可通过四种方式查看windows defender威胁记录：一、windows安全中心图形界面快速查阅；二、powershell导出最近30天检测事件日志；三、事件查看器筛选id为1116/1117/1118的原始日志；四、用mpcmdrun.exe执行扫描并生成xml报告。

如果您需要了解Windows Defender在系统中检测到的威胁及其处理结果，可以通过内置工具查看详细的扫描日志与历史记录。以下是获取这些信息的具体操作步骤：

一、使用Windows安全中心界面查看威胁历史记录

Windows安全中心提供图形化界面，可直接显示近期检测到的威胁、隔离项目及清除状态，无需命令行操作，适合快速查阅。

1、点击任务栏右下角的盾牌图标（Windows 安全中心通知），或通过“开始”菜单搜索并打开Windows 安全中心。

2、在左侧导航栏中点击病毒和威胁防护。

3、向下滚动至“威胁防护历史记录”区域，点击查看详细信息链接。

4、在新页面中可按日期、威胁名称、状态（已删除、已隔离、已允许）筛选并查看每条记录的详细时间、路径、操作类型及威胁类别。

二、通过PowerShell命令导出完整扫描日志

Windows Defender的日志数据实际存储于事件查看器的Microsoft-Windows-Windows Defender/Operational通道中，PowerShell可高效提取并格式化输出，适用于需批量分析或存档的场景。

1、以管理员身份运行PowerShell：右键“开始”按钮 → 选择Windows PowerShell（管理员）或终端（管理员）。

2、执行以下命令查询最近30天内所有威胁检测事件：

Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Windows Defender/Operational'; ID=1116,1117,1118; StartTime=(Get-Date).AddDays(-30)} | Select TimeCreated, Id, Message | Format-List

3、如需将结果保存为文本文件，追加导出指令：

windows-shell-syntax

在 Windows 上执行终端命令，或对比 Windows 与 Linux 的 Shell 语法时使用。建议先检测当前 Shell 是 PowerShell 还是 cmd.exe，再给出相应命令……

下载

| Out-File "$env:USERPROFILE\Desktop\Defender_Threat_Log.txt"

三、使用事件查看器定位原始日志条目

事件查看器保留未经筛选的原始日志，包含进程ID、用户上下文、签名版本等技术细节，适用于深度排查误报或溯源分析。

1、按Win+R键，输入eventvwr.msc并回车。

2、依次展开应用程序和服务日志 → Microsoft → Windows → Windows Defender → Operational。

3、在右侧操作面板点击筛选当前日志，在“事件ID”框中输入1116,1117,1118（分别对应检测、清除、隔离动作）。

4、双击任意事件，在“详细信息”选项卡中切换至XML 查看器，可查看包括ThreatName、Path、ActionTaken在内的完整字段。

四、调用MpCmdRun.exe生成离线扫描报告

MpCmdRun.exe是Windows Defender命令行工具，支持触发即时扫描并强制生成结构化日志文件，适用于验证特定目录是否被扫描或复现检测行为。

1、打开命令提示符（管理员）：按Win+X，选择命令提示符（管理员）。

2、输入以下命令启动快速扫描并生成日志：

"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -Scan -ScanType 1 -Report "C:\Temp\QuickScan_Report.xml"

3、扫描完成后，检查C:\Temp\QuickScan_Report.xml是否存在；若路径不存在，该命令会自动创建目录并写入含时间戳、检测项、处置结果的XML格式报告。