Windows 11彻底关闭Defender后重启自动启用？

Question

在尝试通过组策略或注册表彻底禁用Windows 11自带的Microsoft Defender后，部分用户发现系统重启后Defender自动重新启用。该问题常见于家庭版系统（无本地组策略编辑器）或更新后策略被重置的情况。即使成功关闭实时保护并禁用相关服务，系统更新或安全机制可能触发恢复默认安全设置，导致配置失效。如何持久化关闭Defender而不被系统自动还原，成为困扰高级用户的典型难题。

Answer 1

一、问题背景与现象分析

在Windows 11系统中，Microsoft Defender作为默认的实时安全防护组件，深度集成于操作系统内核层。尽管用户可通过注册表或组策略尝试禁用Defender，但在家庭版系统（缺少本地组策略编辑器）或系统更新后，其配置常被自动还原。典型表现为：

• 手动关闭“实时保护”后重启失效
• 服务（如WinDefend）被禁用但下次启动自动恢复
• 注册表项被修改后被系统守护进程重置
• Windows Update后策略丢失
• 安全中心界面仍显示“你的设备受保护”
• 第三方杀毒软件未完全接管导致Defender回退
• TPM与Secure Boot机制触发完整性校验恢复
• Windows Security App后台进程持续拉起服务
• 组策略对象（GPO）优先级低于系统默认策略
• 注册表权限被SYSTEM或TrustedInstaller锁定

二、技术层级解析：从表层到内核

1. 应用层控制：通过Windows安全中心UI关闭实时保护，但仅临时生效。
2. 服务层干预：停止并禁用WinDefend服务（mpssvc），但触发器仍可激活。
3. 注册表修改：修改HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender下各键值。
4. 组策略注入：使用gpedit.msc（专业版/企业版）配置“关闭反恶意软件”策略。
5. 文件系统劫持：重命名MsMpEng.exe或设置只读属性阻止加载。
6. WMI与Task Scheduler干预：禁用Defender相关计划任务（如MP Scheduled Scan）。
7. 驱动层屏蔽：通过fltMC卸载或禁用wdFilter微过滤驱动。
8. 安全启动与UEFI策略：部分OEM厂商绑定Defender至固件信任链。
• Windows Sandbox与HVCI依赖：开启内存完整性时强制启用Defender内核监控。
• Cloud Protection Service联动：Azure AD或Intune策略远程覆盖本地设置。

三、持久化禁用方案对比表

方法	适用系统	持久性	风险等级	更新后保留	技术复杂度
GUI关闭实时保护	所有版本	低	低	否	★☆☆☆☆
注册表DisableAntiSpyware=1	专业版+	中	中	部分	★★★☆☆
组策略禁用Defender	专业版/企业版	高	中	是	★★★☆☆
服务禁用+触发器清除	所有版本	中	高	部分	★★★★☆
计划任务禁用	所有版本	中	中	是	★★★☆☆
文件权限锁定MsMpEng.exe	所有版本	高	高	是	★★★★☆
驱动卸载wdFilter	专业版+	极高	极高	是	★★★★★
使用第三方工具（如Defender Control）	家庭版友好	高	中	是	★★☆☆☆
组策略模拟（家庭版注入ADMX）	家庭版	高	高	是	★★★★☆
离线映像修改（DISM+Offline Registry）	部署场景	极高	极高	是	★★★★★

四、注册表关键路径与代码实现

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender]
"DisableAntiSpyware"=dword:00000001
"DisableRoutinelyTakingAction"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection]
"DisableRealtimeMonitoring"=dword:00000001
"DisableBehaviorMonitoring"=dword:00000001
"DisableScanOnRealtimeEnable"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet]
"SpyNetReporting"=dword:00000000
"SubmitSamplesConsent"=dword:00000002

保存为.reg文件并以管理员权限运行。注意：若存在AllowInclusion或NextGenOptIn等云策略键，需一并设置为0。

五、自动化脚本与防御性机制绕过

以下PowerShell脚本用于批量禁用服务、计划任务及文件锁定：

# 停止并禁用服务
Stop-Service -Name "WinDefend" -Force
Set-Service -Name "WinDefend" -StartupType Disabled

# 禁用计划任务
Get-ScheduledTask -TaskPath "\Microsoft\Windows\Windows Defender\" | Disable-ScheduledTask

# 锁定核心执行文件
$path = "$env:ProgramFiles\Windows Defender\MsMpEng.exe"
icacls $path /deny Everyone:(F)

六、系统更新与策略恢复的对抗模型（Mermaid流程图）

graph TD
    A[用户修改注册表/组策略] --> B{系统是否重启?}
    B -- 是 --> C[Defender服务启动检查]
    C --> D{是否存在有效第三方AV?}
    D -- 否 --> E[触发恢复机制]
    E --> F[调用SCECLI刷新安全策略]
    F --> G[重置Defender配置]
    G --> H[服务重新启用]
    D -- 是 --> I[保持禁用状态]
    H --> J[用户感知配置丢失]
    J --> K[重新尝试禁用]
    K --> A
    style A fill:#ffe4b5,stroke:#333
    style H fill:#ff6347,stroke:#333,color:#fff

七、高级持久化策略建议

针对企业环境或高级用户，推荐采用分层加固策略：

• 部署WSUS或Configuration Manager统一管理更新策略，避免补丁强制恢复Defender。
• 使用Intune或GPO推送“允许第三方防病毒软件”的合规策略。
• 在BIOS/UEFI中禁用Intel CET或AMD Shadow Stack（减少兼容性冲突）。
• 通过AppLocker或Device Guard限制MsMpEng.exe执行。
• 启用Attack Surface Reduction Rules定向屏蔽Defender自身行为。
• 利用Windows Performance Recorder监控schtasks.exe与svchost.exe交互行为。
• 定期审计HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run启动项。
• 部署WDM驱动签名策略阻止未授权安全模块加载。
• 在离线状态下使用Dism++修改Install.wim镜像预置策略。
• 结合ELK或SIEM系统记录注册表变更事件（Event ID 4657）。