Set-MpPreference -HighThreatDefaultAction Ignore导致InvalidData错误，因为[ThreatAction]类型枚举不包含名称Ignore：

    PS > Import-Module Defender
PS > [Microsoft.PowerShell.Cmdletization.GeneratedTypes.MpPreference.ThreatAction] |
    Get-EnumValue

Name                           Value
----                           -----
Clean                          1
Quarantine                     2
Remove                         3
Allow                          6
UserDefined                    8
NoAction                       9
Block                          10

    请注意，该Get-EnumValue功能来自我在CodeReview的回答。

    • 1
  3. Best Answer

    好的，从微软支持那里得到答案。0 与 NULL 相同（此处的文档示例），这意味着遵循 Microsoft 适用于每个威胁的默认设置。换句话说，每个病毒/恶意软件/等。附有严重性和威胁行动（即缓解）。GetMpPreference 中的“0”表示使用该缓解措施，而不是您可能在此处指定的任何值来普遍覆盖每个严重性级别。希望对未来的旅行者有所帮助。

    • 1

相关问题