一、Windows Defender高级功能概览

1.1 Defender的演进历程

Windows Defender从Windows XP时代的简单反间谍软件，发展到如今功能全面的Microsoft Defender安全套件：

• Windows XP/Vista：基础反间谍软件
• Windows 7/8：集成到系统，提供基础杀毒
• Windows 10：全面升级，加入云保护、离线扫描
• Windows 11：进一步增强，加入ASR、网络保护等高级功能

1.2 Defender的核心组件

现代Windows Defender包含多个安全组件：

组件	功能	保护对象
防病毒和威胁防护	实时保护、病毒查杀	文件和进程
防火墙和网络保护	入站/出站规则	网络连接
应用和浏览器控制	SmartScreen、应用控制	应用和网页
设备性能和健康	系统健康监控	硬件和系统
家庭选项	家庭安全监控	家庭成员
账户保护	Windows Hello、动态锁	用户账户

二、Microsoft Defender离线扫描

2.1 离线扫描的原理与优势

Microsoft Defender离线扫描（Offline Scan）是在Windows RE环境下进行的深度病毒查杀，相比正常环境下的扫描有以下优势：

核心优势：

• 绕过Rootkit：恶意软件无法在系统启动前加载，无法隐藏
• 深度扫描：可以扫描被锁定的系统文件
• 清除顽固病毒：能够删除正常环境下无法清除的恶意软件
• 全面检测：扫描所有磁盘分区和系统文件

适用场景：

• 怀疑系统感染了Rootkit或Bootkit
• 正常扫描无法清除的恶意软件
• 系统行为异常但常规扫描未发现威胁
• 新装机后的全面安全检查

2.2 执行离线扫描

方法一：通过Windows安全中心

1. 打开"Windows安全中心"
2. 点击"病毒和威胁防护"
3. 点击"扫描选项"
4. 选择"Microsoft Defender离线扫描"
5. 点击"立即扫描"
6. 系统会重启并进入离线扫描环境

方法二：通过PowerShell命令

# 启动离线扫描
Start-MpWDOScan

# 查看离线扫描状态
Get-MpWDOScan

方法三：通过命令行

# 启动离线扫描
MpCmdRun.exe -WDOScan

2.3 离线扫描流程

1. 准备阶段：系统收集必要的扫描文件
2. 重启阶段：电脑重启进入Windows RE环境
3. 扫描阶段：Defender在离线环境下进行全面扫描（约15分钟）
4. 清除阶段：自动清除检测到的威胁
5. 重启阶段：扫描完成后自动重启回Windows

2.4 离线扫描结果查看

扫描完成后，可以在Windows安全中心查看结果：

• 打开"Windows安全中心"
• 点击"病毒和威胁防护"
• 查看"保护历史记录"
• 查看离线扫描的详细报告

三、受控文件夹访问防勒索

3.1 防勒索保护原理

受控文件夹访问（Controlled Folder Access）是Windows Defender的防勒索功能，可以防止未经授权的应用程序修改受保护文件夹中的文件。

工作原理：

• 监控对受保护文件夹的访问
• 只允许经过验证的安全应用修改文件
• 阻止未知或可疑应用的写入操作
• 记录所有被阻止的访问尝试

3.2 配置受控文件夹访问

启用步骤：

1. 打开"Windows安全中心"
2. 点击"病毒和威胁防护"
3. 点击"病毒和威胁防护设置"
4. 找到"受控文件夹访问"
5. 点击"管理受控文件夹访问"
6. 开启"受控文件夹访问"

配置受保护文件夹：

# 添加受保护文件夹
Add-MpPreference -ControlledFolderAccessProtectedFolders "C:\Users\Documents"
Add-MpPreference -ControlledFolderAccessProtectedFolders "D:\重要文件"

# 查看已保护的文件夹
Get-MpPreference | Select-Object -ExpandProperty ControlledFolderAccessProtectedFolders

配置允许的应用：

# 添加允许的应用
Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\Program Files\MyApp\app.exe"

# 查看允许的应用
Get-MpPreference | Select-Object -ExpandProperty ControlledFolderAccessAllowedApplications

3.3 防勒索最佳实践

推荐的受保护文件夹：

• 用户文档文件夹（Documents）
• 桌面文件夹（Desktop）
• 图片文件夹（Pictures）
• 重要的工作文件夹
• 备份文件夹

注意事项：

• 新安装的应用可能需要手动添加到允许列表
• 被阻止的应用会收到通知
• 可以在"保护历史记录"中查看被阻止的操作

四、攻击面减少规则（ASR）

4.1 ASR的作用与原理

攻击面减少规则（Attack Surface Reduction，ASR）是一组安全规则，可以阻止常见的攻击技术，如：

• Office宏恶意代码执行
• 可疑脚本行为
• 凭据窃取
• 进程注入
• 利用漏洞的攻击

4.2 配置ASR规则

通过组策略配置（专业版/企业版）：

1. 运行gpedit.msc打开组策略编辑器
2. 导航到：计算机配置 → 管理模板 → Windows组件 → Microsoft Defender防病毒 → 攻击面减少
3. 配置各项ASR规则

常用ASR规则：

规则	功能	推荐设置
阻止Office创建子进程	防止Office宏执行恶意代码	阻止
阻止Office应用程序创建可执行内容	防止Office生成可执行文件	阻止
阻止Win32 API调用从Office宏	防止宏调用危险API	阻止
阻止可执行内容从电子邮件客户端和Webmail	防止邮件附件执行	阻止
阻止JavaScript或VBScript启动可执行文件	防止脚本执行恶意程序	阻止
阻止凭据窃取	防止LSASS内存读取	阻止
阻止进程创建	防止可疑进程创建	审计/阻止

通过PowerShell配置：

# 启用ASR规则（阻止Office创建子进程）
Set-MpPreference -AttackSurfaceReductionRules_Ids "D4F940AB-401B-4EFC-AADC-AD5F3C50688A" -AttackSurfaceReductionRules_Actions Enabled

# 启用多条ASR规则
$ids = @("D4F940AB-401B-4EFC-AADC-AD5F3C50688A", "3B576869-A4EC-4529-8536-B80A7769E899")
$actions = @("Enabled", "Enabled")
Set-MpPreference -AttackSurfaceReductionRules_Ids $ids -AttackSurfaceReductionRules_Actions $actions

4.3 ASR规则排除配置

某些合法应用可能被ASR规则阻止，需要添加排除：

# 添加ASR排除文件夹
Add-MpPreference -AttackSurfaceReductionOnlyExclusions "C:\Program Files\MyApp"

# 添加ASR排除进程
Add-MpPreference -AttackSurfaceReductionOnlyExclusions "myapp.exe"

五、网络保护与SmartScreen

5.1 网络保护功能

网络保护（Network Protection）可以阻止设备连接到恶意域名和IP地址：

启用网络保护：

# 启用网络保护（阻止模式）
Set-MpPreference -EnableNetworkProtection Enabled

# 启用网络保护（审计模式，仅记录不阻止）
Set-MpPreference -EnableNetworkProtection AuditMode

工作原理：

• 使用Windows智能安全图表识别恶意域名
• 阻止应用连接到已知恶意域名
• 支持HTTP和HTTPS流量
• 与云交付保护协同工作

5.2 SmartScreen增强配置

SmartScreen可以保护用户免受恶意网站和应用的侵害：

配置SmartScreen：

# 启用SmartScreen（Microsoft Edge）
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer" -Name "SmartScreenEnabled" -Value "RequireAdmin"

# 启用SmartScreen（Store应用）
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\AppHost" -Name "EnableWebContentEvaluation" -Value "1"

六、云交付保护与自动样本提交

6.1 云交付保护

云交付保护（Cloud-Delivered Protection）利用微软云端的安全智能提供实时保护：

启用云交付保护：

# 设置云保护级别
Set-MpPreference -MAPSReporting Advanced

# 启用自动样本提交
Set-MpPreference -SubmitSamplesConsent Always

# 启用云超时（毫秒）
Set-MpPreference -CloudBlockLevel High

云保护级别：

• Default：标准保护
• High：高级保护，更积极的云检测
• HighPlus：最高保护，可能影响性能
• ZeroTolerance：零容忍，最严格的保护

6.2 自动样本提交

自动提交可疑样本可以帮助微软改进检测能力：

# 设置自动提交样本
Set-MpPreference -SubmitSamplesConsent Always

# 提交特定样本
# 通过Windows安全中心手动提交

七、PowerShell高级管理命令

7.1 常用PowerShell管理命令

扫描相关：

# 快速扫描
Start-MpScan -ScanType QuickScan

# 完整扫描
Start-MpScan -ScanType FullScan

# 自定义扫描
Start-MpScan -ScanType CustomScan -ScanPath "C:\Users"

# 查看扫描历史
Get-MpThreatDetection

威胁管理：

# 查看检测到的威胁
Get-MpThreat

# 查看威胁详细信息
Get-MpThreat | Select-Object ThreatName, SeverityID, Resources

# 移除威胁
Remove-MpThreat

# 查看保护历史
Get-MpThreatDetection

排除配置：

# 添加文件排除
Add-MpPreference -ExclusionPath "C:\MyApp\data"

# 添加进程排除
Add-MpPreference -ExclusionProcess "myapp.exe"

# 添加扩展名排除
Add-MpPreference -ExclusionExtension ".log"

# 查看排除列表
Get-MpPreference | Select-Object ExclusionPath, ExclusionProcess, ExclusionExtension

7.2 批量管理脚本

批量配置多台电脑：

# 创建配置文件
$preferences = @{
    DisableRealtimeMonitoring = $false
    DisableBehaviorMonitoring = $false
    DisableScriptScanning = $false
    EnableNetworkProtection = "Enabled"
    MAPSReporting = "Advanced"
    SubmitSamplesConsent = "Always"
    ScanParameter = "Quick"
}

# 应用配置
Set-MpPreference @preferences

八、组策略精细化配置

8.1 通过组策略配置Defender

对于Windows专业版/企业版，可以通过组策略进行精细化配置：

关键策略位置：

计算机配置 → 管理模板 → Windows组件 → Microsoft Defender防病毒

常用策略配置：

策略	功能	推荐设置
关闭实时保护	禁用实时保护	未配置（保持启用）
配置实时保护级别	设置保护级别	完全
关闭行为监控	禁用行为监控	未配置（保持启用）
配置排除路径	设置扫描排除	根据需要配置
配置云保护级别	设置云保护	高
启用网络保护	启用网络保护	启用

8.2 组策略导入导出

导出Defender策略：

# 导出组策略
secedit /export /cfg C:\backup\defender-policy.inf /areas SECURITYPOLICY

导入Defender策略：

# 导入组策略
secedit /configure /db C:\backup\defender-policy.sdb /cfg C:\backup\defender-policy.inf /areas SECURITYPOLICY

九、多产品共存与冲突解决

9.1 Defender与第三方杀毒软件

Windows Defender设计为在没有第三方杀毒软件时自动启用。当安装第三方杀毒软件时，Defender会自动禁用实时保护。

共存策略：

• 推荐：只使用一个实时保护产品
• 可选：Defender作为辅助扫描工具
• 不推荐：多个实时保护产品同时运行

9.2 解决冲突问题

Defender与第三方软件冲突：

1. 检查Windows安全中心的状态
2. 确认只有一个实时保护产品启用
3. 如需使用Defender，卸载第三方软件
4. 如需使用第三方软件，Defender会自动禁用

手动管理：

# 查看Defender状态
Get-MpComputerStatus

# 检查实时保护状态
Get-MpComputerStatus | Select-Object RealTimeProtectionEnabled

# 检查其他杀毒软件
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct

十、PE环境下的病毒查杀

10.1 晨枫PE的安全检测功能

当Windows无法正常启动时，可以使用晨枫PE工具箱进行病毒查杀：

PE环境下的安全操作：

1. 使用晨枫U盘启动盘启动电脑
2. 进入PE系统
3. 打开"安全检测"工具
4. 进行病毒扫描
5. 清除检测到的威胁

10.2 PE环境下的手动查杀

手动查杀步骤：

1. 在PE中挂载系统磁盘
2. 检查启动项（注册表、计划任务）
3. 检查可疑服务和驱动
4. 扫描系统目录的可执行文件
5. 检查浏览器扩展和插件

常用检查位置：

C:\Windows\System32\drivers\      # 驱动程序
C:\Windows\System32\              # 系统文件
C:\Users\*\AppData\               # 用户应用数据
C:\ProgramData\                   # 程序数据

十一、安全事件分析与响应

11.1 查看安全事件日志

通过事件查看器：

1. 运行eventvwr.msc打开事件查看器
2. 导航到：应用程序和服务日志 → Microsoft → Windows → Windows Defender
3. 查看操作日志和WHC日志

通过PowerShell：

# 查看Defender事件日志
Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" -MaxEvents 50

# 查看威胁检测事件
Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" | Where-Object {$_.Id -eq 1116}

# 查看威胁操作事件
Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" | Where-Object {$_.Id -eq 1117}

11.2 安全事件响应流程

发现威胁后的响应步骤：

1. 隔离：断开网络连接，防止威胁扩散
2. 分析：查看威胁详细信息和感染范围
3. 清除：使用Defender清除威胁
4. 修复：修复被威胁修改的系统设置
5. 加固：更新Defender配置，防止再次感染

十二、总结

Windows Defender已经从简单的杀毒软件发展成为功能强大的全面安全解决方案。通过掌握离线扫描、受控文件夹访问、攻击面减少规则、网络保护、云交付保护等高级功能，可以构建全方位的电脑安全防护体系。

关键要点回顾：

1. 定期执行离线扫描清除顽固威胁
2. 启用受控文件夹访问防止勒索软件
3. 配置ASR规则阻止常见攻击技术
4. 启用网络保护阻止恶意连接
5. 使用云交付保护获取实时威胁情报
6. 通过PowerShell和组策略精细化管理
7. 配合晨枫PE工具箱进行离线病毒查杀