如何設定 Windows Defender 以獲得最大安全性

資訊科技數位 » recursos » 如何設定 Windows Defender 以獲得最大安全性

如果您使用的是 Windows 10 或 Windows 11，那麼您的系統中預設已經安裝了一款相當不錯的防毒軟體：Microsoft Defender。問題在於，幾乎沒有人會費心去徹底配置它，而預設設定雖然能提供一定的保護，但遠遠沒有達到最佳防護效果。只需進行一些精心設計的調整，您就可以將系統安全性提升到一個新的水平。

本指南將介紹如何微調 Microsoft Defender，以便在家庭電腦和專業環境中提供最佳保護。我們將涵蓋從基本介面選項到高級註冊表設定、勒索軟體防護、隱私設定、家長控制以及使用 Intune 或群組原則進行集中管理等所有內容。

更新並檢查 Microsoft Defender 的狀態

在對設定進行任何修改之前，請確保Defender的引擎和病毒庫都是最新版本。過時的防毒軟體幾乎和沒有防毒軟體一樣糟糕。

檢查防護更新的最快方法是右鍵單擊系統托盤中的 Windows 安全中心圖標，然後選擇「檢查防護更新」。您也可以開啟 Windows 安全中心，前往「病毒和威脅防護」 ，然後按一下「病毒和威脅防護更新」。

定期開啟此部分檢查更新是否正常以及系統狀態是否正確是一個好習慣。這可以確保分析引擎、啟發式演算法和惡意軟體簽章都是最新的。

從 Windows 登錄檔強化 Microsoft Defender

如果你想充分發揮 Defender 的功能，可以啟動一些圖形介面中未顯示的選項，這些選項可以顯著提高掃描的強度和深度。但這需要修改 Windows 註冊表，因此請務必謹慎操作。

導覽至路徑HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender。在該項下，建立兩個名為MpEngine和Spynet的新子項（右鍵點選「Windows Defender」> 新建 > 項，然後輸入對應的名稱）。

現在進入MpEngine項，在右側窗格中建立一個名為MpBafsExtendedTimeout的 32 位元 DWORD 值，並將其值設為十六進位0x19（十進位 25）。然後建立另一個名為MpCloudBlockLevel的 32 位元 DWORD 值，並將其值設為十六進位0x2 。

這些設定控制Defender在查詢雲端時可以暫時阻止可疑檔案的時間長短，以及評估雲端威脅時的正面程度。將MpBafsExtendedTimeout設定為2會將最大阻止時間增加到約60秒，從而降低可疑檔案在雲端服務對其進行分類之前運行的可能性。將MpCloudBlockLevel設定為2會將雲端保護等級設為非常嚴格，使Defender更有可能阻止任何信譽不佳的檔案。

接下來，開啟Spynet金鑰並建立以下 32 位元 DWORD 值：

• 禁用BlockAtFirstSeen 值為 0。
• 間諜網報道 值為 2。
• LocalSettingOverrideSpynetReporting 值為 1。
• 提交樣本同意書 值為 1。

將 DisableBlockAtFirstSeen 設定為 0 可確保系統對 Microsoft Active Protection Service 執行即時檢查。這意味著，如果新文件的信譽度存疑，則在首次查看時即可阻止其存取。

SpynetReporting 值為 2 會啟動微軟信譽服務的高級訂閱，發送更多關於檢測到的惡意軟體的詳細信息，包括檔案名稱、行為和系統影響。這有助於增強雲端防禦能力，但代價是需要與微軟分享更多信息，從而影響隱私。

LocalSettingOverrideSpynetReporting 的值為 1 表示本機設定可以覆寫有關資料傳送的群組原則，這在需要調整特定電腦上的某些內容時非常有用，即使存在公司 GPO。

最後，將 SubmitSamplesConsent 設定為 1 後，當遙測資料允許時，系統會自動傳送可疑檔案樣本。這增強了微軟快速產生針對新興威脅的特徵碼和偵測模型的能力。

完成後，關閉登錄編輯器並重新啟動電腦。重啟後，Defender 將以更嚴格的防護模式運行，尤其針對新發現的威脅。

選擇 Defender 掃描哪些檔案、資料夾和進程

雖然聽起來可能有點奇怪，但為了最大程度地確保安全，有時需要告訴 Defender不要掃描哪些內容。這樣做是為了避免與某些關鍵應用程式或開發工具發生衝突，並優化效能。

開啟 Windows 安全中心，前往「病毒和威脅防護」。向下捲動至「病毒和威脅防護設定」，然後按一下「管理設定」。在底部，您會看到“排除項”部分。按一下“新增或刪除排除項”，然後按一下“新增排除項”。

您可以排除特定檔案、檔案類型（以副檔名）、整個資料夾或進程。如果您選擇檔案或資料夾，資源管理器將會打開，以便您選擇路徑。如果您選擇檔案類型或進程，將出現一個對話框，要求您輸入檔案副檔名或執行檔名。

新增排除項後，它們會顯示在同一螢幕上。若要刪除任何排除項，請按一下其旁邊的箭頭，然後按一下「刪除」。建議您謹慎使用這些排除項：每個被排除的項目都意味著 Defender不再監控，因此您應該只排除絕對必要的項目，並且如果可能，請將排除範圍限制在已關閉的資料夾或您完全信任的進程中。

在同一個防毒和威脅防護面板中，您還可以存取不同類型的掃描：

• 快速掃描惡意軟體通常隱藏的典型資料夾。
• 完成考試對所有檔案和磁碟機進行深入分析。
• 個性化考試您可以選擇要查看的資料夾。
• Microsoft Defender 離線掃描離線分析以消除持續存在的威脅。

如果您懷疑某個特定資料夾（例如「下載」資料夾或您處理第三方檔案的目錄）有問題，最佳選擇是使用自訂掃描。點選「立即掃描」選擇位置，然後選擇資料夾，再點選「選擇資料夾」。 Defender 將開始掃描，並顯示進度條，其中包含已掃描的檔案數、已使用時間和預計剩餘時間。

下面是“威脅歷史記錄”，您可以在這裡查看上次掃描的日期和類型、發現的威脅數量、掃描持續時間和已檢查的檔案數量。它還會顯示已隔離的威脅和使用者手動允許的威脅。

在本部分，您可以一次刪除所有被隔離的內容，或逐項查看並決定永久刪除哪些內容或恢復哪些內容（當然，要考慮到重新啟動潛在危險文件的風險）。

使用 Microsoft Defender 保護自己免受勒索軟體侵害

Defender 最重要的功能之一（通常預設為停用）是基於資料夾存取控制的勒索軟體防護。

勒索軟體會加密您的個人文件，然后索取贖金（通常以加密貨幣形式）以恢復存取權限。支付贖金並不能保證什麼，而且攻擊者的電子郵件地址或聯絡管道往往會被關閉，最終您既損失了金錢，也損失了資料。

若要啟用此保護，請開啟 Windows 安全中心，然後前往「病毒和威脅防護」 。向下捲動至「勒索軟體防護」部分，然後按一下「管理勒索軟體防護」。您將在那裡看到“控制資料夾存取”選項。

啟用此功能可防止未經授權的應用程式修改或加密受保護的資料夾。 Windows 預設保護系統資料夾和某些使用者路徑，但您可以根據需要新增其他資料夾。

在同一面板中，您可以查看鎖定歷史記錄，使用「新增受保護資料夾」新增的受保護資料夾，以及刪除不再需要保護的資料夾（系統資料夾除外，系統資料夾無法停用）。這樣做的目的是將所有對您至關重要的內容都包含在此處：工作文件、照片、專案等等，這樣勒索軟體就無法輕易存取它們。

此外，您還可以將備份連結到OneDrive。如果您使用 Microsoft 帳戶登錄，則可以設定將最重要的文件自動備份到雲端。這雖然不能阻止攻擊本身，但即使您的電腦已完全加密，也能幫助您恢復資料。

啟動 Defender 防篡改保護

另一個非常有用的防護措施是防篡改保護。此功能可防止惡意軟體或第三方應用程式更改關鍵的 Defender 設置，從而悄無聲息地禁用或削弱它。

若要啟用此功能，請返回 Windows 安全中心，開啟「病毒和威脅防護」，前往「病毒和威脅防護設定」，然後按一下「管理設定」。在那裡，找到“篡改防護”部分並將其打開。

從那時起，任何試圖從授權管道之外修改關鍵 Defender 設定的行為都將自動被阻止。請注意，此保護僅涵蓋 Windows Defender 本身；如果您使用第三方防毒軟體，則需要檢查其設定以獲得類似的保護。

使用 Microsoft Defender 進行身分盜竊監控

Defender 已經超越了傳統的防毒軟體，在某些套餐和地區還整合了身分盜竊監控功能，並依賴 Experian 等第三方技術。

這項名為「身分盜竊監控」的功能負責檢查您的個人資料（例如電子郵件、身分證件等）是否出現在可疑來源或暗網上。它並非一項表面功能：該服務會持續監控，並在檢測到任何潛在的身份盜用行為時發出警報。

若要使用此功能，請登入您的「我的 Defender」控制面板，選擇「開始使用身分監控」選項，然後建立個人資料。系統會要求您提供一些個人信息，這些信息將與暗網和其他來源的數據進行交叉比對。您也可以新增家庭成員，以便該服務可以保護相同訂閱下的多人。

Windows 中的其他安全性和隱私設置

除了 Windows Defender 之外，Windows 還包含多種安全性選項，如果您想要建立真正強大的安全性環境，則應正確配置這些選項。其中許多選項都會影響您的系統保護和隱私。

保護您的登入資訊：密碼、PIN 碼或指紋

首先，要防止任何人未經許可坐在你的電腦前登入。為此，你需要設定安全的登入方式：密碼、PIN碼、指紋、安全金鑰，甚至是圖片密碼。

前往「設定」> “帳號”>「登入選項」。然後，選擇最適合您的選項（例如，使用指紋或 PIN 碼的 Windows Hello），並按照精靈操作。完成後，如果系統提示，請重新啟動計算機，以便新的保護措施在啟動時生效。

強制定期更改密碼

在商業環境中，強制密碼定期過期是一種非常普遍的做法。這樣做的目的是，即使密碼被盜，其有效期也相對較短。

在支援的 Windows 版本中，您可以透過開啟「執行」（Win + R），輸入netplwiz，然後按 Enter 鍵進行設定。在出現的視窗中，轉到“進階”選項卡，在“本機使用者和群組”部分輸入“進階選項”，然後選擇“使用者” 。接下來，在右側窗格中，雙擊所需的用戶，並取消選取「密碼永不過期」。

預設情況下，Windows 通常要求每 42 天變更一次密碼，不過可以透過群組原則進行調整。如果您沒有群組原則的存取權限，可以使用管理員權限的命令提示字元進行設定！

執行此命令以啟用所有帳戶的帳戶過期功能：

wmic UserAccount set PasswordExpires=True

如果您只想將其應用於特定用戶：

wmic UserAccount where Name=UserName set PasswordExpires=True

請將使用者名稱替換為實際的帳戶名稱。這樣可以確保憑證定期更新。

用戶帳戶控制（UAC）

使用者帳戶控制 (UAC) 就是程式試圖對系統進行重大變更時彈出的那個煩人的視窗。但正是這種煩人的機制，才能防止惡意軟體在您不知情的情況下篡改系統的敏感部分。

若要驗證使用者帳戶控制 (UAC) 是否已啟用，請開啟控制台，然後前往「系統和安全性」>「安全性和維護」。展開「安全性」部分，並檢查「使用者帳戶控制」狀態。如果顯示為“已停用”，請按一下連結以變更設置，並選擇一個級別，以便在應用程式嘗試進行變更時提示您（如果您優先考慮安全性，請不要將其設定為最低級別）。

請使用本機帳戶而不是 Microsoft 帳戶

微軟正試圖讓幾乎所有人使用雲端帳戶，但傳統的本地帳戶在隱私和控制方面具有明顯的優勢。它不會在設備之間同步設定或數據，而且還能減少攻擊面。

如果您目前已登入 Microsoft 帳戶，並希望切換到本機帳戶，請前往「設定」> 「帳戶」 > 「你的資訊」 ，然後尋找「改用本機帳戶登入」選項。如果本機帳戶尚不存在，請先建立一個，方法是前往“帳戶”> “家庭和其他使用者”>“將其他人新增至這台電腦”，然後選擇“新增沒有 Microsoft 帳戶的使用者”。

建立完成後，在「我的資訊」中輸入新的使用者名稱和密碼，如果系統提示，請回答安全性問題，然後登出並使用本機帳戶登入。這將使您的個人資料與雲端更加隔離。

家長監護與家庭保護

Windows 在 Windows 安全中心中整合了一個「家庭選項」部分，旨在控制兒童在電腦和網路上的活動。

在家庭控制面板中，您可以新增與您的 Microsoft 帳戶關聯的兒童帳戶，並設定螢幕時間限制、網路內容限制、允許的應用程式和遊戲，以及接收活動報告。

其中最重要的選項包括：

• 確定未成年人可以造訪哪些網站（白名單或黑名單）。
• 設定每日電腦使用時長限制，超過限制後，使用者的電腦將被鎖定。
• 選擇允許使用的應用程式和遊戲，或封鎖你選擇的應用程式和遊戲以外的所有應用程式和遊戲。

其他進階安全設定

除了主要功能之外，如果您想要一個非常安全的 Windows 系統，尤其是在專業或高風險環境中，還有一系列設定值得查看。

自訂漏洞防護（漏洞利用防護）

Windows 10 和 11 都內建了漏洞利用緩解系統，您可以透過在「開始」功能表中搜尋「漏洞保護」或「漏洞利用」找到它。它位於「Windows 安全中心」> 「應用程式和瀏覽器控制」下；此外，建議您查看與漏洞利用和修補程式相關的Windows 安全漏洞。

此工具包含兩個配置區域：一個用於整個系統，另一個則針對每個程式進行單獨配置。預設情況下，全域配置通常已經相當精細，大多數緩解措施都已啟用，因此除非遇到特殊情況，否則無需進行過於複雜的設定。

真正有趣的部分是每個程式的配置選項卡。在這裡，您可以使用「新增要自訂的程式」來新增特定應用程序，並調整每個應用程式的緩解措施，例如資料執行保護 (DEP)、任意程式碼保護、阻止低完整性映像以及其他機制。

其理念是，最易受攻擊的應用程式（瀏覽器、PDF 閱讀器、辦公室套件、設計軟體等）應具備更高的安全加固級別，從而最大限度地降低未修補漏洞被成功利用的可能性。但是，建議仔細閱讀微軟文檔，了解每個選項的功能，避免危及關鍵程式的安全。

檢查並保持 Windows 防火牆處於活動狀態

雖然這顯而易見，但仍有一些電腦的Windows 防火牆已停用或設定錯誤。如果所有網路連接埠都處於開放狀態，那麼再好的防毒軟體也無濟於事；不妨考慮使用一款優秀的免費程式來管理 Windows 防火牆並加強其安全性。

若要從控制台檢查此設置，請前往“系統和安全性”>“安全性和維護”>“安全性” ，然後查看防火牆狀態。您也可以在「Windows 安全中心」的「防火牆和網路保護」下查看，其中會顯示網域網路、專用網路和公用網路的狀態。

至少要確保公共網路受到嚴格保護，並且沒有任何奇怪的規則允許你無法識別的傳入連線。

管理 Microsoft Defender 通知

Defender 會隨 Windows 系統啟動並在背景持續運作。一切正常時，其係統托盤圖示會顯示一個帶有白色對勾的綠色圓圈。您可以透過該圖示存取 Defender 的設置，並調整通知等設定。

點擊圖標，點擊左下角的齒輪，進入「通知」部分，在那裡你會看到「管理通知」的連結。

在該螢幕上，您可以控制三個主要模組：

• 病毒和威脅防護通知.
• 帳戶保護通知.
• 防火牆和網路安全通知.

在病毒和威脅通知中，您可以停用常規的「取得資訊通知」開關，或選擇要接收的警報：最近的掃描結果、不需要使用者操作的偵測結果，或已清除的可疑檔案區塊。

例如，帳戶保護通知指的是 Windows Hello 或動態鎖定方面的問題，而防火牆通知則會提醒您網路設定變更或流量過濾事件。您可以僅啟用真正有用的通知，避免被持續不斷的通知打擾，同時又不錯過重要資訊。

安全供應商管理

在防毒和威脅防護螢幕上，有一個不起眼但非常有用的鏈接，叫做“管理提供者”，就在“誰保護我？”的下方。

點擊後，您將看到哪些元件負責防毒、防火牆和網路保護。如果您只使用 Defender，它將顯示為主要解決方案。在這裡，您可以切換到其他已安裝的產品，打開它們的設置，還可以根據需要，在 Microsoft Store 中搜尋其他安全應用程式以增強網路保護（例如，其他瀏覽篩選器或反釣魚程式）。

停用從其他裝置下載更新

Windows 10 和 11 包含一個名為「分發最佳化」的選項，可讓您從網路上的其他 PC 甚至從 Internet 上的電腦下載更新，將您的電腦變成一種用於更新的 P2P 節點。

這可以加快下載速度，但也允許你的電腦與他人分享資料。如果你追求安全性和控制權，最好阻止它。

為此，請前往「設定」> 「更新與安全性」>「Windows 更新」，進入「進階選項」，然後選擇「分發最佳化」 。在那裡，關閉“允許從其他電腦下載”開關。

檢查並自動更新 Windows 更新

保持 Windows 系統更新是確保安全性修補程式能夠覆蓋新發現漏洞的關鍵。您可以在 Windows 更新中檢查待更新項，並強制下載和安裝它們。

開啟「設定」> 「更新與安全性」>「Windows 更新」，檢查更新狀態。最好啟用自動更新，這樣您就無需手動更新了。

趁此機會，定期檢查「設定」>「應用」中的已安裝程式清單。如果您發現任何可疑程序或您不記得安裝過的程序，請進行調查，如有疑問，請將其刪除。許多問題都源自於透過「後門」方式與其他下載程式一起添加的軟體。

在專業環境中管理 Microsoft Defender

對於擁有眾多團隊的組織而言，逐一調整 Defender 並不合理。為此，微軟提供了與Intune 的整合以及透過群組策略進行管理的功能，從而可以部署統一的策略。

使用 Microsoft Intune 設定 Defender

在 Intune 管理中心，您可以建立分別針對 Windows 和 macOS 的防毒策略。這些策略可以對即時保護、排程掃描、存取控制、Windows 安全性使用者體驗等設定進行分組。

建立新的 Windows 防毒策略的基本工作流程如下：

• 開啟 Intune，前往 終端安全 > 防毒.
• 建立一項新政策，選擇平台作為您的平台。 Windows 10、Windows 11 和 Windows Server 和個人資料 Microsoft Defender防病毒.
• 填寫名稱和描述，然後在相應部分配置所需選項。 防守方 （例如，即時保護等級、分析時間、對惡意軟體的操作等）。
• 如果使用範圍標籤來劃分管理區域，請為其指派範圍標籤。
• 將策略指派給相應的裝置或使用者群組並建立該原則。

macOS 的操作過程類似，選擇macOS平台和防毒設定文件，針對 Mac 版 Microsoft Defender for Endpoint 的具體設定有文件說明。

如果需要修改現有策略，只需從清單中選擇該策略，在設定部分點擊「編輯」 ，進行必要的更改，然後儲存。 Intune 隨後將新策略傳播到受管電腦。

使用群組原則物件 (GPO) 進行 Defender 防護

在 Active Directory 網域中，通常會使用管理範本來管理 Windows Defender 。需要注意的是，如果啟用了防篡改保護，則對受保護配置的某些群組原則物件 (GPO) 變更將被忽略。例如，您無法直接從 GPO 停用防篡改保護；您必須使用故障排除模式來暫時停用它，並且該變更將被回滾。

若要在本機電腦（或網域 GPO）上使用群組原則設定始終開啟的保護，請執行下列操作：

開啟本機群組原則編輯器，方法是在搜尋框中輸入gpedit並選擇「編輯群組原則」。然後導覽至「電腦設定」>「管理範本」>「Windows 元件」>「Microsoft Defender 防毒軟體」。

在右側面板中，啟用「允許反惡意軟體服務以正常優先權啟動」選項。這可確保 Defender 服務在系統啟動時正常載入。

接下來，前往「即時保護」部分，查看可用的不同策略（取決於最新的 ADMX 版本）。您可以在此定義例如是否暫時停用即時保護，以及是否檢查下載的檔案、腳本、電子郵件附件等。

在掃描部分，至少啟動「啟用啟發式」策略，這將使 Defender 使用基於行為的分析技術來尋找未知惡意軟體，而不僅僅是透過簽章。

如果您需要透過群組原則物件 (GPO) 停用即時保護（例如，用於受控測試），可以在即時保護設定中啟用「停用即時保護」選項。請注意，如果防篡改保護功能已啟用並從雲端管理，則此變更可能會被阻止。

為保持所有這些策略的最新狀態，請確保使用最新的Microsoft ADMX 管理模板，以便您可以存取適用於最新 Windows 版本的所有設定。

透過所有這些調整，結合強化 Defender 引擎、勒索軟體防護、帳戶策略、更新控制和集中管理，您可以將 Windows 的安全狀態保持在遠高於平均水平的水平，而無需總是求助於昂貴且在許多情況下是多餘的第三方產品。