уведомления антивируса

[Mr.Merak]

Подскажите, есть ли способ получать уведомления когда встроенный антивирус 10ки что-то делает с файлами, например, помещает в карантин?

[Vadikan]

Пуск - (поиск) - безопасность Windows - Настройки - Уведомления
https://i.imgur.com/XT2NfW0.png

[Mr.Merak]

спс
странно, все галки стоят, но уведомления о переносе в карантин не было...

только что проверил - скачал активатор с трекера и антивирус молча его съел

[Vadikan]

Mr.Merak,

1. Убедитесь, что включены уведомления в Параметры - (поиск) notifications
2. Покажите рез-т команд в PowerShell от имени администратора
Get-MpThreat
Get-MpThreatDetection

[sondz7]

есть ли способ получать уведомления когда встроенный антивирус 10ки что-то делает с файлами, например, помещает в карантин? »
можно посмотреть что и куда он удалил/поместил здесь C:\ProgramData\Microsoft\Windows Defender\Scans\History\Service

[Mr.Merak]

Vadikan, получилось, спс
(были выключены уведомления)

[Mr.Merak]

еще вопрос возник)

Можно как-то заставить антивирус спрашивать выбор действий при обнаружении угрозы? Т.е. сейчас происходит постфактум - что то не понравилось и он файл "сьел", потом нужно лезть в журнал и разрешать (или нет).

[Vadikan]

Mr.Merak, такой возможности нет.

https://docs.microsoft.com/powershell/module/defender/set-mppreference?view=win10-ps
С set-mppreference можно задать дефолтные действия для разных типов угроз
[-LowThreatDefaultAction <ThreatAction>]
[-ModerateThreatDefaultAction <ThreatAction>]
[-HighThreatDefaultAction <ThreatAction>]
[-SevereThreatDefaultAction <ThreatAction>]
Доступные
Quarantine
Remove
Ignore
В общем, этого достаточно должно быть.

[Mr.Merak]

ну ясно, кастыли
нормального способа нет

[Mr.Merak]

https://www.nirsoft.net/utils/windows_defender_threats_view.html

[Mr.Merak]

В общем, этого достаточно должно быть. »
как выяснилось - нет

[Mr.Merak]

Тема изначально от сюда (http://forum.oszone.net/thread-346417-2.html), но я решил создать новую, чтобы подробно описать проблему по шагам. Может у кого появятся свежие идеи на эту тему.

Цель. Я хочу чтобы дефендер только уведомлял о найденной угрозе и сам никаких действий к ней не применял.

Теория (https://docs.microsoft.com/ru-ru/powershell/module/defender/set-mppreference?view=windowsserver2022-ps) нам говорит, что нужно для начала в powershell сделать так:
Set-MpPreference -UnknownThreatDefaultAction 9
Set-MpPreference -LowThreatDefaultAction 9
Set-MpPreference -ModerateThreatDefaultAction 9
Set-MpPreference -HighThreatDefaultAction 9
Set-MpPreference -SevereThreatDefaultAction 9
Проверяем:
Get-MpPreference| Out-String -stream | Select-String action
(еще подтверждение в: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Threats\ThreatSeverityDefaultAction\)

Также, в настройках нам нужно убрать галку с "Защита от подделки". Опции для её отключения через powershell нет, но так мы можем убедится что оно и вправду отключено:
get-MpComputerStatus| Out-String -stream | Select-String tamper
(еще подтверждение в: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Features\)

Теперь берем вирусню, к примеру на MalwareBazaar и смотрит что произойдёт после распаковки.

Результат. Мало того что он "съедет" вирусню, но также делает пометку в журнале VirTool:Win32/DefenderTamperingRestore и удаляет наши значения в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Threats\ThreatSeverityDefaultAction\

Все это актуально для Win10 21H2 Pro.