| 加固项 | 杀软自身保护 |
|---|---|
| 适用平台 | Windows 10/11、Server 2019+ |
| 风险等级 | 中 |
| 基线 | IsTamperProtected = True |
核查
核查
Get-MpComputerStatus | Select-Object IsTamperProtected, AMRunningMode开启后管理员也不能随意改 Defender 设置（含部分 Set-MpPreference 操作）；排障流程里要写清按流程临时关闭的审批路径。
Defender 防篡改保护
防篡改让恶意软件与误操作管理员都无法悄悄关闭杀软、删改定义或篡改排除项；勒索团伙“先杀杀软”的标准步骤会因此受阻。
易错点
- 部分旧版本不支持防篡改：以 Get-MpComputerStatus 是否返回该字段为准
- 第三方杀软接管后 Defender 状态字段含义变化，评估要落到实际主防产品上
数据来源与参考
- Microsoft Learn：Prevent changes to security settings with tamper protection
- CIS Windows Benchmark：Defender 相关条目