Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. winevt
  5. Logs
  6. Microsoft-Windows-Windows Defender%4Operational.evtx
JournalRisque : Prudence

Microsoft-Windows-Windows Defender%4Operational.evtx C:\Windows\System32\winevt\Logs\Microsoft-Windows-Windows Defender%4Operational.evtx

Journal Windows Defender/Operational : détections (1116, 1117), mises à jour de signatures (2000, 2001) et état de la protection en temps réel (5001).

Mis à jour le Par AltF4 Formation

À quoi ça sert

Canal « Microsoft-Windows-Windows Defender/Operational », le journal d’activité de Microsoft Defender Antivirus : menaces détectées, action menée, état des signatures, désactivation de la protection. Il est présent sur les clients et sur Windows Server, tant que Defender est installé.

Ce qu’il contient

  • 1116 : programme malveillant ou indésirable détecté (nom de la menace, chemin, utilisateur, processus).
  • 1117 : action menée pour protéger la machine (quarantaine, suppression).
  • 1118 et 1119 : action échouée, ou échec critique.
  • 2000 et 2001 : signatures mises à jour, ou échec de la mise à jour.
  • 5000 et 5001 : protection en temps réel activée, ou désactivée.
  • 5007 : changement de configuration de Defender (ajout d’exclusion compris).

Risques et bonnes pratiques

  • Un 5001 ou un 5007 suivi d’une exclusion inattendue mérite une enquête : ce sont les traces d’un contournement de la protection.
  • Avec Defender géré par stratégie, Intune ou une console de sécurité, vérifiez la configuration réelle avec Get-MpPreference plutôt que de la déduire des événements.
  • Les chemins et noms de fichiers détectés peuvent révéler des documents de l’entreprise : relisez avant d’envoyer l’export.

Commandes utiles

Fenêtre de terminal
# Menaces détectées et actions menées
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Windows Defender/Operational'; Id=1116,1117} -MaxEvents 30 |
    Select-Object TimeCreated, Id, Message


# Mises à jour de signatures en échec
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Windows Defender/Operational'; Id=2001} -MaxEvents 10


# Menaces connues du moteur et état actuel
Get-MpThreatDetection | Select-Object InitialDetectionTime, ThreatID, Resources
Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated

Format

Fichier binaire XML (.evtx). Le « / » du nom de canal devient « %4 » dans le nom du fichier.

Rotation et archivage

Taille maximale et comportement à saturation se règlent dans les propriétés du journal ou par stratégie de groupe ; wevtutil gl affiche la configuration et wevtutil epl exporte le journal vers un .evtx.

Comment le lire

Observateur d’événements, « Journaux des applications et des services », « Microsoft », « Windows », « Windows Defender », « Opérationnel ». Filtrez sur 1116 et 1117 pour les détections, puis suivez les 5001 et 5007 pour savoir si la protection a été modifiée avant l’incident. Le détail du moteur (analyses, mises à jour) est dans MPLog-*.log sous ProgramData\Microsoft\Windows Defender\Support.

Signaler une erreur