简介：针对Win11/Win10系统自带Windows Defender难以彻底关闭、后台通知反复出现的痛点，这份PDF教程整理了从关闭UAC通知、禁用防火墙、关闭基于声誉的保护与病毒防护管理设置，到通过注册表命令和DestroyDefender工具一键停用Defender的完整流程，并特别给出Win10家庭版同样适用的操作路径，适合新装机用户、受Defender资源占用困扰或需切换第三方杀毒软件的人群。压缩包内共1个PDF文件，大小19.04MB，图文步骤清晰，包含每个环节的具体点击位置与命令行输入，对照执行即可解决此前看过各种帖子仍无法关闭的问题。已有13087人学习下载，教程末尾还补充了重启生效及关闭后的安全建议，提醒用户完全关闭内置防护后应安装信誉良好的替代杀毒软件，并在日常使用中保持系统更新，从而在不误伤系统防护的前提下完成自定义安全配置。
1. 新装机第一件事：为什么有人非要彻底关掉系统自带的 Windows Defender
新装机、装完 Win11/Win10 之后，很多人第一件事不是装驱动，而是先把 Windows Defender 关掉。原因很现实：刚装完的系统里 Defender 默认开始后台扫描，CPU 和磁盘占用明显，再加上装激活工具、绿色小软件、破解文件时它反复弹窗拦截，严重时在你点“允许”之后还是把文件隔离。Windows Defender 在这两代系统里是真正在工作的杀毒软件，不是摆设，它有实时防护、云扫描和动态签名服务，设置面板里的开关只能让它“休息”几分钟到几小时，重启后大概率自动恢复。这篇文章要讲的，是“彻底关闭”而不是“临时关闭”：关掉实时防护、关掉后台服务、关掉安全中心的所有通知，并让系统更新之后不会又被悄悄打开。适合刚装完 Win11/Win10、准备换第三方杀软的新装机用户，也适合低配机器上不想被后台扫描拖慢的人。
2. 先搞懂 Defender 的权限结构：临时开关、篡改保护与三大关闭路径的分界
2.1 临时关闭实时保护只要三步：入口、生效范围与重新打开的条件
Windows Defender 的实时保护开关在系统设置里：设置 -> 隐私和安全性 -> Windows 安全中心 -> 病毒和威胁防护 -> 管理设置。里面有一排开关，包括实时保护、云提供的保护、自动提交样本、篡改保护。把“实时保护”关掉，Defender 就不再监控新写入的文件和新启动的进程，这个操作绝大多数机器上立即生效，不需要重启。但关键是：这个开关不是持久状态，它在系统重启后自动打开，而且当你装了新的驱动、运行了某些系统更新组件时，也可能被系统自动重置为开启。它的本质是一个会话级配置，写在临时状态里，不写入持久化策略库，所以重启即失效。
如果你只是想让某个文件别被拦，或者短时间内需要让后台扫描停下，用这个开关就够，不必碰注册表和组策略。很多问“为什么我关了实时保护还是有通知”的人，是因为只关到这里。实时保护关掉之后，Defender 的定时扫描、快速扫描、右键菜单扫描、后台通知依然都在，它只是不实时盯文件了，不等于“杀毒软件已关闭”。这个区别必须记清楚，否则后面每一步都会对不上号。
我的建议是：动手前先明确自己要的是哪一个状态。只想别弹窗，去关通知；想停止实时扫描但保留有杀毒能力的软件，走临时开关；想让 Defender 整个退出，才需要看 2.3。目标定错了，后面所有操作都是浪费时间。
2.2 篡改保护（Tamper Protection）是你关闭路上真正的第一道墙
在临时关闭那一排开关里，有一个“篡改保护”，默认开启。它的作用是防止除系统更新和安全软件以外的一切程序修改 Defender 的配置。说白了，它防的就是你手动去改注册表、改组策略、改服务启动类型来关闭 Defender。如果不去动它，直接到注册表里改 Windows Defender 的键值，大概率出现三种结果：改完立刻被系统回滚，改的时候提示拒绝访问，或者改完表面生效但几分钟后 Defender 自己把注册表恢复回去。这不是玄学，是篡改保护在起作用。
所以任何“彻底关闭”方案，第一步都是先打开 Windows 安全中心 -> 病毒和威胁防护 -> 管理设置，把“篡改保护”关掉。关掉之后系统会弹警告，提示设备容易受攻击，忽略即可。这一步做完，再谈组策略和注册表，否则后面所有操作都可能被系统“暗改”。网上流传的很多关闭方法是直接给一段注册表命令，从来没提过篡改保护，这类方法在 Win10 21H2 之后和 Win11 上基本都会翻车，原因就在这里。
还要注意：篡改保护被关闭并不是一劳永逸的。系统更新、安全补丁、或者某些月度更新在安装后，可能把篡改保护重新打开。所以如果发现某天 Defender 突然“复活”，第一时间去安全中心看篡改保护是不是又变成开了。这条检查顺序，比反复重跑注册表脚本重要得多。
2.3 三大关闭路径与被动模式：先想清楚你要“关闭”还是“让位”
把篡改保护关掉之后，常见彻底关闭 Defender 的路径有三条。
第一条是组策略，路径是“计算机配置 -> 管理模板 -> Windows 组件 -> Microsoft Defender 防病毒”里的“关闭 Microsoft Defender 防病毒”策略。这是最接近官方支持的关闭方式，对系统版本有要求，Win10 2004 到 Win11 21H2 之间的大多数版本可用，再新的版本里作用会被削弱。第二条是注册表写策略键，本质是绕过组策略编辑器直接写 HKLM\SOFTWARE\Policies\Microsoft\Windows Defender 下的 DisableAntiSpyware 等值。第三条是修改 WinDefend 服务的启动类型为禁用。第三条在传统杀软时代是通用做法，但现在的系统里，WinDefend 服务被保护，直接改会失败或重启后被修复。
这三条路径不是三选一，是递进关系。我装机时一般这样组合：先关篡改保护，再用组策略把“关闭 Microsoft Defender 防病毒”和“关闭实时保护”一起启用；没有组策略的家庭版走注册表方案；最后视版本情况尝试禁用服务。每走一步，先验证一步，验证方法在第 6 章。
不过这里有一个更省事的思路需要讲清楚：如果你本来就要装第三方杀软，其实不需要手动关闭 Defender。Defender 检测到第三方杀软接管实时防护后，会自动进入被动模式（Passive Mode），在这个状态下它会停掉实时监控、后台扫描和大部分通知，但保留病毒库更新和为第三方杀软提供底层支持。被动模式才是设计上“退位让贤”的正式路径，手动彻底关闭属于“强行拆台”。我见过的多数新装机场景，其实装个靠谱的第三方杀软就解决问题了，真正需要手动关闭的，是你确定不装任何杀软、或者第三方杀软和 Defender 同时开启出现冲突的那部分人。
3. 用组策略和注册表把 Defender 关掉：教程能跑的完整配置
3.1 组策略关闭 Defender 防病毒：四个策略项的完整配置
组策略方法适用于 Win10 专业版/企业版/教育版和 Win11 专业版以上的系统。打开方式：Win+R 输入 gpedit.msc 回车。路径：计算机配置 -> 管理模板 -> Windows 组件 -> Microsoft Defender 防病毒。
在这个节点下，你至少需要设置四个策略项。第一项是根目录下的“关闭 Microsoft Defender 防病毒”，双击选择“已启用”。这个策略是总开关，对应注册表里的 DisableAntiSpyware。第二项是“实时保护”子目录下的“关闭实时保护”，也选“已启用”。第三项是“MAPS”子目录下的“加入 Microsoft MAPS”，选中改成“已禁用”，避免客户端提交样本。第四项是“扫描”子目录下的计划任务相关策略，包括计划扫描、快速扫描、定义更新，把它们逐项禁用。前两项负责让 Defender“停手”，后两项负责让它“闭嘴”，尤其是第四项，后台定期唤醒扫描的元凶就是这几个计划任务。
gpupdate /force这条命令的作用是强制从本机组策略重新应用一次配置，把所有策略项的生效状态推送到注册表并通知相关服务。注意执行后不要立刻关窗口，等它返回“计算机策略更新成功”。如果返回“策略无法刷新”，优先检查策略路径是否存在；Win11 23H2 之后的版本里，“关闭 Microsoft Defender 防病毒”这项经常找不到，或者选完“已启用”后安全中心依旧正常工作。这说明该策略在新版本里已经被边缘化，只靠它不够。
3.2 家庭版没有组策略：注册表方案与它在新版系统上的边界
家庭版系统默认没有组策略编辑器，Win+R 输入 gpedit.msc 会提示找不到。不建议去装第三方的组策略组件包，装了也不稳定，而且这类组件包有时会被 Defender 当成风险软件处理，给你添更多乱。家庭版最直接的做法是把组策略要写的内容用注册表写进去。
以管理员身份的 PowerShell 为例，下面这串命令把“关闭 Defender 防病毒”策略写入注册表：
# 创建策略目录，-Force 表示目录已存在时不报错 New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender" -Force # 写入 DisableAntiSpyware 值为 1，表示启用关闭 Defender 的策略 New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender" -Name "DisableAntiSpyware" -Value 1 -PropertyType DWord -Force第一行的 New-Item 负责创建策略目录，如果目录已存在，-Force 参数避免抛异常。第二行的 New-ItemProperty 新建一个 DWord 值，值名为 DisableAntiSpyware，值为 1。这是组策略“关闭 Microsoft Defender 防病毒”在注册表中的持久化形态。
写完验证一下是否真正写入：
reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware返回DisableAntiSpyware REG_DWORD 0x1表示写入成功。如果返回 0x0，说明写入失败或已经被系统回滚，先检查 2.2 里说的篡改保护是否没关干净。如果连键都读不到，回上一步重新建目录。
注意：DisableAntiSpyware 这个键在 Win10 1903 之后的不少大版本里已经开始失效，注册表显示 1，但 Defender 实时保护还是开着。原因很简单：Defender 平台架构更新了，旧策略键只作用于旧的 Defender 客户端，对基于新架构的底层驱动不生效。网上有些教程只说这条命令，是因为那套方法针对的是两三年前的旧镜像。
3.3 禁用 WinDefend 服务：启动类型、依赖与计划任务
组策略和注册表都改过之后，任务管理器里可能依然有 Defender 相关进程在跑，这是正常的。要让核心服务停下来，需要处理 WinDefend 服务。以管理员身份打开 cmd，先把状态看一下：
sc query WinDefend正常会看到 STATE 为 RUNNING，START_TYPE 为 2（自动）。然后把它改为禁用：
sc config WinDefend start= disabled注意 sc 命令语法里，“start=” 的等号与值之间必须有一个空格，等号前面不能有空格，否则会提示参数无效。执行后再用 sc query WinDefend 看，START_TYPE 应变成 4（禁用）。
现实一点：在 Win10 2004、Win10 21H2、Win11 的多数环境下，执行这条命令会收到“拒绝访问”提示，因为 WinDefend 服务注册表键的权限里，SYSTEM 和 TrustedInstaller 对启动类型字段有保护。sc config 失败时，我可以改用注册表直接写：
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\WinDefend" -Name "Start" -Value 4 -PropertyType DWord -Force如果这条也提示权限不足，说明当前权限级别不够，或该注册表项被系统保护。网上很多工具的原理是取得该键所有权或改用 TrustedInstaller 权限执行修改，这条路能通，但我不建议先上工具，因为不少工具会把整个 WinDefend 键删掉或者大幅改权限，导致后续系统更新报错、安全中心状态异常，变成另一类问题。
服务改为禁用之后，还有一个常被忽略的地方：任务计划程序库 -> Microsoft -> Windows -> Windows Defender，里面有多个计划任务，触发条件是系统启动、空闲定期扫描。这些任务运行时会重新拉起 Defender 相关进程。把它们逐个右键禁用。禁用计划任务不会破坏系统，但能有效防止服务被“唤醒”后再弹出来。
| 关闭方案 | 适用系统版本 | 生效程度 | 风险 |
|---|---|---|---|
| 组策略“关闭 Defender 防病毒” | Win10 2004 到 Win11 21H2 可用，更新版本减弱 | 中，新版可能失效 | 低，官方预留策略 |
| 注册表 DisableAntiSpyware | Win10 1903 前有效，之后部分版本失效 | 低 | 极低 |
| 禁用 WinDefend 服务 | 全版本可尝试，新旧版本都可能被拒绝 | 高 | 中，需配合计划任务禁用 |
| 被动模式 | 全版本 | 高 | 低，装第三方杀软自动触发 |
4. 关闭 Defender 后台通知：从系统通知入口到安全中心横幅
4.1 通知的两个来源：系统通知面板与安全中心内提示的区别
Defender 的弹窗通知来自两个完全不同的渠道，很多人只关了一个，另一个继续刷屏。第一个来源是 Windows 系统通知中心：右下角弹出“检测到威胁”“已阻止恶意软件”横幅。这类通知在“设置 -> 系统 -> 通知”里按应用关闭。第二个来源是 Windows 安全中心应用内的提示：打开安全中心，病毒和威胁防护页面顶部出现黄色或红色横幅，内容包括“需要采取操作”“实时保护已关闭”“处理器保护不兼容”等。这类通知不进系统通知中心，但给人的观感就是“杀软还活着”。
两个来源要分别处理。第一种在系统通知设置里关闭 Windows 安全中心的通知权限就行。第二种需要把安全中心的策略改掉，或者把负责显示通知的服务一并停下。只做其一，都会觉得“没关干净”，其实是你没找到另一个入口。
4.2 组策略与注册表关闭通知：先走后门再堵前门
先做最简单的：设置 -> 系统 -> 通知，找到 Windows 安全中心，关闭通知开关。这一步能挡住大部分右下角横幅。但 Defender 有时不通过“Windows 安全中心”这个应用发通知，而通过安全健康服务（SecurityHealthService.exe）来发，后者在通知列表里不一定单独出现，系统更新后通知权限也可能被重置。所以关键还是要走组策略。
组策略里有一个专门的开关，路径是：计算机配置 -> 管理模板 -> Windows 组件 -> Windows 安全中心 -> “隐藏通知区域中的所有通知”。设为“已启用”后，安全中心的所有提示横幅都会被隐藏。这个策略对 Win10 和 Win11 通用，效果很直接。
没有专业版组策略的家庭版，就写注册表：
# 创建安全中心策略目录 New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender Security Center" -Force # 写入关闭通知策略，1 表示隐藏所有安全中心通知 New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender Security Center" -Name "DisableNotifications" -Value 1 -PropertyType DWord -Force这个键对应的就是组策略里“隐藏通知区域中的所有通知”。键名是 Windows Defender Security Center，不是 Windows Defender，网上经常有人搞混，导致写了等于白写。写完后同样可以用 reg query 验证。
4.3 最彻底的通知关闭方案：禁用安全健康服务的代价
如果你连安全中心界面里的横幅和托盘图标都不想看到，还有一个更彻底的思路：把负责弹通知的安全健康服务停掉。在管理员 PowerShell 里执行：
# SecurityHealthService 是安全中心的通知与状态服务，改为禁用 New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\SecurityHealthService" -Name "Start" -Value 4 -PropertyType DWord -Force执行后重启或手动停止该服务，安全中心界面会变成无法打开，通知、横幅、托盘图标一同消失。这一步效果最彻底，但有副作用：系统设置里的 Windows 安全中心打不开，某些安全状态提示也失效。如果你只是想安静用第三方杀软，这个代价可接受；如果你以后还想看到 Defender 相关的状态信息，建议只用 4.2 的通知策略，不要禁这个服务。
提示：禁用 SecurityHealthService 后，打开 Windows 安全中心会一直转圈或提示“此应用无法打开”。这是预期结果，不是故障。想恢复，把 Start 值改回 2 或 3，重启服务即可。
5. Defender 被重新打开的三类高频现场：新装机避坑手册
5.1 现象：一次系统更新后 Defender 满血复活
最典型的场景：按前文步骤把策略、服务、通知全部关掉，用了几天一切正常，某次系统更新或月度补丁装完后，Defender 回来了，实时保护又亮了，通知又开始弹。原因有两个：一是系统更新会重新安装 Defender 平台组件，更新过程中重置服务状态；二是更新过程中篡改保护被重新打开，把之前写入的策略键值当成风险配置回滚掉。
解决方法是更新后走一遍完整关闭流程，重点在第一步就检查篡改保护是否被打开。我一般会把组策略注册表写入、服务禁用、计划任务禁用封在一个批处理脚本里，更新后重新执行。脚本里只包含策略写入和服务配置，不涉及删除文件或修改权限等危险操作，反复执行是安全的。不要每次手动点那么多层菜单，新装机半年内系统更新频繁，这一步能省很多事。
5.2 现象：装了系统优化工具后 Defender 自动恢复
另一个常见情况是：装了一些系统优化工具、安全工具，这类工具自带“健康修复”功能，检测到 Defender 被关闭时会主动帮你“修复”，把策略和篡改保护恢复默认。这不是工具出 bug，而是它们默认把“安全中心被禁用”当成系统异常处理了。
解决：装优化工具之前先想清楚是否需要它的安全中心管理功能。如果已经装了并且冲突，去工具设置里找“安全中心修复”“系统防护恢复”之类的选项并关掉。之后把 3.2 的注册表策略重新写一遍，再去检查篡改保护的状态。顺序不能反，否则工具会再次自动修复。
5.3 现象：在“可选功能”里找不到 Windows Defender 条目
有些教程让人从“设置 -> 应用 -> 可选功能”里找到 Windows Defender 并卸载，这条路在多数版本上走不通。Win10 早期镜像和 Win11 不同版本里，可选功能列表是否显示相关条目取决于系统镜像版本。找不到条目，不代表 Defender 没装，而是它属于系统不可卸载组件。此时不要在可选功能里硬找，直接走组策略和服务方案就好。
这个坑的特点是浪费时间。用户照着教程找半天卸载入口，找不到之后开始怀疑自己的系统是精简版，甚至重装系统，结果重装完问题照旧。记住一条结论：Win10 2004 之后和 Win11 的 Defender 主体，不支持通过“可选功能”卸载，只能在策略和服务层面控制。
5.4 现象：安全中心报错 0x800704EC 但一切看似正常
有一种状态是策略应用了，但是安全中心页面报错 0x800704EC，同时病毒和威胁防护的实时保护状态显示未知或无法启动。这个错误码通常不是策略写错了，而是 WinDefend 服务处于禁用状态，但安全中心服务还在尝试读取它的状态，两边状态不一致，UI 无法正常显示。
解决思路：先确认 WinDefend 是不是自己手动禁用的。如果是，这个错误码其实是“预期行为”，说明服务已经被停掉，安全中心拿不到状态。如果不希望看到错误码，把 SecurityHealthService 也禁掉，安全中心整个打不开就不会报错了；或者反过来，把 WinDefend 启动类型改回自动，只保留组策略里的“关闭实时保护”，让服务运行但不监控，安全中心能正常显示状态，两边的矛盾也就消失了。后一种是我更推荐的折中，对更新兼容性也更好。
6. 关完别急着重启：先用命令验证，留好后悔药
6.1 用 PowerShell 一条命令确认 Defender 真的下班
做完所有改动后不要立刻重启。用管理员身份打开 PowerShell，输入：
Get-MpComputerStatus | Select-Object AMRunningMode, RealTimeProtectionEnabled如果 RealTimeProtectionEnabled 显示 False，说明实时防护已经关闭；AMRunningMode 显示 Normal 表示处于被动模式或已由策略接管。如果 RealTimeProtectionEnabled 仍然显示 True，说明注册表或组策略没有真正生效，回头检查篡改保护是不是又被打开。确认状态之前，重启和反复操作都是白费。
再检查服务层：
sc query WinDefend sc query SecurityHealthServiceWinDefend 的 START_TYPE 为 4 表示主服务已禁用；SecurityHealthService 的 STATE 为 STOPPED 且 START_TYPE 为 4，表示通知服务已停。两条都符合预期，才算“彻底关闭”真正落地。
6.2 留一份恢复脚本的习惯与最后的安全提醒
我个人的习惯是关闭脚本里同时写好还原命令：DisableAntiSpyware 改回 0、服务 Start 改回 2、计划任务重新启用。系统更新把 Defender 搞成半死不活状态时，有这份“后悔药”就能快速还原到系统默认，而不必面对一个既不杀毒又不停报错的安全中心。半禁用状态永远是最难排查的，完全关闭和完全恢复都不可怕，怕的是卡在中间。
新装机还有一个实际问题需要考虑：彻底关闭 Defender 后，在装好替代安全方案之前，机器处于无杀软状态。建议关闭的同时就装好信任的第三方杀软，如果坚持不装，就要从可信来源下载软件，不双击不明来源的文件。Defender 可以关，风险意识不能关。
希望这套流程能帮到你，装完 Win11/Win10 之后不再被扫描和提示反复折腾。
本文还有配套的精品资源，点击获取
