用GPO实施终端恶意软件清理周期的核心是利用Microsoft Defender原生调度能力，通过组策略统一配置扫描类型、时间、频率及防篡改设置，并启用自动修复与日志监控以确保策略强制生效和执行可追溯。
用 gpo 实施终端恶意软件清理周期，核心是借助 microsoft defender 防病毒的原生调度能力，通过组策略统一设定扫描类型、时间与频率，并确保策略强制生效、不被本地覆盖。它不是靠脚本“手动杀毒”，而是让系统按计划自动执行深度扫描与修复，兼顾效率与可控性。
配置 Defender 定期扫描任务
该策略位于计算机配置路径下，直接影响所有域内终端行为。
- 进入「计算机配置 → 管理模板 → Windows 组件 → Microsoft Defender 防病毒 → 扫描」
- 启用「启用预定扫描」，并指定扫描类型：推荐选「完整扫描」（覆盖启动项、注册表、所有文件）；若终端性能受限，可先设为「快速扫描」+ 更高频率
- 设置「预定扫描时间」：建议避开业务高峰，如每天凌晨 2:00；也可设为每周一次（如周日凌晨），视终端负载灵活调整
- 若需强化响应，可同时启用「启用实时保护」和「启用云提供的保护」，确保扫描时能调用最新威胁情报
统一管控扫描行为与权限
避免用户绕过或修改策略，是周期清理有效的前提。
- 在同一路径下，启用「防止用户在本地修改 Microsoft Defender 防病毒策略设置」——默认即启用，确保 GPO 下发的扫描计划不可被普通用户关闭或调整
- 若组织启用了防篡改（Tamper Protection），无需额外操作；该功能会自动锁定 Defender 设置，包括扫描计划、排除项、实时保护开关等
- 如确需允许部分技术人员临时调试，可通过故障排除模式短暂停用防篡改，但不应在 GPO 中全局禁用
补充清理动作与结果反馈
GPO 本身不提供日志汇总，需配合其他机制确认执行效果。
- 启用「扫描后自动应用修复操作」：在扫描策略中勾选「检测到威胁时自动采取措施」，避免仅告警不处理
- 推荐搭配 Windows 事件日志监控：Defender 扫描结果记录在
Applications and Services Logs → Microsoft → Windows → Windows Defender → Operational，可通过集中日志平台（如 Sentinel 或 ELK）采集分析 - 对于长期离线终端，可额外部署启动脚本作为兜底：用 PowerShell 调用
Start-MpScan -ScanType FullScan，并通过 GPO 的「计算机启动脚本」下发，确保开机即补扫
不复杂但容易忽略。
