要真正防住系统组件被篡改，必须先关闭Windows Defender的“防篡改保护”，再通过组策略禁用注册表编辑器、固定浏览器主页、屏蔽控制面板与设置应用，并强制刷新策略生效；最后启用Windows原生篡改保护加固关键注册表路径。
要真正防住系统组件被篡改，光靠关掉某个功能远远不够。核心在于切断未授权修改的路径——组策略正是windows里最直接、最底层的控制手段，尤其在专业版及以上系统中，它能覆盖注册表、服务、进程行为等多个层面。
先关掉防篡改保护（否则策略会被自动恢复）
Windows Defender自带的“防篡改保护”会主动监控并回滚安全类设置修改，包括组策略变更。不关它，后续所有操作都可能白费。
- 打开“Windows 安全中心” → “病毒和威胁防护” → “管理设置”
- 找到“防篡改保护”，把它设为关闭状态
- 重启电脑，确保内核级驱动完全卸载
- 验证：运行 PowerShell 命令 Get-MpPreference | Select-Object EnableTamperProtection，输出应为 False
锁定关键系统组件的组策略路径
组策略不是只管Defender，它能约束浏览器主页、注册表编辑器、控制面板、设置应用等高频被劫持入口。
- 禁用注册表编辑器：用户配置 → 管理模板 → 系统 → “阻止访问注册表编辑工具” → 启用
- 固定IE/Edge主页：用户配置 → 管理模板 → Windows组件 → Internet Explorer → “禁用更改主页设置” → 启用，并填入可信网址
- 屏蔽控制面板与设置应用：用户配置 → 管理模板 → 控制面板 → “禁止访问控制面板和PC设置”；再进“设置应用”节点启用“阻止用户访问‘设置’应用”
- 限制系统工具调用：计算机配置 → 管理模板 → 系统 → “阻止访问命令提示符”可选启用（配合脚本管控更有效）
加固策略生效机制
策略写进去不等于起效。很多用户改完就以为万事大吉，结果发现没反应——其实是没强制刷新或权限没落到位。
- 每改完一个策略，建议在管理员命令提示符中运行 gpupdate /force 强制更新
- 确认当前用户属于“Administrators”组，且策略目标是“计算机配置”（影响全系统）或“用户配置”（按登录用户生效）
- 若策略在域环境部署，需检查GPO链接是否正确、是否有更高优先级策略覆盖
- 重启后检查任务管理器中是否还有 MsMpEng.exe 或 SecurityHealthService 高占用，这是Defender仍在后台活动的信号
补充一层防御：启用Windows原生篡改保护
别只盯着关功能，也要用好系统自带的“守门人”。Windows安全中心的篡改保护不仅护Defender，也盯注册表敏感路径、启动项、浏览器设置等常见篡改点。
- 进入“Windows 安全中心” → “病毒和威胁防护” → “管理设置” → 打开“篡改保护”
- 它会自动保护 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies 等关键注册表分支
- 注意：该功能与前面手动关闭的Defender防篡改保护不冲突，它是独立启用的系统级防护层
