Windows Server 上的 Microsoft Defender 防病毒软件

适用于：

• Microsoft Defender for Endpoint 计划 1
• Microsoft Defender for Endpoint 计划 2

Microsoft Defender防病毒在以下版本的 Windows Server 中可用：

• Windows Server 2022
• Windows Server 2019
• Windows Server 版本 1803 或更高版本
• Windows Server 2016
• Windows Server 2012 R2 (需要Microsoft Defender for Endpoint)

在 Windows Server 上设置Microsoft Defender防病毒

在 Windows Server 上设置和运行 Microsoft Defender 防病毒的过程包括以下步骤：

1. 启用 接口。
2. 安装Microsoft Defender防病毒。
3. 验证防病毒Microsoft Defender正在运行。
4. 更新反恶意软件安全智能。
5. (根据需要) 提交示例。
6. (根据需要) 配置自动排除项。
7. (仅在必要时) 将 Windows Server 设置为被动模式。

在 Windows Server 上启用用户界面

重要

如果使用 Windows Server 2012 R2，请参阅安装Microsoft Defender for Endpoint的选项。

默认情况下，Microsoft Defender防病毒在 Windows Server 上安装并正常运行。 有时，默认情况下会安装用户界面 (GUI) 。 不需要 GUI;可以使用 PowerShell、组策略或其他方法来管理Microsoft Defender防病毒。 但是，许多组织倾向于将 GUI 用于Microsoft Defender防病毒。 若要安装 GUI，请使用下表中的过程之一：

Procedure	需执行的操作
使用添加角色和功能向导打开 GUI	1.请参阅 使用添加角色和功能向导安装角色、角色服务和功能，并使用 添加角色和功能向导。 2. 在到达向导的“功能”步骤时，在“Windows Defender功能”下，选择“用于Windows Defender的 GUI”选项。
使用 PowerShell 打开 GUI	1. 在 Windows Server 上，以管理员身份打开Windows PowerShell。 2.运行以下 PowerShell cmdlet： Install-WindowsFeature -Name Windows-Defender-GUI

有关详细信息，请参阅使用 PowerShell 入门。

在 Windows Server 上安装Microsoft Defender防病毒

如果需要在 Windows Server 上安装或重新安装Microsoft Defender防病毒，请使用下表中的过程之一：

Procedure	需执行的操作
使用“添加角色和功能向导”安装Microsoft Defender防病毒	1.请参阅 安装或卸载角色、角色服务或功能，并使用 添加角色和功能向导。 2. 访问向导的“功能”步骤时，选择“Microsoft Defender防病毒”选项。 此外，选择“用于Windows Defender的 GUI”选项。
使用 PowerShell 安装Microsoft Defender防病毒	1. 在 Windows Server 上，以管理员身份打开Windows PowerShell。 2.运行以下 PowerShell cmdlet： Install-WindowsFeature -Name Windows-Defender

注意

Microsoft Defender防病毒附带的反恶意软件引擎的事件消息可以在Microsoft Defender防病毒事件中找到。

验证Microsoft Defender防病毒正在运行

安装 (或重新安装) Microsoft Defender 防病毒后，下一步是验证它是否正在运行。 使用下表中的 PowerShell cmdlet：

Procedure	PowerShell cmdlet
验证Microsoft Defender防病毒是否正在运行	Get-Service -Name windefend
验证防火墙保护是否已打开	Get-Service -Name mpssvc

作为 PowerShell 的替代方法，可以使用命令提示符来验证防病毒Microsoft Defender是否正在运行。 为此，请从命令提示符运行以下命令：

sc query Windefend

命令sc query返回有关Microsoft Defender防病毒服务的信息。 当Microsoft Defender防病毒正在运行时STATE，值将显示 RUNNING。

若要查看未运行的所有服务，请运行以下 PowerShell cmdlet：

sc query state= all

更新反恶意软件安全智能

重要

从平台版本 4.18.2208.0 及更高版本开始：如果服务器已载入Microsoft Defender for Endpoint，“关闭Windows Defender”组策略设置将不再完全禁用Windows Defender防病毒Windows Server 2012 R2 及更高版本。 相反，它会将其置于被动模式。 此外， 篡改防护 功能将允许切换到主动模式，但不允许切换到被动模式。

• 如果“关闭Windows Defender”在载入到Microsoft Defender for Endpoint之前已到位，则不会发生任何更改，并且 Defender 防病毒将保持禁用状态。
• 若要将 Defender 防病毒切换到被动模式，即使它在载入前已禁用，也可以应用值为 的 1ForceDefenderPassiveMode 配置。 若要将其置于活动模式，请改为将此值 0 切换到 。

请注意启用篡改防护时修改ForceDefenderPassiveMode的逻辑：一旦Microsoft Defender防病毒切换到主动模式，篡改保护将阻止它回到被动模式，ForceDefenderPassiveMode即使设置为 1。

若要获取常规安全智能更新，必须运行 Windows 更新 服务。 如果使用更新管理服务（如 Windows Server Update Services (WSUS) ），请确保Microsoft Defender防病毒安全智能更新已批准用于你管理的计算机。

默认情况下，Windows 更新不会在 Windows Server 2019、Windows Server 2022 或 Windows Server 2016 上自动下载和安装更新。 可以使用以下方法之一更改此配置：

方法	说明
控制面板 中的Windows 更新	自动更新更新会导致自动安装所有更新，包括Windows Defender安全智能更新。 下载更新，但让我选择安装它们是否允许Windows Defender自动下载和安装安全智能更新，但不会自动安装其他更新。
组策略	可以在以下路径中使用 组策略 中提供的设置来设置和管理Windows 更新：管理模板\Windows 组件\Windows 更新\配置自动汇报
AUOptions 注册表项	以下两个值允许Windows 更新自动下载并安装安全智能更新： 4 - 自动安装更新。 此值会导致自动安装所有更新，包括Windows Defender安全智能更新。 3 - 下载更新，但让我选择是否安装更新。 此值允许Windows Defender自动下载并安装安全智能更新，但不会自动安装其他更新。

若要确保保持对恶意软件的保护，请启用以下服务：

• Windows 错误报告服务
• Windows 更新服务

下表列出了Microsoft Defender防病毒服务和依赖服务。

服务名称	文件位置	说明
Windows Defender服务 (WinDefend)	C:\Program Files\Windows Defender\MsMpEng.exe	此服务是需要始终运行的main Microsoft Defender防病毒服务。
Windows 错误报告服务 (Wersvc)	C:\WINDOWS\System32\svchost.exe -k WerSvcGroup	此服务将错误报告发送回 Microsoft。
Windows 防火墙 (MpsSvc)	C:\WINDOWS\system32\svchost.exe -k LocalServiceNoNetwork	建议启用 Windows 防火墙服务。
Windows 更新 (Wuauserv)	C:\WINDOWS\system32\svchost.exe -k netsvcs	获取安全智能更新和反恶意软件引擎更新需要Windows 更新

提交示例

示例提交允许 Microsoft 收集潜在恶意软件的示例。 为了帮助提供持续和最新的保护，Microsoft 研究人员使用这些示例来分析可疑活动并生成更新的反恶意软件安全智能。 我们收集程序可执行文件，例如 .exe 文件和 .dll 文件。 我们不会收集包含个人数据的文件，例如 Microsoft Word 文档和 PDF 文件。

提交文件

1. 查看 提交指南。

2. 访问 示例提交门户并提交文件。

启用自动示例提交

若要启用自动示例提交，请以管理员身份启动Windows PowerShell控制台，并根据以下设置之一设置 SubmitSamplesConsent 值数据：

Setting	说明
0 - 始终提示	Microsoft Defender防病毒服务会提示确认提交所有必需的文件。 此设置是 Microsoft Defender 防病毒的默认设置，但不建议在 Windows Server 2016、2019 或没有 GUI 的 Windows Server 2022 上安装此设置。
1 - 自动发送安全示例	Microsoft Defender防病毒服务发送标记为“安全”的所有文件，并提示输入其余文件。
2 - 从不发送	Microsoft Defender防病毒服务不提示也不发送任何文件。
3 - 自动发送所有示例	Microsoft Defender防病毒服务发送所有文件，无需提示确认。

注意

此选项不适用于Windows Server 2012 R2。

配置自动排除项

为了帮助确保安全性和性能，系统会根据你在 Windows Server 2016 或 2019 或 Windows Server 2022 上使用 Microsoft Defender 防病毒时安装的角色和功能自动添加某些排除项。

请参阅在 Windows Server 上的 Microsoft Defender 防病毒中配置排除项。

被动模式和 Windows Server

如果使用非 Microsoft 防病毒产品作为 Windows Server 上的主要防病毒解决方案，则必须手动将 Microsoft Defender 防病毒设置为被动模式或禁用模式。 如果 Windows Server 终结点已载入Microsoft Defender for Endpoint，则可以将Microsoft Defender防病毒设置为被动模式。 如果不使用 Microsoft Defender for Endpoint，请将“Microsoft Defender防病毒”设置为“禁用”模式。

提示

请参阅Microsoft Defender防病毒与其他安全产品的兼容性。

下表介绍了将Microsoft Defender防病毒设置为被动模式、禁用Microsoft Defender防病毒和卸载防病毒Microsoft Defender的方法：

Procedure	说明
使用注册表项将Microsoft Defender防病毒设置为被动模式	ForceDefenderPassiveMode按如下所示设置注册表项： -路径： HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection -名字： ForceDefenderPassiveMode -类型： REG_DWORD -价值： 1
使用 PowerShell 关闭Microsoft Defender防病毒用户界面	以管理员身份打开Windows PowerShell，并运行以下 PowerShell cmdlet：Uninstall-WindowsFeature -Name Windows-Defender-GUI
使用 PowerShell 禁用Microsoft Defender防病毒实时保护	使用以下 PowerShell cmdlet： Set-MpPreference -DisableRealtimeMonitoring $true
使用“删除角色和功能”向导禁用Microsoft Defender防病毒	请参阅 安装或卸载角色、角色服务或功能，并使用 删除角色和功能向导。 进入向导的“功能”步骤时，请清除“Windows Defender功能”选项。 如果在“Windows Defender功能”部分下单独清除Windows Defender，系统会提示删除Windows Defender的接口选项 GUI。 Microsoft Defender防病毒在不使用用户界面的情况下正常运行，但如果禁用核心Windows Defender功能，则无法启用用户界面。
使用 PowerShell 卸载Microsoft Defender防病毒	使用以下 PowerShell cmdlet： Uninstall-WindowsFeature -Name Windows-Defender
使用 组策略 禁用Microsoft Defender防病毒	在本地组策略 编辑器中，导航到“管理模板>”“Windows 组件>终结点保护>”“禁用终结点保护”，然后选择“启用>确定”。

有关详细信息，请参阅 使用注册表项。

你使用的是 Windows Server 2012 R2 还是Windows Server 2016？

如果 Windows Server 已载入到Microsoft Defender for Endpoint，则可以在 Windows Server 2012 R2 和 Windows Server 2016 上以被动模式运行 Microsoft Defender 防病毒。 另请参阅以下文章：

• 用于安装Microsoft Defender for Endpoint的选项

• Microsoft Defender防病毒与其他安全产品的兼容性

如果卸载了非 Microsoft 防病毒产品，会发生什么情况？

如果在 Windows Server 上安装非 Microsoft 防病毒产品，Microsoft Defender防病毒可能已设置为被动模式。 卸载非 Microsoft 防病毒产品后，Microsoft Defender防病毒应自动切换到活动模式。 但是，某些版本的 Windows Server（例如Windows Server 2016）可能不会发生这种情况。 使用以下过程检查Microsoft Defender防病毒的状态，并在必要时将其设置为活动模式：

1. 按照本文) 验证Microsoft Defender防病毒是否正在运行 (中的指导，检查Microsoft Defender防病毒的状态。

2. 如有必要，请按照以下步骤手动将Microsoft Defender防病毒设置为活动模式：

   1. 在 Windows Server 设备上，以管理员身份打开注册表编辑器。

   2. 转到 Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection。

   3. 设置或定义名为 REG_DWORD 的 ForceDefenderPassiveMode条目，并将其值设置为 0。

   4. 重新启动设备。

提示

如果仍需要帮助，请参阅以下故障排除项：

• Microsoft Defender防病毒似乎停滞在被动模式下。
• 我在 Windows Server 2016 上重新启用 Microsoft Defender 防病毒时遇到问题。

另请参阅

• Windows 10 中的 Microsoft Defender 防病毒
• Microsoft Defender防病毒与其他安全产品的兼容性
• 用于Microsoft Defender防病毒的性能分析器

提示

想要了解更多信息？ Engage技术社区中的 Microsoft 安全社区：Microsoft Defender for Endpoint技术社区。