Windows Defender Remover为何无法彻底禁用实时防护？

Question

Windows Defender Remover（如第三方“禁用工具”或批处理脚本）常无法彻底禁用实时防护，根本原因在于Windows 10/11自v1803起强制实施的**安全核心机制**： 1. **Tamper Protection（防篡改保护）**默认开启，会自动恢复被修改的防护状态（如重置`RealtimeMonitoringEnabled`注册表项或重启`MsMpEng.exe`）； 2. Windows Defender（Microsoft Defender Antivirus）深度集成于系统内核与WinRT服务，其驱动（`wd`、`WdFilter`）受Secure Boot和Hypervisor-protected Code Integrity（HVCI）保护，普通用户态工具无权卸载或停用； 3. 组策略/注册表禁用仅触发“软禁用”，系统空闲或重启后易被Windows Update、Defender自动修复任务或组策略刷新策略重新激活。 实测表明：即使成功停止服务、禁用计划任务、删除注册表键值，约5–30分钟内实时防护常自动恢复——这并非工具失效，而是微软设计的安全韧性机制。真正可靠的禁用需满足：关闭Tamper Protection（需管理员+账户权限）、禁用相关服务+驱动+计划任务+组策略，并确保无域策略或Intune等MDM策略覆盖。

Answer 1

```html

一、现象层：为何“一键禁用脚本”总在5–30分钟后失效？

大量IT运维人员反馈：执行PowerShell -ExecutionPolicy Bypass -File DisableDefender.ps1后，Get-MpComputerStatus | Select-Object RealtimeProtectionEnabled短暂返回False，但数分钟内自动翻转为True。这不是脚本Bug，而是Windows Defender Antivirus（WDAV）主动触发的自我修复闭环——其底层由三重韧性机制驱动。

二、机制层：安全核心架构的三层防御纵深

• Tamper Protection（防篡改保护）：注册表键HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Features\TamperProtection值为5（启用），一旦检测到RealtimeMonitoringEnabled=0或MsMpEng.exe异常退出，将在WdNisSvc服务监控下5分钟内强制回滚；
• 内核级强绑定：WDFAV驱动wd.sys与WdFilter.sys被加载至Secure Boot信任链，并受HVCI（Hypervisor-protected Code Integrity）校验——任何用户态工具尝试sc stop WinDefend仅暂停服务，驱动仍驻留内核且被ci.dll持续验证；
• 策略韧性同步：Windows Update推送KB5007651等累积更新时，会静默执行mpcmdrun.exe -RestoreDefaults；同时，Group Policy Client服务每90分钟刷新一次本地GPO，覆盖手动修改的HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\RealtimeNotifications等键值。

三、诊断层：精准定位禁用失败的根因路径

graph TD
  A[执行禁用脚本] --> B{检查Tamper Protection状态}
  B -->|启用| C[自动恢复RealtimeMonitoringEnabled]
  B -->|禁用| D[检查HVCI是否启用]
  D -->|HVCI=1| E[wd.sys无法卸载/禁用]
  D -->|HVCI=0| F[检查域策略覆盖]
  F -->|存在Intune/AD GPO| G[策略强制重写注册表]
  F -->|无域控| H[可进入深度禁用阶段]

四、操作层：企业级可靠禁用的七步原子化清单

步骤	操作命令/路径	权限要求	验证方式
1. 关闭Tamper Protection	Set-MpPreference -DisableRealtimeMonitoring $true → 进入Windows Security App → Virus & threat protection → Manage settings → Tamper Protection → Off	本地管理员+Microsoft账户登录	Get-MpPreference | Select-Object DisableRealtimeMonitoring = True
2. 停用核心服务	Stop-Service WinDefend, WdNisSvc, Sense; Set-Service WinDefend -StartupType Disabled	SYSTEM权限（需psexec -i -s cmd）	sc query WinDefend 状态为STOPPED
3. 卸载过滤驱动	sc delete wd; sc delete WdFilter（需先禁用hvci：bcdedit /set {current} hvci off并重启）	Boot Mode: Safe Mode with Command Prompt	driverquery | findstr "wd WdFilter" 无输出

五、治理层：长效防护规避策略冲突的黄金实践

在虚拟化开发/渗透测试等特殊场景中，建议采用策略白名单替代全局禁用：

• 使用Add-MpPreference -ExclusionPath "C:\VMs\"排除高IO目录；
• 通过Set-MpPreference -AttackSurfaceReductionRules_Ids ... -AttackSurfaceReductionRules_Actions Enabled启用ASR规则，而非关闭实时防护；
• 若必须禁用，须确认gpresult /h report.html中无Administrative Templates → Windows Components → Microsoft Defender Antivirus相关策略生效。

六、演进层：Windows 11 24H2对禁用逻辑的强化升级

自Build 26100起，微软引入Defender Core Isolation v2：WDFAV驱动运行于独立Hypervisor分区，即使禁用HVCI，wd.sys仍受Memory Integrity Lite保护；同时，Tamper Protection新增Cloud-Delivered Protection联动，当设备联网时，云端策略可在30秒内下发强制激活指令——这意味着离线环境成为唯一可控窗口。

```