>

用 PowerShell 启用 Defender 攻击面缩减规则（ASR）

逐条开启微软 Defender 的 ASR 规则，例如阻止 Office 程序创建子进程。

WindowsDefender安全asr 系统克隆低风险
运行 `Add-MpPreference -AttackSurfaceReductionRules_Ids D4F940AB-401B-4EFC-AADC-AD5F3C50688A -AttackSurfaceReductionRules_Actions Enabled`，即可启用该 ASR 规则。

01命令

命令
$ Add-MpPreference -AttackSurfaceReductionRules_Ids D4F940AB-401B-4EFC-AADC-AD5F3C50688A -AttackSurfaceReductionRules_Actions Enabled

02作用说明

每条 ASR 规则都有固定 GUID——D4F940AB… 对应“阻止 Office 应用创建子进程”，这是勒索软件常见的入侵入口。规则可以逐条或批量启用，Actions 还支持 AuditMode 审计模式，只记录不拦截。建议先在审计模式观察一段时间，再切换为正式启用。

03风险

风险低风险
使用条件Administrator PowerShell; requires Microsoft Defender Antivirus as the active antivirus (third-party AV replaces it).
!注意: 在个人电脑上一次性启用所有规则可能误拦正常脚本和安装程序，请先审计再启用。

04撤销

撤销
$ Add-MpPreference -AttackSurfaceReductionRules_Ids D4F940AB-401B-4EFC-AADC-AD5F3C50688A -AttackSurfaceReductionRules_Actions Disabled

05来源

  • Enable attack surface reduction rules
    Microsoft Learn · vendor-doc · 2026-09-17
    依据: PowerShell instructions use Add-MpPreference with -AttackSurfaceReductionRules_Ids and -AttackSurfaceReductionRules_Actions, listing rule GUIDs including D4F940AB-401B-4EFC-AADC-AD5F3C50688A.
  • Add-MpPreference (Defender)
    Microsoft Learn · vendor-doc · 2026-09-17
    依据: Documents the AttackSurfaceReductionRules_Ids and AttackSurfaceReductionRules_Actions parameters.

最后验证: 2026-09-19 · 分类: 安全与隐私

06相关方案

用 Set-ExecutionPolicy 解决「禁止运行脚本」报错
Windows终端开发安全

理解 PowerShell 执行策略的作用域,选择既能运行自己的本地脚本、又不破坏安全模型的策略。

中风险 ✓ 2026-09-17
用 takeown 和 icacls 夺回文件所有权
Windows文件系统安全

两步命令把自己设为被锁定文件树的所有者并授予完全控制权限,是修复「拒绝访问」的标准做法。

高风险 ✓ 2026-09-17
用 certutil -hashfile 校验文件哈希
Windows哈希命令提示符安全

Windows 内置命令，可计算任意文件的 MD5、SHA1 或 SHA-256 哈希。

低风险 ✓ 2026-09-17