Windows Defender 篡改防护：怎么开？有什么用？

在 Windows 11 的「Windows 安全中心」里，有一个叫「篡改防护」的开关。你可以把它简单理解为：防止恶意程序或未经授权的软件在「用户不知情」的情况下，偷偷关闭、削弱或绕过 Microsoft Defender 安全保护。对大多数个人用户来说，建议始终保持开启。

什么是篡改防护

「篡改防护」是 Microsoft Defender 的一项设置保护机制。开启之后，它会保护部分关键的 Defender 配置，防止恶意程序、脚本、注册表篡改行为或未经授权的本地管理操作，把这些配置降低或关闭。你可以把它看成是一道额外的安全防线：

在攻击事件中，如果攻击方已经拿到了系统的本地管理员权限，通常会尝试：

• 修改注册表中的 Defender 配置；
• 使用 PowerShell 更改「实时保护」等设置；
• 通过组策略降低安全级别；
• 添加 Defender 排除项；
• 关闭或削弱 Defender 的防护功能。

它防的到底是什么攻击

攻击者在成功取得管理员权限后，可能会尝试让 Defender 表面看起来还在工作，实际却降低了检测能力。比如常见的攻击流程如下：

取得本地管理员权限
        ↓
关闭「实时保护」或云保护
        ↓
把恶意目录、文件或进程添加进排除项
        ↓
投放勒索软件、远程控制工具或横向移动组件

如果攻击者可以轻易把恶意目录添加进排除项，Defender 就有可能表面上还在「正常保护」，但最关键的恶意文件事实上并没有被扫描检测。

开启后会保护哪些设置

启用篡改防护后，Microsoft Defender 会锁定一批关键的安全设置，让它们不能被未经授权的方式关闭或修改。通常包括：

• 病毒和威胁防护保持启用；
• 实时保护保持开启；
• 行为监视保持开启；
• 云提供的保护保持开启；
• IOAV 保护（下载文件和附件的扫描）保持启用；
• 安全智能更新不会被关闭；
• 检测到威胁时自动处理；
• Windows 安全中心正常显示安全通知；
• 压缩包和归档文件扫描保持启用；
• 在满足特定管理条件的组织设备上，Defender 排除项也以可受到篡改防护的保护。

其中最值得我们关注的是以下 3 项：

1. 实时保护：会在文件被创建、打开、下载或执行时进行检测。攻击者常见的操作顺序就是先关闭「实时保护」，再投放恶意程序。打开「篡改防护」之后，普通脚本、修改注册表或本地配置操作，都没办法轻易让「实时保护」长期失效。
2. 云提供的保护：调用 Microsoft 云端的威胁情报，对新出现的、未知的或可疑文件做出更快判定。关闭它不会让 Defender 完全停转，但会明显降低对新型威胁、未知病毒的响应速度。
3. 行为监视：除了依赖本地病毒特征库之外，它还会观察进程、文件和服务的可疑行为。比如，一个程序就算没有被录入已知病毒特征库，如果短时间内批量加密文件、修改系统恢复设置，或者尝试关闭安全软件，行为监视也有可能直接把它识别成高风险活动。

开启 Windows Defender 篡改防护

1按Windows + R快捷键打开「运行」对话框，输入windowsdefender:（有冒号）并按回车，打开「Windows 安全中心」。

2依次进入到「病毒和威胁撤防」>「管理设置」。

3打开「篡改防护」开关。

使用 PowerShell 检查状态

1右键点击「开始」菜单，选择「终端管理员」，以管理员权限打开 Windows 终端。

2切换到 PowerShell 窗口，执行以下命令：

Get-MpComputerStatus | Select-Object IsTamperProtected, RealTimeProtectionEnabled

结果含义如下：

如果IsTamperProtected显示为False，请通过「Windows 安全中心」来检查或调整开关状态，并确认 Windows 和 Microsoft Defender 安全智能更新处于最新状态。

不要尝试通过命令行来修改开关状态——篡改防护本身的设计目标之一，就是阻止未经授权的本地命令来调整 Defender 的防护等级，这类操作本身也会触发它的保护机制。

篡改防护是一项重要的 Defender 安全设置：它不负责直接查杀病毒，但能防止恶意程序关闭或削弱 Defender 的保护能力。对大多数个人用户来说，保持篡改防护、实时保护和云提供的保护处于开启状态即可。如果有不明软件要求关闭这些功能，请先停止操作并确认其来源是否可信。