使用 Microsoft Defender for Endpoint 客户端分析器排查传感器运行状况问题

适用于：

• Microsoft Defender for Endpoint 计划 1
• Microsoft Defender for Endpoint 计划 2

在运行 Windows、Linux 或 macOS 的已载入设备上诊断传感器运行状况或可靠性问题时，Microsoft Defender for Endpoint客户端分析器 (MDECA) 非常有用。 例如，你可能希望在根据安全门户中显示的 传感器运行状况状态 (非活动、无传感器数据或通信受损) 显示不正常的计算机上运行分析器。

除了明显的传感器运行状况问题，MDECA 还可以收集其他跟踪、日志和诊断信息，以便对复杂方案进行故障排除，例如：

• 应用程序兼容性 (AppCompat) 、性能、网络连接或
• 与 终结点数据丢失防护相关的意外行为。

在运行 Windows、Linux 或 Mac 的设备上使用客户端分析器

• 在 Windows 上运行客户端分析器
• 在 Linux 上运行客户端分析器
• 在 macOS 上运行客户端分析器

隐私声明

• Microsoft客户支持服务 (CSS) 定期使用 Microsoft Defender for Endpoint 客户端分析器工具来收集有助于排查 Microsoft Defender for Endpoint 可能遇到的问题的信息。

• 收集的数据可能包含个人身份信息 (PII) 和/或敏感数据，例如 (但不限于) IP 地址、电脑名称和用户名。

• 数据收集完成后，该工具会将数据保存在计算机上的本地子文件夹和压缩 zip 文件中。

• 不会自动向Microsoft发送任何数据。 如果在协作处理支持问题期间使用该工具，系统可能会要求你使用安全文件交换将压缩数据发送到Microsoft CSS，以方便调查问题。

有关安全文件交换的详细信息，请参阅如何使用安全文件交换与 Microsoft 支持部门

有关隐私声明的详细信息，请参阅 Microsoft隐私声明。

要求

• 在运行分析器之前，我们建议确保代理或防火墙配置允许访问Microsoft Defender for Endpoint服务 URL。

• 在载入到 Microsoft Defender for Endpoint 之前，分析器可以在受支持的 Windows、Linux 或 macOS 版本上运行。

• 对于 Windows 设备，如果直接在特定计算机上运行分析器，而不是通过 实时响应远程运行，则应允许 SysInternals PsExec.exe (至少暂时) 运行。 分析器调用 PsExec.exe 工具，以本地系统的形式运行云连接检查，并模拟 SENSE 服务的行为。

  注意

  在 Windows 设备上，如果使用攻击面减少规则 阻止源自 PSExec 和 WMI 命令的进程创建，则可能希望暂时 配置 ASR 规则的排除。 （可选）可以将规则设置为 审核 ，也可以禁用该规则。 通过进行这些配置，分析器可以运行到云的连接检查，而不会受到阻止。