microsoft defender 各服务日志导出方式不同：endpoint 通过门户警报筛选导出csv、powershell或api；cloud 在azure门户用kql查询或连续导出；office 365在安全中心报表页直接导出csv；cli支持容器/sbom扫描结果导出为sarif、json等格式。

microsoft defender 安全扫描日志报告的导出方式取决于你使用的是哪一类 defender 服务（endpoint、cloud、office 365 或防病毒本地扫描），没有统一入口，但每类都有明确、可操作的导出路径。

导出 Microsoft Defender for Endpoint 的防病毒扫描结果

适用于 Windows 设备上的实时/计划/手动扫描记录：

• 在 Microsoft Defender 门户（security.microsoft.com）中，进入 事件 & 警报 → 警报，筛选类型为“恶意软件”或“威胁检测”，点击右上角 导出 按钮（支持 CSV）
• 使用 PowerShell：运行 Get-MpThreatDetection | Export-Csv -Path "C:\Reports\mp-detections.csv"，可导出完整检测时间、威胁名称、路径、状态等字段
• 如需设备级防病毒运行状况快照（含启用状态、定义版本、扫描历史等），调用 导出设备防病毒运行状况详细信息 API，支持 JSON 分页拉取或批量文件下载（推荐用于 10 万+ 设备的组织）

导出 Microsoft Defender for Cloud 的漏洞与建议报告

适用于 Azure 资源（VM、SQL DB、容器等）的安全评估结果：

直播间话术巡检-windows

直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。

下载

• 在 Azure 门户中，进入 Microsoft Defender for Cloud → 建议，将 扫描程序 筛选为对应类型（如 “SQL 漏洞评估”），点击 打开查询 → 运行查询 → 下载为 CSV
• 更灵活的方式：使用 Azure Resource Graph 资源管理器，粘贴 KQL 查询（如过滤 SQL 数据库评估），直接导出结构化结果
• 长期集成场景：配置 连续导出，将警报、建议、合规结果自动流式发送到 Log Analytics 工作区或事件中心，便于 SIEM 分析和归档

导出 Microsoft Defender for Office 365 的邮件安全报告

适用于反钓鱼、反恶意附件、邮件延迟等协作安全数据：

• 访问 https://www.php.cn/link/49533755b4f63437c1885d8417d98452/emailandcollabreport，在 “Email & collaboration reports” 页面选择具体报表（如“威胁防护状态报告”、“邮件延迟报告”）
• 每份报表页面右上角均有 导出 按钮，支持 CSV 格式下载，含时间范围、分类统计和原始事件明细
• 注意：已弃用的旧报表（如“安全附件文件类型报告”）信息已合并进“威胁防护状态报告”，无需单独导出

通过 CLI 导出容器/代码层扫描结果

适用于开发阶段的镜像或 SBOM 扫描（Defender for Cloud CLI）：

• 扫描镜像并导出 SARIF 格式（兼容 DevOps 工具链）：
  defender scan image nginx:latest --defender-output results.sarif
• 生成软件材料清单（SBOM）并指定格式：
  defender scan sbom my-app:v1 --sbom-format cyclonedx1.6-json --output sbom.json
• 所有 CLI 输出默认保存至当前目录，支持 HTML、SARIF、JSON、XML 等多种格式