必须通过组策略或Intune集中配置Defender实时保护与计划扫描：强制启用实时保护且禁用用户关闭权限；设置每周凌晨2点快速扫描；远程可触发扫描并配合云策略上传日志。
在域环境中配置 windows defender（microsoft defender 防病毒）的扫描计划与实时保护，核心是确保策略统一、权限合规、行为可控。重点不是手动在每台设备上点选，而是通过组策略（gpo）或 microsoft intune 等集中管理工具下发配置。本地设置容易被绕过，也不满足企业级可审计、可回溯的要求。
启用并强制开启实时保护
实时保护是 Defender 的基础防线，必须始终启用，且不能被用户关闭。
- 使用组策略：导航至 计算机配置 → 管理模板 → Windows 组件 → Microsoft Defender 防病毒 → 实时保护，启用“关闭实时保护”策略并设为“已禁用”；同时启用“允许用户关闭实时保护”并设为“已禁用”
- 确认“实时保护”本身处于开启状态：该策略默认启用，但若之前被第三方杀软停用，需先卸载第三方软件，Defender 会自动恢复——也可用 PowerShell 强制启用：
Set-MpPreference -DisableRealtimeMonitoring $false - 注意：若设备已加入域且策略已部署，用户在 Windows 安全中心里看到的“实时保护”开关将变为灰色，不可手动更改
配置自动计划扫描（非按需）
计划扫描用于定期深度检查，不依赖用户操作，适合在低活跃时段运行。
- 组策略路径：计算机配置 → 管理模板 → Windows 组件 → Microsoft Defender 防病毒 → 计划扫描
- 启用“启用计划扫描”，设置扫描类型（推荐“快速扫描”）、执行时间（例如每周日凌晨2:00）、以及是否在设备空闲时延迟启动
- 扫描以 LocalSystem 身份运行，无需额外授权；但若扫描目标含网络路径（如映射驱动器或 UNC），需确保机器账户（
DOMAIN\COMPUTER$）对共享有读取权限，否则跳过该位置 - 避免与 Windows Update 或备份任务冲突，建议错开高峰时段
远程触发与监控扫描任务
管理员需能按需发起扫描并验证结果，尤其在响应安全事件时。
- 通过 Microsoft Intune：进入 终端安全 → 防病毒 → 运行扫描，选择目标设备组，指定“快速扫描”或“完全扫描”，添加备注便于追踪
- 通过 Microsoft Defender 门户：在设备详情页点击“…”→“运行防病毒扫描”，支持单设备或小批量触发；扫描状态可在“操作中心 → 历史记录”中筛选“开始防病毒扫描”查看
- 检测结果不会自动上报到门户，需配合“威胁防护”策略启用日志上传（需配置“云交付保护”和“样本提交”策略）才能在门户中查看详细威胁情报
关键注意事项与常见问题
域环境下易忽略但影响实效的细节：
- Defender 不会扫描加密文件（如 EFS 加密文件）或 BitLocker 未解锁的卷，策略中无需特别配置，但需在安全评估中明确覆盖范围
- 若域策略与本地策略冲突，域策略优先；可通过
gpresult /h report.html验证策略是否成功应用到客户端 - Windows Server 系统默认禁用 Defender GUI，但引擎仍工作；如需扫描，应启用“Microsoft Defender 防病毒服务”并确保策略覆盖服务器 OU
- 不建议在域控服务器上运行完全扫描，可能影响 LDAP 响应；仅启用实时保护 + 快速扫描即可
