Windows Defender 的“自動提交樣本”和“基於雲的保護”如何工作？

與其他現代防病毒應用程序一樣，Windows 10 的集成 Windows Defender 防病毒軟件具有一些“雲”功能。 默認情況下，Windows 會自動上傳一些看起來可疑的文件並報告有關可疑活動的數據，以便可以盡快檢測和阻止新威脅。

相關： Windows 10 的最佳防病毒軟件是什麼？ （Windows Defender 是否足夠好？）

這些功能是 Windows Defender 的一部分，Windows 10 附帶的防病毒工具。Windows Defender 始終運行，除非您安裝了第三方防病毒應用程序工具來替換它。

這兩個功能默認啟用。 你可以通過啟動 Windows Defender 安全中心來查看它們當前是否已啟用。 您可以通過在“開始”菜單中搜索“Windows Defender”或在應用列表中找到“Windows Defender 安全中心”來找到它。 導航到病毒和威脅防護 > 病毒和威脅防護設置。

如果您願意，可以在此處禁用基於雲的保護和自動樣本提交。 但是，我們建議您啟用這些功能。 這就是他們所做的。

基於雲的保護

根據 Windows Defender 安全中心界面，基於雲的保護功能“通過訪問云中最新的 Windows Defender 防病毒保護數據提供增強和更快的保護”。

這似乎是最新版本的 Microsoft Active Protection Service（也稱為 MAPS）的新名稱。 它以前稱為 Microsoft SpyNet。

將此視為更高級的啟發式功能。 使用典型的防病毒啟發式方法，防病毒應用程序會監視程序在您的系統上執行的操作，並確定它們的行為是否可疑。 它完全在您的 PC 上做出此決定。

借助基於雲的保護功能，Windows Defender 可以在發生可疑事件時將信息發送到 Microsoft 的服務器（“雲”）。 不是完全根據您 PC 上可用的信息做出決定，而是在 Microsoft 的服務器上做出決定，這些服務器可以訪問 Microsoft 研究時間、機器學習邏輯和大量最新原始數據中可用的最新惡意軟件信息.

微軟的服務器發送近乎即時的響應，告訴 Windows Defender 該文件可能很危險，應該被阻止，請求文件樣本以進行進一步分析，或者告訴 Windows Defender 一切正常，文件應該正常運行。

默認情況下，Windows Defender 設置為等待最多 10 秒以接收來自 Microsoft 雲保護服務的響應。 如果在這段時間內沒有收到回复，它將讓可疑文件運行。 假設您的 Internet 連接良好，那應該是綽綽有餘的時間了。 雲服務通常應在不到一秒的時間內做出響應。

自動提交樣品

Windows Defender 界面指出，基於雲的保護在啟用自動樣本提交的情況下效果最佳。 這是因為基於雲的保護可以請求文件的樣本，如果文件看起來可疑，Windows Defender 會自動將其上傳到 Microsoft 的服務器，如果你啟用了此設置。

此功能不會只是隨意地將文件從您的系統上傳到 Microsoft 的服務器。 它只會上傳 .exe 和其他程序文件。 它不會上傳您的個人文檔和其他可能包含個人數據的文件。 如果文件可能包含個人數據但看起來可疑（例如，似乎包含潛在危險宏的 Word 文檔或 Excel 電子表格），則會在將其發送給 Microsoft 之前收到提示。

當文件上傳到 Microsoft 的服務器時，該服務會快速分析文件及其行為，以確定它是否危險。 如果發現文件是危險的，它將在您的系統上被阻止。 下次 Windows Defender 在其他人的 PC 上遇到該文件時，無需額外分析即可將其阻止。 Windows Defender 得知該文件是危險的，並為所有人阻止它。

這裡還有一個“手動提交樣本”鏈接，該鏈接將您帶到微軟網站上的提交文件以進行惡意軟件分析頁面。 您可以在此處手動上傳可疑文件。 但是，在默認設置下，Windows Defender 將自動上傳具有潛在危險的文件，並且幾乎可以立即阻止它們。 您甚至不會知道文件已上傳——如果它很危險，它只會在幾秒鐘內被阻止。

為什麼應該啟用這些功能

我們建議您啟用這些功能，以幫助保護您的 PC 免受惡意軟件的侵害。 惡意軟件可能會很快出現和傳播，並且您的防病毒軟件可能不會頻繁地下載病毒定義文件來阻止它。 這些類型的功能可幫助您的防病毒軟件更快地響應新的惡意軟件流行並阻止從未見過的惡意軟件，否則這些惡意軟件會從裂縫中溜走。

微軟最近發布了一篇博客文章，詳細介紹了一個 Windows 用戶下載新惡意軟件文件的真實示例。 Windows Defender 確定該文件可疑，並要求基於雲的保護服務提供更多信息。 在 8 秒內，該服務收到了上傳的樣本文件，將其分析為惡意軟件，創建了防病毒定義，並告訴 Windows Defender 將其從 PC 中刪除。 由於新創建的病毒定義，只要其他 Windows PC 遇到該文件，該文件就會被阻止。

這就是為什麼您應該啟用此功能。 與基於雲的保護服務斷開後，Windows Defender 可能沒有足夠的信息，不得不自行做出決定，從而可能允許危險文件運行。 借助基於雲的保護服務，該文件被標記為惡意軟件，並且所有受 Windows Defender 保護的 PC 將來發現它都會知道該文件是危險的。