Win11如何永久关闭Defender而不被自动重启？

Question

在 Windows 11 中，用户常尝试通过组策略、注册表或PowerShell禁用 Microsoft Defender 防病毒（如设置 `DisableAntiSpyware=1` 或停用 `WinDefend` 服务），但系统会在数分钟至数小时内自动重启防护服务并恢复启用状态——尤其在执行系统更新、安装驱动或检测到“无第三方杀软”时触发。根本原因在于 Windows Security Service（WdNisSvc）与内核级反恶意软件框架（AMSI、MpEngine）深度集成，且 Defender 已被设计为不可完全卸载的“系统关键组件”。此外，Windows 11 22H2 及后续版本强制启用 Tamper Protection（防篡改保护），默认开启且需在安全中心手动关闭后才允许配置变更，而该开关本身受 Microsoft 账户和设备健康策略约束。因此，“永久关闭而不被自动重启”本质上违背系统安全架构设计，任何绕过手段均存在兼容性风险、蓝屏隐患或导致 Windows Update/SmartScreen/BitLocker 等功能异常。真正可行的替代方案是合规启用第三方杀软（自动接管防护）或企业环境中通过 Intune/Group Policy 启用“仅监控模式”（Passive Mode）。

Answer 1

```html

一、现象层：用户可见的“禁用失效”行为

在 Windows 11（尤其是 22H2+）中，IT 管理员或高级用户常执行以下操作试图关闭 Defender：

• PowerShell 执行 Set-MpPreference -DisableRealtimeMonitoring $true
• 注册表修改 HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\DisableAntiSpyware = 1
• 服务控制台中停止 WinDefend 或 WdNisSvc 并设为禁用
• 组策略配置「关闭 Windows Defender 防病毒」（路径：计算机配置 → 管理模板 → Windows 组件 → Microsoft Defender 防病毒）

但 5–60 分钟内，WinDefend 自动重启，实时防护恢复启用——即使无用户交互。该现象非 Bug，而是设计使然。

二、机制层：为何“关不掉”？三大技术锚点

组件	作用	抗干预特性
WdNisSvc（Windows Security Service）	协调 MpEngine、AMSI、网络防护、EDR 信号流的核心服务	受 SecurityHealthService 监控，崩溃/停用即触发自愈
AMSI（Antimalware Scan Interface）	为 PowerShell、Office、Edge 等提供运行时脚本/宏扫描接口	内核态驱动 amdsi.sys 与 mpengine.dll 深度绑定，无法独立卸载
Tamper Protection（防篡改保护）	阻止未授权修改 Defender 配置（含注册表、服务、策略）	默认启用；需登录 Microsoft 账户 + 安全中心 UI 显式关闭；Intune MDM 可策略覆盖

三、架构层：不可绕过的安全契约

Windows 11 将 Defender 定义为 System-Critical Security Component（系统关键安全组件），其地位等同于 LSASS 或 Secure Boot。这意味着：

• 任何绕过尝试（如驱动级 Hook、Patch Ntoskrnl、禁用 wdboot 启动项）将触发 BSOD: CRITICAL_PROCESS_DIED 或 DRIVER_VERIFIER_DETECTED_VIOLATION
• Windows Update 强制校验 Defender 健康状态；缺失防护 → 更新失败（错误代码 0x80242016）
• BitLocker 加密密钥派生依赖 TPM + Defender 运行时完整性；禁用 Defender 可能导致 BitLocker 恢复密钥丢失或解密失败

四、合规替代方案：企业级可落地路径

graph LR A[目标：停用 Defender 主动防护] --> B{是否已部署第三方 AV？} B -->|是| C[第三方引擎自动注册 AMSI/WD-Filter
→ Defender 切换为 Passive Mode] B -->|否| D[企业环境：Intune/AD GPO 配置] D --> E[启用 “Turn on passive mode”
策略路径：Defender → MAPS → PassiveMode] D --> F[设置 “Disable real-time monitoring”
仅当第三方 AV 已注册时生效] C --> G[Defender 保留日志、AMSI 接口、漏洞扫描
但不拦截、不云查杀、不占用 CPU]

五、高阶实践建议（面向 5+ 年经验 IT 架构师）

1. 审计先行：使用 Get-MpComputerStatus | Select-Object AntivirusEnabled, AMSEnabled, IsTamperProtected, RealtimeProtectionEnabled 建立基线
2. 策略分层：域环境中，GPO 优先级须低于 Intune（因 Tamper Protection 策略由 Intune 设备健康策略强制下发）
3. 日志溯源：关键事件 ID 包括 5007（Tamper Protection 触发）、1116（WinDefend 自启）、5001（AMSI 拒绝调用）
4. 兼容性验证清单：启用 Passive Mode 后，必须验证 SmartScreen（Edge/App Installer）、Windows Sandbox、Credential Guard 是否仍正常工作
5. 应急回滚键：若误操作导致安全中心灰显，执行 ms-settings:windowsdefender + 登录 MS 账户重同步策略

```