在 Windows 中脱机Microsoft Defender

适用于：

平台

脱机Microsoft Defender是一种反恶意软件扫描工具，可用于从受信任的环境启动和运行扫描。 扫描从普通 Windows 内核外部运行，因此它可以针对尝试绕过 Windows shell 的恶意软件，例如感染或覆盖主启动记录的病毒和 rootkit， (MBR) 。

如果怀疑恶意软件感染，或者想要在恶意软件爆发后确认终结点的彻底清理，可以使用 Microsoft Defender 脱机。

在Windows 10和Windows 11中，只需单击一下即可直接从Windows 安全应用运行Microsoft Defender脱机。 在早期版本的 Windows 中，用户必须安装Microsoft Defender脱机来启动媒体、重启终结点并加载可启动媒体。

Microsoft Defender脱机Windows 10和Windows 11具有与Windows 10相同的硬件要求。

有关Windows 10和Windows 11要求的详细信息，请参阅以下主题：

注意

Microsoft Defender在具有 ARM 处理器的计算机或 Windows Server 库存单位上不支持脱机。

若要从终结点脱机运行Microsoft Defender，用户必须使用管理员权限登录。

Microsoft Defender脱机使用终结点上提供的最新保护更新;每当更新Microsoft Defender防病毒时，它都会更新。

注意

在运行脱机扫描之前，应尝试更新Microsoft Defender防病毒保护。 可以使用 组策略 强制更新，或者通常将更新部署到终结点，也可以从 Microsoft 恶意软件防护中心手动下载并安装最新的保护更新。

有关详细信息，请参阅管理Microsoft Defender防病毒安全智能更新主题。

在 Windows 10 版本 1607 中，可以手动强制脱机扫描。 或者，如果Windows Defender确定需要运行脱机Microsoft Defender，它将提示用户在终结点上。

如果使用脱机扫描来管理终结点，Microsoft Intune中也会显示执行脱机扫描的需要。

提示可以通过通知发生，如下所示：

用户还将在 Windows Defender 客户端中收到通知。

在Configuration Manager中，可以通过导航到“监视>概述>安全>终结点保护>状态”System Center Endpoint Protection状态来标识终结点的状态。

Microsoft Defender脱机扫描在“恶意软件修正状态”下指示为“需要脱机扫描”。

Microsoft Defender脱机通知配置为与其他Microsoft Defender防病毒通知相同的策略设置。

有关Windows Defender中的通知的详细信息，请参阅配置终结点上显示的通知主题。

重要

在脱机使用Microsoft Defender之前，请确保保存所有文件并关闭正在运行的程序。 运行Microsoft Defender脱机扫描大约需要 15 分钟。 扫描完成后，它将重启终结点。 扫描在通常的 Windows 操作环境之外执行。 用户界面看起来与Windows Defender执行的普通扫描不同。 扫描完成后，终结点将重启，Windows 将正常加载。

可以使用以下命令运行Microsoft Defender脱机扫描：

使用以下 cmdlet：

有关如何将 PowerShell 与 Microsoft Defender 防病毒配合使用的详细信息，请参阅使用 PowerShell cmdlet 配置和运行 Microsoft Defender 防病毒和 Defender 防病毒 cmdlet。

使用 MSFT_MpWDOScan 类运行脱机扫描。

以下 WMI 脚本代码片段将立即运行Microsoft Defender脱机扫描，这将导致终结点重启、运行脱机扫描，然后重启并启动到 Windows。

有关详细信息，请参阅以下内容：

单击任务栏中的屏蔽图标或搜索 Defender for Cloud 的“开始”菜单，打开Windows 安全应用。

单击“ 病毒 & 威胁防护 ”磁贴 (或左侧菜单栏上的屏蔽图标) 然后单击 “高级扫描 ”标签：

选择“Microsoft Defender脱机扫描”，然后单击“立即扫描”。

注意

在 Windows 10 版本 1607 中，脱机扫描可以从 Windows 设置>更新&安全性>下运行Windows Defender也可以从 Windows Defender 客户端运行。

提示

如果要查找其他平台的防病毒相关信息，请参阅：

若要查看Microsoft Defender脱机扫描结果，请执行以下操作：

选择“开始”，然后选择“设置”>“更新&安全性>Windows 安全>病毒&威胁防护”。

在 “病毒 & 威胁防护 ”屏幕的“ 当前威胁”下，选择“ 扫描选项”，然后选择“ 保护历史记录”。

提示

是否要了解详细信息？ 在技术社区中与 Microsoft 安全社区互动：Microsoft Defender for Endpoint技术社区。