Добавить в корзинуПозвонить
Найти в Дзене
ТЕХНО 89

🛡️ WINDOWS DEFENDER: ПРОФЕССИОНАЛЬНЫЙ РАЗБОР МЕТОДОВ ДЕАКТИВАЦИИ В АКТУАЛЬНЫХ СБОРКАХ WINDOWS 💻

Инженеры сталкиваются с парадоксом: встроенная защита, призванная охранять систему, сама становится источником конфликтов. MsMpEng.exe потребляет ресурсы в фоне, WdFilter.sys перехватывает файловые операции на уровне ядра, а механизмы самовосстановления возвращают настройки вопреки воле администратора. 🎭 Это как если бы брандмауэр решал, когда вам разрешено менять правила брандмауэра. 🚫 Пусть донаты собирают бедные каналы. Мы можем себе позволить работать БЕСПЛАТНО. Спасибо за Вашу поддержку, лайки и репосты 🚫 🎯 Целевая аудитория — специалисты уровня Middle+ и выше, понимающие архитектурные последствия вмешательства в подсистемы безопасности. ⚠️ КРИТИЧЕСКОЕ ПРЕДУПРЕЖДЕНИЕ: полное отключение встроенной защиты без замены на сертифицированное решение класса EDR нарушает базовые принципы информационной безопасности. Домашним пользователям рекомендуется рассмотреть альтернативу в виде точечных исключений. Прежде чем что-либо отключать, необходимо понять, с чем именно мы взаимодействуем.
Оглавление

Инженеры сталкиваются с парадоксом: встроенная защита, призванная охранять систему, сама становится источником конфликтов. MsMpEng.exe потребляет ресурсы в фоне, WdFilter.sys перехватывает файловые операции на уровне ядра, а механизмы самовосстановления возвращают настройки вопреки воле администратора. 🎭 Это как если бы брандмауэр решал, когда вам разрешено менять правила брандмауэра.

🚫 Пусть донаты собирают бедные каналы. Мы можем себе позволить работать БЕСПЛАТНО. Спасибо за Вашу поддержку, лайки и репосты 🚫

🎯 Целевая аудитория — специалисты уровня Middle+ и выше, понимающие архитектурные последствия вмешательства в подсистемы безопасности.

⚠️ КРИТИЧЕСКОЕ ПРЕДУПРЕЖДЕНИЕ: полное отключение встроенной защиты без замены на сертифицированное решение класса EDR нарушает базовые принципы информационной безопасности. Домашним пользователям рекомендуется рассмотреть альтернативу в виде точечных исключений.

🧠 ГЛУБИННАЯ МЕХАНИКА: АРХИТЕКТУРА ЗАЩИТЫ ПОД КАПОТОМ

Прежде чем что-либо отключать, необходимо понять, с чем именно мы взаимодействуем. 🔧

🔹 Ядро антивирусной защиты

Процессы MsMpEng.exe и MpDefenderCoreService.exe работают с приоритетом выше пользовательских. Они не просто сканируют файлы: анализируют поведенческие паттерны, проверяют репутацию через облако MAPS, взаимодействуют с подсистемой ETW для телеметрии. 📊

💡 Отключить их через Service Control Manager невозможно — служба защищена механизмом самовосстановления и облачной синхронизацией политик.

🔹 Минифильтр файловой системы

Драйвер WdFilter.sys загружается на раннем этапе инициализации ядра и работает в контексте FltMgr.sys. Именно он перехватывает операции чтения/записи, что объясняет задержки при работе с большими массивами данных. 🗂️

Документация вендоров подтверждает: выгрузка WdFilter штатными средствами нарушает целостность стека ввода-вывода.

🔹 Tamper Protection

Механизм, блокирующий изменения ключевых параметров через реестр, PowerShell или сторонние утилиты. В актуальных сборках он синхронизируется с облачными политиками при наличии учётной записи Microsoft. 🛡️

📌 Значение DisableAntiSpyware в ключе HKLM\SOFTWARE\Policies\Microsoft\Windows Defender может игнорироваться или автоматически сбрасываться.

🔹 Virtualization-Based Security (VBS)

Использует гипервизор для изоляции критических процессов, включая Credential Guard и HVCI. Отключение через bcdedit /set hypervisorlaunchtype off повышает производительность на старом железе, но лишает систему защиты от атак типа «pass-the-hash». 🔐

🔹 Служба центра безопасности

SecurityHealthService.exe координирует статус защиты с брандмауэром, SmartScreen и сторонними антивирусами. Даже при отключённом сканировании она может инициировать повторную активацию компонентов при обнаружении «незащищённого» состояния. 🏥

📚 ПОЧЕМУ ЭТО ВАЖНО?

Попытка отключить один компонент без учёта зависимостей приводит к каскадным сбоям: от предупреждений в интерфейсе до ошибок 0x80070005 при установке обновлений. 🔄

🗺️ ПОШАГОВЫЙ ГАЙД: ТРИ УРОВНЯ ВМЕШАТЕЛЬСТВА

УРОВЕНЬ 1: ШТАТНОЕ ОТКЛЮЧЕНИЕ ЧЕРЕЗ ПОЛИТИКИ

Подходит для: временного отключения, тестовых сред, систем с установленным сторонним антивирусом.

⚙️ ПОДГОТОВИТЕЛЬНЫЙ ЭТАП: ОТКЛЮЧЕНИЕ TAMPER PROTECTION

Без этого шага любые изменения будут отменены системой. 🔑

Действие:

Откройте Параметры → Конфиденциальность и защита → Безопасность Windows → Защита от вирусов и угроз
Нажмите Управление настройками → раздел Защита от подделки
Переключите в положение ОТКЛ

💡 Если переключатель неактивен — система управляется через MDM или доменную политику.

📁 ГРУППОВЫЕ ПОЛИТИКИ (только Pro/Enterprise/Education)

Команда для запуска:

Win + R → gpedit.msc

Путь навигации:

Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Антивирусная программа Microsoft Defender

Что включить:

  • Выключить антивирусную программу "Защитник Windows"
  • Выключить защиту в реальном времени
  • Отключить поведенческий мониторинг

Применение изменений:

gpupdate /force

🧠 Нюанс: В актуальных сборках даже эти настройки могут переопределяться облачными политиками при входе в учётную запись Microsoft.

📝 РЕЕСТР (универсальный метод с оговорками)

PowerShell (от имени администратора):

New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender" -Force
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender" -Name "DisableAntiSpyware" -Value 1 -PropertyType DWORD -Force
Restart-Computer -Force

⚠️ КРИТИЧНО: Значение DisableAntiSpyware может игнорироваться при активной защите целостности реестра или получении политик через Windows Update for Business.

УРОВЕНЬ 2: ГЛУБОКОЕ ОТКЛЮЧЕНИЕ ЧЕРЕЗ СПЕЦИАЛИЗИРОВАННЫЕ ИНСТРУМЕНТЫ

Подходит для: продвинутых пользователей, изолированных стендов, систем без подключения к интернету. 🚀

Проверенным сообществом решением остаётся windows-defender-remover (GitHub: ionuttbara) — open-source инструмент с подписанным исполняемым файлом. 🔓

🛠️ АЛГОРИТМ БЕЗОПАСНОГО ИСПОЛЬЗОВАНИЯ

1️⃣ ПОДГОТОВКА

# Создать точку восстановления
Checkpoint-Computer -Description "Pre-Defender-Removal"

Дополнительно:

  • 🔓 Отключите BitLocker при активации
  • 📂 Добавьте папку инструмента в исключения: Параметры → Безопасность Windows → Исключения → Добавить папку

2️⃣ ЗАПУСК

# Скачайте релиз с официального репозитория, проверьте хэш
# Распакуйте, запустите от имени администратора
Script_Run.bat

📋 Интерактивное меню:

-2

3️⃣ ЧТО УДАЛЯЕТСЯ В РЕЖИМЕ Y

  • 🗑️ Служба WinDefend и драйвер WdFilter
  • 🗑️ База сигнатур и механизм обновления
  • 🗑️ Телеметрия SpyNet и облачная защита
  • 🗑️ Интеграция с Центром безопасности
  • Брандмауэр Windows остаётся нетронутым

4️⃣ ПОСТ-ОБРАБОТКА

# Вернуть UAC
Set-ItemProperty HKLM:SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System -Name EnableLUA -Value 1

🔄 Перезагрузите систему дважды для полной выгрузки драйверов ядра.

🔴 УРОВЕНЬ 3: РУЧНОЕ ОТКЛЮЧЕНИЕ СЛУЖБ В БЕЗОПАСНОМ РЕЖИМЕ

Подходит для: случаев, когда автоматические инструменты не справляются.

⚙️ МЕТОД: ИЗМЕНЕНИЕ ПАРАМЕТРОВ ЗАПУСКА СЛУЖБ (Start=4)

1️⃣ Загрузка в безопасный режим

Win + R → msconfig → Загрузка → Безопасный режим → Перезагрузка

2️⃣ Редактирование реестра

Win + R → regedit

Путь:

HKLM\SYSTEM\CurrentControlSet\Services\

Для каждого ключа установите Start = 4 (Disabled):

-3

3️⃣ Возврат в нормальный режим

msconfig → снять галочку Безопасный режим → Перезагрузка

🧠 Нюанс: Метод технически корректен, но не гарантирует устойчивость после крупных обновлений — Feature Update может восстановить значения по умолчанию.

💻 КОД И КОНФИГУРАЦИИ: ПРИМЕРЫ С КОММЕНТАРИЯМИ

📄 СКРИПТ ДИАГНОСТИКИ СОСТОЯНИЯ (PowerShell)

# Проверка статуса ключевых служб
$DefenderStatus = @{
WinDefendRunning = (Get-Service WinDefend -ErrorAction SilentlyContinue).Status
MpCoreRunning = (Get-Service MpDefenderCoreService -ErrorAction SilentlyContinue).Status
SecurityHealthRunning = (Get-Service SecurityHealthService -ErrorAction SilentlyContinue).Status
TamperProtection = Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows Defender\Features" -Name TamperProtection -ErrorAction SilentlyContinue | Select-Object -ExpandProperty TamperProtection
WdFilterLoaded = (Get-WmiObject Win32_SystemDriver | Where-Object {$_.Name -eq "WdFilter"}).State
}

$DefenderStatus | Format-List

Write-Host "`n📋 Рекомендации:" -ForegroundColor Cyan

if ($DefenderStatus.MpCoreRunning -eq 'Running') {
Write-Host "⚠️ MpDefenderCoreService активен — требует отдельного внимания" -ForegroundColor Yellow
}
if ($DefenderStatus.TamperProtection -eq 5) {
Write-Host "🔴 Tamper Protection включён — отключите в интерфейсе перед изменением реестра" -ForegroundColor Red
}
if ($DefenderStatus.WdFilterLoaded -eq 'Running') {
Write-Host "⚠️ Драйвер файлового фильтра загружен — требуется безопасный режим" -ForegroundColor Yellow
}

💡 Комментарий инженера: Сервис MpDefenderCoreService появился в актуальных сборках и не всегда учитывается в старых скриптах. Если он активен при отключённом WinDefend — защита работает в усечённом режиме.

⚙️ КОНФИГУРАЦИЯ ИСКЛЮЧЕНИЙ ДЛЯ РАЗРАБОТЧИКОВ

Часто проблема решается не удалением, а точечной настройкой. 🎯

# Исключение папок проектов
Add-MpPreference -ExclusionPath "C:\Projects", "D:\Builds"

# Исключение процессов сборщика
Add-MpPreference -ExclusionProcess "msbuild.exe", "dotnet.exe"

# Отключение облачной проверки для внутренних ресурсов
Set-MpPreference -SubmitSamplesConsent 2

# Ограничение сканирования архивов
Set-MpPreference -DisableArchiveScanning $true

💡 Нюанс: Этот подход сохраняет базовую защиту, устраняя конфликты с инструментами разработки. 🤝 Компромисс для тех, кто ценит и скорость, и безопасность.

🔄 БЕЗОПАСНОСТЬ И ОТКАТ: ПРОЦЕДУРЫ ВОССТАНОВЛЕНИЯ

🔄 ВОССТАНОВЛЕНИЕ ПОСЛЕ ОТКЛЮЧЕНИЯ

МЕТОД 1: Возврат значений Start в безопасном режиме

-4

МЕТОД 2: Через точку восстановления

Enable-ComputerRestore -Drive "C:\"
Restore-Computer -RestorePoint "Pre-Defender-Removal"

🛡️ МЕРЫ ПРЕДОСТОРОЖНОСТИ

  • 🔐 Установите альтернативную защиту перед отключением Defender. Даже базовый Malwarebytes Free обеспечит минимальный уровень.
  • 📋 Проверьте совместимость софта. Корпоративные приложения (банковские клиенты, ЭЦП) могут требовать сертифицированный антивирус.
  • 📝 Документируйте изменения. Сохраните вывод команды:

Get-WindowsCapability -Online | Where-Object State -eq 'Installed'

📊 АНАЛИЗ ПРОИЗВОДИТЕЛЬНОСТИ: МЕТРИКИ И УЗКИЕ МЕСТА

Тесты в изолированной среде (Core i5, 16 ГБ ОЗУ, NVMe) 🖥️

📉 ДО ОТКЛЮЧЕНИЯ

-5

📈 ПОСЛЕ ОТКЛЮЧЕНИЯ СЛУЖБ

-6

🔍 УСТРАНЯЕМЫЕ УЗКИЕ МЕСТА

  • 🚫 WdFilter.sys — основной источник задержек ввода-вывода
  • ☁️ Облачная проверка (MAPS) — сетевые задержки при открытии непроверенных файлов
  • 🧠 Поведенческий анализ — фоновая эмуляция подозрительных действий
⚠️ ВАЖНО: На системах с быстрыми NVMe и процессорами 10-го поколения+ прирост может быть незаметен (<5%), а риски — неоправданны. Инженерная мудрость: не оптимизируйте то, что не является узким местом.

❌ ДИАГНОСТИКА: ТИПИЧНЫЕ ОШИБКИ И РЕШЕНИЯ

-7

❓ FAQ: ВОПРОСЫ И ОТВЕТЫ

💡 Вопрос 1: «Можно ли удалить Defender штатными средствами?»

✅ Ответ: Нет. Компонент защищён TrustedInstaller и облачной синхронизацией. Полное удаление требует модификации install.wim, инструментов уровня ядра или ручного редактирования служб в безопасном режиме.

💡 Вопрос 2: «Нарушает ли это лицензионное соглашение?»

✅ Ответ: Нет. Лицензия EULA не запрещает отключение встроенных компонентов. Корпоративные политики безопасности могут накладывать дополнительные ограничения.

💡 Вопрос 3: «Вернётся ли Defender после обновления?»

✅ Ответ: При использовании реестра или политик — высока вероятность возврата после Feature Update. Метод с Start=4 устойчивее, но тоже не гарантирует 100%. Стабильный вариант — отключение обновлений функций через TargetReleaseVersion.

💡 Вопрос 4: «Какой минимальный набор защиты оставить?»

✅ Ответ:

  • 🔥 Обязательно: брандмауэр, UAC, SmartScreen
  • 💾 Желательно: резервное копирование
  • 🎯 Идеально: лёгкий EDR-агент с облачным управлением

💡 Вопрос 5: «Поможет ли это от телеметрии?»

✅ Ответ: Частично. Отключение Defender отключает SpyNet. Общая телеметрия (Diagnostic Data) управляется отдельно: Параметры → Конфиденциальность → Диагностика.

Коллеги! 👋

Если материал сэкономил вам время на поиск и тесты — поддержите развитие канала. Донат покрывает расходы на стенды, лицензии и глубокий анализ.

-8

#Windows11 #Windows10 #MicrosoftDefender #Defender #безопасность #отключение #деактивация #групповыеполитики #реестр #PowerShell #WdFilter #MsMpEng #TamperProtection #VBS #производительность #оптимизация #системноеадминистрирование #информационнаябезопасность #антивирус #защита #откат #восстановление #диагностика #скрипты #конфигурация #разработка #тестирование #открытыйкод #безопасностьОС #инженернаяпрактика