应通过组策略禁用定期扫描而非仅停用任务：启用“配置定期扫描”策略并设为禁用，可清除Scheduled Scan任务且防自动恢复；关闭实时保护需谨慎，仅限临时场景；自定义扫描时间须注意UTC时区与NTP同步。
在windows运维中，通过组策略禁用或调整windows defender（现称microsoft defender antivirus）的自动扫描计划是常见需求，尤其在服务器环境或对性能敏感的终端上。关键在于理解defender扫描计划由两部分控制：一是实时保护（默认启用），二是定期快速/全盘扫描任务（由windows task scheduler触发，但受组策略约束）。直接删除计划任务效果有限，必须配合组策略配置才能真正生效。
关闭自动定期扫描（推荐方式）
Windows Defender的“定期快速扫描”和“定期全盘扫描”默认每周运行一次，对应计划任务Microsoft\Windows\Windows Defender\Scheduled Scan。仅停用该任务不保险，因为组策略可强制重建它。正确做法是：
- 打开组策略管理控制台（GPMC），定位到：
计算机配置 → 管理模板 → Windows组件 → Microsoft Defender防病毒 → 扫描 - 启用策略：“配置定期扫描”，并将“启用定期扫描”设置为已禁用
- 此操作会清除计划任务中的Scheduled Scan，并阻止其被自动恢复
禁用实时保护（谨慎使用）
实时保护（Real-time Protection）是Defender核心防御机制，持续监控文件活动。如因兼容性或性能问题需临时关闭：
- 路径：计算机配置 → 管理模板 → Windows组件 → Microsoft Defender防病毒 → 实时保护
- 启用策略：“关闭实时保护”（注意：该策略优先级高于用户手动开启操作，且可能触发安全中心告警）
- 生产环境不建议长期启用此项；若必须关闭，请同步部署其他EDR或AV方案
自定义扫描时间与类型（替代方案）
不关闭扫描，而是统一调度更可控：
- 仍使用“配置定期扫描”策略，但设为已启用，并指定扫描类型（快速/全盘）、频率（每天/每周）、具体时间（UTC时间，注意时区转换）
- 结合维护窗口，例如设为每周日凌晨2点（UTC+0），避免业务高峰期
- 确保客户端时间同步（NTP），否则扫描可能延迟或失效
验证与排错要点
策略下发后需确认是否真正生效：
- 运行
gpupdate /force并重启或等待策略刷新（默认90分钟） - 检查计划任务是否存在：
taskschd.msc→ 查看Microsoft\Windows\Windows Defender下Scheduled Scan是否消失 - 命令行验证：
Get-MpComputerStatus | Select-Object RealtimeProtectionEnabled, AMServiceEnabled, AntivirusEnabled - 若策略未生效，检查GPO链接、WMI筛选器、客户端OS版本（部分策略需Win10 1809+/Win11）及Defender服务状态（WinDefend）
