防篡改保护是什么
防篡改保护让恶意软件与误操作的本地管理员都无法悄悄关闭实时防护、删除定义更新或篡改排除项。勒索团伙的常规流程是入侵后先杀杀软再加密，开启这一项会让该步骤受阻，属于代价极低而收益明确的一项。
基本信息
| 适用平台 | Windows 10/11 与 Windows Server 2019+（含 Defender for Endpoint） |
|---|---|
| 开关位置 | Microsoft Defender 门户或本地安全中心；企业可用 Intune/GPO 集中管理 |
| 核查命令 | Get-MpComputerStatus 的 IsTamperProtected 字段 |
| 基线 | IsTamperProtected = True |
典型使用场景
- 终端与服务器统一下发：企业环境用 Intune 或组策略开启，避免逐台点选
- 事件响应期间：确认攻击者未关闭防护，作为「未被削弱」的证据
- 变更前评估：确认运维流程中依赖关闭 Defender 的脚本已改为走审批
- 第三方 EDR 共存时：确认主防产品与 Defender 的关系，避免状态字段误读
核查
核查
# IsTamperProtected 为 True 表示防护已受保护
Get-MpComputerStatus | Select-Object IsTamperProtected, AMRunningMode, RealTimeProtectionEnabled
# 查看当前的扫描与防护偏好（用于核对是否被改动）
Get-MpPreference | Select-Object DisableRealtimeMonitoring, ExclusionPath, ExclusionProcess字段读法
| 字段 | 含义 | 异常表现 |
|---|---|---|
| IsTamperProtected | 防篡改是否生效 | False 或字段缺失，说明未开启或版本不支持 |
| AMRunningMode | 防护运行模式 | 显示 Normal 为佳；显示 Passive 说明被第三方杀软接管 |
| RealTimeProtectionEnabled | 实时防护状态 | False 而防篡改为 True，通常需要走受控流程重新开启 |
| ExclusionPath | 排除目录 | 出现业务之外的无名目录，是攻击者最爱的驻留点 |
开启后本地管理员也不能随意改 Defender 设置，部分 Set-MpPreference 操作会被拒绝；排障流程里要写清临时关闭的审批路径与恢复步骤。
部分旧版本不返回该字段：以 Get-MpComputerStatus 是否包含 IsTamperProtected 为准，同时确认系统是否已升级到受支持版本。
企业环境优先通过 Intune 或组策略下发：本地手工开启在镜像重装、批量还原后容易丢失，集中管理才能保证状态长期一致。