Windows系统内置多层防护机制，但需手动配置与更新才能生效：Defender默认启用云防护、ASR规则和漏洞利用防护；MRT每月自动扫描，Defender每周快速扫描；自动样本提交、隔离清理和受控文件夹访问等功能需手动开启。
windows 系统本身具备多层恶意行为识别与自动清理能力，但这些机制并非全自动“一劳永逸”，而是依赖配置、更新和用户配合才能真正生效。关键在于理解哪些功能是默认启用的、哪些需要手动开启，以及它们各自覆盖的威胁类型。
系统内置的实时识别机制
Microsoft Defender Antivirus 是 Windows 10/11 默认启用的核心防护组件，它不只是“杀毒软件”，而是一套持续运行的行为监控体系：
- 云交付保护（Cloud-delivered Protection）：实时接收微软全球威胁情报，对新出现的可疑文件或进程进行毫秒级信誉判定，无需等待本地病毒库更新
- 基于行为的防护（ASR – Attack Surface Reduction）：可配置规则阻止高危操作，例如禁止脚本修改注册表、阻止Office宏下载可执行文件、限制勒索软件加密行为等
- 内存扫描与漏洞利用防护（Exploit Protection）：监控进程内存异常分配、代码注入、反射式DLL加载等典型恶意行为，对无文件攻击（fileless attack）有基础拦截能力
定期自动清理的触发条件
Windows 不会每天主动“大扫除”，但以下两类机制会在后台静默执行清理动作：
- 恶意软件删除工具（MRT）月度自动运行：每月第二个周二随 Windows Update 推送更新后，系统会在空闲时段自动运行一次快速扫描，并清除已知高流行度恶意软件（如FakeAV、CoinMiner家族），结果记录在C:\Windows\Debug\mrt.log
- Defender 的定期快速扫描：若用户未禁用，默认每周日凌晨2点执行一次快速扫描；若检测到威胁且设置为“自动处理”，则直接隔离或删除，不弹窗提示
需手动启用的关键自动响应功能
很多防护能力默认关闭或设为“仅通知”，必须进入安全中心手动调整：
- 自动样本提交（Automatic Sample Submission）：开启后，Defender 可将未知但可疑的文件上传至微软云端分析，提升后续自动拦截概率
- 隔离区自动清理（Auto-remediation for quarantined items）：默认保留隔离文件30天，可设置为“发现即删除”或“7天后自动清除”，避免误隔离导致恢复困难
- 受控文件夹访问（Controlled Folder Access）：专防勒索软件，启用后只允许白名单程序写入文档、桌面等敏感路径，其他进程尝试写入会立即被拦截并记录日志
识别异常行为的实用自查方法
当系统出现卡顿、异常联网、CPU占用突增时，可快速验证是否为恶意行为：
- 打开任务管理器 → “详细信息”页 → 右键列标题 → 勾选“命令行”，查看可疑进程启动参数（如 svchost.exe 后跟 -k untrusted 或指向 Temp 文件夹的路径）
- 使用 PowerShell 运行：Get-MpThreatDetection | Sort-Object -Property InitialDetectionTime -Descending | Select-Object -First 5，查看最近5次 Defender 检测记录
- 检查计划任务：运行 taskschd.msc → 查看“任务计划程序库”中名称含 random、update、check、sync 等低可信度关键词的隐藏任务
