为什么多个 Intune Antivirus 策略里的排除项不能只看其中一条？

排除项支持策略合并，多条已分配策略的路径、扩展名和进程排除会合并成超集。只审计一条策略会漏掉其他策略带来的更宽排除范围。

Get-NetFirewallRule 显示规则存在，但流量仍被阻止，应检查哪些点？

检查规则的 PolicyStoreSourceType 和实际生效来源、Domain/Private/Public 配置文件是否匹配、是否有优先级更高的阻止规则、端口和协议是否正确，以及 GPO 是否覆盖了 Intune 设置。

同一防火墙设置在 Intune 显示已配置，设备合规却失败，常见原因是什么？

常见原因是域 GPO 覆盖了 Intune 防火墙配置，例如关闭防火墙或允许所有入站；也可能是本地规则、配置文件不匹配或合规评估尚未刷新。应结合 Get-NetFirewallProfile、gpresult 和同步后的评估结果判断。

系统学习 Windows 学习路径：从 CMD 到 PowerShell、系统网络，再到 WSL 与 Server

版本信息最后核对：2026-10-25

defender-intune

在终端侧核对 Defender、ASR、防火墙与 Intune 策略是否真正生效。

补充说明

Defender 与 Intune 排障要分清三个层面：终端上的实际状态、云端下发的策略，以及两者之间的冲突。Get-MpComputerStatus 看防病毒服务、实时保护和签名状态；Get-MpPreference 看排除项、ASR 规则 ID 与动作、受控文件夹访问等配置；Get-NetFirewallProfile 和 Get-NetFirewallRule 看防火墙的实际生效规则。云端则要看 Intune 中设备、用户、组的分配，以及每条设置的“已符合、冲突、错误、不适用”状态。

排除项有三类：路径、扩展名、进程。排除项会直接缩小扫描范围，定义越宽风险越大；不要用整个盘符或常见用户目录做排除。多个 Antivirus 策略里的排除项会合并成超集，所以“只在一个策略里加了一条”并不代表其他策略的排除不会一起生效，审计时要覆盖所有已分配策略。ASR 规则建议先在审核模式观察事件，再切到阻止；直接大范围阻止容易打断业务。

ASR 规则的 ID 与动作必须成对核对：ID 决定规则，动作决定审核、阻止还是关闭，数组错位会让你以为启用了阻止，实际仍在审核。变更前先在试点设备组用审核模式收集命中，确认业务影响和排除范围，再切阻止；每次只改一组规则，保留变更记录和回滚值。Defender 的篡改保护会阻止本地修改关键设置，出现“命令执行成功但值没变”时先看它，不要反复用更高权限硬改。

防火墙的策略来源必须看 PolicyStoreSourceType：本地、组策略、MDM 下发的规则可能同时存在。Intune 防火墙策略可以合并规则，但域 GPO 仍可能覆盖云端设置。微软合规文档明确提示：若 GPO 把防火墙关掉或允许所有入站，即使 Intune 配置要求开启防火墙，合规检查也可能判为不合规。Defender 排除项也不能假设云端一定覆盖本地：多条 Intune Antivirus 策略之间会合并排除项，但域 GPO 或 Configuration Manager 等来源仍可能参与竞争，最终以设备上的 Get-MpPreference 为准。不同组件和设置的优先级不同，不能拿一条通用规则套所有设置。

设备侧还要确认注册状态和下发通道：dsregcmd /status 看是否加入 Entra ID、是否已注册 MDM；Intune Management Extension 的日志在 C:\ProgramData\Microsoft\IntuneManagementExtension\Logs；MDM 相关事件在 Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider 日志。合规策略只负责评估，不会替你修设置；配置策略或终端管理策略才负责把值落下去。设备不同步时，先看注册与网络，再手动触发同步，不要只反复改策略。

常用示例

# 1. Defender 只读状态：服务、实时保护、签名时间
PS C:\> Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureVersion, AntivirusSignatureLastUpdated

# 2. 查看排除项与 ASR 规则；ID 与动作数组按顺序对应
PS C:\> Get-MpPreference | Select-Object ExclusionPath, ExclusionExtension, ExclusionProcess
PS C:\> Get-MpPreference | Select-Object AttackSurfaceReductionRules_Ids, AttackSurfaceReductionRules_Actions

# 3. 防火墙配置文件与指定规则的实际来源
PS C:\> Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction
PS C:\> Get-NetFirewallRule -DisplayName '*Contoso*' | Select-Object DisplayName, Enabled, Direction, Action, Profile, PolicyStoreSourceType

# 4. 新增本地放行规则（仅实验或非托管机）
# 影响范围：仅 Private 配置文件开放 8443/TCP，但本地规则可能被域 GPO 或 Intune 覆盖
# 备份/回滚：先 netsh advfirewall export 备份；回滚删除同名规则或 import 备份
PS C:\> New-NetFirewallRule -DisplayName 'Contoso App 8443' -Direction Inbound -Action Allow -Protocol TCP -LocalPort 8443 -Profile Private
PS C:\> Remove-NetFirewallRule -DisplayName 'Contoso App 8443'

# 5. 查看 ASR 命中与 Defender 事件
PS C:\> Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' -MaxEvents 50 | Select-Object TimeCreated, Id, Message

# 6. 注册与 MDM 状态
PS C:\> dsregcmd /status
PS C:\> Get-Service IntuneManagementExtension

# 7. 收集下发日志，注意日志可能含设备名和用户名，外发前脱敏
PS C:\> Get-ChildItem "$env:ProgramData\Microsoft\IntuneManagementExtension\Logs" | Sort-Object LastWriteTime -Descending | Select-Object -First 10 Name, LastWriteTime
PS C:\> Get-WinEvent -LogName 'Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider/Admin' -MaxEvents 50

易错点与排错

策略状态显示“不适用” → 平台或版本不匹配、设置不受支持、未分配到此设备，或组筛选没覆盖 → 先核对设备平台、组和每条设置的状态，不要直接重建策略。
同一设置在 Intune 中显示“冲突” → 多条策略给了不同的值，且该设置不支持合并 → 保留一条权威策略，或拆到专门的排除项/防火墙策略，再确认最终下发值。
防火墙规则本机看不到 → 规则来自不同策略存储或配置文件不匹配 → 用 PolicyStoreSourceType 区分本地、GPO 和 MDM，并检查 Domain/Private/Public 配置文件。
防火墙合规失败但云端要求已开启 → 域 GPO 覆盖了 Intune，或允许所有入站的本地规则仍在 → 用 Get-NetFirewallProfile 和 gpresult 找出来源，清理冲突 GPO 后再同步。
ASR 规则已配置却不拦截 → 规则处于审核模式、动作数组与 ID 对应错位、规则被排除项绕过，或系统不支持该规则 → 核对 ID/动作对，查看 Defender 事件，先在试点设备验证再扩面。
Defender 状态看起来过期或关闭 → 第三方杀毒接管、签名更新失败、服务停止或篡改保护阻止读取 → 先确认实际注册的安全产品，再查签名更新和事件日志。
设备长时间不同步 → 未正确注册 MDM、许可证或网络问题、Intune Management Extension 停止 → 用 dsregcmd /status、服务状态和 IME 日志定位，再手动触发同步。
合规设置看起来已满足却判定不合规 → 某些设置需要重启才刷新（如 BitLocker 相关证明）、评估被节流，或 GPO 覆盖 → 重启、手动同步并等待重新评估；评估有节流，短时间反复同步可能拿到旧状态，先等一个周期再决定是否改策略。
本地管理员修改设置后又被改回 → 云端策略或篡改保护重新强制了值 → 这是策略生效的表现；应调整 Intune 策略，而不是在终端上和策略对抗。
日志直接外发 → IME 和 MDM 日志可能含设备名、用户名、IP 和策略 ID → 收集前明确范围，外发前脱敏，并保留原始文件的只读副本以便复核。
只看 Intune 概览页的“已成功” → 它表示策略下发成功，不代表终端设置生效 → 到设备侧查 Get-MpPreference、Get-NetFirewallProfile 和每项设置状态，再对照事件日志。
排除项只凭“文件没被报毒”验证 → 文件可能未被扫描到，或排除范围过宽 → 用受控测试文件和平台目录下的 MpCmdRun.exe -CheckExclusion -Path 验证具体路径，并记录排除理由和到期时间。

参考链接

读完自测

为什么多个 Intune Antivirus 策略里的排除项不能只看其中一条？
Get-NetFirewallRule 显示规则存在，但流量仍被阻止，应检查哪些点？
同一防火墙设置在 Intune 显示已配置，设备合规却失败，常见原因是什么？

答案

排除项支持策略合并，多条已分配策略的路径、扩展名和进程排除会合并成超集。只审计一条策略会漏掉其他策略带来的更宽排除范围。
检查规则的 PolicyStoreSourceType 和实际生效来源、Domain/Private/Public 配置文件是否匹配、是否有优先级更高的阻止规则、端口和协议是否正确，以及 GPO 是否覆盖了 Intune 设置。
常见原因是域 GPO 覆盖了 Intune 防火墙配置，例如关闭防火墙或允许所有入站；也可能是本地规则、配置文件不匹配或合规评估尚未刷新。应结合 Get-NetFirewallProfile、gpresult 和同步后的评估结果判断。