组策略环境下配置系统安全漏洞自动防护的核心是启用并统一部署windows内置exploit protection功能，需满足windows 10 1809+/11、禁用.net 2.0、关闭篡改保护三项前提，通过本地配置导出标准化xml后，在“计算机配置→管理模板→defender防病毒→exploit protection”路径集中部署，并分阶段启用审核模式验证效果。
组策略环境下配置系统安全漏洞自动防护，核心是启用并统一部署 windows 内置的 exploit protection（漏洞保护）功能。它不依赖第三方软件，而是通过操作系统级缓解技术，主动防御内存损坏、代码重用等常见漏洞利用行为。关键在于策略必须在计算机配置层级下发、xml 配置需预验证、且不能与旧版 emet 或 .net 2.0 环境冲突。
确认前提与兼容性限制
启动前需核查三项硬性条件：
- 设备运行 Windows 10 1809 或 Windows 11（含长期服务版），且已安装最新安全更新
- 未启用 .NET Framework 2.0；若存在，EAF（导出地址筛选）和 IAF（导入地址筛选）将自动禁用，不可强制开启
- 组织未全局启用“篡改保护”（Tamper Protection）——若已启用，组策略对 Defender 相关设置的修改会被忽略，需先通过故障排除模式临时关闭
本地配置并导出标准化 XML
不在域环境或仅做策略原型时，优先在一台典型终端完成配置再导出：
- 打开“Windows 安全”→“应用和浏览器控制”→“Exploit Protection 设置”
- 点击“系统设置”，启用常用缓解项：CFG（控制流防护）、ACG（任意代码防护）、SEHOP（结构化异常处理覆盖保护）、DEP（数据执行保护）
- 对关键业务程序（如 Chrome、Office、定制工业软件）单独添加“程序设置”，按需启用堆喷射防护或模拟执行拦截
- 导出前务必勾选“默认启用”，再点击“导出设置”，保存为 ExploitPolicy.xml（路径建议放在域控制器共享文件夹中）
组策略集中部署与分阶段启用
策略部署必须使用“计算机配置 → 管理模板 → Windows 组件 → Microsoft Defender 防病毒 → Exploit Protection”路径：
- 启用“启用 Exploit Protection 并使用指定的 XML 配置文件”策略，填入共享路径，例如：\DC01PoliciesExploitPolicy.xml
- 同步启用“将 Exploit Protection 配置应用于所有用户”以确保登录会话生效
- 首次推送限定 10–50 台测试机，启用“审核模式”（Audit Mode）观察事件日志（ID 1121/1122）是否触发误报，无异常后再逐步扩至 1%→5%→全量
补充加固与生效验证要点
仅部署 XML 不足以形成闭环，还需配套约束与确认机制：
- 禁用冲突策略：检查“用户配置”下是否误启了屏保或电源类策略，避免干扰锁屏与唤醒认证流程
- 刷新并验证：客户端执行 gpupdate /force 后，运行 Get-ProcessMitigation（PowerShell）查看实际加载的缓解项是否与 XML 一致
- 监控反馈：在事件查看器中筛选“应用程序和服务日志 → Microsoft → Windows → ExploitGuard → Mitigations”，重点关注“已应用”和“被绕过”两类事件
