Windows Defender离线扫描无法通过组策略计划，因其运行于WinRE环境、无对应任务模板，仅支持手动或威胁触发；组策略可管控实时保护、MAPS级别等在线防护，并通过GPP部署快捷方式或EDR联动实现半自动化响应。
windows defender（现称 microsoft defender 防病毒）本身不支持通过组策略配置“离线扫描”（即 windows defender offline scan）的自动计划任务。离线扫描是启动到 winre 环境执行的特殊扫描，必须手动触发或由系统在检测到顽固威胁时自动调用，无法被组策略预设为定时运行。
为什么组策略不能配置离线扫描计划
离线扫描不是常规计划任务，它依赖以下机制：
- 不运行在 Windows 正常会话中，而是加载精简 WinPE 环境，绕过主系统进程；
- 没有对应的 Scheduled Task 模板，也不受“Microsoft\Windows\Windows Defender\Scheduled Scan”等路径控制；
- 组策略中所有与“扫描”相关的设置（如“配置定期扫描”“指定快速扫描时间”）均只影响在线扫描（快速/全盘/自定义路径）；
- 微软官方文档明确指出：离线扫描仅支持按需启动，无自动调度能力（来源：Microsoft Learn，2025年12月更新）。
能通过组策略统一管控的替代方案
虽然不能计划离线扫描，但可通过组策略集中强化终端的主动防御与响应能力，间接降低对离线扫描的依赖：
Handsfree Windows Control
下载
通过 handsfree-windows CLI控制 Windows 本机应用 (UIA) 和浏览器 (Playwright) 的引导技能，用于自动化或测试桌面应用。
- 启用并锁定实时保护：路径为「计算机配置 → 管理模板 → Windows 组件 → Microsoft Defender 防病毒 → 实时保护」→ 启用“关闭实时保护”设为“已禁用”，确保该功能始终开启；
- 强制云交付保护（MAPS）级别：在「…→ Microsoft Defender 防病毒 → MAPS」中配置为“加入高级MAPS”，提升威胁识别速度；
- 部署脱机扫描快捷方式（非自动，但可标准化）：使用组策略首选项（GPP）将批处理脚本或快捷方式推送到所有终端桌面，内容为：MpCmdRun.exe -Scan -ScanType 7（该命令会提示重启进入离线扫描）；
- 结合 Defender for Endpoint 实现智能触发：若已部署 EDR，可在管理中心设置自动化响应规则——当检测到特定高危行为（如勒索软件模式）时，自动下发离线扫描指令（需客户端版本 ≥ 4.18，且设备满足 WinRE 可用条件）。
若仍需定期执行离线扫描的现实建议
适用于高合规要求环境（如金融、政务），可采用半自动化流程：
- 利用 PowerShell + SCCM/Intune 批量下发重启前检查脚本，确认 WinRE 分区健康、磁盘空间充足；
- 通过维护窗口安排终端分批重启，并在启动时自动进入 WinRE 执行扫描（需提前用 reagentc /enable 启用恢复环境，并配置 BCD 启动项）；
- 扫描结果日志默认保存在 X:\Windows\System32\LogFiles\MpEngine\（WinRE 中的 X: 盘），需配合日志收集工具统一回传分析。
离线扫描的本质是“救急手段”，不是日常防护环节。真正有效的全网终端安全策略，应聚焦于实时防护加固、攻击面缩减与EDR联动响应，而非试图把它变成定时任务。
