Як вручну оновити сигнатури та платформу Захисника Windows

Сьогодні ми проводимо значну кількість часу перед комп’ютерами, чи то працюючи, навчаючись, чи просто насолоджуючись онлайн-контентом. У будь-якому з цих сценаріїв ризики шкідливого програмного забезпечення, вірусів та цілеспрямованих атак присутні постійно, і якщо залишити комп’ютер без оновленого захисту, це призведе до багатьох проблем. Windows містить власне рішення безпеки – антивірус Microsoft Defender (раніше Windows Defender), яке пропонує дуже ефективний захист за умови постійного оновлення.

У багатьох випадках сигнатури та платформа Microsoft Defender оновлюються автоматично без будь-якого втручання. Однак досить часто через збої Windows Update, сервери без доступу до Інтернету, застарілі образи інсталяції або неправильно налаштовані політики нам потрібно оновлювати Defender вручну. Саме тут знадобиться глибоке розуміння всіх доступних методів: від Windows Update до командного рядка, включаючи автономні пакети та спеціальні інструменти для образів WIM та VHD.

Чому так важливо оновлювати сигнатури Microsoft Defender вручну?

Під час чистої інсталяції Windows, особливо в корпоративному середовищі або на серверах, перші кілька годин є критичними: образи інсталяції (WIM, VHD або VHDX) часто містять дуже застарілий механізм та сигнатури Defender . Доки система не завантажить перше оновлення, існує значна прогалина в безпеці, яку новітнє шкідливе програмне забезпечення може відносно легко використати.

Microsoft наголошує, що ці оновлення не лише додають нові визначення вірусів, але й виправлення продуктивності та покращення платформи захисту від шкідливих програм . Іншими словами, вона не лише виявляє більше загроз, але й робить це ефективніше, з меншим впливом та більшою стабільністю. Це стосується незалежно від того, чи використовуєте ви вбудований антивірус, чи інше рішення безпеки: багато частин системи все ще покладаються на платформу Defender.

Щоб мінімізувати це вікно вразливості, Microsoft рекомендує оновлювати образи інсталяції операційної системи кожні три місяці . Таким чином, коли ви розгортаєте новий комп’ютер або сервер, він вже постачається з відносно новим механізмом та сигнатурами Defender, що зменшує необхідність завантаження гігабайт оновлень одразу після запуску.

У цьому контексті навчання ручному оновленню інтелектуальних засобів безпеки, механізму та платформи Defender — це не примха, а базове адміністративне завдання, яке позбавляє вас ризиків та головного болю як на домашніх ПК, так і на серверних інфраструктурах.

Версії, механізм, платформа та типи оновлень Defender

Антивірус Microsoft Defender складається з кількох окремих компонентів, які оновлюються з різною частотою, і їх розуміння значно допомагає вам зрозуміти, що ви робите під час оновлення вручну. Найважливішими є: платформа, механізм захисту від шкідливих програм та аналітика безпеки (сигнатури).

З одного боку, платформа Defender — це компонент, який визначає архітектуру антивіруса в системі: служби, процеси, інтеграцію ядра тощо. Microsoft щомісяця оновлює її за допомогою накопичувального оновлення, відомого як оновлення платформи (наприклад, KB4052623). Ці оновлення містять нові функції та значні внутрішні зміни.

Другий – це механізм захисту від шкідливих програм , який відповідає за аналіз файлів, процесів та пам’яті, інтерпретацію правил та застосування шаблонів виявлення. Він зазвичай оновлюється разом із сигнатурами та має приблизно щомісячну частоту, хоча й включений до пакетів аналізу безпеки.

Зрештою, оновлення даних безпеки , які також називають визначеннями або сигнатурами, публікуються найчастіше (у багатьох випадках кілька разів на день). Вони дозволяють виявляти найновіші загрози. Defender також використовує хмарний захист (MAPS), який завантажує додаткові динамічні оновлення та аналізує деякі підозрілі елементи в Інтернеті для покращення виявлення в режимі реального часу.

В офіційній документації вказані конкретні значення, наприклад: платформа 4.18.26020.6, механізм 1.1.26020.1 та система безпеки 1.445.323.0 . Важливо знати вам, як користувачеві чи адміністратору, що якщо будь-який із цих компонентів значно застаріє порівняно з поточними версіями, ваш захист буде неадекватним, і ви можете не отримати повної підтримки від Microsoft.

Підтримка образів WIM та VHD за допомогою оновленого Defender

Під час роботи з корпоративними розгортаннями, лабораторіями або віртуалізацією зазвичай використовуються образи WIM або диски VHD/VHDX для встановлення або завантаження Windows. Якщо ці образи містять застарілий Defender, кожна нова машина завантажуватиметься зі значною прогалиною в безпеці, доки не отримає оновлення через мережу, що не завжди відбувається миттєво.

Щоб запобігти цьому, Microsoft періодично випускає пакет оновлень захисту від шкідливих програм для Microsoft Defender, спеціально розроблений для цих образів інсталяції. Цей пакет оновлює клієнт, механізм і сигнатури Defender, що містяться в образі операційної системи, гарантуючи, що система розгорнута з відносно актуальною базою.

Цей автономний пакет доступний для кількох архітектур: x86, x64 та ARM64 . Кожна з них має власний файл приблизного розміру 121 МБ (ARM64), 217 МБ (x86) та 225 МБ (x64). Його можна застосовувати до образів Windows 10, Windows 11, Windows Server 2012 R2 та пізніших версій, а також до Azure Stack HCI.

Ідея полягає в тому, що щонайбільше кожні три місяці ви завантажуєте останній пакет оновлень, який відповідає вашій архітектурі образу, та застосовуєте його за допомогою засобу оновлення, наданого Microsoft. Це значно скорочує час, протягом якого щойно встановлений пристрій перебуває без належного захисту, та спрощує наступні хмарні оновлення.

Інструмент DefenderUpdateWinImage.ps1 для оновлення образів офлайн

Для інтеграції цих оновлень в образи інсталяції використовується скрипт PowerShell під назвою DefenderUpdateWinImage.ps1 . Цей скрипт використовує модулі безпеки DISM та PowerShell для монтування та модифікації образу WIM або VHD/VHDX і додавання оновлених бінарних файлів Defender.

Перед запуском необхідно виконати певні попередні умови . По-перше, у вас має бути система з Windows 10 64-розрядної або пізнішої версії з PowerShell 5.1 або новішої. Обов'язково мають бути встановлені модулі Microsoft.PowerShell.Security та DISM , оскільки саме вони дозволяють маніпулювати образом системи та застосовувати пакет.

Крім того, вам потрібно відкрити PowerShell з правами адміністратора. Звичайне вікно не працюватиме, оскільки скрипт вимагає підвищених прав для монтування образів, вставки пакетів та збереження змін. Невиконання цієї вимоги призведе до помилок відмови в доступі або невдач монтування WIM.

Основний синтаксис для застосування оновлення до зображення виглядає приблизно так:

PS C:\> DefenderUpdateWinImage.ps1 -РобочийКаталог -Індекс зображення -Дія ДодатиОновлення -ШляхДоЗображення -Пакет

Якщо з якоїсь причини вам потрібно видалити або скасувати це оновлення образу, ви можете скористатися:

PS C:\> DefenderUpdateWinImage.ps1 -РобочийКаталог -Дія ВидалитиОновлення -ШляхДоЗображення

А щоб перевірити, яка версія Defender наразі інтегрована в образ, сам скрипт дозволяє перерахувати деталі:

PS C:\> DefenderUpdateWinImage.ps1 -РобочийКаталог -Дія ShowUpdate -ШляхДоЗображення

Увімкнення або повторне перевстановлення антивіруса Microsoft Defender на сервері Windows Server

У серверних середовищах досить часто можна побачити, що Microsoft Defender вимкнено груповою політикою, записами реєстру або навіть видалено як функція Windows , особливо якщо раніше використовувався інший антивірус стороннього виробника. У цих випадках, щоб належним чином оновити сигнатури та платформу, Defender спочатку потрібно повторно активувати.

Рекомендований порядок для Windows Server такий: встановлення останніх оновлень стеку обслуговування, застосування останнього накопичувального оновлення, повторне ввімкнення або перевстановлення Defender, перезавантаження системи та, нарешті, встановлення останньої версії платформи . Пропуск будь-якого з цих кроків може призвести до неповної роботи антивіруса та неможливості отримання оновлень.

Якщо Defender лише вимкнено (але його файли все ще присутні), вам потрібно переконатися, що жоден об’єкт групової політики або параметр реєстру не вимкнено його . Microsoft має спеціальний посібник з усунення несправностей, якщо ви переходите зі стороннього антивіруса та хочете знову використовувати Defender як основний антивірус.

У Windows Server 2016 у певних ситуаціях для повторної активації антивіруса необхідно використовувати параметр -WdEnable засобу командного рядка MpCmdRun. Для цього відкрийте командний рядок із підвищеними правами (Запуск від імені адміністратора), перейдіть до правильної папки для встановленої платформи Defender ( %ProgramData%\Microsoft\Windows Defender\Platform або %ProgramFiles%\Windows Defender ) і виконайте таку команду:

MpCmdRun.exe -WdEnable

Після виконання цієї команди рекомендується перезавантажити сервер , щоб служби Defender запустилися належним чином і могли почати отримувати оновлення механізму та сигнатур.

Перевстановіть функцію Defender на серверах, з яких її було видалено

В інших середовищах, особливо з Windows Server 2016 та пізнішими версіями, функція Захисника Windows може бути не лише вимкнена, але й видалена або видалена з образу . У такому випадку простого ввімкнення через командний рядок недостатньо; потрібно повторно додати функцію за допомогою DISM або Server Manager.

Якщо файли інсталяції функції також було видалено, спочатку потрібно налаштувати джерело відновлення для Windows, щоб DISM мав місце для вилучення цих компонентів. Microsoft має спеціальну документацію з цього питання в розділі «Налаштування джерела відновлення Windows».

Щойно вихідний код буде готовий, у командному рядку з підвищеними правами у Windows Server 2016 ви можете використати ці команди для перевстановлення всіх частин Defender:

Dism /Online /Enable-Feature /FeatureName:Windows-Defender-Features
Dism /Online /Enable-Feature /FeatureName:Windows-Defender
Dism /Online /Enable-Feature /FeatureName:Windows-Defender-Gui

У сучасніших версіях, таких як Windows Server 1803, Windows Server 2019 або пізніших , зазвичай достатньо:

Dism /Online /Enable-Feature /FeatureName:Windows-Defender

Після виконання цих кроків сервер перезавантажується, і ви можете продовжити звичайний процес оновлення платформи, механізму та сигнатур через Windows Update, WSUS або ручні пакети.

Методи ручного оновлення підписів Захисника Windows на клієнтах

У системах Windows 10 та Windows 11 «природним» способом оновлення вірусних сигнатур є використання Windows Update , оскільки Defender використовує той самий механізм оновлення, що й операційна система. Однак, якщо щось піде не так або ми захочемо примусово запустити процес, у нас є кілька способів вручну ініціювати оновлення.

Найпростіший спосіб – відкрити програму «Налаштування» ( сполучення клавіш Windows + I ) і перейти до розділу «Оновлення та безпека» (або «Конфіденційність і безпека» у Windows 11). Там відкрийте «Центр оновлення Windows » і натисніть «Перевірити наявність оновлень». Якщо нові визначення доступні, вони будуть завантажені та встановлені разом з будь-якими іншими оновленнями, що очікують на оновлення.

Інший варіант – зробити це з самого інтерфейсу безпеки Windows. Після переходу до Налаштування > Оновлення та безпека > Безпека Windows натисніть Захист від вірусів і загроз , прокрутіть униз до розділу оновлень захисту та скористайтеся кнопкою «Перевірити наявність оновлень» . Це безпосередньо перевіряє наявність нових сигнатур або оновлень механізму для Захисника Windows і намагається негайно їх застосувати.

Багато користувачів надають перевагу ще більш ручному методу: завантаженню пакета автономних сигнатур Microsoft Defender з офіційного веб-сайту Microsoft. На сторінці оновлень Security Intelligence наведено окремі посилання для різних версій та архітектур Windows. Це виконувані файли, що містять найновіші визначення, доступні на момент завантаження.

Процес простий: завантажте файл, що відповідає вашій версії Windows, запустіть його, і інсталятор сам оновить вірусну базу даних і, якщо можливо, обробник вірусів . Це дуже корисно на комп’ютерах без доступу до Інтернету або з дуже обмежувальними мережевими політиками, оскільки ви можете перенести оновлення на USB-накопичувач із підключеного комп’ютера.

Використання MpCmdRun для оновлення сигнатур та відкату версій

Для більш складних середовищ або адміністративних скриптів Microsoft включає в Defender інструмент командного рядка під назвою MpCmdRun.exe . За його допомогою, окрім запуску сканувань, можна керувати оновленнями сигнатур та обробників, а також відкочувати попередні версії у разі виникнення проблем.

Щоб скористатися ним, потрібно відкрити командний рядок з правами адміністратора. Сама команда зазвичай виконується з папки останньої встановленої платформи, тому багато інструкцій починаються з блоку, який автоматично розміщує робочий каталог у цьому шляху.

Щойно ви опинитеся в потрібному каталозі, щоб примусово оновити сигнатуру з Інтернету, використовуйте:

MpCmdRun.exe -Оновлення підпису

Ви також можете вказати UNC-шлях до файлового сервера, де ви розмістили раніше завантажений пакет визначень, наприклад:

MpCmdRun.exe -SignatureUpdate -UNC \\Файлсервер\Назва_спільного_ресурс

Якщо ви хочете, щоб Defender отримував сигнатури безпосередньо з серверів Центру захисту від шкідливих програм Microsoft, ви можете скористатися:

MpCmdRun.exe -Оновлення підпису -MMPC

Коли оновлення визначення або механізму спричиняє помилки, можна повернутися до попередньої версії . Щоб повернутися до попередньої версії або версії для папки "Вхідні" підпису, скористайтеся:

MpCmdRun.exe -ВидалитиВизначення -Усі

Якщо проблема пов'язана з движком, і ви хочете повернутися до попередньої версії движка, відповідна команда:

MpCmdRun.exe -ВидалитиВизначення -Двигун

А якщо ви хочете очистити лише динамічні оновлення сигнатур, завантажені з хмари, ви можете скористатися:

MpCmdRun.exe -ВидалитиВизначення -ДинамічніСігнатури

Як побачити, яку версію сигнатур, движка та платформи ви встановили

Знання того, яка версія Захисника Windows у вас встановлена, допомагає визначити, чи дійсно ви використовуєте найновішу версію, чи все ще використовуєте компоненти, що перебувають на етапі обмеженої підтримки. Windows веде історію оновлень, доступну через системні налаштування.

У Windows 10 та Windows 11 ви можете перейти до меню «Налаштування» > «Оновлення та безпека» (або безпосередньо до служби Windows Update) і натиснути «Переглянути історію оновлень» . Там ви знайдете розділ «Оновлення визначень», у якому перелічено всі встановлені сигнатури Microsoft Defender, відсортовані за датою.

Ви також можете переглянути детальну інформацію безпосередньо з розділу «Безпека Windows». Відкрийте програму «Безпека Windows», перейдіть до розділу «Захист від вірусів і загроз », і в розділі «Про систему» ​​ви побачите версію аналітики безпеки, версію механізму та версію платформи, що наразі використовується.

Крім того, Microsoft публікує таблиці з детальним описом того, яка платформа та версія движка попередньо встановлені з кожною версією Windows 10 (наприклад, 4.18.1909.6 для 20H1/20H2, 4.18.1902.5 для 1909 тощо). Ці попередньо встановлені версії зазвичай переходять у фазу «підтримки лише оновлень», коли випускаються новіші версії платформи, тому рекомендується оновлюватися, щоб отримувати виправлення безпеки та критичні покращення.

На сторінці «Оновлення аналітики безпеки для антивіруса Microsoft Defender та інших антивірусних програм Microsoft» також перелічено найновіші версії визначень, механізму та платформи , що дозволяє легко порівнювати ваші системи та перевіряти, чи вони застаріли.

Сумісність, цикл підтримки та оновлення продукту

Сумісність Microsoft Defender із циклом випусків досить динамічна. Щоразу, коли випускається нова версія платформи або механізму , дві попередні версії (N-1 та N-2) переходять у фазу «підтримки лише оновлень». Це означає, що якщо ви залишатиметесь на цих старіших версіях, ви отримуватимете лише допомогу з оновленням до новішої версії, але не отримуватимете нових виправлень безпеки чи некритичних патчів для цієї застарілої платформи.

На практиці це означає, що вкрай важливо підтримувати роботу ваших систем якомога ближче до останньої версії платформи та двигуна . Якщо ви цього не зробите, і ви відкриєте запит до служби підтримки Microsoft щодо проблеми Defender, перше, що вони попросять вас зробити, це оновити систему до поточної версії або, принаймні, сумісної проміжної версії, перш ніж далі досліджувати проблему.

Ця модель підтримки також застосовується до пакетів DISM, які Microsoft випускає для образів інсталяції з інтегрованим Defender . Коли випускається новий пакет, дві попередні версії зберігають лише обмежену підтримку, в основному призначену для того, щоб допомогти вам оновитися до нової версії.

З іншого боку, навіть якщо у вас є певна версія Windows 10 з уже включеним Defender, компанія продовжує випускати окремі оновлення платформи , які необхідно встановити для підтримки належного захисту. Недостатньо покладатися на те, що постачається «з коробки» з оригінальним ISO.

Підсумовуючи, суть зрозуміла: щоб бути повністю захищеним та залишатися в рамках циклу підтримки, регулярно оновлюйте свою платформу, механізм і сигнатури за допомогою Windows Update, WSUS або автономних пакетів за потреби.

Примусове оновлення платформи Defender, коли Windows Update не відповідає

На деяких серверах і комп’ютерах платформа Defender може зависнути на застарілій версії, яка відмовляється оновлюватися через службу Windows Update , навіть коли визначення завантажуються нормально. Це часто проявляється, наприклад, коли інструмент MDEClientAnalyzer (використовується для Microsoft Defender for Endpoint) попереджає, що платформа не відповідає мінімальним вимогам, а політика антивіруса застосовується неправильно.

У цих сценаріях потрібно перевірити кілька речей. По-перше, переконайтеся, що антивірус Microsoft Defender увімкнено та правильно встановлено , як ми бачили для Windows Server. Якщо ця функція відсутня або вимкнена, оновлення платформи не застосовуватиметься, оскільки цільовий компонент навіть не існує.

Також варто перевірити, чи не блокують оновлення платформи безпосередньо служби Windows Update або WSUS . У деяких організаціях статті бази знань, пов’язані з Defender, фільтруються, пропускаючи лише визначення, що може зависнути механізм і платформу. Перегляд політик і груп оновлень може допомогти виявити такі типи блокувань.

Якщо все правильно, але платформа все одно не оновлюється, ви можете вручну завантажити відповідний пакет оновлень платформи (наприклад, KB4052623 для вашої версії Windows) та встановити його, як будь-яке інше окреме оновлення. Цей метод часто вирішує ситуації, коли Windows Update з якоїсь причини не оновлюється автоматично.

Зрештою, незалежно від того, чи це образ сервера, чи середовище VHD, у вас завжди є можливість оновити базовий образ найновішими пакетами Defender DISM та розгортати звідти, щоб нові сервери створювалися з оновленою платформою та не так сильно залежали від Windows Update під час першого завантаження.

Автоматичні оновлення, CMD та усунення поширених проблем

За звичайного домашнього використання Захисник Windows зазвичай оновлюється автоматично, навіть не помічаючи цього. Тим не менш, варто перевірити, чи ввімкнено ключові параметри, щоб уникнути сюрпризів. У розділі Безпека Windows > Захист від вірусів і загроз > Керування параметрами слід увімкнути Захист у режимі реального часу, Захист від хмари та Автоматичне надсилання зразків.

Якщо ви підозрюєте, що оновлення застосовуються неправильно, одним із перших типових кроків є просто перезавантаження комп’ютера . Хоча це може здатися очевидним, багато тимчасових зависань служби оновлень усуваються перезавантаженням. Після перезавантаження спробуйте знову примусово розпочати пошук оновлень з Windows Update або з самого інтерфейсу Defender.

Ще одна базова перевірка – це перевірка вашого інтернет-з’єднання . Без стабільної мережі Defender не може завантажувати дані безпеки або зв’язуватися із серверами хмарного захисту. Якщо трапляються збої або ваш комп’ютер знаходиться за неправильно налаштованим проксі-сервером, оновлення можуть неодноразово завершуватися помилками.

Коли в Центрі оновлень Windows виникають повторювані помилки, як із загальними оновленнями, так і з оновленнями Defender, може бути корисним запуск засобу виправлення неполадок Центру оновлень Windows . У Windows 10 він знаходиться в розділі «Налаштування» > «Оновлення та безпека» > «Виправлення неполадок» > «Додаткові засоби виправлення неполадок» > «Центр оновлень Windows». У Windows 11 шлях такий: «Налаштування» > «Система» > «Виправлення неполадок» > «Інші засоби виправлення неполадок» > «Центр оновлень Windows» > «Виконати».

Якщо це все ще не працює, ви можете повністю оновити Windows вручну , перевіривши наявність оновлень у розділі Windows Update та встановивши всі оновлення, що очікують на оновлення. У багатьох випадках накопичувальне оновлення або новий стек обслуговування також вирішать проблеми Defender.

У складніших ситуаціях часто буває необхідним ручний перезапуск компонентів Windows Update за допомогою команд у командному рядку (зупинка служб, перейменування папок SoftwareDistribution та catroot2, перезапуск служб тощо). Це очищає пошкоджені кеші, які можуть перешкоджати завантаженню нових визначень або оновлень платформи.

Додаткові рекомендації щодо безпеки разом із Microsoft Defender

Хоча Microsoft Defender значно покращився і за умови належного оновлення пропонує дуже високий рівень захисту , доповнення його використання іншими заходами безпеки є дуже розумною ідеєю, особливо якщо ви працюєте з конфіденційною інформацією або часто встановлюєте програмне забезпечення.

Перший простий трюк — використовувати для повсякденних завдань звичайний обліковий запис користувача замість облікового запису адміністратора . Таким чином, навіть якщо шкідливе програмне забезпечення спробує внести суттєві зміни в систему, воно зіткнеться з додатковим бар'єром, який вимагає підвищених облікових даних. Це дуже простий спосіб зменшити шкоду у разі зараження.

Ви також можете розглянути можливість щоденного використання надійного стороннього антивіруса (наприклад, Bitdefender, Avast або Norton) , якщо у вас є дуже специфічні потреби, хоча на багатьох домашніх комп’ютерах зазвичай достатньо добре налаштованого та оновленого Defender. У будь-якому випадку, якщо ви встановлюєте додатковий антивірус, переконайтеся, що він не заважає оновленням Defender або його пасивному режиму.

Брандмауер Windows – ще один важливий компонент: він створює бар’єр між вашим комп’ютером і мережею, фільтруючи вхідні та вихідні з’єднання. Його активність та використання розумних правил запобігають вільному зв’язку певних типів шкідливих програм із зовнішніми серверами або іншими комп’ютерами в мережі.

Зрештою, варто розглянути можливість відновлення даних . Навіть із Defender та хорошим антивірусом завжди існує ризик того, що зараження може призвести до шифрування або видалення файлів. Використання регулярних резервних копій та, за необхідності, інструментів відновлення, таких як доступні на ринку (наприклад, Wondershare Recoverit), може мати вирішальне значення між втратою важливої ​​інформації та можливістю її відновлення.

З огляду на все вищесказане, очевидно, що ручне оновлення Defender за потреби, знання різних методів оновлення сигнатур, механізму та платформи, а також підтримка його належними практиками безпеки та регулярним резервним копіюванням – це поєднання, яке дійсно дозволяє вам спокійніше працювати або переглядати веб-сторінки, не покладаючись виключно на те, що все працює на автопілоті.