离线服务器可通过微软官网下载匹配架构与版本的mpam-fex64.exe离线定义包，以管理员身份运行.\mpam-fex64.exe /q静默安装，并通过Get-MpComputerStatus验证签名版本是否更新。
离线服务器无法自动联网更新 microsoft defender 病毒库，但可通过微软官方发布的离线定义包手动导入。关键在于获取**正确版本、匹配系统架构（x64/x86）和 windows 版本**的离线包，并用命令行工具完成静默安装。
下载适用于离线环境的最新定义包
微软已将 Defender 离线定义包统一发布在官方安全门户：
- 访问 https://www.microsoft.com/en-us/wdsi/defenderupdates
- 选择对应系统：Windows Server 2019 / 2022（注意不是 Windows 10/11 的包）
- 下载 64-bit（绝大多数服务器为 x64 架构）的最新 ZIP 包，文件名类似
mpam-fe.exe或mpam-fex64.exe（2026年10月最新版通常带日期标识，如mpam-fex64-20261008.exe） - 确认该包发布时间不早于 2023 年 2 月——此前旧版离线包因签名机制变更已失效
在目标服务器上执行静默安装
将下载好的 .exe 文件复制到离线服务器（如通过U盘或内网共享），以管理员身份运行 PowerShell 或 CMD：
outlook-microsoft
下载
微软 Outlook 邮箱和日历管理工具（支持世纪互联版 Office 365）。用于查看、发送、搜索邮件，管理日历日程，创建会议，查询忙闲状态。注意：此功能仅支持世纪互联（21Vianet）版 Microsoft 365，使用 login.chinacloudapi.cn。
- 进入文件所在目录，执行：
.mpam-fex64.exe /q -
/q参数代表静默安装，无界面、不弹窗、不需交互 - 安装完成后不会提示成功，但可立即验证：运行
Get-MpComputerStatus | Select AntivirusSignatureVersion, AntispywareSignatureVersion, LastFullScanTime - 若
AntivirusSignatureVersion显示的版本号与下载包中说明的版本一致，且LastFullScanTime有更新，则导入成功
常见失败原因及应对
如果执行 mpam-fex64.exe /q 后无反应、版本未更新，优先排查以下几点：
- 系统时间严重偏差：离线服务器若时间误差超过 24 小时，签名验证会失败；请先校准系统时间（可用内网 NTP 服务或手动设置）
-
架构不匹配：Windows Server 2019/2022 均为 x64 系统，务必使用
fex64包，fe.exe（32位）在服务器上无效 - 权限不足：必须以“本地管理员”身份运行 PowerShell/CMD，右键→“以管理员身份运行”
-
Defender 服务被禁用或损坏：运行
Get-Service WinDefend确认状态为 Running；若为 Stopped，执行Start-Service WinDefend
长期离线环境的更新策略
对于完全物理隔离的生产服务器，建议建立周期性人工更新流程：
- 每月初固定从官网下载当月最新定义包（微软通常每月初发布含整月特征的累积包）
- 制作标准化更新脚本（如
update-defender-offline.ps1），包含校验、安装、日志记录逻辑 - 配合 Windows Server Update Services（WSUS）或 Azure Stack Hub 的离线更新机制（如适用），实现批量同步
