Windows Defender早已不是那个只会弹红色警告的被动扫描器。在Windows 10和Windows 11中，它作为系统安全中心的核心，整合了实时文件监控、行为分析、云端样本判定和勒索软件文件夹保护。但默认界面只暴露了一小部分能力，很多真正提升安全性的选项藏在组策略、PowerShell和注册表里。理解这些配置，才能把系统自带的防护发挥到接近企业级的水准。
一、实时保护与云查杀：默认开启背后的机制
实时保护由多个引擎组成：文件系统筛选器负责在文件落地时扫描，行为监控持续追踪进程的敏感操作，网络检查系统则处理恶意流量。它们都依赖一个常驻进程MsMpEng.exe，该进程加载的病毒特征库位于C:\ProgramData\Microsoft\Windows Defender\Definition Updates下。特征库分为本地基础库和云端增量更新，系统每天会通过计划任务自动拉取。
云查杀是Defender区别于传统本地杀软的关键。当某个文件行为可疑但本地特征不足以判定时，客户端会向微软云提交文件哈希或部分元数据。默认的基本级别能够识别已知样本；如果把云保护级别调整为高，则可以对可疑行为采取更积极的阻断。愿意上传完整样本可以获得更准确的判定，但也要考虑隐私。企业环境通常通过组策略打开自动样本提交，而家庭用户可以在病毒和威胁防护设置里找到自动提交样本。
可以用PowerShell快速确认各组件是否真正运行。下面这条命令列出实时保护、行为监控和云保护的启用状态：
Get-MpComputerStatus | Select-Object AMServiceEnabled,AntivirusEnabled,RealTimeProtectionEnabled,BehaviorMonitorEnabled
如果RealTimeProtectionEnabled返回False，需要先检查是否有第三方杀软接管，或是否被组策略禁用。对普通用户来说，实时保护一旦关闭，Defender基本等于摆设，因为很多攻击不会给你手动扫描的机会。
二、使用PowerShell与组策略进行深度配置
Defender的配置入口主要有三个：Windows安全中心界面、组策略编辑器、PowerShell模块。界面适合快速开关，但无法设置超时、云阻断级别等参数。PowerShell的Defender模块提供了接近完整的控制能力。例如，要把云保护级别设为高，并开启潜在不需要的程序防御，可以执行：
Set-MpPreference -CloudBlockLevel High Set-MpPreference -PUAProtection Enabled Set-MpPreference -CloudTimeout 50
这里CloudTimeout表示等待云判定结果的最长秒数。如果网络质量较差，适当调高该值能减少误判。PUAProtection用于拦截捆绑安装的广告软件、挖矿程序等，默认有时并不开启。
组策略则适合需要批量统一配置的场景。在本地组策略编辑器中，依次进入计算机配置\管理模板\Windows组件\Microsoft Defender防病毒，可以找到关闭Microsoft Defender防病毒、配置检测到潜在不需要的应用、云保护级别等策略。组策略设置的底层最终会写入注册表HKLM\SOFTWARE\Policies\Microsoft\Windows Defender下。手工直接改这里的键值虽然有效，但很容易被下一次策略刷新覆盖。
防篡改是另一个容易被忽略的开关。它位于病毒和威胁防护设置下方，开启后可以防止外部程序修改Defender的关键注册表项。很多恶意软件在进入系统后的第一件事就是停用杀软，而防篡改会提高攻击成本。如果必须通过脚本修改Defender配置，需要先关闭防篡改，但生产环境中不建议这样做。
三、排除项与防篡改：降低误报同时守住保护链
开发者经常因为编译目录被扫描导致CPU占用高，于是把整个C:\Develop或者C:\Users\你的用户名\AppData\Local\Temp加入排除。排除确实能缓解MsMpEng.exe占用，但过宽的排除范围等于给恶意软件留了后门。例如，把整个下载目录排除后，如果浏览器漏洞下载了木马，Defender完全不会检查。正确的做法是只排除构建产物目录，而不是源码目录。
添加排除项可以通过安全中心界面，也可以用PowerShell精确操作。下面命令将C:\Develop\BuildCache和node.exe加入排除：
Add-MpPreference -ExclusionPath "C:\Develop\BuildCache" Add-MpPreference -ExclusionProcess "node.exe"
添加后可以用Get-MpPreference查看排除列表。注意排除进程时不要填完整路径，只需要进程文件名，否则可能不生效。
与此相关的还有受控文件夹访问和攻击面减少规则。受控文件夹访问可以阻止未授权程序修改文档、桌面等目录，但默认关闭。开启后如果某些生产力工具无法写盘，需要手动加白。攻击面减少规则是一组针对Office宏、脚本、邮件附件、U盘等常见入侵途径的封锁策略，例如阻止Office应用创建子进程、阻止勒索软件行为。这些规则在安全中心里可能只显示数量，实际上通过PowerShell能查看和配置每条规则。小型企业没有条件上Microsoft Defender for Endpoint时，可以利用这些内置能力获得不错的端点防护。
四、与其他安全层级协同及常见误区
Defender并不能独立解决所有安全问题。它与Windows防火墙、SmartScreen、UAC共同组成系统安全链条。防火墙负责减少网络暴露面，SmartScreen拦截恶意网站和不可信下载，UAC给提权操作提供确认门槛。如果只盯着Defender的免杀率，而把防火墙和UAC关闭，实际风险会成倍增加。例如，家庭网络中的SMB服务如果没有防火墙限制，一旦系统存在漏洞就可能被横向传播的蠕虫感染。
常见误区之一是认为安装多个杀毒软件更安全。实际上同时开启两个实时扫描引擎会互相争抢文件句柄，导致系统卡顿甚至漏报。Windows安全中心会检测到第三方杀软后自动让Defender进入被动模式。另一个误区是试图用注册表键HKLM\SOFTWARE\Microsoft\Windows Defender下的DisableAntiSpyware彻底禁用Defender。在较新的Windows版本中，该键需要配合防篡改关闭和特定策略才会被尊重，且系统更新后可能恢复。如果只是为了避免冲突，应该先卸载第三方残留，而不是硬性禁用系统防护。
遇到Defender进程持续占用CPU时，可以先检查是否在进行全盘扫描，或是否与某些开发工具冲突。修改计划扫描时间、缩小排除范围、更新第三方安全软件，通常能解决问题。系统内置的任务计划可以在任务计划程序库\Microsoft\Windows\Windows Defender下找到，路径为C:\ProgramData\Microsoft\Windows Defender\Platform的扫描引擎会自动轮转更新。对普通用户而言，保持默认开启、开启防篡改和PUA防护，再根据实际误报做最小化排除，是最稳妥的安全策略。
