在 Windows 上运行客户端分析器

Microsoft Defender for Endpoint客户端分析器收集诊断数据并支持日志，以排查Windows设备上的传感器运行状况、连接和性能问题。 有两个选项可用于运行客户端分析器：

• 使用实时响应
• 在设备上本地运行客户端分析器

选项 1：实时响应

可以使用 实时响应远程收集 Defender for Endpoint 分析器支持日志。

选项 2：在本地运行MDE客户端分析器

执行以下步骤，直接在 Windows 设备上下载和运行 MDE 客户端分析器：

1. 将MDE客户端分析器工具或MDE客户端分析器工具 (预览) 下载到要调查的 Windows 设备。 默认情况下，该文件将保存到“下载”文件夹。

2. 将 MDEClientAnalyzer.zip 的内容提取到一个可用的文件夹中。

3. 使用管理员权限打开命令行：

   1. 转到“开始”并键入“cmd”。

   2. 右键单击“命令提示符”，然后选择“以管理员身份运行”。

4. 键入以下命令，然后按 Enter：

   *DrivePath*\MDEClientAnalyzer.cmd
   

   将 DrivePath 替换为提取 MDEClientAnalyzer 的路径。 例如，如果将该工具解压到 C:\Work\tools，请运行以下命令：

   C:\Work\tools\MDEClientAnalyzer\MDEClientAnalyzer.cmd
   

除了在本地设备上运行客户端分析器之外，还可以 使用实时响应收集分析器支持日志。

要记住的要点

分析器附带的所有 PowerShell 脚本和模块都Microsoft签名。 如果以任何方式修改了文件，则预期分析器退出并出现以下错误：

如果分析器退出并出现文件签名验证错误，则 issuerInfo.txt 输出包含有关签名检查失败的原因以及哪些文件受到影响的详细信息：

以下示例演示修改 MDEClientAnalyzer.ps1 时 issuerInfo.txt 的内容：

Windows 上的结果包内容

分析器完成后，会生成包含诊断文件和文件夹的结果包。

默认情况下，解压缩 MDEClientAnalyzerResult.zip 的文件包含下表中列出的项：

相关内容

• 客户端分析器概述
• 用于在 Windows 上进行高级故障排除的数据收集
• 了解分析器 HTML 报表