Исправить отсутствие журнала защиты в Windows 11

Краткое описание проблемы

Windows Security Protection History (журнал защиты) — часть Windows Defender, которая фиксирует обнаруженные угрозы и действия, предпринятые для их нейтрализации. Иногда журнал пуст или не открывается: причиной могут быть повреждённые системные файлы, сбои в работе компонентов, некорректные права доступа, вмешательство вредоносного ПО или баги в тестовых (beta) сборках Windows 11.

Важно: журнал содержит важные записи о безопасности. Сохраните спокойствие и выполните шаги последовательно.

Основные причины отсутствия журнала

Повреждение файлов истории обнаружений или базы данных движка Defender.
Сбои в службах Windows Security или зависимых компонентах.
Отключённые или изменённые права доступа к каталогу ProgramData.
Вмешательство вредоносного ПО, которое удалило или скрывает записи.
Ошибки в тестовых сборках Windows 11 или неподдерживаемые настройки системы.

Проверка перед началом

Важно: создайте точку восстановления системы или резервную копию важных данных перед критическими операциями.

Убедитесь, что у вас есть права администратора.
Закройте все важные приложения и сохраните работу.

Топ способов восстановить журнал защиты

Ниже идёт пошаговая инструкция, адаптированная под обычного пользователя и системного администратора.

1. Перезагрузите компьютер

Часто простая перезагрузка устраняет временные сбои.

Нажмите клавишу Windows, выберите значок питания и нажмите «Перезагрузить».
После загрузки откройте Windows Security и проверьте Protection History.
В боковом меню выберите “История защиты”.

Если журнал по-прежнему пуст — переходите к следующему шагу.

2. Удалите файлы истории обнаружений (система пересоздаст их)

Удаление старых файлов заставит систему воссоздать базу истории, что часто решает проблему.

Нажмите Windows + S, введите cmd и откройте Командную строку от имени администратора.
Выполните следующие команды по очереди (вставьте и нажмите Enter):

del "C:\ProgramData\Microsoft\Windows Defender\Scans\mpcache*" /s > NUL 2>&1

del "C:\ProgramData\Microsoft\Windows Defender\Scans\History\Service\DetectionHistory*"

del "C:\ProgramData\Microsoft\Windows Defender\Scans\mpenginedb.db"

Закройте окно и перезагрузите ПК.
Откройте “Защита от вирусов и угроз” и проверьте “Историю защиты”.

Важно: эти команды удаляют только локальные файлы истории обнаружений; они не влияют на пользовательские данные.

3. Переустановите / перерегистрируйте пакет Windows Security

Если компонент приложения повреждён, перерегистрация часто помогает.

Нажмите Windows + S, введите PowerShell, выберите “Запуск от имени администратора”.
Выполните команду сброса пакета:

Get-AppxPackage Microsoft.SecHealthUI -AllUsers | Reset-AppxPackage

Перезагрузите систему.
Если проблема не устранена, выполните перерегистрацию манифеста приложения:

Add-AppxPackage -Register -DisableDevelopmentMode "C:\Windows\SystemApps\Microsoft.Windows.SecHealthUI_cw5n1h2txyewy\AppXManifest.xml"

Закройте PowerShell и снова откройте Windows Security.

4. Проверка и исправление повреждённых системных файлов (SFC и DISM)

SFC и DISM помогают восстановить целостность системных файлов.

Нажмите Windows + R, введите cmd и нажмите Enter.
Выполните сканирование SFC:

sfc /scannow

Затем по очереди выполните команды DISM:

DISM /Online /Cleanup-Image /CheckHealth

DISM /Online /Cleanup-Image /ScanHealth

DISM /Online /Cleanup-Image /RestoreHealth

Перезагрузите компьютер и проверьте журнал защиты.

5. Восстановление и сброс компонента Windows Security через параметры компонентов системы

Нажмите Windows, введите “System Component Settings” и откройте.
Найдите Windows Security, нажмите «Дополнительные параметры».
Нажмите Repair (Восстановить). Подождите завершения операции.
При необходимости используйте Reset (Сброс) как крайний шаг.
Перезагрузите ПК и проверьте Protection History.

6. Полное сканирование на вирусы и вредоносное ПО

Если злоумышленник удалял записи, необходимо проверить систему полностью.

Откройте “Защита от вирусов и угроз”.
Выберите “Параметры сканирования” и выполните “Полное сканирование”.
Удалите или поместите в карантин обнаруженные угрозы.
Перезагрузите систему и проверьте журнал.

Дополнительные проверки и альтернативные подходы

Проверьте состояние служб

Откройте Services.msc и убедитесь, что службы Windows Defender (Windows Defender Antivirus Service, Windows Defender Advanced Threat Protection) и зависимые службы запущены и имеют тип запуска “Автоматически”.

Проверьте права доступа к каталогу ProgramData

Путь: C:\ProgramData\Microsoft\Windows Defender\Scans
Убедитесь, что SYSTEM и служба Windows Defender имеют полные права на чтение/запись.

Журнал событий (Event Viewer)

Откройте Event Viewer и в разделе Applications and Services Logs > Microsoft > Windows > Windows Defender проверьте ошибки и предупреждения, связанные с DetectionHistory или SecHealth.

Возврат с бета-версии Windows

Если вы используете бета- или инсайдерскую сборку, откат на стабильную сборку может устранить баги, удаляющие или скрывающие журнал.

Альтернативные инструменты и восстановление

Используйте сторонние инструменты безопасности для проверки целостности и обнаружения угроз (Malwarebytes, ESET Online Scanner) — только из официальных источников.
Если у вас есть резервные копии, можно восстановить каталог ProgramData из бэкапа.

Когда эти способы не сработают

Если записи удалял целенаправленно продвинутый вредоносный код, часть журналов может быть утрачена навсегда.
Если системные компоненты глубоко повреждены, возможно потребуется восстановление системы из образа или чистая переустановка Windows.

Важно: если вы подозреваете целенаправленное вмешательство злоумышленников в систему, рассматривайте вариант офлайн-анализа диска или обращения к специалистам по инцидентам.

Практическое руководство для разных ролей

Чек-лист для обычного пользователя

Сохранить рабочие файлы и создать точку восстановления.
Перезагрузить ПК.
Выполнить очистку файлов истории (шаг 2).
Просканировать систему антивирусом.
Проверить журнал защиты.

Чек-лист для системного администратора

Проверить службы Windows Defender и зависимости.
Просмотреть Event Viewer на предмет ошибок SecHealth.
Проверить права NTFS на ProgramData и реестровые ключи Defender.
Запустить SFC и DISM.
Перерегистрировать пакет SecHealthUI и применить групповые политики, если есть.
Рассмотреть восстановление из образа или форензический анализ при подозрении на взлом.

Критерии приёмки

Журнал Protection History открывается и показывает записи по дате.
Новые обнаружения отображаются корректно после тестового обнаружения (например, поместить тестовый файл с подозрительным именем и увидеть запись).
Службы Windows Defender работают без ошибок в Event Viewer.

Набор тестов для проверки

Создайте тестовый угрозоподобный файл (без вредоносного кода) и просканируйте. Ожидается: запись о детекции в журнале.
Перезагрузите систему и убедитесь, что записи сохраняются.
Проверьте права доступа к каталогу Scans и отсутствие ошибок при записи.

Краткая методология восстановления (SOP)

Сбор информации: проверить ошибки в журнале событий и сообщения об ошибках в интерфейсе Windows Security.
Подготовка: создать точку восстановления, отключить ненужные устройства.
Исполнение: перезагрузка, очистка файлов истории, SFC/DISM, перерегистрация пакета, полное сканирование.
Валидация: тестовое обнаружение, проверка записи в журнале.
Документация: зафиксировать выполненные шаги и результаты.

Мини-глоссарий

Protection History — журнал обнаружений и действий Windows Security.
SFC — System File Checker, утилита проверки системных файлов.
DISM — Deployment Image Servicing and Management, утилита обслуживания образа Windows.
SecHealthUI — компонент пользовательского интерфейса Windows Security.

Безопасность и приватность

Журнал защиты может содержать пути к файлам и имена обнаруженных объектов. При публикации или передаче логов для анализа удаляйте личные и чувствительные данные. В организациях соблюдайте внутренние политики по обращению с журналами безопасности и требования GDPR, если журналы содержат персональные данные.

FAQ

Что хранит Protection History и где эти данные лежат?

Protection History хранит события обнаружения и действия Windows Security. Файлы истории находятся в C:\ProgramData\Microsoft\Windows Defender\Scans\History.

Удалится ли история при очистке файлов вручную?

Да — вы удаляете локальные файлы истории, но система создаст новые записи после следующих детекций. Восстановление старых записей возможно только из резервной копии.

Можно ли вернуть записи, удалённые вредоносным ПО?

Частично — только если есть резервные копии или логирование на стороне управления (SIEM). Иначе некоторые записи могут быть утрачены навсегда.

Итог

Журнал Protection History важен для понимания угроз и действий системы. Большинство проблем решаются перезагрузкой, очисткой файлов истории, восстановлением пакета SecHealthUI и проверкой целостности системных файлов. При подозрении на взлом — выполняйте форензику или обратитесь к профильным специалистам.

Важно: действуйте последовательно и документируйте шаги. Если вам нужна помощь по конкретному шагу — опишите симптомы и ошибки, и я помогу с дальнейшей диагностикой.

Как исправить отсутствие журнала защиты Windows Security в Windows 11