如何配置 Windows Defender 以获得最大安全性

信息技术数字 » 资源 » 如何配置 Windows Defender 以获得最大安全性

如果您使用的是 Windows 10 或 Windows 11，那么您的系统中默认已经安装了一款相当不错的杀毒软件：Microsoft Defender。问题在于，几乎没有人会费心去彻底配置它，而默认设置虽然能提供一定的保护，但远未达到最佳防护效果。只需进行一些精心设计的调整，您就可以将系统安全性提升到一个新的水平。

本指南将介绍如何微调 Microsoft Defender，以便在家庭电脑和专业环境中提供最佳保护。我们将涵盖从基本界面选项到高级注册表设置、勒索软件防护、隐私设置、家长控制以及使用 Intune 或组策略进行集中管理等所有内容。

更新并检查 Microsoft Defender 的状态

在对设置进行任何修改之前，请确保Defender的引擎和病毒库都是最新版本。过时的杀毒软件几乎和没有杀毒软件一样糟糕。

检查防护更新的最快方法是右键单击系统托盘中的 Windows 安全中心图标，然后选择“检查防护更新”。您也可以打开 Windows 安全中心，转到“病毒和威胁防护” ，然后单击“病毒和威胁防护更新”。

定期打开此部分检查更新是否正常以及系统状态是否正确是一个好习惯。这可以确保分析引擎、启发式算法和恶意软件签名都是最新的。

从 Windows 注册表中强化 Microsoft Defender

如果你想充分发挥 Defender 的功能，可以激活一些图形界面中未显示的选项，这些选项可以显著提高扫描的力度和深度。但这需要修改 Windows 注册表，因此请务必谨慎操作。

导航至路径HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender。在该项下，创建两个名为MpEngine和Spynet的新子项（右键单击“Windows Defender”> 新建 > 项，然后输入相应的名称）。

现在进入MpEngine项，在右侧窗格中创建一个名为MpBafsExtendedTimeout的 32 位 DWORD 值，并将其值设置为十六进制0x19（十进制 25）。然后创建另一个名为MpCloudBlockLevel的 32 位 DWORD 值，并将其值设置为十六进制0x2 。

这些设置控制着Defender在查询云端时可以暂时阻止可疑文件的时间长短，以及评估云端威胁时的积极程度。将MpBafsExtendedTimeout设置为2会将最大阻止时间增加到大约60秒，从而降低可疑文件在云服务对其进行分类之前运行的可能性。将MpCloudBlockLevel设置为2会将云保护级别设置为非常严格，使Defender更有可能阻止任何信誉不佳的文件。

接下来，打开Spynet密钥并创建以下 32 位 DWORD 值：

• 禁用BlockAtFirstSeen 值为 0。
• 间谍网报告 值为 2。
• LocalSettingOverrideSpynetReporting 值为 1。
• 提交样品同意 值为 1。

将 DisableBlockAtFirstSeen 设置为 0 可确保系统对 Microsoft Active Protection Service 执行实时检查。这意味着，如果新文件的信誉度存疑，则在首次查看时即可阻止其访问。

SpynetReporting 值为 2 会激活微软信誉服务的高级订阅，发送更多关于检测到的恶意软件的详细信息，包括文件名、行为和系统影响。这有助于增强云防御能力，但代价是需要与微软共享更多信息，从而影响隐私。

LocalSettingOverrideSpynetReporting 的值为 1 表示本地设置可以覆盖有关数据发送的组策略，这在需要调整特定计算机上的某些内容时非常有用，即使存在公司 GPO。

最后，将 SubmitSamplesConsent 设置为 1 后，当遥测数据允许时，系统会自动发送可疑文件样本。这增强了微软快速生成针对新兴威胁的特征码和检测模型的能力。

完成后，关闭注册表编辑器并重启电脑。重启后，Defender 将以更严格的防护模式运行，尤其针对新发现的威胁。

选择 Defender 扫描哪些文件、文件夹和进程

虽然听起来可能有点奇怪，但为了最大程度地保障安全，有时需要告诉 Defender不要扫描哪些内容。这样做是为了避免与某些关键应用程序或开发工具发生冲突，并优化性能。

打开 Windows 安全中心，转到“病毒和威胁防护”。向下滚动到“病毒和威胁防护设置”，然后单击“管理设置”。在底部，您会看到“排除项”部分。单击“添加或删除排除项”，然后单击“添加排除项”。

您可以排除特定文件、文件类型（按扩展名）、整个文件夹或进程。如果您选择文件或文件夹，资源管理器将打开，以便您选择路径。如果您选择文件类型或进程，将出现一个对话框，要求您输入文件扩展名或可执行文件名。

添加排除项后，它们会显示在同一屏幕上。要删除任何排除项，请单击其旁边的箭头，然后单击“删除”。建议您谨慎使用这些排除项：每个被排除的项目都意味着 Defender不再监控，因此您应该只排除绝对必要的项目，并且如果可能，请将排除范围限制在已关闭的文件夹或您完全信任的进程中。

在同一个防病毒和威胁防护面板中，您还可以访问不同类型的扫描：

• 快速测试恶意软件通常隐藏的典型文件夹。
• 全面考试对所有文件和驱动器进行深入分析。
• 个性化考试您可以选择要查看的文件夹。
• Microsoft Defender 脱机扫描离线分析以消除持续存在的威胁。

如果您怀疑某个特定文件夹（例如“下载”文件夹或您处理第三方文件的目录）存在问题，最佳选择是使用自定义扫描。点击“立即扫描”选择位置，然后选择文件夹，再点击“选择文件夹”。Defender 将开始扫描，并显示进度条，其中包含已扫描的文件数、已用时间和预计剩余时间。

下方是“威胁历史记录”，您可以在这里查看上次扫描的日期和类型、发现的威胁数量、扫描持续时间和已检查的文件数量。它还会显示已隔离的威胁和用户手动允许的威胁。

在本部分，您可以一次性删除所有被隔离的内容，或者逐项查看并决定永久删除哪些内容或恢复哪些内容（当然，要考虑到重新激活潜在危险文件的风险）。

使用 Microsoft Defender 保护自己免受勒索软件侵害

Defender 最重要的功能之一（通常默认情况下处于禁用状态）是基于文件夹访问控制的勒索软件防护。

勒索软件会加密您的个人文件，然后索要赎金（通常以加密货币形式）以恢复访问权限。支付赎金并不能保证什么，而且攻击者的电子邮件地址或联系渠道往往会被关闭，最终您既损失了金钱，也损失了数据。

要启用此保护，请打开 Windows 安全中心，然后转到“病毒和威胁防护” 。向下滚动到“勒索软件防护”部分，然后单击“管理勒索软件防护”。您将在那里看到“控制文件夹访问”选项。

启用此功能可防止未经授权的应用程序修改或加密受保护的文件夹。Windows 默认保护系统文件夹和某些用户路径，但您可以根据需要添加其他文件夹。

在同一面板中，您可以查看锁定历史记录，使用“添加受保护文件夹”添加新的受保护文件夹，以及删除不再需要保护的文件夹（系统文件夹除外，系统文件夹无法禁用）。这样做的目的是将所有对您至关重要的内容都包含在此处：工作文档、照片、项目等等，这样勒索软件就无法轻易访问它们。

此外，您还可以将备份链接到OneDrive。如果您使用 Microsoft 帐户登录，则可以设置将最重要的文件自动备份到云端。这虽然不能阻止攻击本身，但即使您的电脑已被完全加密，也能帮助您恢复数据。

激活 Defender 防篡改保护

另一项非常有用的防护措施是防篡改保护。此功能可防止恶意软件或第三方应用程序更改关键的 Defender 设置，从而悄无声息地禁用或削弱它。

要启用此功能，请返回 Windows 安全中心，打开“病毒和威胁防护”，转到“病毒和威胁防护设置”，然后单击“管理设置”。在那里，找到“篡改防护”部分并将其打开。

从那时起，任何试图从授权渠道之外修改关键 Defender 设置的行为都将被自动阻止。请注意，此保护仅涵盖 Windows Defender 本身；如果您使用第三方防病毒软件，则需要检查其设置以获得类似的保护。

使用 Microsoft Defender 进行身份盗窃监控

Defender 已经超越了传统的防病毒软件，在某些套餐和地区还集成了身份盗窃监控功能，并依赖于 Experian 等第三方技术。

这项名为“身份盗窃监控”的功能负责检查您的个人数据（例如电子邮件、身份证件等）是否出现在可疑来源或暗网上。它并非一项表面功能：该服务会持续监控，并在检测到任何潜在的身份盗用行为时发出警报。

要使用此功能，请登录您的“我的 Defender”控制面板，选择“开始使用身份监控”选项，然后创建个人资料。系统会要求您提供一些个人信息，这些信息将与暗网和其他来源的数据进行交叉比对。您还可以添加家庭成员，以便该服务可以保护同一订阅下的多人。

Windows 中的其他安全和隐私设置

除了 Windows Defender 之外，Windows 还包含多种安全选项，如果您想要构建真正强大的安全环境，则应正确配置这些选项。其中许多选项都会影响您的系统保护和隐私。

保护您的登录信息：密码、PIN 码或指纹

首先，要防止任何人未经许可坐在你的电脑前登录。为此，你需要设置安全的登录方式：密码、PIN码、指纹、安全密钥，甚至是图片密码。

前往“设置”> “帐户”>“登录选项”。然后，选择最适合您的选项（例如，使用指纹或 PIN 码的 Windows Hello），并按照向导操作。完成后，如果系统提示，请重新启动计算机，以便新的保护措施在启动时生效。

强制定期更改密码

在商业环境中，强制密码定期过期是一种非常普遍的做法。这样做的目的是，即使密码被盗，其有效期也相对较短。

在支持的 Windows 版本中，您可以通过打开“运行”（Win + R），输入netplwiz，然后按 Enter 键进行配置。在出现的窗口中，转到“高级”选项卡，在“本地用户和组”部分输入“高级选项”，然后选择“用户” 。接下来，在右侧窗格中，双击所需的用户，并取消选中“密码永不过期”。

默认情况下，Windows 通常要求每 42 天更改一次密码，不过可以通过组策略进行调整。如果您没有组策略的访问权限，可以使用管理员权限的命令提示符进行设置！

运行此命令以启用所有帐户的帐户过期功能：

wmic UserAccount set PasswordExpires=True

如果您只想将其应用于特定用户：

wmic UserAccount where Name=UserName set PasswordExpires=True

请将用户名替换为实际的帐户名。这样可以确保凭据定期更新。

用户帐户控制（UAC）

用户帐户控制 (UAC) 就是程序试图对系统进行重大更改时弹出的那个烦人的窗口。但正是这种烦人的机制，才能防止恶意软件在您不知情的情况下篡改系统的敏感部分。

要验证用户帐户控制 (UAC) 是否已启用，请打开控制面板，然后转到“系统和安全”>“安全和维护”。展开“安全”部分，并检查“用户帐户控制”状态。如果显示为“已禁用”，请单击链接更改设置，并选择一个级别，以便在应用程序尝试进​​行更改时提示您（如果您优先考虑安全性，请不要将其设置为最低级别）。

请使用本地帐户而不是 Microsoft 帐户

微软正试图让几乎所有人使用云账户，但传统的本地账户在隐私和控制方面具有明显的优势。它不会在设备之间同步设置或数据，而且还能减少攻击面。

如果您当前已登录 Microsoft 帐户，并希望切换到本地帐户，请转到“设置”> “帐户” > “你的信息” ，然后查找“改用本地帐户登录”选项。如果本地帐户尚不存在，请先创建一个，方法是转到“帐户”> “家庭和其他用户”>“将其他人添加到这台电脑”，然后选择“添加没有 Microsoft 帐户的用户”。

创建完成后，在“我的信息”中输入新的用户名和密码，如果系统提示，请回答安全问题，然后注销并使用本地帐户登录。这将使您的个人资料与云端更加隔离。

家长控制和家庭保护

Windows 在 Windows 安全中心中集成了一个“家庭选项”部分，旨在控制儿童在电脑和互联网上的活动。

在家庭控制面板中，您可以添加与您的 Microsoft 帐户关联的儿童帐户，并设置屏幕时间限制、网络内容限制、允许的应用和游戏，以及接收活动报告。

其中最重要的选项包括：

• 确定未成年人可以访问哪些网站（白名单或黑名单）。
• 设置每日电脑使用时长限制，超过限制后，该用户的电脑将被锁定。
• 选择允许使用的应用和游戏，或者屏蔽除你选择的应用和游戏之外的所有应用和游戏。

其他高级安全设置

除了主要功能之外，如果您想要一个非常安全的 Windows 系统，尤其是在专业或高风险环境中，还有一系列设置值得查看。

自定义漏洞防护（漏洞利用防护）

Windows 10 和 11 都内置了漏洞利用缓解系统，您可以通过在“开始”菜单中搜索“漏洞保护”或“漏洞利用”找到它。它位于“Windows 安全中心”> “应用和浏览器控制”下；此外，建议您查看与漏洞利用和补丁相关的Windows 安全漏洞。

该工具包含两个配置区域：一个用于整个系统，另一个则针对每个程序进行单独配置。默认情况下，全局配置通常已经相当精细，大多数缓解措施都已启用，因此除非遇到特殊情况，否则无需进行过于复杂的设置。

真正有趣的部分是每个程序的配置选项卡。在这里，您可以使用“添加要自定义的程序”添加特定应用程序，并调整每个应用程序的缓解措施，例如数据执行保护 (DEP)、任意代码保护、阻止低完整性映像以及其他机制。

其理念是，最易受攻击的应用程序（浏览器、PDF 阅读器、办公套件、设计软件等）应具备更高的安全加固级别，从而最大限度地降低未修补漏洞被成功利用的可能性。但是，建议仔细阅读微软文档，了解每个选项的功能，避免危及关键程序的安全。

检查并保持 Windows 防火墙处于活动状态

虽然这显而易见，但仍然有一些电脑的Windows 防火墙被禁用或配置错误。如果所有网络端口都处于开放状态，那么再好的杀毒软件也无济于事；不妨考虑使用一款优秀的免费程序来管理 Windows 防火墙并加强其安全性。

要从控制面板检查此设置，请转到“系统和安全”>“安全和维护”>“安全” ，然后查看防火墙状态。您也可以在“Windows 安全中心”的“防火墙和网络保护”下查看，其中会显示域网络、专用网络和公用网络的状态。

至少要确保公共网络受到严格保护，并且没有任何奇怪的规则允许你无法识别的传入连接。

管理 Microsoft Defender 通知

Defender 会随 Windows 系统启动并在后台持续运行。一切正常时，其系统托盘图标会显示一个带有白色对勾的绿色圆圈。您可以通过该图标访问 Defender 的设置，并调整通知等设置。

点击图标，点击左下角的齿轮，进入“通知”部分，在那里你会看到“管理通知”的链接。

在该屏幕上，您可以控制三个主要模块：

• 病毒和威胁防护通知.
• 账户保护通知.
• 防火墙和网络安全通知.

在病毒和威胁通知中，您可以禁用常规的“获取信息通知”开关，或者选择要接收的警报：最近的扫描结果、不需要用户操作的检测结果，或已被清除的可疑文件块。

例如，帐户保护通知指的是 Windows Hello 或动态锁定方面的问题，而防火墙通知则会提醒您网络配置更改或流量过滤事件。您可以仅启用真正有用的通知，避免被持续不断的通知打扰，同时又不错过重要信息。

安全供应商管理

在防病毒和威胁防护屏幕上，有一个不起眼但非常有用的链接，叫做“管理提供商”，就在“谁保护我？”的下方。

点击后，您将看到哪些组件负责防病毒、防火墙和网络保护。如果您只使用 Defender，它将显示为主要解决方案。在这里，您可以切换到其他已安装的产品，打开它们的设置，还可以根据需要，在 Microsoft Store 中搜索其他安全应用以增强网络保护（例如，其他浏览筛选器或反钓鱼程序）。

禁用从其他设备下载更新

Windows 10 和 11 包含一个名为“分发优化”的选项，允许您从网络上的其他 PC 甚至从 Internet 上的计算机下载更新，将您的计算机变成一种用于更新的 P2P 节点。

这可以加快下载速度，但也允许你的电脑与他人共享数据。如果你追求安全性和控制权，最好阻止它。

为此，请转到“设置”> “更新和安全”>“Windows 更新”，进入“高级选项”，然后选择“分发优化” 。在那里，关闭“允许从其他电脑下载”开关。

检查并自动更新 Windows 更新

保持 Windows 系统更新是确保安全补丁能够覆盖新发现漏洞的关键。您可以在 Windows 更新中检查待更新项，并强制下载和安装它们。

打开“设置”> “更新和安全”>“Windows 更新”，检查更新状态。最好启用自动更新，这样您就无需手动更新了。

趁此机会，定期检查“设置”>“应用”中的已安装程序列表。如果您发现任何可疑程序或您不记得安装过的程序，请进行调查，如有疑问，请将其删除。许多问题都源于通过“后门”方式与其他下载程序一起添加的软件。

在专业环境中管理 Microsoft Defender

对于拥有众多团队的组织而言，逐个调整 Defender 并不合理。为此，微软提供了与Intune 的集成以及通过组策略进行管理的功能，从而可以部署统一的策略。

使用 Microsoft Intune 配置 Defender

在 Intune 管理中心，您可以创建分别针对 Windows 和 macOS 的防病毒策略。这些策略可以对实时保护、计划扫描、访问控制、Windows 安全用户体验等设置进行分组。

创建新的 Windows 防病毒策略的基本工作流程如下：

• 打开 Intune，转到 终端安全 > 防病毒.
• 创建一项新政策，选择平台作为您的平台。 Windows 10、Windows 11 和 Windows Server 和个人资料 Microsoft Defender防病毒.
• 填写名称和描述，然后在相应部分配置所需选项。 防守方 （例如，实时保护级别、分析时间、对恶意软件的操作等）。
• 如果使用范围标签来划分管理区域，请为其分配范围标签。
• 将策略分配给相应的设备或用户组并创建该策略。

macOS 的操作过程类似，选择macOS平台和防病毒配置文件，针对 Mac 版 Microsoft Defender for Endpoint 的具体设置有文档说明。

如果需要修改现有策略，只需从列表中选择该策略，在设置部分点击“编辑” ，进行必要的更改，然后保存。Intune 随后会将新策略传播到受管计算机。

使用组策略对象 (GPO) 进行 Defender 防护

在 Active Directory 域中，通常使用管理模板来管理 Windows Defender 。需要注意的是，如果启用了防篡改保护，则对受保护配置的某些组策略对象 (GPO) 更改将被忽略。例如，您无法直接从 GPO 禁用防篡改保护；您必须使用故障排除模式来临时禁用它，并且该更改将被回滚。

要在本地计算机（或域 GPO）上使用组策略配置始终开启的保护，请执行以下操作：

打开本地组策略编辑器，方法是在搜索框中输入gpedit并选择“编辑组策略”。然后导航至“计算机配置”>“管理模板”>“Windows 组件”>“Microsoft Defender 防病毒软件”。

在右侧面板中，启用“允许反恶意软件服务以正常优先级启动”选项。这可确保 Defender 服务在系统启动时正常加载。

接下来，转到“实时保护”部分，查看可用的不同策略（取决于最新的 ADMX 版本）。您可以在此处定义例如是否暂时禁用实时保护，以及是否检查下载的文件、脚本、电子邮件附件等。

在扫描部分，至少激活“启用启发式”策略，这将使 Defender 使用基于行为的分析技术来查找未知恶意软件，而不仅仅是通过签名。

如果您需要通过组策略对象 (GPO) 禁用实时保护（例如，用于受控测试），可以在实时保护设置中启用“禁用实时保护”选项。请注意，如果防篡改保护功能已启用并从云端管理，则此更改可能会被阻止。

为保持所有这些策略的最新状态，请确保使用最新的Microsoft ADMX 管理模板，以便您可以访问适用于最新 Windows 版本的所有设置。

通过所有这些调整，结合强化 Defender 引擎、勒索软件防护、帐户策略、更新控制和集中管理，您可以将 Windows 的安全状态保持在远高于平均水平的水平，而无需总是求助于昂贵且在很多情况下是多余的第三方产品。