如何获取SCCM/MECM反恶意软件策略的排除项列表

一、解决v_AM_ExcludedFilePaths视图缺失/权限问题 #

1. 确认视图是否存在
   打开SQL Server Management Studio连接到MCM数据库，展开Views节点，查找以v_AM_开头的视图。MCM 2309版本中，反恶意软件排除项相关视图通常包括：v_AM_ExcludedFilePaths、v_AM_ExcludedFileTypes、v_AM_ExcludedProcesses、v_AM_Exclusions。如果找不到目标视图，优先检查当前数据库账号的权限。

2. 配置数据库权限
   若确认为权限问题，执行以下SQL语句为账号授予对应视图的查询权限（替换[你的数据库用户名]为实际账号）：

   -- 授予文件/文件夹排除视图权限
   GRANT SELECT ON v_AM_ExcludedFilePaths TO [你的数据库用户名];
   -- 授予文件类型排除视图权限
   GRANT SELECT ON v_AM_ExcludedFileTypes TO [你的数据库用户名];
   -- 授予进程排除视图权限
   GRANT SELECT ON v_AM_ExcludedProcesses TO [你的数据库用户名];
   -- 授予反恶意软件策略视图权限
   GRANT SELECT ON v_AM_AntimalwarePolicy TO [你的数据库用户名];
   

   也可以直接将账号添加到db_datareader角色，获取所有视图的查询权限：

   EXEC sp_addrolemember 'db_datareader', '你的数据库用户名';
   

二、SQL查询获取各类排除项 #

1. 文件/文件夹排除列表 #

SELECT 
    amp.PolicyName AS 策略名称,
    efp.ExcludedPath AS 排除路径,
    CASE efp.PathType 
        WHEN 0 THEN '文件' 
        WHEN 1 THEN '文件夹' 
    END AS 路径类型
FROM v_AM_AntimalwarePolicy amp
JOIN v_AM_ExcludedFilePaths efp ON amp.PolicyID = efp.PolicyID
ORDER BY amp.PolicyName;

2. 文件类型排除列表 #

SELECT 
    amp.PolicyName AS 策略名称,
    eft.ExcludedFileType AS 排除文件类型
FROM v_AM_AntimalwarePolicy amp
JOIN v_AM_ExcludedFileTypes eft ON amp.PolicyID = eft.PolicyID
ORDER BY amp.PolicyName;

3. 进程排除列表 #

SELECT 
    amp.PolicyName AS 策略名称,
    ep.ExcludedProcess AS 排除进程
FROM v_AM_AntimalwarePolicy amp
JOIN v_AM_ExcludedProcesses ep ON amp.PolicyID = ep.PolicyID
ORDER BY amp.PolicyName;

4. 统一查询所有排除项（如果单个视图找不到） #

若v_AM_ExcludedFilePaths等视图仍无法访问，可尝试使用v_AM_Exclusions视图统一查询所有类型的排除项：

SELECT 
    amp.PolicyName AS 策略名称,
    CASE ex.ExclusionType
        WHEN 0 THEN '文件/文件夹'
        WHEN 1 THEN '文件类型'
        WHEN 2 THEN '进程'
    END AS 排除类型,
    ex.ExclusionValue AS 排除内容
FROM v_AM_AntimalwarePolicy amp
JOIN v_AM_Exclusions ex ON amp.PolicyID = ex.PolicyID
ORDER BY amp.PolicyName, ex.ExclusionType;

三、通过MCM控制台手动导出排除项 #

如果SQL查询方式受阻，可直接通过控制台查看并导出：

• 打开MCM控制台，导航至资产和合规性 > Endpoint Protection > 反恶意软件策略
• 选中目标策略，右键选择属性，切换到排除项标签页
• 分别查看文件/文件夹、文件类型、进程排除列表，手动复制整理即可

内容的提问来源于stack exchange，提问作者Cascador84