云保护与 PUA 拦截
Microsoft Defender 的云交付保护（MAPS）把本地判定与云端情报结合，对新型样本的响应速度明显快于纯本地特征库；潜在不受欢迎应用（PUA）拦截则针对捆绑软件、广告插件、代理工具等“合法但不受欢迎”的程序。两项都建议开启，但样本上传策略要按数据合规要求单独设定，涉密环境需要谨慎评估。
基本信息
| 适用平台 | Windows Server / Windows 10、11 |
|---|---|
| 核查命令 | Get-MpPreference |
| 关键项 | MAPSReporting、SubmitSamplesConsent、PUAProtection |
| 基线 | MAPSReporting=Advanced；PUAProtection=Enabled |
| 合规注意 | 样本上传与否需按数据分级政策决定 |
典型使用场景
- 终端基线加固：统一开启云保护与 PUA 拦截
- 域内统一：通过 GPO 或管理平台批量下发设置
- 应急处置：确认样本是否已提交云端分析以获取处置建议
- 合规评估：涉密与关基环境评估样本上传递送策略
- 运维收口：减少捆绑软件与挖矿程序带来的支持工单
核查与设置
核查与设置
Get-MpPreference | Select-Object MAPSReporting, SubmitSamplesConsent, PUAProtection, DisableRealtimeMonitoring
Set-MpPreference -MAPSReporting Advanced
Set-MpPreference -PUAProtection Enabled
# 样本上传递送策略按数据合规要求选择：
# Set-MpPreference -SubmitSamplesConsent SendSafeSamples
Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-MpThreatDetection | Select-Object -First 5配置项读法
| 配置项 | 取值含义 | 建议与异常 |
|---|---|---|
| MAPSReporting | 0 关闭 / 2 高级 | 应设为 Advanced 以获得云端判定 |
| SubmitSamplesConsent | 样本上传递送级别 | 按数据合规要求选择，勿默认全传 |
| PUAProtection | 0 关闭 / 1 启用 / 2 仅审核 | 建议 Enabled |
| DisableRealtimeMonitoring | 实时保护开关 | True 表示防护被关闭，需核查原因 |
| 签名更新时间 | 特征库时效 | 过期说明更新通道可能中断 |
涉密与关基环境要评估样本上传云端的合规影响：不允许上传时，至少保留本地云保护级别并强化离线特征库更新。
落地要点
- 域内统一配置：本地逐台设置容易被后续策略覆盖或遗漏
- 定期核查实时保护是否被关闭：部分安装程序会临时关闭防护且不恢复
- 特征库更新时间纳入监控：长期未更新等于防护失效
- PUA 拦截开启初期会有较多告警，先观察再决定是否需要例外
- 把配置项与实际运行状态（AMServiceEnabled）一起核查
PUAProtection 设为仅审核模式适合观察期：先收集命中情况，避免直接启用造成的业务误伤。