可通过windows安全中心“保护历史记录”查看microsoft defender近期扫描、隔离、清除等操作，支持主界面访问、shell命令跳转、powershell日志查询及sqlite数据库解析四种方法。
如果您使用 Windows 11 系统，希望了解 Microsoft Defender 防病毒软件近期执行的扫描、隔离、清除等操作，则可通过 Windows 安全中心查看安全防护历史记录。以下是几种常见且有效的查看方法：
一、通过 Windows 安全中心主界面直接访问
Windows 安全中心内置“保护历史记录”模块，该模块集中展示防病毒引擎已检测并处理的威胁事件、已删除的潜在不需要应用（PUA）、以及被阻止的关键服务变更等信息。所有事件以时间倒序卡片形式呈现，黄色卡片表示需人工核查的低风险项目。
1、点击任务栏右下角的网络/声音图标旁的 盾牌形状图标（Windows 安全中心通知），或按 Win + I 打开设置后搜索“Windows 安全中心”并打开。
2、在左侧导航栏中点击 “病毒和威胁防护”。
3、向下滚动至“管理设置”区域，点击 “保护历史记录” 链接。
4、页面加载后即可浏览全部历史条目；点击任一卡片可展开查看详细时间、威胁名称、操作类型（如“已删除”“已隔离”）及受影响文件路径。
二、通过运行命令快速跳转
使用系统内置的 shell:securityhealth command 可绕过多层菜单，直接启动 Windows 安全中心并定位到保护历史记录视图，适用于熟悉命令操作的用户。
1、按 Win + R 打开“运行”对话框。
2、输入 shell:securityhealth 并按回车。
3、等待 Windows 安全中心启动后，手动导航至 “病毒和威胁防护” → “保护历史记录”。
三、通过 PowerShell 查询历史日志摘要
Windows 安全中心的防护历史底层依赖于 Windows Defender 的事件日志（Event ID 1116、1117 等），PowerShell 可调用 Get-WinEvent 命令提取近7天内关键防护动作摘要，适合需要文本化记录或批量筛查的场景。
1、以管理员身份运行 PowerShell（右键“开始”按钮 → 选择“Windows Terminal（管理员）”）。
2、执行以下命令：
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Windows Defender/Operational'; ID=1116,1117; StartTime=(Get-Date).AddDays(-7)} -MaxEvents 50 | Format-List TimeCreated, Id, Message
3、输出结果中将显示每条防护事件的时间、事件ID与简要描述，例如“Threat detected and cleaned”或“PUA removed from system”。
四、检查本地保护历史数据库文件（高级方式）
Windows 安全中心将结构化防护历史数据持久化存储于本地 SQLite 数据库中，路径为 %ProgramData%\Microsoft\Windows Defender\Scans\History\Service\HistoryStore.edb。该文件受系统保护，仅管理员账户可读取，需借助专用工具解析。
1、使用文件资源管理器访问路径：%ProgramData%\Microsoft\Windows Defender\Scans\History\Service\（需提前启用“显示隐藏的项目”并取消勾选“隐藏受保护的操作系统文件”）。
2、确认 HistoryStore.edb 文件存在且大小非零（通常大于100 KB）。
3、下载并安装微软官方支持工具 esentutl.exe 或第三方 EDB 查看器（如 NirSoft ESEDatabaseView），以只读模式打开该文件并导出“History”表内容。
