需配置两项组策略：一是在“计算机配置→管理模板→windows组件→microsoft defender防病毒→扫描”中启用“指定是否在计算机启动时执行扫描”；二是在“报告”子路径下启用“启用反恶意软件事件日志记录”并设为详细级别。
要通过组策略开启系统的引导扫描（boot-time scan）和实时恶意软件防御记录（如检测日志、事件审计），需分别配置两个关键策略：一个是启用启动时扫描，另一个是确保实时保护开启并记录详细事件。这两项功能默认不全部启用，尤其引导扫描需手动触发或策略预设，而防御日志依赖windows事件日志与defender的诊断设置协同工作。
启用引导扫描（启动时扫描）
Microsoft Defender 支持在系统重启进入内核前执行离线扫描，用于查杀无法在运行状态下清除的顽固恶意软件（如rootkit）。该功能不能直接“常驻开启”，但可通过组策略预设为下次重启自动执行，并支持定期计划。
- 打开组策略编辑器（gpedit.msc），定位至：
计算机配置 → 管理模板 → Windows 组件 → Microsoft Defender 防病毒 → 扫描 - 双击右侧策略：“指定是否在计算机启动时执行扫描”
- 选择已启用，并在下方选项中勾选：
✔ 启用启动时扫描
✔ （可选）设置扫描范围：建议选“完整扫描”或“快速扫描” - 点击确定后，该策略会在下次系统重启时自动触发一次引导扫描；若需周期性执行，还需配合“计划扫描”策略（见下文）
开启实时防护并确保防御行为被完整记录
实时保护本身默认开启，但其检测/阻止动作是否写入Windows事件日志，取决于日志级别与相关策略是否启用。仅打开实时保护 ≠ 自动留存详细防御记录。
- 确认实时保护未被禁用：
路径：计算机配置 → 管理模板 → Windows 组件 → Microsoft Defender 防病毒
→ 双击“关闭实时保护”，设为已禁用或未配置 - 启用威胁检测日志记录：
路径：计算机配置 → 管理模板 → Windows 组件 → Microsoft Defender 防病毒 → 报告
→ 双击“启用反恶意软件事件日志记录”，设为已启用
→ 日志级别建议选详细（含检测、阻止、清除、误报等全事件） - （可选）增强云上报与样本提交：
在“云提供的保护”子路径下，启用“配置云提供的保护”并设为已启用，同时开启“自动提交样本”，有助于丰富后台分析与本地日志上下文
验证与查看记录结果
策略生效后，需刷新并检查实际运行状态：
- 运行命令：gpupdate /force 强制更新组策略
- 重启电脑以触发引导扫描（首次配置后必须重启才生效）
- 查看日志：
打开事件查看器 → Windows 日志 → 安全 或
应用程序和服务日志 → Microsoft → Windows → WinDefend → Operational
筛选事件ID如 1116（检测）、1117（阻止）、5007（扫描完成）等 - 也可用PowerShell快速确认：
Get-MpComputerStatus | Select-Object RealtimeProtectionEnabled, AntivirusEnabled, BehaviorMonitorEnabled
