Initialiser les logs de Microsoft Defender

Version imprimable

22/08/2024, 09h54
dmganges

Initialiser les logs de Microsoft Defender

Bonjour,

J'utilise Windows Defender qui stocke ses logs dans C:\ProgramData\Microsoft\Windows Defender\Support\MPLog-07132009-221054.log.
Je ne laisse pas mon PC en activité en permanence, donc programmer un scan à une heure précise n'est pas efficace.
Je programme donc un scan au boot du PC avec MpCmdRun.exe :

Code:

"C:\Program Files\Windows Defender\MpCmdRun.exe" -Scan -ScanType 1

Mais le fichier log se remplit indéfiniment...
Je voudrais supprimer une partie des logs, voire la totalité, pour ne conserver que la dernière exécutée.

Du genre :

Code:

echo 'COUCOU' > MPLog-07132009-221054.log

Mais le fichier log est inaccessible car en utilisation...
Je n'ai pas trouvé de paramètre à l'exécutable MpCmdRun.exe, qui le permette.

Y a t-il une solution ?

Merci pour vos suggestions !
23/08/2024, 20h36
kaitlyn

Defendeur change au grès des versions et mises à jour de windows.
Je n'ai pas de windows 7, mais sur ma machine ce log est verrouillé et protégé par le service microsoft defender.

Tu peux essayer de le stopper avec net stop WinDefend
ensuite tu renommes ton fichier log ren MPLog-07132009-221054.log MPLog-07132009-221054.log.bak
enfin tu relances le service net start WinDefend
Tout cela dans une console en mode admin bien sûr.

Pour que l’opération se fasse rapidement :
net stop WinDefend & ren MPLog-07132009-221054.log MPLog-07132009-221054.log.bak & net start WinDefend
Enfin, tu fais ce que tu veux de ton fichier log.bak

Edit;

Le forum ignore le saut de ligne après une balise fermante. [/c]
Avec 3 sauts, ça passe.

Citation:

Envoyé par kaitlyn

Salut,

Defendeur change au grès des versions et mises à jour de windows.
Je n'ai pas de windows 7, mais sur ma machine ce log est verrouillé et protégé par le service microsoft defender.

Tu peux essayer de le stopper avec net stop WinDefend
ensuite tu renommes ton fichier log ren MPLog-07132009-221054.log MPLog-07132009-221054.log.bak
enfin tu relances le service net start WinDefend
Tout cela dans une console en mode admin bien sûr.

Pour que l’opération se fasse rapidement :
net stop WinDefend & ren MPLog-07132009-221054.log MPLog-07132009-221054.log.bak & net start WinDefend
Enfin, tu fais ce que tu veux de ton fichier log.bak

Edit;

Le forum ignore le saut de ligne après une balise fermante. [/c]
Avec 3 sauts, ça passe.

Bonjour et merci kaitlyn ça fonctionne impeccable, aussi en Win7...

J'ai adapté ta commande dans un script sur un raccourci en admin, pour afficher en même temps ce qu'il y avait dans le log initial...
Code:

1 2 3 4 5 net stop WinDefend copy "C:\ProgramData\Microsoft\Windows Defender\Support\*.log" F:\ del "C:\ProgramData\Microsoft\Windows Defender\Support\*.log" net start WinDefend "C:\Program Files (x86)\IDM Computer Solutions\UltraEdit\Uedit32.exe" "F:\MPLog*log"
C'est parfait :!:
J'étais prêt à inclure quelque chose de semblable dans un script de mise à jour Linux que j'ai en multiboot sur ce PC... Mais là c'est plus propre et plus pratique !

Oui le forum ne prend pas en compte les balises : {} Là elles n'apparaissent même pas à l'intérieur des accolades , il suffit (normalement...) de passer à la ligne avec la touche <Return> une seule fois chez moi...
[Édit] et placer le lignes de code entre balises CODE][/CODE avec l'icône #

24/08/2024, 18h53
kaitlyn

Salut,

Je parlais de la balise [codeinline][/codeinline], que tu peux abréger en [c][/c]. Elle est mal implémentée dans le forum et de ce que j'ai lu, ça revient sur le tapis depuis presque 15 ans. J'avais fait l'Edit parce que mon message avait été mal formaté, après au lieu d'effacer l'Edit, je l'ai complété.

Bref, ce n’est pas pour ça que je poste, mais pour t'écrire de faire attention aux commandes del et consorts.

Ici par exemple (c'est peut-être pas important dans ce cas précis), tu fais copy puis del. Si copy échoue, et sans vérification, tu perds toutes tes données. Un move serait un bon candidat.

De même, pour copy, un copy /b est préférable (b pour mode binaire). Sans, il y a un risque d'obtenir des fichiers corrompus.
Et tant qu’à faire, et si nécessaire, un pause ou un timeout en fin de script pour s'assurer entre autres de la bonne reprise du service.

Pour terminer, en complément de ton éditeur, je sais qu'il existe des analyseurs open source pour le fichier mplog (microsoft protection log) (et les autres). Je n’en connais pas particulièrement, mais une recherche t'aidera (si besoin) à aller plus loin dans sa compréhension.

Bonjour et merci kaitlyn pour ces précisions supplémentaires.

Il est vrai que dans mon cas perdre un fichier log n'est pas capital.
Mais ça n'interdit pas de faire les choses proprement.
Comme je ne fais plus de script Windows depuis longtemps, j'ai oublié pas mal de syntaxe, et au moment d'écrire je ne me souvenais plus si on écrivait mv ou move... :( Ça tient à peu de chose !
Mais j'ai corrigé :
Code:

1 2 3 4 net stop WinDefend move "C:\ProgramData\Microsoft\Windows Defender\Support\*.log" F:\ net start WinDefend "C:\Program Files (x86)\IDM Computer Solutions\UltraEdit\Uedit32.exe" "F:\MPLog*log"
J'ai vu que ça passait sans pause ni timeout, donc je n'en ai pas ajouté.
J'utilise Ultraedit depuis plus de 30 ans :), là juste pour voir, pour le moment rien de sibyllin.
Si ça se complique je ne pourrais pas faire l'économie d'un vrai analyseur, en fouinant j'ai trouvé Microsoft Fabric RTA, mais pour le moment je n'ai pas grand chose à analyser :
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 -------------------------------------------------------------------------------- Windows Defender Log, (c) 2006 Started On sam. août 24 2024 04:42:20 ************************************************************ [sam. août 24 2024 04:42:20] Verifying RTP plugin... [sam. août 24 2024 04:42:20] verified! [sam. août 24 2024 04:42:20] Loading engine... [sam. août 24 2024 04:42:20] Verifying engine module... [sam. août 24 2024 04:42:20] verified! [sam. août 24 2024 04:42:21] Initializing RTP plugin state... [sam. août 24 2024 04:42:21] initialized! [sam. août 24 2024 04:42:21] loaded! [sam. août 24 2024 04:42:21] Verifying license file... [sam. août 24 2024 04:42:21] verified! Product Version: 6.1.7600.16385 Service Version: 6.1.7601.18170 Engine Version: 1.1.24070.3 AS Signature Version: 1.417.254.0 ************************************************************ [sam. août 24 2024 04:43:20] Process scan started. [sam. août 24 2024 04:43:21] Process scan completed. -------------------------------------------------------------------------------- Windows Defender Log, (c) 2006 Started On dim. août 25 2024 02:34:20 ************************************************************ [dim. août 25 2024 02:34:20] Verifying RTP plugin... [dim. août 25 2024 02:34:26] verified! [dim. août 25 2024 02:34:26] Loading engine... [dim. août 25 2024 02:34:26] Verifying engine module... [dim. août 25 2024 02:34:35] verified! [dim. août 25 2024 02:34:36] Initializing RTP plugin state... [dim. août 25 2024 02:34:36] initialized! [dim. août 25 2024 02:34:36] loaded! [dim. août 25 2024 02:34:36] Verifying license file... [dim. août 25 2024 02:34:36] verified! Product Version: 6.1.7600.16385 Service Version: 6.1.7601.18170 Engine Version: 1.1.24070.3 AS Signature Version: 1.417.254.0 ************************************************************ [dim. août 25 2024 02:35:20] Process scan started.
Il y a même une vidéo explicative :https://www.youtube.com/watch?v=9ddYqAsmChcmais je ne pense pas devoir en arriver là.
Au moindre doute je restaure mes Windows, et à l'ancienne : partition complète avec GParted sur Linux en multiboot sur le PC, en moins de 3mn si la partition à restaurer est sur le SSD interne, 5 à 6 mn si elle se trouve sur un support externe.

Encore merci kaitlyn, et bonne journée !

31/08/2024, 23h41
l_autodidacte

Citation:

Edit;

Le forum ignore le saut de ligne après une balise fermante. [/c]
Avec 3 sauts, ça passe.

Pour contourner ce petit problème, mets un signe de ponctuation à la fin de la ligne contenant [/c] puis ton RC et ça ira bien.
01/09/2024, 18h00
kaitlyn

Salut @l_autodidacte,

Oui J'avais vu ça entre autres ici (https://www.developpez.net/forums/d1...-ignore-celui/) et ici (https://www.developpez.net/forums/d1...n-code-inline/) le jour où j'ai écrit mon second message.
Mais de mon point de vue, ce n'est pas une solution. Une personne qui fait un copier-coller risque fortement d'embarquer la ponctuation avec, et elle se retrouvera avec un code erroné. Et dans certains langages, les expressions elles-mêmes nécessitent une ponctuation à la fin, donc ça fera une double ponctuation.

Quoiqu'il en soit, je te remercie pour ta spontanéité.