Windows系统为何无法通过常规方式关闭Microsoft Defender？

Question

Windows系统无法通过常规方式（如设置界面或任务管理器）彻底关闭Microsoft Defender，根本原因在于其深度集成于Windows安全架构中：Defender不仅是独立杀毒软件，更是Windows Security Center、Core Isolation、Tamper Protection及SmartScreen等底层防护机制的核心组件。自Windows 10 1809及Win11起，微软默认启用“防篡改保护”（Tamper Protection），自动阻止用户禁用实时保护、云交付保护或修改关键策略；即使在“Windows安全中心→病毒和威胁防护”中点击“关闭实时保护”，系统也会在数分钟内自动重启该功能。此外，组策略或注册表手动禁用（如`DisableRealtimeMonitoring=1`）在家庭版不可用，且企业版下若启用了MDM（如Intune）或Windows Server Update Services策略，本地配置将被强制覆盖。这种设计并非缺陷，而是遵循“纵深防御”原则——确保即使用户误操作或遭遇勒索软件，基础防护仍持续运行。真正绕过需管理员权限+禁用Tamper Protection+修改策略+重启，但会触发系统安全警告并降低整体可信度。

Answer 1

```html

一、现象层：常规操作为何“失效”？

在Windows 10 1809+及Windows 11中，用户通过「设置→隐私与安全→Windows 安全中心→病毒和威胁防护→管理设置」点击“关闭实时保护”后，界面短暂显示已禁用，但5–10分钟内自动恢复启用状态。任务管理器中结束MsMpEng.exe进程亦仅维持数秒即被WdNisSvc或SecurityHealthService拉起。此非UI Bug，而是系统级主动干预。

二、机制层：Tamper Protection——防篡改的“守门人”

• 自2018年秋季更新起，Tamper Protection默认启用（注册表路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Features\TamperProtection，值为1）
• 它监控并拦截以下高危操作：
  • 修改DisableRealtimeMonitoring注册表项（HKLM\SOFTWARE\Policies\Microsoft\Windows Defender）
  • 停止WinDefend服务（sc stop WinDefend）
  • 删除或重命名%ProgramData%\Microsoft\Windows Defender\Platform\*核心模块

三、架构层：Defender ≠ 杀软，而是安全基座

组件	依赖Defender的子系统	禁用后果
Core Isolation	内存完整性（HVCI）、基于虚拟化的安全（VBS）	VBS策略强制要求WinDefend服务运行，否则降级为警告状态
SmartScreen	应用/脚本信誉评估、Edge下载拦截	禁用Defender后SmartScreen日志上报中断，触发Event ID 1116告警
Security Health Service	Windows Security Center统一状态聚合	服务崩溃导致整个安全中心UI灰显，且无法通过Start-Service SecurityHealthService恢复

四、策略层：策略覆盖链与权限博弈

企业环境中存在三级策略优先级（由高到低）：

1. MDM策略（如Intune）：通过./Device/Vendor/MSFT/Policy/Config/Defender/DisableRealtimeMonitoring强制下发，本地组策略/GPO立即失效
2. GPO/本地组策略：仅对专业版/企业版生效；家庭版无gpedit.msc，注册表键HKLM\SOFTWARE\Policies\...写入被系统忽略
3. 用户级注册表修改：即使以Administrator运行，若Tamper Protection开启，DisableRealtimeMonitoring=1将被秒级还原

五、绕过层：技术可行但安全代价明确

完整禁用需满足四条件并重启：

1. 以管理员身份运行PowerShell，执行：
   Set-MpPreference -DisableRealtimeMonitoring $true
2. 关闭Tamper Protection：
   Set-MpPreference -DisableTamperProtection $true（需先解除HKLM\SOFTWARE\Microsoft\Windows Defender\Features\TamperProtection的ACL锁定）
3. 停用服务：
   Stop-Service WinDefend -Force; Set-Service WinDefend -StartupType Disabled
4. 清除启动项：
   Remove-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\WinDefend" -Name "Start" -ErrorAction SilentlyContinue

六、纵深防御视角下的设计哲学

graph LR
A[用户误点关闭] --> B{Tamper Protection拦截}
B -->|拒绝| C[注册表/服务修改]
B -->|允许| D[临时禁用窗口]
D --> E[5分钟内HealthService轮询检测]
E --> F[发现异常→调用MpCmdRun.exe重载引擎]
F --> G[恢复实时保护+弹出红色安全警告]
G --> H[降低设备健康评分至“不合规”]

七、替代方案：管控优于禁用

面向IT专业人员的生产环境建议：

• 使用Set-MpPreference配置排除项（路径、进程、扩展名），而非全局关闭
• 通过Intune部署Attack Surface Reduction Rules替代传统AV扫描
• 启用Cloud-Delivered Protection + Automatic Sample Submission实现轻量级响应
• 对开发机使用Windows Sandbox隔离高风险行为，保留Defender宿主机防护

八、审计与可观测性要点

关键日志位置与事件ID：

• 事件查看器 → Windows日志 → 安全：ID 5007（Tamper Protection激活）、ID 5013（策略被覆盖）
• 应用程序和服务日志 → Microsoft → Windows → Windows Defender：ID 1006（引擎初始化失败）、ID 1118（云保护禁用告警）
• Powershell审计日志：Get-WinEvent -FilterHashtable @{LogName='PowerShell'; ID=4103} 可追溯Set-MpPreference调用者

九、版本演进对比（2018–2024）

Windows版本	Tamper Protection默认状态	家庭版GPO支持	Defender作为Core Isolation依赖
Win10 1803	可选安装，需手动启用	❌ 不支持	❌ 仅可选启用
Win10 1809+	✅ 默认启用（不可卸载）	❌ 仍不支持	✅ 强制依赖
Win11 22H2	✅ 启用+硬件TPM绑定验证	❌ 同前	✅ VBS启动时校验Defender签名

十、合规警示与生产红线

根据NIST SP 800-53 Rev. 5、ISO/IEC 27001:2022及国内《网络安全等级保护基本要求》（等保2.0）第8.1.3条：

• 禁用Defender且未部署等效替代方案，直接导致“恶意代码防范”控制项失分
• Intune MDM策略中DisableRealtimeMonitoring=true将触发Microsoft Compliance Manager红标（Non-compliant）
• 勒索软件攻击后若Defender被提前禁用，保险理赔可能因“未维持基础防护”被拒赔
• 金融/医疗行业客户审计中，此项常列为高风险发现项（High Severity Finding）

```