很多使用Windows 10系统的用户都曾有过这样的困惑：明明在“Windows安全中心”里把杀毒软件的“实时保护”关了，甚至在设置里点了“禁用”，结果电脑还是时不时弹窗警告，或者那个名为“MsMpEng.exe”的进程依然在后台大口吃内存。
这就好比你明明关掉了家里的门锁，但小偷还是进来了，甚至你感觉家里还有个看不见的保安在巡逻。到底是怎么回事？为什么你关不掉它？
其实，这并不是你的错觉，而是Windows 10系统设计的一个“逻辑陷阱”。要搞清楚这个问题，我们需要剥开“关闭按钮”的表象，去看看Windows Defender到底有哪些“隐形卫士”在后台默默工作。
一、“关闭”按钮的欺骗性：你关的是UI，不是心脏
我们要纠正一个概念：你在Windows 10设置里看到的“关闭实时保护”按钮，它关闭的并不是杀毒软件的“心脏”，而只是它的“脸面”。
这个按钮的作用仅仅是停止Windows Defender对新下载文件和新打开文件的实时扫描。一旦你关掉它，系统会立刻停止向用户界面（UI）发送“扫描中”的提示，但底层的核心引擎并没有停止。
这就好比你在餐厅点了一道菜，你跟服务员说“我不点了”，服务员不再给你上新的菜，但厨房里炉火可能还在烧，正在做你之前点的菜，甚至还在处理刚才送进来的订单。Windows Defender的“实时保护”只是它的一个功能模块，它还有“手动扫描”、“按计划扫描”等其他模块，这些模块可能依然在运行。
二、顽固的内核级驱动：WdFilter.sys
如果你以为把实时保护关了就能高枕无忧，那就太天真了。Windows Defender之所以关不掉，是因为它有一套强大的“赖皮”机制，这主要归功于一个名为 WdFilter.sys 的文件。
这是一个内核级驱动程序。什么是内核级？简单来说，它运行在操作系统的最底层，比普通的软件权限更高。普通的杀毒软件是“游客”，而它是“房东”。
当你试图通过任务管理器强行结束Windows Defender的进程（MsMpEng.exe）时，Windows系统会检测到核心服务被终止。为了维护系统的完整性，系统会在几秒钟内自动重启这个进程。这就好比试图拔掉一台电脑的电源，但电脑内部有一个备用电池，只要你没彻底切断主板供电，电脑就会立刻重新亮起。
三、系统自带的“自我修复”机制
除了上述的进程和驱动，Windows 10还内置了一套复杂的“自我修复”和“完整性检查”机制。
- Windows Update扫描： 即使你没有运行杀毒软件，Windows Update在下载和安装补丁时，也会对系统文件进行校验。如果发现某个文件被篡改，它可能会尝试从微软服务器下载一个干净的副本，这个过程本身就带有“杀毒”属性。
- SFC和DISM工具： 当你运行系统文件检查器（SFC /scannow）时，Windows会对比硬盘上的文件与数据库中的记录。如果发现异常，它会自动修复。这也是一种变相的杀毒行为。
- 残留服务： 很多时候，我们在卸载第三方杀毒软件（如360、腾讯电脑管家）时，虽然卸载了主程序，但注册表里或服务列表中可能还残留着“Windows Defender”的服务项。这些残留项在系统启动时会自动挂载，导致你感觉“杀毒软件还在”。
四、第三方杀毒软件的“影子”
还有一种情况，就是你关掉的并不是Windows Defender，而是其他杀毒软件。
很多电脑厂商（如联想、惠普）在出厂时，会在Windows Defender的基础上，再叠加一层厂商自己的安全软件。如果你只关掉了Windows Defender，而没把那层厂商自带的安全软件彻底卸载，那么后台依然有一个强大的杀毒引擎在守护你的电脑。
五、如何彻底“关停”它？
既然知道了原因，如果你真的想彻底关闭Windows Defender，不能只靠那个小小的开关。你需要进入更深层的管理界面：
- 组策略编辑器： 在运行中输入
gpedit.msc，找到“计算机配置” -> “管理模板” -> “Windows组件” -> “Microsoft Defender Antivirus”。在这里，你可以设置“关闭Windows Defender Antivirus”，这比设置里的开关更彻底。 - 注册表编辑器： 这是一个更高级的操作，通过修改
DisableAntiSpyware的键值，可以强制关闭Defender。但请注意，修改注册表有风险，操作不当可能导致系统异常。
Win10关了杀毒为什么还能杀毒？答案很简单：你看到的“关闭”，只是关闭了“监控”，并没有关闭“引擎”。
Windows Defender就像一个尽职尽责的保镖，即使你让他“下班休息”（关闭实时保护），他依然会躲在角落里，利用内核级驱动和系统自检机制，时刻准备着保护你的电脑安全。对于普通用户来说，这种“死皮赖脸”的保护机制其实是一件好事，它能在你不小心打开一个可疑链接时，及时拉你一把。除非你是专业的安全研究员或者有特殊的开发需求，否则建议不要轻易尝试彻底禁用它。