如果您使用的是 Windows 10 或 Windows 11，那麼您家中已經擁有一個非常好的防毒軟體：Microsoft Defender。問題在於，許多用戶並沒有充分利用其預設設定下的防護功能，也沒有調整其對效能的影響。透過一些精心設計的設置，您可以顯著增強安全性，如果需要，還可以提高防護級別，而不會讓您的電腦變得像拖拉機一樣臃腫。
接下來，您將看到如何詳細了解如何在增強 Windows Defender 安全性的同時優化其效能：從 Windows 安全中心中的選項，到使用 PowerShell 和註冊表的高級設置，再到 Windows 11 中面向開發人員的全新效能模式。其理念很明確：在不降低電腦運作速度的前提下，降低實際風險（惡意軟體、勒索軟體、身分盜竊等）。
如今的微軟Defender究竟是什麼？
我們之前熟知的 Windows Defender 現在已整合到Windows 安全中心中，它是一個集中管理防毒、防火牆、應用程式控制、核心隔離、帳戶保護和家庭選項的控制面板。它不僅僅是“防毒軟體”，而是一個完整的安全層，並且還利用了微軟的雲端服務。
在這個生態系統中，Microsoft Defender 防毒軟體能夠即時監控文件、進程和下載，每天多次自動更新（包括安全情報更新），並利用雲端服務 (MAPS) 快速應對新出現的威脅。我們將以此為基礎，進一步提升防護能力與性能。
Windows 11 中的效能模式與開發驅動器
Windows 11 包含一項主要針對開發者的功能：Microsoft Defender 防毒軟體的效能模式，該模式與新的開發者磁碟機 (Dev Drive) 相關聯。它並非適合所有人，但如果您編譯程式碼或處理大型程式碼庫，則需要關注它。
開發驅動器是一種特殊的基於 ReFS 的捲，專為磁碟訪問量大的開發工作負載而設計。它們支援檔案系統最佳化、改進的捲安全管理、信任定義以及對防毒軟體等過濾器的控制。 Defender 的效能模式在這些開發驅動器上尤其重要。
當開發磁碟機被標記為「受信任」時，Defender 會將該磁碟區的掃描方式從同步掃描切換到非同步掃描。換句話說，它不會在打開文件之前立即進行掃描（立即打開，立即掃描），而是允許打開操作完成後再進行掃描（立即打開，稍後掃描）。這顯著降低了建置、npm 安裝和其他資源密集型任務對效能的影響。
這項改進的代價自然是，與傳統的同步模式相比，即時防護能力略有下降。即便如此，其防護等級仍遠勝於使用大量資料夾排除項，後者會直接阻止對這些路徑中的任何內容進行掃描。
重要：效能模式僅適用於受信任的開發驅動器，不適用於 NTFS 格式的系統驅動器（C:、D: 等），並且需要啟用即時保護。
使用效能模式的前提條件
要以這種方式拉動，至少要滿足以下幾點：
- 窗戶11 作為操作系統。
- Microsoft Defender 防毒軟體 主要防毒軟體不會被第三方吃掉。
- 啟用即時雲端防護。
- 反惡意軟體平台版本等於或高於 4.18.2303.8.
- 反惡意軟體安全智能等於或大於 1.385.1455.0.
當然，您之前需要配置一個開發驅動器。為此，在 Windows 11 中，您可以按照官方的「設定開發磁碟機」指南，從「設定」介面或「磁碟管理」建立一個格式化為 ReFS 的磁碟區。
如何管理效能模式（Intune、GPO、PowerShell）
如果您管理多個團隊，您可以集中監控 Defender 效能模式的狀態：
使用 Intune，您可以使用 OMA-URI 設定指令：
- OMA-URI 路線： ./Device/Vendor/MSFT/Defender/Configuration/PerformanceModeStatus
- 資料型態：整數。
- 值：0 = 啟用（預設值），1 = 停用。
群組原則有一個特定的範本：
- 開啟群組原則編輯器 (gpedit.msc)，然後導覽至：電腦設定 > 管理範本 > Windows 元件 > Microsoft Defender 防毒軟體 > 實時保護.
- 編輯指令 配置效能模式狀態.
- 選擇“啟用”，應用並接受。
在PowerShell中，您只需要以管理員身分執行一條命令：
Set-MpPreference -PerformanceModeStatus Enabled
若要查看哪些磁碟區處於效能模式，請開啟 Windows 安全性中心應用，前往「病毒和威脅防護」>「管理開發磁碟機保護」，然後按一下「檢視磁碟區」。您將看到類似這樣的內容：
- 系統磁碟機（C:，D: NTFS）：不適合效能模式。
- 已啟用開發驅動器 罪 主動性能模式。
- 已啟用 Dev Drive 和 Defender 效能模式 活躍.
請確保 Windows Defender 在其介面中已正確配置。
除了開發者之外，每個使用者都應該檢查一下自己的 Windows 安全性設定。如果想要係統得到充分保護，同時避免安全隱患，就需要對幾個關鍵部分進行微調。
啟用應用程式和瀏覽器控制
首先，請確保「應用程式和瀏覽器控制」部分未被部分停用。有時它會顯示一個黃色圖標，提示您啟用它。
- 從「開始」功能表開啟「Windows 安全中心」。
- 在主畫面上，檢視「應用程式和瀏覽器控制」部分。
- 如果看到啟動按鈕，點擊它，讓圖示保持綠色。
此模組包含 SmartScreen 和基於信譽的保護，這是您抵禦陌生下載和不受信任的可執行檔的第一道防線。
防毒和威脅防護的基本設置
在 Windows 安全中心，前往“病毒和威脅防護”，向下捲動到“病毒和威脅防護設定”>“管理設定”。確保已啟用以下四個選項：
- 實時保護.
- 基於雲端的保護。
- 自動寄送樣品。
- 防止篡改（防止惡意軟體或其他程式更改防毒設定）。
這設定了最低合理的安全等級。如果停用其中任何一項功能，Defender 的效能都會大幅下降，如Windows Defender 錯誤指南中所述，尤其是在雲端方面。
勒索軟體防護和資料夾存取控制
勒索軟體防護軟體中有一項非常強大的功能，但幾乎沒人啟用：資料夾存取控制。它可以限制哪些程式可以寫入關鍵資料夾，例如「文件」、「圖片」或「影片」。
要啟用它：
- 在「病毒和威脅防護」中，向下捲動到「勒索軟體防護」。
- 點選「管理勒索軟體防護」。
- 啟用「控制資料夾存取權限」。
從那時起，任何未經識別的應用程式如果試圖修改這些位置的文件，都將被阻止，除非您手動授權。這意味著您可能需要先將一些遊戲或會儲存遊戲進度和設定的程式新增到允許清單中。
基於信譽的保護和智慧螢幕
在「應用程式和瀏覽器控制」功能表中，您會找到「基於信譽的保護」部分。將其設定為最高等級。
- “檢查應用程式和檔案”：已啟用。
- Microsoft Edge 的 SmartScreen：已啟用。
- 封鎖潛在的有害應用程式：所有複選框均已勾選（應用程式、網站、下載）。
- 適用於 Microsoft Store 應用程式的 SmartScreen：已啟用。
這樣一來，任何從互聯網下載的可疑安裝程式在運行之前都會經過良好的過濾，Edge 瀏覽器也會更積極地阻止欺詐性或惡意軟體網站。
漏洞保護
「應用程式和瀏覽器控制」中還包含漏洞防護功能。您可以在此處全域應用緩解措施，也可以逐一程式地應用。其中一個特別值得關注的選項是「強制隨機選擇鏡像（需要ASLR）」。
出於相容性考慮，此功能通常預設為停用。如果您想增強安全性，並且您的軟體比較新，您可以將其設定為「預設」並重新啟動電腦。這將強制庫載入到隨機記憶體位址，從而增加某些攻擊的難度。
其他進階選項：獨立瀏覽、核心隔離
某些系統為 Edge 瀏覽器提供應用程式防護選項，該選項會在與系統隔離的獨立容器中啟動瀏覽器。如果您只使用 Edge 瀏覽器且擁有相容的硬件，則可能值得啟用此功能（請參閱如何啟用沙盒）。
在“內核隔離”設定中，您可以找到“記憶體完整性”選項。此功能可防止惡意程式碼注入到高權限進程中，但在較舊的機器上可能會導致明顯的效能下降。它通常在啟用了硬體虛擬化的較新電腦上運行效果更好，並且是一個很好的額外保護層；在性能較低的機器上，您可以將其停用以避免任何問題。
使用 PowerShell 提高 Defender 的防禦級別
如果想要更進一步，可以使用PowerShell 中的Set-MpPreference 指令顯著增強 Microsoft Defender 的安全性。務必以管理員身分執行 PowerShell，否則許多命令將無法執行。
提高簽名頻率和質量
首先要確保簽章引擎始終保持最新狀態：
Set-MpPreference -SignatureUpdateInterval 1 Set-MpPreference -CheckForSignaturesBeforeRunningScan $True
這樣一來，Defender 將每小時檢查一次更新，並在開始手動或計劃掃描之前檢查新的簽名。
啟動並加強 MAPS 和雲端鎖定
微軟主動防護服務 (MAPS) 允許 Defender 基於雲端資料做出決策，這對於應對新型惡意軟體尤其有用。您可以將其設定為進階模式：
Set-MpPreference -MAPSReporting 2
在此模式下，系統會與微軟分享更多關於潛在惡意軟體的資料（檔案名稱、行為等）。作為回報，您可以提高零日漏洞檢測的效率。
如需寄送樣品，您可以依照下列步驟優化流程：
Set-MpPreference -SubmitSamplesConsent SendSafeSamples
此設定將自動發送限制為僅發送被認為安全的樣本（不包含過於敏感的資料）。其他可選值包括 AlwaysPrompt、NeverSend 或 SendAllSamples。
為了使雲端平台更積極地阻止可疑可執行檔：
Set-MpPreference -CloudBlockLevel 4
等級範圍從 0（預設值）到 6（零容忍）。值 4 對應於高+模式，非常嚴格，但並非絕對最大值。
此外，最好確保 Defender 在分析之前，先阻止它首次偵測到的內容：
Set-MpPreference -DisableBlockAtFirstSeen $False
如果您的網路連線速度較慢或出現延遲峰值，您可以延長可執行檔案在雲端進行分析時的最大保留時間：
Set-MpPreference -CloudExtendedTimeout 50
這樣一來，雲端最多有50 秒的回應時間，之後才會永久釋放或鎖定該檔案。
加強對潛在有害應用程式的保護
潛在有害應用程式 (PUA/PUW) 指的是那些捆綁在安裝程式、工具列和其他煩人軟體中的「免費贈品」。為了避免它們：
Set-MpPreference -PUAPotection Enabled (Get-MpPreference).PUAPotection
第二個命令返回狀態。如果返回1，則表示已啟用；返回 0，表示已停用。
驗證與地圖的連接
為確保您的電腦成功連線到雲端服務，您可以執行以下命令：
"C:\Program Files\Windows Defender\mpCmdRun.exe" -validatemapsconnection
如果返回“成功建立”，則表示通訊正常，您在雲端和 MAPS 層級配置的所有內容都將真正生效。
高級註冊表設定以實現最大程度的激進性
如果您不介意修改註冊表，可以透過一些鍵值進一步微調 Defender 的行為。不過，在進行任何操作之前，請務必備份登錄或建立還原點，以防需要還原到先前的狀態。
開啟登錄編輯程式（Win + R > regedit），然後導覽至：
HKEY_LOCAL_MACHINE \ SOFTWARE \策略\ Microsoft \ Windows Defender
在那裡，您將建立兩個新的子項目：MpEngine和Spynet。
MpEngine 中的密鑰
在 MpEngine 鍵中，新增：
- DWORD值（32位） MpBafsExtendedTimeout 將其值設為 0x19（十進位 25）或根據您的需求定義的值，以延長在分析可疑檔案時阻止它們的最大時間。
- DWORD值（32位） MpCloudBlockLevel 值為 2（十六進位）表示增加雲阻擋的積極性高於標準值。
這樣一來，Defender 就可以將可疑檔案保留更長時間，並且在決定阻止它們時更加果斷，如果它們的行為或信譽不夠令人信服的話。
Spynet 中的金鑰
在 Spynet 金鑰中，建立以下 32 位元 DWORD 值：
- 禁用BlockAtFirstSeen 值為 0（在第一個視圖中保持鎖定狀態）。
- 間諜網報道 值為 2（進階參與模式，類似 MAPSReporting 2）。
- LocalSettingOverrideSpynetReporting 值為 1（允許本地設定優先於群組原則）。
- 提交樣本同意書 如果希望根據配置的遙測等級自動傳送樣本，則該值為 1。
套用這些變更後，請重新啟動電腦。重啟後，Defender 將更加積極地應對近期出現的威脅，但同時也會向微軟發送更多數據，您應該從隱私角度考慮這一點。
明智地選擇分析哪些內容，不分析哪些內容：合理的排除
Defender 允許您將檔案、資料夾、副檔名或整個進程從掃描中排除。這對於減少衝突和提升效能來說是一個非常有用的工具，但如果使用不當，則會造成巨大的隱患。
若要設定排除項，請參閱如何排除應用程式：
- 開啟 Windows 安全中心 > 「病毒與威脅防護」。
- 在「防毒和威脅防護設定」中，點選「管理設定」。
- 向下捲動至“排除項”，然後點擊“新增或刪除排除項”。
- 選擇您要排除的內容： 檔案、資料夾、檔案類型或流程.
明智的做法是精準地使用排除條款，例如：
- 已受 Dev Drive 效能模式保護的開發工具的臨時路徑。
- 有些企業可執行文件，你明明知道它是 100% 安全的，但它總是將其標記為誤報。
避免排除「下載」、「桌面」或「文件」等資料夾，因為真正的威脅往往就藏在這些地方。
當 Defender 拖慢系統速度時，提升效能的最佳實踐
如果您發現防毒軟體佔用大量機器資源（風扇全速運轉、死機等），建議先排除並非由 Defender 直接導致的潛在問題。
嘗試使用其他防毒軟體並執行乾淨啟動。
首先要檢查的是，是否同時執行了其他防毒軟體。同時執行 Windows Defender 和第三方防毒軟體通常會導致掃描衝突和資源佔用增加。卸載或禁止所有其他防毒軟體，只保留 Windows Defender。
接下來，您可以嘗試乾淨啟動，看看是否有任何第三方服務造成乾擾：
- 執行 msconfig，在“服務”標籤中選取“隱藏所有 Microsoft 服務”，並停用其餘服務。
- 在「Windows 啟動」標籤中，開啟工作管理員，停用所有非必要的程式。
- 重新啟動電腦，並在啟用 Defender 的情況下檢查效能是否有所改善。
如果電腦在這種情況下運作順暢，那麼問題通常出在某些特定軟體或衝突的驅動程式上，而不是 Defender 本身。
修復系統檔案並清理計算機
如果存在損壞的文件，Defender 可能會耗費一整天的時間來處理這些文件，從而降低系統效能。請使用系統修復工具：
sfc /scannow dism /online /cleanup-image /restorehealth
首先，執行 SFC 命令，如果發現錯誤，則執行 DISM 命令。接下來，請確保 Windows 和 Defender 的病毒庫定義已透過 Windows 更新完全更新。
建議執行官方的微軟故障排除程序來檢查整體效能，並使用資源監視器檢查磁碟使用情況，看看是否有任何進程持續將磁碟使用率推至 100%。
Windows 中額外的安全性和隱私保護層
除了防毒軟體之外，作業系統本身還提供了幾個組件，這些組件結合起來可以大大提高安全性，而無需安裝任何額外的軟體。
密碼、PIN碼或生物辨識資訊以及憑證過期時間
令人驚訝的是，許多電腦無需密碼或PIN碼即可直接啟動。為了保護本地存取：
- 前往設定 > 帳戶 > 登入選項。
- 設定 Windows Hello（PIN 碼、指紋、臉部辨識），或至少設定一個強密碼。
在需要定期更換金鑰的環境中，您可以強制金鑰過期：
- 開啟「執行」> netplwiz，然後轉到「進階選項」標籤。
- 轉到“進階使用者管理”下的“進階選項”，然後開啟“本機使用者和群組”。
- 對於相應的用戶，取消選取「密碼永不過期」。
您也可以透過控制台啟用全域過期功能來實現：
wmic UserAccount set PasswordExpires=True
對於特定使用者：
wmic UserAccount where Name="UserName" set PasswordExpires=True
使用者帳戶控制 (UAC) 和帳戶類型
使用者帳戶控制 (UAC) 是指程式想要進行重大變更時彈出的請求權限的提示。雖然降低或停用 UAC 權限看似誘人，但它卻是抵禦試圖取得更高權限的惡意軟體的關鍵屏障。
請在「控制台」>「系統和安全性」>「安全性和維護」>「安全性」中檢查其狀態。確保已啟用使用者帳戶控制，並且等級設定得足夠嚴格。
此外，建議日常使用標準本機帳戶，僅在特定情況下才使用管理員帳戶。這樣可以大大降低透過瀏覽器或惡意附件入侵的攻擊的影響。
本機帳戶與 Microsoft 帳戶
微軟帳戶可讓您同步設定和使用雲端服務，但同時也增加了您的線上攻擊面。如果您更注重隱私並減少對外部服務的依賴，則可以使用本機帳戶。
如果您已經關聯了 Microsoft 帳戶：
- 前往「設定」>「帳戶」>「您的資訊」。
- 點選「改用本機帳號登入」。
- 依照精靈操作，然後登出登入。
但是，如果您想充分利用 OneDrive 同步或 Defender 的身份盜竊監控等功能，幾乎必須擁有 Microsoft 帳戶。
家長監護與家庭監控
如果孩子正在使用電腦， Windows 安全中心的「家庭選項」模組就顯得格外重要。它與兒童 Microsoft 帳戶配合使用，讓您可以執行以下操作：
- 查看網路活動和螢幕使用時間。
- 限制他們可以訪問的網站或封鎖危險類別。
- 限制可運行的遊戲和應用程式。
- 設定使用時間表和每日最長使用時間。
所有這些設定都可以透過微軟官網或My Defender應用程式（如果您已安裝）進行管理。
使用小米衛士進行身分盜竊監控
Defender 的最新功能之一是身分監控，它與 Experian 技術集成，旨在監控您的個人資料是否最終在暗網上流傳。
設定方法：
- 開啟 My Defender（安全應用程式的最新版本）。
- 前往身分盜竊部分，然後點選「簡介」。
- 建立您的個人資料，並註明您要保護的資料（電子郵件、電話等）。
- 如果需要，可以增加家庭成員，這樣他們也能獲得保障。
之後，系統將掃描已知的洩漏來源，如果發現您的資料在被盜憑證清單中，系統將發出警報，以便您及時更改密碼並採取措施。
防火牆、提供者和通知：完善最後細節
防火牆部分通常預設配置良好，但建議確保在 Windows 安全中心的「防火牆和網路保護」中，所有設定檔（網域、專用和公用）都啟用防火牆。
在「管理提供者」部分，您可以查看哪個模組負責防毒、防火牆和 Web 保護。 Microsoft Defender通常列在防毒和防火牆之下；如果其他程式正在控制這些功能，您需要決定由哪個程式來負責。
最後，Windows 安全中心的通知部分可讓您微調要查看和隱藏的警報。停用純粹資訊性的通知（例如，「上次掃描成功，無威脅」）有助於減少干擾，僅保留關鍵警報以及與實際崩潰或配置問題相關的警報；如有需要，請了解如何停用通知。
憑藉這套全面的最佳化——從 Dev Drive 和 PowerShell 中的效能模式、登錄增強功能，到勒索軟體、信譽、UAC、防火牆和身分監控選項——Microsoft Defender 從「預設防毒軟體」搖身一變，成為一款強大而輕巧的安全套件。花時間根據個人喜好進行自訂，就能讓 Windows 從僅僅「自我防禦」的系統，轉變為真正保護用戶、且不會讓您每次開機都感覺像拖著個沉重的錨一樣的系統。
