简介针对Win11/Win10系统自带Windows Defender难以彻底关闭、后台通知反复出现的痛点这份PDF教程整理了从关闭UAC通知、禁用防火墙、关闭基于声誉的保护与病毒防护管理设置到通过注册表命令和DestroyDefender工具一键停用Defender的完整流程并特别给出Win10家庭版同样适用的操作路径适合新装机用户、受Defender资源占用困扰或需切换第三方杀毒软件的人群。压缩包内共1个PDF文件大小19.04MB图文步骤清晰包含每个环节的具体点击位置与命令行输入对照执行即可解决此前看过各种帖子仍无法关闭的问题。已有13087人学习下载教程末尾还补充了重启生效及关闭后的安全建议提醒用户完全关闭内置防护后应安装信誉良好的替代杀毒软件并在日常使用中保持系统更新从而在不误伤系统防护的前提下完成自定义安全配置。1. 新装机第一件事为什么有人非要彻底关掉系统自带的 Windows Defender新装机、装完 Win11/Win10 之后很多人第一件事不是装驱动而是先把 Windows Defender 关掉。原因很现实刚装完的系统里 Defender 默认开始后台扫描CPU 和磁盘占用明显再加上装激活工具、绿色小软件、破解文件时它反复弹窗拦截严重时在你点“允许”之后还是把文件隔离。Windows Defender 在这两代系统里是真正在工作的杀毒软件不是摆设它有实时防护、云扫描和动态签名服务设置面板里的开关只能让它“休息”几分钟到几小时重启后大概率自动恢复。这篇文章要讲的是“彻底关闭”而不是“临时关闭”关掉实时防护、关掉后台服务、关掉安全中心的所有通知并让系统更新之后不会又被悄悄打开。适合刚装完 Win11/Win10、准备换第三方杀软的新装机用户也适合低配机器上不想被后台扫描拖慢的人。2. 先搞懂 Defender 的权限结构临时开关、篡改保护与三大关闭路径的分界2.1 临时关闭实时保护只要三步入口、生效范围与重新打开的条件Windows Defender 的实时保护开关在系统设置里设置 - 隐私和安全性 - Windows 安全中心 - 病毒和威胁防护 - 管理设置。里面有一排开关包括实时保护、云提供的保护、自动提交样本、篡改保护。把“实时保护”关掉Defender 就不再监控新写入的文件和新启动的进程这个操作绝大多数机器上立即生效不需要重启。但关键是这个开关不是持久状态它在系统重启后自动打开而且当你装了新的驱动、运行了某些系统更新组件时也可能被系统自动重置为开启。它的本质是一个会话级配置写在临时状态里不写入持久化策略库所以重启即失效。如果你只是想让某个文件别被拦或者短时间内需要让后台扫描停下用这个开关就够不必碰注册表和组策略。很多问“为什么我关了实时保护还是有通知”的人是因为只关到这里。实时保护关掉之后Defender 的定时扫描、快速扫描、右键菜单扫描、后台通知依然都在它只是不实时盯文件了不等于“杀毒软件已关闭”。这个区别必须记清楚否则后面每一步都会对不上号。我的建议是动手前先明确自己要的是哪一个状态。只想别弹窗去关通知想停止实时扫描但保留有杀毒能力的软件走临时开关想让 Defender 整个退出才需要看 2.3。目标定错了后面所有操作都是浪费时间。2.2 篡改保护Tamper Protection是你关闭路上真正的第一道墙在临时关闭那一排开关里有一个“篡改保护”默认开启。它的作用是防止除系统更新和安全软件以外的一切程序修改 Defender 的配置。说白了它防的就是你手动去改注册表、改组策略、改服务启动类型来关闭 Defender。如果不去动它直接到注册表里改 Windows Defender 的键值大概率出现三种结果改完立刻被系统回滚改的时候提示拒绝访问或者改完表面生效但几分钟后 Defender 自己把注册表恢复回去。这不是玄学是篡改保护在起作用。所以任何“彻底关闭”方案第一步都是先打开 Windows 安全中心 - 病毒和威胁防护 - 管理设置把“篡改保护”关掉。关掉之后系统会弹警告提示设备容易受攻击忽略即可。这一步做完再谈组策略和注册表否则后面所有操作都可能被系统“暗改”。网上流传的很多关闭方法是直接给一段注册表命令从来没提过篡改保护这类方法在 Win10 21H2 之后和 Win11 上基本都会翻车原因就在这里。还要注意篡改保护被关闭并不是一劳永逸的。系统更新、安全补丁、或者某些月度更新在安装后可能把篡改保护重新打开。所以如果发现某天 Defender 突然“复活”第一时间去安全中心看篡改保护是不是又变成开了。这条检查顺序比反复重跑注册表脚本重要得多。2.3 三大关闭路径与被动模式先想清楚你要“关闭”还是“让位”把篡改保护关掉之后常见彻底关闭 Defender 的路径有三条。第一条是组策略路径是“计算机配置 - 管理模板 - Windows 组件 - Microsoft Defender 防病毒”里的“关闭 Microsoft Defender 防病毒”策略。这是最接近官方支持的关闭方式对系统版本有要求Win10 2004 到 Win11 21H2 之间的大多数版本可用再新的版本里作用会被削弱。第二条是注册表写策略键本质是绕过组策略编辑器直接写 HKLM\SOFTWARE\Policies\Microsoft\Windows Defender 下的 DisableAntiSpyware 等值。第三条是修改 WinDefend 服务的启动类型为禁用。第三条在传统杀软时代是通用做法但现在的系统里WinDefend 服务被保护直接改会失败或重启后被修复。这三条路径不是三选一是递进关系。我装机时一般这样组合先关篡改保护再用组策略把“关闭 Microsoft Defender 防病毒”和“关闭实时保护”一起启用没有组策略的家庭版走注册表方案最后视版本情况尝试禁用服务。每走一步先验证一步验证方法在第 6 章。不过这里有一个更省事的思路需要讲清楚如果你本来就要装第三方杀软其实不需要手动关闭 Defender。Defender 检测到第三方杀软接管实时防护后会自动进入被动模式Passive Mode在这个状态下它会停掉实时监控、后台扫描和大部分通知但保留病毒库更新和为第三方杀软提供底层支持。被动模式才是设计上“退位让贤”的正式路径手动彻底关闭属于“强行拆台”。我见过的多数新装机场景其实装个靠谱的第三方杀软就解决问题了真正需要手动关闭的是你确定不装任何杀软、或者第三方杀软和 Defender 同时开启出现冲突的那部分人。3. 用组策略和注册表把 Defender 关掉教程能跑的完整配置3.1 组策略关闭 Defender 防病毒四个策略项的完整配置组策略方法适用于 Win10 专业版/企业版/教育版和 Win11 专业版以上的系统。打开方式WinR 输入 gpedit.msc 回车。路径计算机配置 - 管理模板 - Windows 组件 - Microsoft Defender 防病毒。在这个节点下你至少需要设置四个策略项。第一项是根目录下的“关闭 Microsoft Defender 防病毒”双击选择“已启用”。这个策略是总开关对应注册表里的 DisableAntiSpyware。第二项是“实时保护”子目录下的“关闭实时保护”也选“已启用”。第三项是“MAPS”子目录下的“加入 Microsoft MAPS”选中改成“已禁用”避免客户端提交样本。第四项是“扫描”子目录下的计划任务相关策略包括计划扫描、快速扫描、定义更新把它们逐项禁用。前两项负责让 Defender“停手”后两项负责让它“闭嘴”尤其是第四项后台定期唤醒扫描的元凶就是这几个计划任务。gpupdate /force这条命令的作用是强制从本机组策略重新应用一次配置把所有策略项的生效状态推送到注册表并通知相关服务。注意执行后不要立刻关窗口等它返回“计算机策略更新成功”。如果返回“策略无法刷新”优先检查策略路径是否存在Win11 23H2 之后的版本里“关闭 Microsoft Defender 防病毒”这项经常找不到或者选完“已启用”后安全中心依旧正常工作。这说明该策略在新版本里已经被边缘化只靠它不够。3.2 家庭版没有组策略注册表方案与它在新版系统上的边界家庭版系统默认没有组策略编辑器WinR 输入 gpedit.msc 会提示找不到。不建议去装第三方的组策略组件包装了也不稳定而且这类组件包有时会被 Defender 当成风险软件处理给你添更多乱。家庭版最直接的做法是把组策略要写的内容用注册表写进去。以管理员身份的 PowerShell 为例下面这串命令把“关闭 Defender 防病毒”策略写入注册表# 创建策略目录-Force 表示目录已存在时不报错 New-Item -Path HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender -Force # 写入 DisableAntiSpyware 值为 1表示启用关闭 Defender 的策略 New-ItemProperty -Path HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender -Name DisableAntiSpyware -Value 1 -PropertyType DWord -Force第一行的 New-Item 负责创建策略目录如果目录已存在-Force 参数避免抛异常。第二行的 New-ItemProperty 新建一个 DWord 值值名为 DisableAntiSpyware值为 1。这是组策略“关闭 Microsoft Defender 防病毒”在注册表中的持久化形态。写完验证一下是否真正写入reg query HKLM\SOFTWARE\Policies\Microsoft\Windows Defender /v DisableAntiSpyware返回DisableAntiSpyware REG_DWORD 0x1表示写入成功。如果返回 0x0说明写入失败或已经被系统回滚先检查 2.2 里说的篡改保护是否没关干净。如果连键都读不到回上一步重新建目录。注意DisableAntiSpyware 这个键在 Win10 1903 之后的不少大版本里已经开始失效注册表显示 1但 Defender 实时保护还是开着。原因很简单Defender 平台架构更新了旧策略键只作用于旧的 Defender 客户端对基于新架构的底层驱动不生效。网上有些教程只说这条命令是因为那套方法针对的是两三年前的旧镜像。3.3 禁用 WinDefend 服务启动类型、依赖与计划任务组策略和注册表都改过之后任务管理器里可能依然有 Defender 相关进程在跑这是正常的。要让核心服务停下来需要处理 WinDefend 服务。以管理员身份打开 cmd先把状态看一下sc query WinDefend正常会看到 STATE 为 RUNNINGSTART_TYPE 为 2自动。然后把它改为禁用sc config WinDefend start disabled注意 sc 命令语法里“start” 的等号与值之间必须有一个空格等号前面不能有空格否则会提示参数无效。执行后再用 sc query WinDefend 看START_TYPE 应变成 4禁用。现实一点在 Win10 2004、Win10 21H2、Win11 的多数环境下执行这条命令会收到“拒绝访问”提示因为 WinDefend 服务注册表键的权限里SYSTEM 和 TrustedInstaller 对启动类型字段有保护。sc config 失败时我可以改用注册表直接写New-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Services\WinDefend -Name Start -Value 4 -PropertyType DWord -Force如果这条也提示权限不足说明当前权限级别不够或该注册表项被系统保护。网上很多工具的原理是取得该键所有权或改用 TrustedInstaller 权限执行修改这条路能通但我不建议先上工具因为不少工具会把整个 WinDefend 键删掉或者大幅改权限导致后续系统更新报错、安全中心状态异常变成另一类问题。服务改为禁用之后还有一个常被忽略的地方任务计划程序库 - Microsoft - Windows - Windows Defender里面有多个计划任务触发条件是系统启动、空闲定期扫描。这些任务运行时会重新拉起 Defender 相关进程。把它们逐个右键禁用。禁用计划任务不会破坏系统但能有效防止服务被“唤醒”后再弹出来。关闭方案适用系统版本生效程度风险组策略“关闭 Defender 防病毒”Win10 2004 到 Win11 21H2 可用更新版本减弱中新版可能失效低官方预留策略注册表 DisableAntiSpywareWin10 1903 前有效之后部分版本失效低极低禁用 WinDefend 服务全版本可尝试新旧版本都可能被拒绝高中需配合计划任务禁用被动模式全版本高低装第三方杀软自动触发4. 关闭 Defender 后台通知从系统通知入口到安全中心横幅4.1 通知的两个来源系统通知面板与安全中心内提示的区别Defender 的弹窗通知来自两个完全不同的渠道很多人只关了一个另一个继续刷屏。第一个来源是 Windows 系统通知中心右下角弹出“检测到威胁”“已阻止恶意软件”横幅。这类通知在“设置 - 系统 - 通知”里按应用关闭。第二个来源是 Windows 安全中心应用内的提示打开安全中心病毒和威胁防护页面顶部出现黄色或红色横幅内容包括“需要采取操作”“实时保护已关闭”“处理器保护不兼容”等。这类通知不进系统通知中心但给人的观感就是“杀软还活着”。两个来源要分别处理。第一种在系统通知设置里关闭 Windows 安全中心的通知权限就行。第二种需要把安全中心的策略改掉或者把负责显示通知的服务一并停下。只做其一都会觉得“没关干净”其实是你没找到另一个入口。4.2 组策略与注册表关闭通知先走后门再堵前门先做最简单的设置 - 系统 - 通知找到 Windows 安全中心关闭通知开关。这一步能挡住大部分右下角横幅。但 Defender 有时不通过“Windows 安全中心”这个应用发通知而通过安全健康服务SecurityHealthService.exe来发后者在通知列表里不一定单独出现系统更新后通知权限也可能被重置。所以关键还是要走组策略。组策略里有一个专门的开关路径是计算机配置 - 管理模板 - Windows 组件 - Windows 安全中心 - “隐藏通知区域中的所有通知”。设为“已启用”后安全中心的所有提示横幅都会被隐藏。这个策略对 Win10 和 Win11 通用效果很直接。没有专业版组策略的家庭版就写注册表# 创建安全中心策略目录 New-Item -Path HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender Security Center -Force # 写入关闭通知策略1 表示隐藏所有安全中心通知 New-ItemProperty -Path HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender Security Center -Name DisableNotifications -Value 1 -PropertyType DWord -Force这个键对应的就是组策略里“隐藏通知区域中的所有通知”。键名是 Windows Defender Security Center不是 Windows Defender网上经常有人搞混导致写了等于白写。写完后同样可以用 reg query 验证。4.3 最彻底的通知关闭方案禁用安全健康服务的代价如果你连安全中心界面里的横幅和托盘图标都不想看到还有一个更彻底的思路把负责弹通知的安全健康服务停掉。在管理员 PowerShell 里执行# SecurityHealthService 是安全中心的通知与状态服务改为禁用 New-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Services\SecurityHealthService -Name Start -Value 4 -PropertyType DWord -Force执行后重启或手动停止该服务安全中心界面会变成无法打开通知、横幅、托盘图标一同消失。这一步效果最彻底但有副作用系统设置里的 Windows 安全中心打不开某些安全状态提示也失效。如果你只是想安静用第三方杀软这个代价可接受如果你以后还想看到 Defender 相关的状态信息建议只用 4.2 的通知策略不要禁这个服务。提示禁用 SecurityHealthService 后打开 Windows 安全中心会一直转圈或提示“此应用无法打开”。这是预期结果不是故障。想恢复把 Start 值改回 2 或 3重启服务即可。5. Defender 被重新打开的三类高频现场新装机避坑手册5.1 现象一次系统更新后 Defender 满血复活最典型的场景按前文步骤把策略、服务、通知全部关掉用了几天一切正常某次系统更新或月度补丁装完后Defender 回来了实时保护又亮了通知又开始弹。原因有两个一是系统更新会重新安装 Defender 平台组件更新过程中重置服务状态二是更新过程中篡改保护被重新打开把之前写入的策略键值当成风险配置回滚掉。解决方法是更新后走一遍完整关闭流程重点在第一步就检查篡改保护是否被打开。我一般会把组策略注册表写入、服务禁用、计划任务禁用封在一个批处理脚本里更新后重新执行。脚本里只包含策略写入和服务配置不涉及删除文件或修改权限等危险操作反复执行是安全的。不要每次手动点那么多层菜单新装机半年内系统更新频繁这一步能省很多事。5.2 现象装了系统优化工具后 Defender 自动恢复另一个常见情况是装了一些系统优化工具、安全工具这类工具自带“健康修复”功能检测到 Defender 被关闭时会主动帮你“修复”把策略和篡改保护恢复默认。这不是工具出 bug而是它们默认把“安全中心被禁用”当成系统异常处理了。解决装优化工具之前先想清楚是否需要它的安全中心管理功能。如果已经装了并且冲突去工具设置里找“安全中心修复”“系统防护恢复”之类的选项并关掉。之后把 3.2 的注册表策略重新写一遍再去检查篡改保护的状态。顺序不能反否则工具会再次自动修复。5.3 现象在“可选功能”里找不到 Windows Defender 条目有些教程让人从“设置 - 应用 - 可选功能”里找到 Windows Defender 并卸载这条路在多数版本上走不通。Win10 早期镜像和 Win11 不同版本里可选功能列表是否显示相关条目取决于系统镜像版本。找不到条目不代表 Defender 没装而是它属于系统不可卸载组件。此时不要在可选功能里硬找直接走组策略和服务方案就好。这个坑的特点是浪费时间。用户照着教程找半天卸载入口找不到之后开始怀疑自己的系统是精简版甚至重装系统结果重装完问题照旧。记住一条结论Win10 2004 之后和 Win11 的 Defender 主体不支持通过“可选功能”卸载只能在策略和服务层面控制。5.4 现象安全中心报错 0x800704EC 但一切看似正常有一种状态是策略应用了但是安全中心页面报错 0x800704EC同时病毒和威胁防护的实时保护状态显示未知或无法启动。这个错误码通常不是策略写错了而是 WinDefend 服务处于禁用状态但安全中心服务还在尝试读取它的状态两边状态不一致UI 无法正常显示。解决思路先确认 WinDefend 是不是自己手动禁用的。如果是这个错误码其实是“预期行为”说明服务已经被停掉安全中心拿不到状态。如果不希望看到错误码把 SecurityHealthService 也禁掉安全中心整个打不开就不会报错了或者反过来把 WinDefend 启动类型改回自动只保留组策略里的“关闭实时保护”让服务运行但不监控安全中心能正常显示状态两边的矛盾也就消失了。后一种是我更推荐的折中对更新兼容性也更好。6. 关完别急着重启先用命令验证留好后悔药6.1 用 PowerShell 一条命令确认 Defender 真的下班做完所有改动后不要立刻重启。用管理员身份打开 PowerShell输入Get-MpComputerStatus | Select-Object AMRunningMode, RealTimeProtectionEnabled如果 RealTimeProtectionEnabled 显示 False说明实时防护已经关闭AMRunningMode 显示 Normal 表示处于被动模式或已由策略接管。如果 RealTimeProtectionEnabled 仍然显示 True说明注册表或组策略没有真正生效回头检查篡改保护是不是又被打开。确认状态之前重启和反复操作都是白费。再检查服务层sc query WinDefend sc query SecurityHealthServiceWinDefend 的 START_TYPE 为 4 表示主服务已禁用SecurityHealthService 的 STATE 为 STOPPED 且 START_TYPE 为 4表示通知服务已停。两条都符合预期才算“彻底关闭”真正落地。6.2 留一份恢复脚本的习惯与最后的安全提醒我个人的习惯是关闭脚本里同时写好还原命令DisableAntiSpyware 改回 0、服务 Start 改回 2、计划任务重新启用。系统更新把 Defender 搞成半死不活状态时有这份“后悔药”就能快速还原到系统默认而不必面对一个既不杀毒又不停报错的安全中心。半禁用状态永远是最难排查的完全关闭和完全恢复都不可怕怕的是卡在中间。新装机还有一个实际问题需要考虑彻底关闭 Defender 后在装好替代安全方案之前机器处于无杀软状态。建议关闭的同时就装好信任的第三方杀软如果坚持不装就要从可信来源下载软件不双击不明来源的文件。Defender 可以关风险意识不能关。希望这套流程能帮到你装完 Win11/Win10 之后不再被扫描和提示反复折腾。本文还有配套的精品资源点击获取
