防病毒要看运行态而不是安装记录
恶意代码防范条款的核查依据不是“装过杀毒软件”，而是实时保护、行为监控与病毒库更新是否都处于正常工作状态。用第三方 EDR 替换 Defender 的环境同样要给出等效证据：EDR 服务在运行、策略已下发、最近一次扫描与特征更新时间是多少。核查结论通常落在三个值上：实时保护开启、特征库在 3 天内更新、运行模式正常，任何一项异常都要按高优先级跟进。
基本信息
| 加固项 | 防病毒与终端防护运行态 |
|---|---|
| 适用平台 | Windows 10/11、Windows Server |
| 权限要求 | 本地管理员；域环境可集中读取 |
| 达标判据 | 实时保护开启、特征库近期更新、无异常排除项 |
| 等效替代 | 第三方 EDR 需提供管理台证据，不能只看 Defender 字段 |
典型使用场景
- 等保测评“恶意代码防范”条款取证
- 排查终端性能异常时确认扫描是否在正常调度
- 发现特征库长期未更新的更新通道问题
- 排查攻击者添加的排除项（放行恶意路径的常见手法）
- 批量核查时统一采集口径，输出汇总表
核查运行状态
核查运行状态
Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusEnabled, RealTimeProtectionEnabled, BehaviorMonitorEnabled, AntivirusSignatureLastUpdated, AMRunningMode
# 三个核心值：实时保护开启、特征库更新时间、运行模式
Get-MpComputerStatus | Select-Object -ExpandProperty AMRunningMode # Normal 为正常，Passive 表示被其他 AV 接管
Get-MpPreference | Select-Object DisableRealtimeMonitoring, ExclusionPath, ExclusionProcess, ExclusionExtension # 排除项要逐条看来源确认策略是否被接管或改写
确认策略是否被接管或改写
Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender' -ErrorAction SilentlyContinue
Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection' -ErrorAction SilentlyContinue
Get-MpComputerStatus | Select-Object IsTamperProtected # 防篡改保护是否开启关键字段读法
| 字段 | 含义 | 判读 |
|---|---|---|
| AMServiceEnabled | 反恶意软件服务是否运行 | False 表示服务未运行，高危 |
| RealTimeProtectionEnabled | 实时保护是否开启 | False 表示仅在手动扫描时才检测 |
| BehaviorMonitorEnabled | 行为监控是否开启 | 关闭会显著削弱无文件攻击拦截 |
| AntivirusSignatureLastUpdated | 特征库最近更新时间 | 超过 3 天需排查更新通道 |
| AMRunningMode | 运行模式 | Normal 为正常，Passive 说明被第三方接管 |
| ExclusionPath 等排除项 | 免检范围 | 异常新增项可能是攻击者放行手段 |
第三方杀毒或 EDR 接管时 Defender 会进入被动模式，此时只看 Defender 字段会得出“未防护”的错误结论。正确的核查口径是先确认终端上实际生效的防护产品，再用对应管理台证据说明：服务运行状态、策略下发时间、最近扫描与特征更新时间，并在报告里注明证据来源。
特征库更新时间超过 3 天通常不是终端本身的问题，而是更新通道故障：内网 WSUS 未同步、代理未放行更新地址、镜像源失效都可能造成。排查时要顺着更新链路查，而不是在终端上反复手动更新。同时应留意排除项突然变多的情况，这是攻击者放行恶意路径的典型手法。