Microsoft Defender怎么配置受保护的文件夹防范勒索软件加密-windows运维-PHP中文网

受控文件夹访问（cfa）是microsoft defender防范勒索软件的核心功能，通过白名单机制仅允许可信应用修改指定文件夹。需满足windows 10 1709+、defender启用并实时运行等前提，支持安全中心手动配置、组策略批量部署，并须定期验证状态与排除项。

microsoft defender 的“受控文件夹访问”（controlled folder access，cfa）是防范勒索软件加密文件的核心功能。它不依赖签名或行为启发式扫描，而是通过白名单机制——只允许已知可信的应用修改指定文件夹，其他进程一律拦截。

CFA 无法在缺失基础防护的环境下启用：

系统需为 Windows 10 版本 1709（2017 年 10 月更新）或更高版本，包括 Windows 11 和 Windows Server 2016/2019/2022
Microsoft Defender 防病毒必须处于启用且主动运行状态（不能是被动模式、关闭状态或被第三方杀软接管）
设备不能处于“有限周期性扫描”（LPS）或“关闭”等非实时防护模式

这是最常用、适合个人用户和小型办公环境的操作路径：

outlook-microsoft

微软 Outlook 邮箱和日历管理工具（支持世纪互联版 Office 365）。用于查看、发送、搜索邮件，管理日历日程，创建会议，查询忙闲状态。注意：此功能仅支持世纪互联（21Vianet）版 Microsoft 365，使用 login.chinacloudapi.cn。

下载

打开Windows 安全中心 → 点击“病毒和威胁防护” → 向下滚动到“勒索软件防护”区域 → 点击“管理勒索软件防护”
将“受控文件夹访问”开关设为“开”（首次启用时会自动保护默认文件夹，如文档、图片、桌面、下载等）
点击“受保护的文件夹”下方的“添加受保护的文件夹”，浏览并选择你自定义的重要目录（例如：D:Projects、E:ClientData）
如某款你信任的软件（如 Notion、Obsidian、AutoCAD 插件）被误拦，可在“允许应用通过受控文件夹访问”中手动添加其主程序路径（如 C:Program FilesNotionNotion.exe）

若需统一管控多台电脑，推荐通过组策略编辑器配置：

以管理员身份运行 gpedit.msc（工作组）或使用域控制器上的 GPMC（域环境）
导航至：计算机配置 → 管理模板 → Windows 组件 → Microsoft Defender 防病毒 → Microsoft Defender Exploit Guard → 受控文件夹访问
启用“启用受控文件夹访问”策略，并设为“阻止模式”（Audit Mode 仅记录不拦截，无实际防护力）
双击“配置受保护的文件夹”，输入你要保护的完整路径（每行一个，支持 UNC 路径），例如：
```
C:Work<br>D:Backups<br>\serversharedinance
```
如需放行特定程序，启用“配置允许的应用列表”，填入其可执行文件的绝对路径

启用后并非一劳永逸，需定期确认有效性：

检查状态：在 PowerShell（管理员）中运行 Get-MpPreference | Select-Object EnableControlledFolderAccess，返回值应为 1
CFA 不保护排除项中的文件夹——务必检查 Defender 设置中是否有意外添加的排除项（路径：病毒和威胁防护 → 管理设置 → 添加或删除排除项）
勒索软件测试文件（如微软官方提供的 ransomware_testfile_unsigned.exe）仅用于验证，切勿在生产环境或含真实数据的文件夹中运行
通知弹窗是重要线索：一旦看到“受控文件夹访问已阻止 XXX 修改受保护文件夹”，说明 CFA 正在工作，也提示你可能需要审核该程序是否真可信