定期扫描要覆盖什么
定期扫描是基线里的常见要求，但真正决定效果的是三件事：扫描频率是否与业务窗口匹配、数据盘与关键目录是否纳入范围、排除项是否被人为放大。服务器上尤其要避免全盘扫描与备份任务叠加，否则会同时拖慢两边。
基本信息
| 适用平台 | Windows Server / Windows 10+（Microsoft Defender） |
|---|---|
| 查看命令 | Get-MpPreference（计划扫描与排除项） |
| 执行命令 | Start-MpScan（手动验证） |
| 基线 | 至少每周一次计划扫描，数据盘纳入覆盖 |
典型使用场景
- 服务器上架配置：为每台机器确认扫描计划与业务窗口错开
- 审计核查：确认计划扫描未被人为关闭或改到业务高峰
- 事件后排查：确认事发时段是否做过扫描、覆盖范围是否包含受影响目录
- 新数据盘挂载：确认新增盘符被纳入扫描范围
核查与调整
核查与调整
# 查看扫描计划与排除项
Get-MpPreference | Select-Object ScanScheduleDay, ScanScheduleQuickScanTime, DisableRemovableDriveScanning, DisableScanningNetworkFiles, ExclusionPath
# 设置每天触发计划扫描（具体值按组织策略）
Set-MpPreference -ScanScheduleDay 0
# 手动跑一次快速扫描，验证引擎工作正常
Start-MpScan -ScanType QuickScan偏好项读法
| 字段 | 含义 | 异常表现 |
|---|---|---|
| ScanScheduleDay | 计划扫描触发日 | 被设为从不触发，等于没有定期扫描 |
| ScanScheduleQuickScanTime | 快速扫描时间 | 落在业务高峰，影响性能 |
| ExclusionPath | 排除的目录 | 出现来源不明的目录，是攻击者的最爱 |
| DisableScanningNetworkFiles | 是否跳过网络文件 | 为省性能而关闭，覆盖范围缩水 |
全盘扫描的磁盘与 CPU 压力很大：安排在业务窗口之外，并避开备份与数据同步任务，否则两边都会变慢甚至超时失败。
扫描通过不代表没有威胁：无文件类攻击主要依赖行为监控与攻击面缩减规则，定期扫描与实时防护、ASR 是互补关系，不能因为开了扫描就放松其他控制。
计划扫描建议用组策略或 Intune 统一下发：本地手工设置会在镜像重装后丢失，集中管理才能长期保持一致。