Windows Defender：禁用实时；保持计划和按需扫描

Question

我刚刚升级到 Win 10（RTM 版本）。我已经禁用了内置 AV（防御者）的实时保护，因为我没有运行它，从来没有，也从来没有感染过病毒（我拥有一台电脑已经 30 年了）。

我能够通过打开组策略的禁用防御策略来禁用实时扫描。但这会完全禁用应用程序。是否可以将此配置文件（我与 Win 7 的 Security Essentials 一起使用）与 Win10 Defender 一起使用：

• 实时扫描关闭
• 计划扫描 (2AM) 活动
• 按需（外壳集成右键单击）扫描活动

?

还是我必须安装第 3 方扫描仪？我已经运行了MBAM Premium、MBAE和EMET（这些都是实时保护的，因为它们对性能的影响最小），但我真的很想避免使用 3rd 方 AV。

TIA

Answer 1

位于计算机配置\管理模板\Windows 组件\Windows Defender下的“关闭实时保护”组策略设置应该可以满足您的需求。

但是，在我的系统中，当启用此策略时，反恶意软件服务可执行文件每 10 秒左右不断生成（并立即关闭）。非常烦人，但与一遍又一遍地扫描驱动器上的每个文件导致的更普遍的系统减速相比，仍然没有什么。

请留意我的这个相关问题：如何在不关闭 Windows Defender 中的其他保护的情况下禁用基于签名的检测。可能会出现一些感兴趣的东西。

[更新] 使用上述方法会导致日志文件不断增长，位于C:\ProgramData\Microsoft\Windows Defender\Support，称为MPLog-<datetime>.log.
有一种方法可以防止这种情况发生。只需将以下策略设置为禁用，而不是我第一次提到的策略，即保持不变：

• 监视计算机上的文件和程序活动
• 扫描所有下载的文件和附件
• 开启行为监控
• 打开网络保护以防止已知漏洞的利用 *
• 打开原始卷写入通知 *
• 开启信息保护控制 *

但是，我建议不要禁用最后 3 个项目（用 * 标记）。它们对性能的影响也是最小的。

这些策略设置可以在与第一个相同的位置找到：Computer Configuration\Administrative Templates\Windows Components\Windows Defender.
注意：某些版本的 Windows 使用术语“端点保护”而不是“Windows Defender”。

如果您的 Windows 版本未附带 Group Policy Editor，则设置一些注册表项即可解决问题。它们都位于HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Defender\Real-Time Protection（如果不存在则创建此密钥）。创建以下 DWORD（32 位）条目并将它们设置为 1：

• 禁用访问保护
• 禁用IOAV保护
• 禁用行为监控
• 禁用入侵预防系统 *
• DisableRawWriteNotification *
• 禁用信息保护控制 *

我再次建议不要禁用最后 3 个项目。将它们保留为 0，或者更好，不要为它们创建条目。

进行这些更改后需要重新启动系统。

为了完整起见，“关闭实时保护”策略的注册表条目称为DisableRealtimeMonitoring。

[更新 2]附录：Malwarebytes Anti-Exploit (MBAE) 通常与 Microsoft Enhanced Mitigation Experience Toolkit (EMET)不兼容。它甚至在将其安装在受 EMET 保护的系统上时也是如此。要亲自查看，请从此处下载mbae-test.exe ，将其添加到受 EMET 保护的应用程序列表中，然后尝试在启用 MBAE 的情况下加载它。 （但是，如果您只使用 EMET 来强制执行系统范围的规则 - 即 DEP 和 SEHOP - 那很好。只有在启动受这两种解决方案保护的应用程序时，您才会遇到问题。）