关闭Windows Defender实时防护后仍被拦截，原因是什么？

Question

关闭Windows Defender实时防护后仍被拦截，常见原因在于：**Windows Security 采用多层防御架构，仅关闭“实时防护”（Real-time Protection）并不禁用其他主动防护机制**。例如： - **行为监控（ASR, Attack Surface Reduction）规则**仍可阻止恶意脚本、Office宏或勒索软件行为； - **云-delivered protection（云查杀）与自动样本提交**独立运行，可能基于哈希或启发式分析实时拦截； - **核心隔离（Core Isolation）中的内存完整性（HVCI）**会阻止未签名驱动加载； - **Microsoft Defender Antivirus 服务（Sense）未完全停止**，或通过组策略/Intune强制启用保护； - 第三方安全软件（如火绒、360）可能接管并模拟Defender行为，造成“已关实保却仍拦截”的错觉。 ✅ 验证方法：运行 `Get-MpComputerStatus` 查看各项防护状态；检查事件查看器中 `Applications and Services Logs > Microsoft > Windows > Windows Defender` 日志定位具体拦截模块。 ⚠️ 注意：随意关闭防护存在安全风险，建议通过排除项（Add-MpPreference -Exclusion*）精准放行，而非全局禁用。

Answer 1

```html

一、现象层：为何“已关实时防护”却仍被拦截？

用户执行 Set-MpPreference -DisableRealtimeMonitoring $true 后，运行自研脚本/测试工具/内网调试程序仍被强制终止或静默阻止——这不是UI误导，而是Windows Security的防御策略早已从“单点扫描”演进为纵深协同防御体系。该现象在DevOps流水线构建、渗透测试环境搭建、驱动开发调试等场景中高频复现。

二、架构层：Windows Security多层防御矩阵解析

防御层级	启用状态依赖	独立性说明	典型拦截行为
ASR（攻击面缩减）	不依赖实时防护开关	基于注册表/进程行为策略引擎，由MsMpEng.exe子模块独立执行	阻断PowerShell下载器、Office宏执行、WMI持久化命令
云交付保护（Cloud-Delivered Protection）	默认始终启用（需联网）	通过Sense服务后台通信，哈希比对延迟＜300ms	拦截未签名EXE哈希命中云端恶意库、新编译二进制启发式告警
HVCI（基于虚拟化的安全）	绑定Core Isolation开关	硬件级内存页保护，绕过传统AV服务控制流	拒绝加载无EKU证书的.sys驱动、阻止内核模式代码注入

三、验证层：精准定位拦截源的技术路径

执行以下诊断链路（需以管理员权限运行PowerShell）：

1. Get-MpComputerStatus | Select-Object RealtimeProtectionEnabled, AMServiceEnabled, AntivirusEnabled, BehaviorMonitorEnabled, CloudBlockLevel, IsTamperProtected
2. 检查事件日志：Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Windows Defender/Operational'; Level=2; StartTime=(Get-Date).AddMinutes(-30)} | Where-Object {$_.Message -match 'blocked|prevented'}
3. 关键字段提取：$_.Properties[0].Value（检测引擎）、$_.Properties[3].Value（触发规则ID，如ASR_12345678）

四、解决层：企业级安全合规的放行方案

graph LR A[确认拦截模块] --> B{是否ASR规则？} B -->|是| C[Add-MpPreference -AttackSurfaceReductionRules_Ids 'D4F940AB-401B-4EFC-AADC-AD5F3C50688A' -AttackSurfaceReductionRules_Actions Disabled] B -->|否| D{是否云查杀？} D -->|是| E[Set-MpPreference -CloudBlockLevel High → 改为Off需组策略覆盖] D -->|否| F[检查HVCI：msconfig → 内存完整性关闭 或 使用Set-ProcessMitigation -Policy Disable]

五、风险层：禁用防护与最小权限放行的工程权衡

全局停用Sense服务（Stop-Service WinDefend; Set-Service WinDefend -StartupType Disabled）将导致：
✓ 触发Windows安全中心「严重威胁」告警
✓ Intune MDM策略自动回滚（若配置了Endpoint Protection策略）
✓ Windows Update KB5034441+版本强制重启用（需修改HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender下DisableAntiSpyware值）
⚠️ 推荐生产环境采用白名单范式：Add-MpPreference -ExclusionPath 'C:\Dev\Builds\'; -ExclusionExtension '.ps1'; -ExclusionProcess 'vscode.exe'

```