核心是通过“计算机配置 > 管理模板 > windows 组件 > microsoft defender 防病毒”路径集中下发策略，适用于server 2016+及azure stack hci，需满足操作系统、中央存储、篡改保护关闭等前提，关键策略包括实时保护、扫描设置、排除项和asr规则，并通过gpupdate、rsop.msc、注册表及powershell验证生效。
在 windows server 环境中，使用组策略配置 microsoft defender 防病毒（原 windows defender）的统一杀毒策略，核心是通过“计算机配置 > 管理模板 > windows 组件 > microsoft defender 防病毒”路径集中下发策略。该方式适用于已加入域的 server 2016 及更高版本（含 azure stack hci），不依赖用户界面，适合无桌面体验（server core）场景。
确认前提条件与环境准备
确保以下基础就绪，否则策略可能不生效或被忽略：
- 操作系统为 Windows Server 2016 或更新版本；Server 2012 R2 需先部署 Microsoft Defender for Endpoint 统一客户端
- 域环境中已配置 组策略中央存储（SYSVOL\Policies\PolicyDefinitions），并导入最新 ADMX/ADML 模板（推荐从 Microsoft 官方下载对应 OS 版本的管理模板）
- 若启用篡改保护（Tamper Protection），所有防病毒策略变更将被锁定——需先在故障排除模式下临时关闭，再应用组策略
- 避免与第三方安全软件冲突：组策略设置会写入
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender，若注册表被其他工具覆盖，策略可能失效
配置关键防护策略项
在 GPMC 编辑目标 GPO 后，导航至上述路径，重点启用并调优以下策略：
- 实时保护：启用“关闭实时保护”设为“已禁用”，确保“启用行为监视”“启用云提供的保护”“启用自动提交样本”均为“已启用”
- 扫描设置：配置“扫描新下载的文件和程序”为“已启用”，“计划扫描时间”建议设为低峰时段（如每周日凌晨2点）
- 排除项管理：使用“定义排除项”策略添加自定义路径、进程或文件类型；注意：自定义排除优先级高于系统自动排除（如 WINS、FRS 相关路径）
- 攻击面减少（ASR）：虽属 Defender for Endpoint 功能，但可通过组策略启用基础规则（如阻止 Office 宏、脚本执行），路径为“Windows 组件 > Microsoft Defender 防病毒 > 攻击面减少”
验证策略部署与生效状态
策略下发后不能仅看 GPO 编辑界面，需逐层确认实际效果：
- 在目标服务器上运行
gpupdate /force，随后执行rsop.msc查看“结果集策略”中 Defender 相关策略是否显示“已启用”且无冲突标记 - 检查注册表项
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender下对应键值是否已写入（如DisableRealtimeMonitoring=0） - 用 PowerShell 验证运行时状态：
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealtimeProtectionEnabled, AMServiceEnabled - 若仍提示“防病毒已关闭”（已知误报问题），确认是否收到平台更新 4.18.26080.4 或更高版本——该更新修复了安全中心错误告警
补充说明：工作组或单机服务器场景
非域环境可使用本地组策略编辑器（gpedit.msc）直接配置，路径相同。但需注意：
- 本地策略无法实现跨设备统一管理，适合测试或小规模部署
- Server Core 系统默认不含 Defender UI，但组策略仍完全可用——所有防护功能后台运行，无需图形界面
- 如需启用 Windows 安全中心界面（仅限带桌面体验的 Server 2016），需运行：
Install-WindowsFeature -Name Windows-Defender-GUI
