1. 为什么有人非要关掉Windows Defender
1.1 一个让很多人纠结的开关
Windows 10自带的安全中心，也就是大家常说的Windows Defender，从最早那个被各种吐槽的“卡巴斯基检测器”，一路进化到如今微软安全响应中心重点投入的核心组件，它的防护能力早就不是当年那个拖后腿的水平了。但即便如此，在实际工作和折腾电脑的过程中，仍然有大量的人想要把它关掉。原因五花八门，我见过最多的几种情况是：跑一些老旧的行业软件，这些软件需要往系统目录写文件或者注入进程，Defender会直接拦截并删除主程序；做逆向分析或者安全测试的时候，自己写的调试工具、注入脚本会被当成恶意软件秒删；还有一些性能测试场景，需要排除杀毒软件实时扫描带来的I/O波动，才能拿到干净的基准数据。
我自己第一次认真研究怎么关Defender，是因为一个做工业控制上位机开发的朋友。他那边有一套用了快十年的组态软件，安装包里的某个动态链接库会被Defender判定为潜在不受欢迎程序，每次安装到一半就被隔离，导致整个部署流程卡死。他试过加排除项，但那个软件运行时会动态释放临时文件，路径每次都不一样，排除列表根本追不上。最后只能把Defender的实时保护彻底关掉，才把项目跑通。这件事让我意识到，关Defender不是一个“要不要”的问题，而是一个“在什么场景下必须关、怎么关才安全”的问题。
这篇文章就是把我这些年积累的关闭方法、踩过的坑、以及关闭之后如何保证系统不裸奔的经验，完整地梳理一遍。不管你是刚接触Windows系统的新手，还是经常和系统底层打交道的老手，都能从中找到适合自己的操作路径。我会从最温和的临时关闭讲起，一直讲到彻底禁用服务的方式，并且把每种方法的适用场景、副作用、恢复方法都讲清楚。
1.2 关掉它之前必须想清楚的事
在动手之前，有一个核心原则必须先说清楚：关闭Windows Defender不等于你可以不要杀毒软件。Defender是Windows 10内置的、与系统深度集成的安全组件，它和系统更新、内核补丁、漏洞缓解机制是联动的。你把它关了，系统并不会自动给你换上另一个杀毒软件，你的电脑就处于无实时防护的状态。所以我的建议是，如果你只是临时需要关一下，用完马上恢复；如果你确实需要长期关闭，那一定要装一个第三方杀毒软件来填补这个空缺，或者至少保证你的使用环境是隔离的、不接触外部不可信文件的。
另外还有一个很多人忽略的点：Windows 10的不同版本，关闭Defender的难度是不一样的。家庭版没有组策略编辑器，专业版和企业版有，这就导致网上很多教程在家庭版上根本走不通。而且从Windows 10的某个版本开始，微软引入了“篡改保护”机制，你就算用管理员权限去改注册表，它也会自动给你改回来。所以关闭操作必须按照正确的顺序来，先关篡改保护，再动其他设置，否则你会觉得“怎么改了没用”。
提示：在开始任何关闭操作之前，先创建一个系统还原点。这样万一关闭过程中出现意外，或者关闭后系统出现异常，你可以快速回滚到操作之前的状态。创建还原点的方法很简单，在搜索框输入“创建还原点”，打开系统属性窗口，选择系统盘，点击“创建”，起个名字等它跑完就行。
2. 关闭Windows Defender的几种主流方法
2.1 临时关闭实时保护：最安全的做法
这是我最推荐的方式，适用于绝大多数临时场景。比如你要安装一个被误报的软件，或者跑一次性的测试脚本，用这个方法就够了。操作路径是：点击开始菜单，输入“Windows 安全中心”并打开，选择“病毒和威胁防护”，在“病毒和威胁防护设置”下面点击“管理设置”，然后把“实时保护”的开关关掉。这时候系统会弹出一个用户账户控制的确认框，点“是”就行。
关掉之后，实时保护就暂停了。但要注意，这个关闭不是永久的。Windows 10会在你重启电脑之后自动把实时保护重新打开，有时候甚至过一段时间它自己就恢复了。这是微软故意设计的，防止用户忘了开回来。所以这个方法适合“我现在就要装个东西，装完就好”的场景，不适合需要长期关闭的情况。
还有一个细节：在较新的Windows 10版本里，你关掉实时保护之后，Windows安全中心会显示一个黄色的感叹号，任务栏右下角也会弹通知提醒你“你的设备可能存在风险”。这个通知会反复出现，有点烦人，但它是系统正常的安全提醒机制，不建议去关掉这个通知，因为万一你哪天忘了自己关过Defender，这个提醒就是最后的警示。
注意：临时关闭实时保护之后，云提供的保护、自动提交样本、篡改保护这些选项仍然可能是开启状态。如果你要运行的软件被拦截的原因不是实时扫描，而是云查杀或者行为监控，那光关实时保护可能还不够。这时候你需要把“云提供的保护”也一并关掉，才能让那个软件顺利跑起来。
2.2 通过组策略关闭：专业版和企业版的利器
如果你用的是Windows 10专业版、企业版或者教育版，那组策略编辑器是你最应该掌握的工具。它比改注册表更直观，而且设置之后不容易被系统自动改回来。具体操作是：按Win+R键，输入gpedit.msc，回车打开本地组策略编辑器。然后依次展开“计算机配置”->“管理模板”->“Windows组件”->“Microsoft Defender防病毒”。在右侧找到“关闭Microsoft Defender防病毒”这个策略，双击打开，选择“已启用”，然后点确定。
这个设置生效之后，Defender的实时保护会关闭，而且重启之后也不会自动恢复。但这里有一个关键点：组策略关闭的是Defender的防病毒功能，Windows安全中心这个应用本身还是存在的，你打开它可能还会看到一些界面，只是核心的防护功能已经不工作了。另外，如果你之后想恢复，只需要把那个策略改回“未配置”或者“已禁用”，然后重启一次就行。
不过我要提醒一句，从Windows 10的1903版本开始，微软在组策略里对Defender的控制做了一些调整。有些版本里，“关闭Microsoft Defender防病毒”这个策略可能被隐藏了，或者需要你先关闭“篡改保护”才能生效。如果你在组策略里找不到这个选项，或者设置了没效果，那就需要先检查篡改保护的状态。篡改保护的关闭方法在下一节会详细讲。
还有一个坑：组策略的设置虽然强大，但它管不住“Windows安全中心”这个UWP应用。有时候你会发现组策略已经显示Defender关闭了，但安全中心里还是显示“受保护”，这是因为安全中心读取的是另一个状态源。遇到这种情况，重启一次通常就能同步状态。如果重启后还是不一致，那就需要配合注册表修改来彻底解决。
2.3 注册表修改法：家庭版用户的必经之路
Windows 10家庭版没有组策略编辑器，所以家庭版用户要关闭Defender，基本只能走注册表这条路。注册表操作的风险比组策略高，因为改错了地方可能导致系统不稳定，所以操作之前一定要先备份注册表。备份方法是：按Win+R输入regedit打开注册表编辑器，点击“文件”菜单，选择“导出”，导出范围选“全部”，保存一个.reg文件到安全的地方。万一改坏了，双击这个文件就能恢复。
关闭Defender的核心注册表路径是：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender。如果你在这个路径下看不到Windows Defender这个项，说明你的系统还没有被组策略或注册表策略管理过，你需要手动创建这个项。创建好之后，在Windows Defender项下面新建一个DWORD（32位）值，命名为DisableAntiSpyware，数值数据设置为1。然后重启电脑，Defender的实时保护就会关闭。
但这里有一个非常重要的变化：从2020年某个Windows 10更新开始，微软在部分版本里移除了DisableAntiSpyware这个注册表值的作用。也就是说，你就算把它设成1，重启之后Defender照样运行。微软给出的理由是“为了防止恶意软件滥用这个设置来关闭防护”。所以如果你发现改了注册表没用，不要怀疑自己操作错了，是微软把这个口子堵上了。这种情况下，你需要用更底层的方法，比如禁用Defender的相关服务，这个在后面会讲。
另外，注册表修改法还有一个变通方案，就是通过修改Defender的排除项来实现“软关闭”。具体做法是在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths下面，添加一个路径为“C:\”的排除项，这样Defender就会排除整个C盘的扫描。但这个方法在较新版本里也被限制了，因为微软不允许把整个系统盘加入排除列表。所以这个变通方案只适用于一些老版本的Windows 10。
2.4 禁用Defender相关服务：更彻底的方式
如果上面几种方法都不奏效，或者你需要彻底让Defender停止运行，那就需要动服务了。Defender在Windows 10里主要涉及两个服务：WinDefend（Windows Defender Antivirus Service）和WdNisSvc（Windows Defender Network Inspection Service）。正常情况下，这两个服务在服务管理器里是灰色的，你没法直接停止或禁用它们，因为它们的启动类型被系统保护了。
要绕过这个保护，你需要用注册表来修改服务的启动类型。路径是：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinDefend，把Start这个DWORD值从2（自动）改成4（禁用）。同样地，对WdNisSvc也做一样的操作。改完之后重启电脑，这两个服务就不会再启动了。这时候Defender的核心引擎就不再运行，实时保护自然也就没了。
但这个方法有一个很大的副作用：Windows安全中心这个应用会变得不正常，打开可能会报错或者一直转圈。而且系统更新的时候，Windows Update可能会检测到Defender服务被禁用，然后自动把它改回自动启动。所以这个方法不是一劳永逸的，每次大版本更新之后你可能需要重新操作一遍。另外，禁用WinDefend服务之后，Windows的一些安全相关功能，比如SmartScreen的某些检查，可能会受到影响，这个要有心理准备。
提示：在禁用服务之前，建议先把服务的启动类型改成“手动”，重启一次看看系统是否正常。如果一切正常，再改成“禁用”。这样万一出了问题，你还能通过手动启动服务来恢复，不至于一下子把路堵死。
2.5 篡改保护：那个让你改了没反应的元凶
前面反复提到篡改保护，这里单独拿出来讲，因为它太重要了。篡改保护是Windows 10的一个安全机制，它的作用是防止恶意软件通过修改注册表或组策略来关闭Defender。但问题是，它不区分修改者是恶意软件还是你自己，只要你试图通过注册表或组策略关闭Defender，它就会把你的修改拦截掉，并且自动恢复成原来的设置。
所以，无论你用组策略还是注册表，第一步都应该是关闭篡改保护。关闭方法是：打开Windows安全中心，进入“病毒和威胁防护”，找到“病毒和威胁防护设置”下面的“管理设置”，往下滚动，你会看到“篡改保护”这个开关，把它关掉。关掉之后，你再去改组策略或注册表，修改就能生效了。
但这里有一个死循环：如果你已经把Defender的服务禁用了，那Windows安全中心可能打不开，你就没法通过界面关闭篡改保护。这时候你只能通过注册表来关篡改保护。路径是：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Features，找到TamperProtection这个DWORD值，把数值数据从5改成0。如果找不到这个值，可能需要先创建它。改完之后重启，篡改保护就关了。
还有一个细节：篡改保护关闭之后，Windows安全中心会显示一个警告，说“篡改保护已关闭，你的设备可能易受攻击”。这个警告会一直存在，直到你重新打开篡改保护。如果你打算长期关闭Defender，这个警告会一直看着你，有点烦，但没办法，这是系统的正常提示。
3. 不同场景下的实操方案与参数详解
3.1 场景一：临时安装被误报的软件
这个场景是最常见的。你下载了一个软件，Defender直接把它删了，或者安装到一半被拦截。这时候你不需要大动干戈去关整个Defender，只需要临时关掉实时保护就行。具体步骤是：打开Windows安全中心，进入病毒和威胁防护，点管理设置，把实时保护关掉。然后立刻去安装那个软件，装完之后马上把实时保护开回来。
但这里有一个坑：有些软件的安装程序在运行过程中会释放多个文件，Defender的实时保护虽然关了，但云查杀可能还在工作。如果你发现关了实时保护还是被拦截，那就把“云提供的保护”也关掉。这个选项在同一个设置页面里，叫“云提供的保护”，关掉之后Defender就不会把可疑文件上传到云端分析了。装完软件之后，记得把这两个开关都开回来。
还有一个更精细的做法：如果你知道那个软件具体是哪个文件被拦截，可以在Defender的排除项里把这个文件或文件夹加进去。路径是：病毒和威胁防护设置 -> 管理设置 -> 排除项 -> 添加或删除排除项。把被误报的文件或文件夹加进去，Defender就不会再扫描它了。这个方法比直接关实时保护更安全，因为它只放行了特定的文件，其他文件仍然受保护。但缺点是，如果那个软件会动态生成临时文件，排除项可能追不上，这时候还是得关实时保护。
3.2 场景二：长期关闭Defender并安装第三方杀毒
如果你决定长期关闭Defender，那一定要装一个第三方杀毒软件。这里有一个很多人不知道的机制：当你安装了一个兼容的第三方杀毒软件之后，Windows 10会自动把Defender切换到“被动模式”。在被动模式下，Defender的实时保护会自动关闭，但它仍然会定期扫描，并且会作为第二意见提供者存在。也就是说，你不需要手动去关Defender，装个第三方杀毒它自己就让位了。
但如果你装的第三方杀毒软件不被Windows识别，或者你装完之后发现Defender还在活跃，那就需要手动关闭。手动关闭的步骤是：先关篡改保护，然后用组策略或注册表关闭Defender的实时保护。关闭之后，第三方杀毒软件就会接管防护工作。这里要注意，有些第三方杀毒软件在安装时会检测Defender的状态，如果Defender还在运行，它可能会提示你“检测到其他杀毒软件，请先卸载”。这时候你按照它的提示操作就行。
选择第三方杀毒软件的时候，我的建议是选那些在Windows安全中心里能正确注册的。怎么判断呢？装完之后打开Windows安全中心，如果“病毒和威胁防护”下面显示的是第三方杀毒软件的名字，而不是“Microsoft Defender防病毒”，那就说明注册成功了。如果还是显示Defender，那说明第三方杀毒没有正确注册，你需要检查它的兼容性设置。
3.3 场景三：性能测试时排除Defender干扰
做性能测试的时候，Defender的实时扫描会严重影响测试结果的准确性。比如你测磁盘I/O性能，Defender在后台扫描你写入的文件，测出来的数据就会偏低。这时候你需要把Defender完全关掉，而不是只关实时保护。因为除了实时保护，Defender还有计划扫描、行为监控、网络检查等多个组件在运行。
完整的关闭步骤是：第一步，关篡改保护。第二步，用组策略或注册表关闭实时保护。第三步，禁用WinDefend和WdNisSvc服务。第四步，在任务计划程序里禁用Defender相关的计划任务。路径是：任务计划程序库 -> Microsoft -> Windows -> Windows Defender，把里面的任务全部禁用。做完这四步，Defender就彻底不工作了，性能测试的数据才会干净。
但我要提醒一句：性能测试做完之后，一定要把Defender恢复回去。恢复的顺序和关闭的顺序相反：先启用计划任务，再把服务启动类型改回自动，然后重启，最后重新打开篡改保护。恢复之后，打开Windows安全中心确认一下状态，确保所有防护都正常工作了。
3.4 场景四：系统封装时的Defender处理
如果你在做系统封装，比如用Sysprep做镜像，那Defender的处理就更复杂了。因为在封装过程中，Defender可能会把Sysprep的操作当成可疑行为拦截，导致封装失败。而且封装好的镜像部署到新机器上之后，Defender的首次扫描会拖慢开机速度。所以很多封装教程都会建议在封装前把Defender关掉。
封装场景下的关闭方法，除了前面说的组策略和注册表之外，还需要注意一点：Sysprep会重置系统的某些状态，包括Defender的配置。所以你在封装前关掉的Defender，部署到新机器上之后可能会自动恢复。要解决这个问题，你需要在应答文件里加入关闭Defender的设置，或者在封装完成后、部署前，用脚本自动关闭Defender。这个脚本可以放在SetupComplete.cmd里，在系统首次启动时自动执行。
4. 关闭后的风险控制与恢复方案
4.1 关闭Defender之后电脑会不会中毒
这是被问得最多的问题。我的回答是：会不会中毒，取决于你的使用习惯，而不是取决于你有没有开Defender。如果你关了Defender，但仍然只从官方渠道下载软件，不点陌生链接，不插来路不明的U盘，那中毒的概率其实很低。但如果你关了Defender之后，还去各种小网站下载破解软件，那中毒几乎是必然的。Defender的作用是在你犯错的时候给你兜底，你把兜底撤了，那就只能靠自己不犯错。
所以我的建议是，如果你要长期关闭Defender，至少要做到以下几点：第一，装一个靠谱的第三方杀毒软件，并且保持更新。第二，浏览器装一个广告拦截插件，减少误点恶意广告的概率。第三，定期用在线扫描工具检查一下系统，比如用一些大厂提供的免费在线扫描服务。第四，重要数据定期备份，万一中招了还能恢复。这四条做到了，关闭Defender的风险就是可控的。
还有一个折中方案：你可以不关Defender，而是把它调成“被动模式”。被动模式下，Defender不主动扫描，但会定期更新病毒库，并且在你手动扫描的时候仍然可用。这样你既不会被Defender的实时扫描干扰，又保留了一个应急的扫描工具。调成被动模式的方法很简单：装一个第三方杀毒软件，Defender会自动进入被动模式。或者你也可以通过组策略强制Defender进入被动模式，但这个方法在家庭版上不可用。
4.2 如何确认Defender真的被关闭了
很多人改了设置之后，不确定Defender到底关没关。这里教大家几个确认方法。第一个方法：打开Windows安全中心，看“病毒和威胁防护”下面的状态。如果显示“你的设备受到保护”，那说明Defender还在工作。如果显示“你的设备可能存在风险”或者“Microsoft Defender防病毒已关闭”，那说明关闭成功了。第二个方法：按Ctrl+Shift+Esc打开任务管理器，在“详细信息”标签页里找MsMpEng.exe这个进程。如果这个进程还在运行，说明Defender的引擎还在工作。如果找不到这个进程，说明Defender已经停了。
第三个方法：用PowerShell查Defender的状态。以管理员身份打开PowerShell，输入Get-MpComputerStatus，回车。你会看到一堆状态信息，重点看RealTimeProtectionEnabled这一项。如果是True，说明实时保护还开着；如果是False，说明已经关了。还可以看AntivirusEnabled这一项，如果是False，说明整个防病毒功能都关了。这个方法最准确，推荐大家用这个来确认。
还有一个细节：有时候你关了Defender，但Windows安全中心里还是显示“受保护”，这是因为安全中心的状态更新有延迟。你可以重启一次电脑，或者等几分钟再看。如果重启之后还是显示“受保护”，那就说明关闭操作没有真正生效，需要检查篡改保护是不是没关，或者组策略/注册表是不是没改对。
4.3 想恢复Defender时怎么操作
恢复Defender的操作比关闭简单，基本上就是把之前的步骤反过来做一遍。如果你是用组策略关的，就把“关闭Microsoft Defender防病毒”这个策略改回“未配置”，然后重启。如果你是用注册表关的，就把DisableAntiSpyware的值改成0，或者直接删掉这个值，然后重启。如果你禁用了服务，就把WinDefend和WdNisSvc的启动类型改回自动，然后重启。
但有一个坑：如果你在关闭Defender期间，Windows Update推送了新的Defender版本，那恢复的时候可能会遇到版本不匹配的问题。这时候你需要先运行Windows Update，把Defender更新到最新版本，然后再恢复。如果恢复之后Defender还是不正常，可以尝试在PowerShell里运行Update-MpSignature来手动更新病毒库，或者运行Start-MpScan来触发一次扫描，看看能不能把Defender唤醒。
还有一个终极恢复方法：如果所有方法都试过了，Defender还是不正常，那可以用系统还原点回滚。这就是为什么我在开头就强调要创建还原点。回滚之后，系统会回到你关闭Defender之前的状态，Defender自然也就恢复正常了。但回滚会丢失你关闭Defender之后安装的软件和做的设置，所以这是最后的手段，不到万不得已不要用。
5. 常见问题与排查技巧实录
5.1 改了注册表重启后Defender又回来了
这是最常见的问题，原因通常是篡改保护没关。篡改保护会在系统启动时检查Defender的关键注册表值，如果发现被修改了，就自动恢复成默认值。所以你的修改在重启后就“失效”了。解决方法就是先关篡改保护，再改注册表。如果你已经关了篡改保护但问题依旧，那可能是Windows的某个更新重新启用了篡改保护，你需要重新检查一下篡改保护的开关状态。
还有一种可能是，你改的注册表路径不对。在64位Windows 10上，Defender的注册表项可能在HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Policies\Microsoft\Windows Defender下面，而不是前面说的那个路径。你可以两个路径都检查一下，看看哪个存在。如果两个都不存在，那就手动创建。另外，有些Windows 10版本会把Defender的策略放在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\PolicyManager下面，这个也要检查。
5.2 组策略里找不到关闭Defender的选项
这个问题通常出现在Windows 10家庭版上，因为家庭版根本没有组策略编辑器。如果你用的是专业版但找不到选项，那可能是你的系统版本比较新，微软把那个策略移除了。从Windows 10的2004版本开始，微软逐步把Defender的控制权从组策略转移到了“Windows安全中心”这个应用里。所以在新版本上，你应该通过安全中心的界面来关闭Defender，而不是组策略。
如果你确实需要用组策略来管理，可以尝试手动添加Defender的组策略模板。方法是下载微软官方的安全基线包，里面包含了Defender的ADMX模板文件。把模板文件复制到C:\Windows\PolicyDefinitions目录下，然后重新打开组策略编辑器，就能看到Defender的相关策略了。但这个方法比较麻烦，而且不同版本的模板可能不兼容，操作之前建议先备份系统。
5.3 关闭Defender后Windows安全中心打不开
这个问题的原因是，Windows安全中心这个应用依赖于Defender的某些服务。如果你把WinDefend服务禁用了，安全中心就可能打不开或者一直转圈。解决方法有两个：第一个是把WinDefend服务的启动类型改回“手动”，然后重启，安全中心就能打开了。第二个是直接用PowerShell来管理Defender的状态，不依赖安全中心的界面。比如用Get-MpComputerStatus查状态，用Set-MpPreference来修改设置。
如果你既想关闭Defender，又想保留安全中心的界面，那建议不要禁用WinDefend服务，而是用组策略或注册表来关闭实时保护。这样安全中心还能打开，只是显示“你的设备可能存在风险”。虽然有个警告看着不舒服，但至少界面是可用的，你想恢复的时候也方便。
5.4 系统更新后Defender自动恢复了
Windows 10的大版本更新，比如从1909更新到2004，或者从20H2更新到21H1，会重置很多系统设置，包括Defender的配置。更新之后，你之前关闭的Defender可能会自动恢复。这是正常现象，因为更新过程会重新应用系统的默认安全策略。解决方法就是在每次大版本更新之后，重新执行一遍关闭操作。
为了减少重复劳动，你可以把关闭Defender的步骤写成一个批处理脚本或者PowerShell脚本。每次更新之后，以管理员身份运行一下脚本，就能快速关闭Defender。脚本的内容可以包括：关闭篡改保护、修改注册表、禁用服务、禁用计划任务。但要注意，脚本里的注册表路径和服务名称要和你系统的版本匹配，不同版本可能有细微差别。
5.5 常见问题速查表
| 问题现象 | 可能原因 | 解决方法 |
|---|---|---|
| 改了注册表重启后失效 | 篡改保护未关闭 | 先在安全中心关闭篡改保护，再改注册表 |
| 组策略里找不到Defender选项 | 系统版本较新或为家庭版 | 改用安全中心界面或注册表方法 |
| 安全中心打不开 | WinDefend服务被禁用 | 把服务启动类型改回手动，重启 |
| 系统更新后Defender恢复 | 更新重置了安全策略 | 重新执行关闭操作，建议写成脚本 |
| 关了实时保护但软件仍被拦截 | 云查杀或行为监控仍在工作 | 同时关闭云提供的保护和自动提交样本 |
| 第三方杀毒装了但Defender仍活跃 | 第三方杀毒未正确注册 | 检查杀毒软件的兼容性，或手动关闭Defender |
| PowerShell查状态显示仍为True | 关闭操作未生效 | 检查篡改保护、组策略、注册表三项 |
提示：如果你在关闭Defender的过程中遇到了上面没提到的问题，可以先在PowerShell里运行Get-MpComputerStatus和Get-MpPreference，看看Defender的详细状态和配置。这两个命令的输出信息很全，能帮你快速定位问题所在。
6. 个人经验与最后几句实在话
折腾Defender这些年，我最大的体会是：微软在安全这件事上越来越强势，关闭Defender的门槛在不断提高。从最早的“控制面板里点一下就行”，到后来的组策略、注册表，再到现在的篡改保护和服务保护，每一步都在增加难度。这背后的逻辑很明确：微软不希望用户轻易关掉这个内置的安全组件，因为一旦关掉，系统就裸奔了，出了问题最后还是微软背锅。
但作为用户，我们确实有一些合理的场景需要关闭它。我的建议是，能临时关就不要长期关，能加排除项就不要关实时保护，能装第三方杀毒就不要让系统裸奔。如果确实需要长期关闭，那就把关闭步骤写成脚本，每次系统更新后跑一遍，省得每次都手动操作。另外，关闭期间一定要保持良好的上网习惯，不要觉得“我关了Defender就自由了”，自由是有代价的。
最后分享一个小技巧：如果你只是偶尔需要运行被误报的软件，其实可以不用关Defender，而是用Windows沙盒来运行。Windows 10专业版自带沙盒功能，在“启用或关闭Windows功能”里勾选“Windows沙盒”，重启之后就能用。在沙盒里运行可疑软件，它和你的主系统是隔离的，就算真有恶意行为也影响不到你的真实系统。这个方法比关Defender安全得多，推荐大家试试。
