O Windows Defender deixou de ser o antivírus fraco que muitos lembram de 2015. No ciclo de testes de janeiro e fevereiro de 2026, o AV-TEST atribuiu ao Microsoft Defender Antivirus a nota máxima de 6/6 em proteção, com 99,4% de deteção de ameaças zero-day. O problema é que, na configuração de fábrica, o Windows Defender deixa de fora algumas das suas melhores defesas: as regras de redução da superfície de ataque (ASR), o acesso controlado a pastas e a proteção contra adulteração ficam desligadas ou em modo passivo.

Este tutorial mostra, em 12 passos práticos, como transformar o Windows Defender de fábrica num antivírus endurecido ao nível empresarial, usando apenas PowerShell e ferramentas já incluídas no Windows 11. No fim, terá um script completo e reutilizável que aplica todas as defesas de uma só vez, mais um plano de verificação para confirmar que tudo está ativo. Não precisa de pagar por software de terceiros para chegar lá.

Porque endurecer o Windows Defender em 2026

A configuração padrão do Windows Defender protege contra malware comum, mas assume um utilizador doméstico que não quer fricção. As defesas mais agressivas ficam desativadas porque podem bloquear aplicações legítimas mal escritas. Quem está disposto a fazer um pouco de afinação ganha um salto enorme de segurança sem instalar nada.

O contexto de 2026 torna isto urgente. Os ataques de ransomware mudaram de tática: cada vez mais grupos roubam dados e extorquem sem sequer encriptar ficheiros, como detalhamos na análise sobre ransomware sem encriptação. Em Portugal, o volume de ataques continua a subir, com uma média de 2.437 incidentes por organização e por semana segundo dados que reunimos sobre os ciberataques em Portugal. As regras ASR e o acesso controlado a pastas atacam exatamente os vetores que estes grupos usam: macros do Office, scripts ofuscados e processos a escrever em pastas de documentos.

Antes de avançar, vale a pena perceber onde o Defender se posiciona face às soluções pagas. Na nossa comparação entre Windows Defender e antivírus pago, o Defender atingiu 99,84% de deteção contra os 100% das melhores suites comerciais. A diferença, na prática, fecha-se quase por completo quando se ativa o endurecimento que este guia descreve.

FuncionalidadeEstado de fábricaEstado após este guiaVetor de ataque coberto
Proteção em tempo realAtivaAtivaMalware genérico
Proteção via nuvemBásicaAvançada (alta)Ameaças novas / zero-day
Regras ASRDesativadas12 regras em BlockMacros, scripts, LSASS
Acesso Controlado a PastasDesativadoAtivo com allow-listRansomware
Proteção contra AdulteraçãoVariávelAtivaMalware que desliga o AV
Proteção de RedeDesativadaAtiva (Block)Domínios e IP maliciosos

Pré-requisitos e versões necessárias

Este tutorial foi testado em Windows 11 24H2, mas funciona em qualquer edição recente. O Windows 10 chegou ao fim de suporte da Microsoft em 14 de outubro de 2025, por isso recomendamos vivamente o Windows 11 como base. Reúna o seguinte antes de começar:

  • Sistema operativo: Windows 11 (versão 23H2 ou superior; ideal 24H2). As regras ASR exigem o Defender como antivírus ativo, não em modo passivo.
  • PowerShell: versão 5.1 (já incluída) ou PowerShell 7.4+. O módulo Defender está presente por defeito nas duas.
  • Privilégios: conta de administrador local. Todos os comandos correm numa janela PowerShell elevada.
  • Edição do Windows: Home, Pro ou Enterprise. Algumas regras ASR registam apenas eventos (modo Audit) na edição Home, mas a maioria bloqueia normalmente.
  • Política de grupo (opcional): em redes geridas, confirme que nenhuma política de domínio sobrepõe estas definições antes de aplicar localmente.
  • Backup: um ponto de restauro do sistema ou uma exportação das definições atuais. O Passo 12 mostra como exportar.

Para abrir o PowerShell como administrador, prima a tecla Windows, escreva powershell, clique com o botão direito em “Windows PowerShell” e escolha “Executar como administrador”. Confirme a elevação no aviso do Controlo de Conta de Utilizador (UAC).

Passo 1: Verificar o estado atual do Defender

Nunca altere políticas de segurança às cegas. O primeiro passo é fotografar o estado atual com Get-MpComputerStatus. Este cmdlet devolve o estado do motor, das assinaturas e da proteção em tempo real, e serve de linha de base para confirmar, no fim, que tudo mudou conforme o esperado.

# Estado geral do Defender
Get-MpComputerStatus | Select-Object `
    AntivirusEnabled, `
    RealTimeProtectionEnabled, `
    AntispywareEnabled, `
    BehaviorMonitorEnabled, `
    IoavProtectionEnabled, `
    NISEnabled, `
    AMServiceEnabled, `
    AntivirusSignatureVersion, `
    AMEngineVersion

Um resultado saudável mostra todos os campos booleanos a True. Exemplo de saída típica:

AntivirusEnabled          : True
RealTimeProtectionEnabled : True
AntispywareEnabled        : True
BehaviorMonitorEnabled    : True
IoavProtectionEnabled     : True
NISEnabled                : True
AMServiceEnabled          : True
AntivirusSignatureVersion : 1.429.1234.0
AMEngineVersion           : 1.1.25010.1

Se AntivirusEnabled aparecer como False, o Defender pode estar em modo passivo porque existe outro antivírus instalado. Nesse caso, desinstale a solução de terceiros antes de continuar, porque as regras ASR e o acesso controlado a pastas só funcionam com o Defender como antivírus principal e ativo.

Passo 2: Atualizar as assinaturas e o motor

Antes de endurecer, garanta que o motor e as definições estão atuais. Assinaturas desatualizadas baixam a taxa de deteção e podem fazer com que a proteção via nuvem não responda corretamente. O cmdlet Update-MpSignature força a transferência imediata das definições mais recentes.

# Forçar atualização das assinaturas a partir do Microsoft Update
Update-MpSignature -UpdateSource MicrosoftUpdateServer

# Confirmar a idade das assinaturas (deve ser inferior a 24 horas)
Get-MpComputerStatus | Select-Object `
    AntivirusSignatureLastUpdated, `
    AntispywareSignatureLastUpdated

Se a empresa usar um servidor WSUS interno, troque o parâmetro por -UpdateSource InternalDefinitionUpdateServer. Para máquinas domésticas, o valor por defeito (MicrosoftUpdateServer) é o correto. A atualização demora segundos numa ligação normal.

Passo 3: Ativar proteção via nuvem ao nível máximo

A proteção via nuvem (Microsoft Advanced Protection Service, MAPS) é o que dá ao Windows Defender a capacidade de travar ameaças novas que ainda não têm assinatura. Por defeito, vem em nível básico. Vamos elevá-la ao nível alto e ativar o envio automático de amostras, que melhora a deteção de ficheiros desconhecidos.

# MAPSReporting: 2 = Advanced (envia mais telemetria de ameaças)
Set-MpPreference -MAPSReporting Advanced

# SubmitSamplesConsent: 3 = enviar todas as amostras automaticamente
Set-MpPreference -SubmitSamplesConsent SendAllSamples

# Nível de proteção via nuvem: High bloqueia mais cedo
Set-MpPreference -CloudBlockLevel High

# Tempo extra de análise na nuvem (em segundos, máximo 50)
Set-MpPreference -CloudExtendedTimeout 50

O parâmetro CloudBlockLevel High torna o Defender mais agressivo a bloquear ficheiros suspeitos antes de os deixar executar. Em ambientes muito sensíveis a falsos positivos, pode usar Moderate. Para uso pessoal ou de pequena empresa, High é o equilíbrio recomendado. Quem prioriza privacidade e quer reduzir telemetria pode definir SubmitSamplesConsent como SendSafeSamples, mas isso reduz ligeiramente a eficácia da deteção na nuvem.

Passo 4: Ativar a Proteção contra Adulteração

A Proteção contra Adulteração (Tamper Protection) impede que malware, ou um atacante com acesso local, desligue o Defender ou altere as suas definições. É uma camada crítica: muitas famílias de malware tentam, como primeiro passo, desativar o antivírus. Esta definição não pode ser ativada por Set-MpPreference por razões de segurança, tem de ser aplicada na interface ou por gestão (Intune).

Verifique o estado atual por PowerShell e, se estiver desligada, ative-a manualmente:

# Verificar se a Proteção contra Adulteração está ativa
Get-MpComputerStatus | Select-Object IsTamperProtected, TamperProtectionSource

Se IsTamperProtected devolver False, abra Segurança do Windows, vá a “Proteção contra vírus e ameaças”, clique em “Gerir definições” e ligue o interruptor “Proteção contra adulteração”. A partir desse momento, qualquer tentativa de alterar definições críticas por vias não autorizadas é bloqueada e registada.

Passo 5: Ativar o Acesso Controlado a Pastas contra ransomware

O Acesso Controlado a Pastas (Controlled Folder Access) é a defesa anti-ransomware mais direta do Windows Defender. Impede que qualquer aplicação não autorizada escreva ou apague ficheiros em pastas protegidas, como Documentos, Imagens e Ambiente de Trabalho. Mesmo que um ransomware passe a deteção, não consegue cifrar os seus ficheiros.

Comece em modo de auditoria para descobrir que aplicações legítimas escrevem nessas pastas, evitando bloqueios indesejados:

# Fase 1: modo auditoria (regista, mas não bloqueia)
Set-MpPreference -EnableControlledFolderAccess AuditMode

# Aguarde alguns dias de uso normal, depois reveja os eventos:
Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" |
    Where-Object { $_.Id -eq 1124 -or $_.Id -eq 1123 } |
    Select-Object TimeCreated, Id, Message -First 20

O evento 1124 indica acesso que seria bloqueado em modo ativo; o 1123 indica acesso já bloqueado. Depois de identificar as aplicações legítimas (por exemplo, um editor de fotos ou software de backup), passe para modo de bloqueio e adicione exceções:

# Fase 2: ativar o bloqueio efetivo
Set-MpPreference -EnableControlledFolderAccess Enabled

# Adicionar uma aplicação legítima à allow-list
Add-MpPreference -ControlledFolderAccessAllowedApplications `
    "C:\Program Files\MeuBackup\backup.exe"

# Proteger uma pasta adicional (ex.: um disco de projetos)
Add-MpPreference -ControlledFolderAccessProtectedFolders "D:\Projetos"

Use sempre Add-MpPreference (e não Set-MpPreference) para as listas de aplicações e pastas, porque Set substitui toda a lista enquanto Add acrescenta sem apagar o que já existia. Esta distinção é fonte de muitos erros, como veremos na secção de pitfalls.

Passo 6: Compreender as regras ASR antes de as aplicar

As regras de Redução da Superfície de Ataque (Attack Surface Reduction, ASR) são o coração deste endurecimento. Cada regra bloqueia uma técnica concreta usada por malware: macros do Office a criar processos filho, scripts a lançar executáveis transferidos, roubo de credenciais do LSASS, e assim por diante. Cada regra é identificada por um GUID e pode estar em quatro estados.

ValorEstadoComportamento
0DisabledRegra desligada (predefinição)
1BlockBloqueia e regista a ação
2AuditRegista, mas não bloqueia
6WarnAvisa o utilizador, que pode prosseguir

A estratégia profissional é começar em Audit (2) durante uma a duas semanas, analisar os eventos gerados e só depois mudar para Block (1) as regras que não interferem com o seu fluxo de trabalho. Saltar a fase de auditoria é a causa número um de aplicações empresariais que param de funcionar de repente. A lista completa e atualizada das regras está na referência oficial de regras ASR da Microsoft.

As 12 regras ASR recomendadas e o que cada uma trava

Nem todas as regras ASR têm o mesmo peso. A tabela seguinte lista o conjunto que recomendamos para 2026, com o GUID, a técnica de ataque que cada regra bloqueia e o estado sugerido. Estas regras cobrem os vetores mais explorados por ransomware e malware de roubo de credenciais hoje em Portugal e na Europa.

Regra (descrição)GUID (início)Estado sugerido
Bloquear executáveis de email e webmailBE9BA2D9…Block
Office não cria processos filhoD4F940AB…Block
Office não cria conteúdo executável3B576869…Block
JS/VBScript não lança executáveis transferidosD3E037E1…Block
Bloquear scripts potencialmente ofuscados5BEB7EFE…Block
Bloquear chamadas Win32 a partir de macros92E97FA1…Block
Bloquear roubo de credenciais do LSASS9E6C4E1F…Audit primeiro
Bloquear processos não confiáveis de USBB2B3F03D…Block
Proteção avançada contra ransomwareC1DB55AB…Block
Bloquear processos de PSExec e WMID1E49AAC…Audit primeiro
Bloquear executáveis sem prevalência/idade/confiança01443614…Audit primeiro
Bloquear persistência via eventos WMIe6db77e5…Block

As três regras marcadas como “Audit primeiro” merecem cautela extra. A regra do LSASS pode interferir com algumas ferramentas de gestão de identidade; a de PSExec e WMI afeta scripts de administração remota; e a de prevalência bloqueia binários pouco comuns, o que inclui ferramentas internas raras. Deixe-as em auditoria mais tempo e confirme que nada essencial dispara antes de bloquear.

Passo 7: Aplicar as regras ASR em modo de auditoria

Vamos aplicar o conjunto de 12 regras ASR mais recomendado para 2026. Primeiro em auditoria. Defina um array com os GUIDs e aplique-os de uma vez:

# GUIDs das 12 regras ASR recomendadas
$asrRules = @(
    "BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550", # Bloquear executaveis de email/webmail
    "D4F940AB-401B-4EFC-AADC-AD5F3C50688A", # Office nao cria processos filho
    "3B576869-A4EC-4529-8536-B80A7769E899", # Office nao cria conteudo executavel
    "D3E037E1-3EB8-44C8-A917-57927947596D", # JS/VBScript nao lanca executaveis transferidos
    "5BEB7EFE-FD9A-4556-801D-275E5FFC04CC", # Bloquear scripts potencialmente ofuscados
    "92E97FA1-2EDF-4476-BDD6-9DD0B4DDDC7B", # Bloquear chamadas Win32 a partir de macros
    "9E6C4E1F-7D60-472F-BA1A-A39EF669E4B2", # Bloquear roubo de credenciais do LSASS
    "B2B3F03D-6A65-4F7B-A9C7-1C7EF74A9BA4", # Bloquear processos nao confiaveis de USB
    "C1DB55AB-C21A-4637-BB3F-A12568109D35", # Protecao avancada contra ransomware
    "D1E49AAC-8F56-4280-B9BA-993A6D77406C", # Bloquear processos de PSExec e WMI
    "01443614-CD74-433A-B99E-2ECDC07BFC25", # Bloquear executaveis sem prevalencia/idade/confianca
    "e6db77e5-3df2-4cf1-b95a-636979351e5b"  # Bloquear persistencia via subscricao de eventos WMI
)

# Aplicar TODAS em modo Audit
foreach ($rule in $asrRules) {
    Add-MpPreference -AttackSurfaceReductionRules_Ids $rule `
        -AttackSurfaceReductionRules_Actions AuditMode
}

# Confirmar o estado de cada regra
Get-MpPreference | Select-Object -ExpandProperty AttackSurfaceReductionRules_Ids

Use sempre Add-MpPreference aqui. Se usar Set-MpPreference, apaga qualquer regra ASR já configurada. Deixe correr durante alguns dias de utilização real. O guia oficial para ativar regras ASR da Microsoft recomenda exatamente este faseamento.

Passo 8: Analisar os eventos ASR e mudar para bloqueio

Depois do período de auditoria, recolha os eventos gerados pelas regras ASR. Os identificadores relevantes no registo operacional do Defender são o 1121 (ação bloqueada) e o 1122 (ação auditada). Este comando agrupa os eventos para perceber quais disparam mais:

# Recolher eventos ASR (Id 1121 = bloqueado, 1122 = auditado)
Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" |
    Where-Object { $_.Id -eq 1121 -or $_.Id -eq 1122 } |
    ForEach-Object {
        [PSCustomObject]@{
            Hora    = $_.TimeCreated
            Tipo    = if ($_.Id -eq 1121) { "Bloqueado" } else { "Auditado" }
            Detalhe = ($_.Message -split "`n")[0]
        }
    } | Format-Table -AutoSize

Se uma regra estiver a bloquear uma aplicação legítima (por exemplo, uma macro de Excel interna da empresa a ser travada pela regra de macros), tem duas opções: deixar essa regra em Audit ou adicionar uma exclusão específica para o ficheiro. Quando estiver confiante, promova as regras a Block:

# Promover TODAS as regras a Block
foreach ($rule in $asrRules) {
    Add-MpPreference -AttackSurfaceReductionRules_Ids $rule `
        -AttackSurfaceReductionRules_Actions Enabled
}

# Excluir um ficheiro especifico de TODAS as regras ASR, se necessario
Add-MpPreference -AttackSurfaceReductionOnlyExclusions `
    "C:\Apps\Legado\macro_interna.xlsm"

Prefira exclusões por ficheiro a desligar uma regra inteira. Desligar uma regra abre o vetor para toda a máquina; uma exclusão limita a abertura ao caminho exato de que precisa.

Passo 9: Ativar a Proteção de Rede e a proteção contra exploits

A Proteção de Rede (Network Protection) impede o acesso a domínios e endereços IP com má reputação, ao nível do sistema, mesmo fora do browser. Funciona como um filtro de URL global e bloqueia tentativas de phishing e comando-e-controlo. Ative-a em modo de bloqueio:

# Proteção de Rede em modo bloqueio
Set-MpPreference -EnableNetworkProtection Enabled

# Ativar a verificacao de todos os downloads e anexos
Set-MpPreference -DisableIOAVProtection $false

# Confirmar
Get-MpPreference | Select-Object EnableNetworkProtection

A proteção contra exploits (Exploit Protection) aplica mitigações ao nível da memória, como prevenção de execução de dados (DEP), aleatorização do espaço de endereços (ASLR) e proteção de fluxo de controlo (CFG). No Windows 11 estas mitigações vêm ativas a nível de sistema por defeito. Confirme com:

# Ver as mitigacoes de exploit ativas no sistema
Get-ProcessMitigation -System

Passo 10: Configurar análises agendadas e remediação

Uma análise rápida diária e uma análise completa semanal mantêm o sistema vigiado sem prejudicar o desempenho. Configure o agendamento e a ação automática para ameaças detetadas:

# Analise rapida diaria as 02:00 (minutos apos a meia-noite)
Set-MpPreference -ScanScheduleQuickScanTime 120

# Analise completa semanal: 0 = todos os dias, 1-7 = dia da semana
Set-MpPreference -RemediationScheduleDay 6        # Sabado
Set-MpPreference -RemediationScheduleTime 180     # 03:00

# Analisar arquivos comprimidos e drives removiveis
Set-MpPreference -DisableArchiveScanning $false
Set-MpPreference -DisableRemovableDriveScanning $false

# Manter a quarentena por 30 dias antes de remover
Set-MpPreference -QuarantinePurgeItemsAfterDelay 30

Para acionar uma análise manual de imediato, use Start-MpScan -ScanType QuickScan ou Start-MpScan -ScanType FullScan. A análise rápida demora poucos minutos; a completa pode demorar uma hora ou mais, dependendo do volume de dados.

Passo 11: O script completo de endurecimento

Aqui está o projeto completo e funcional. Guarde-o como Endurecer-Defender.ps1 e execute-o numa janela PowerShell elevada. O script aplica tudo o que vimos, com as regras ASR a começar em auditoria para segurança. Mude a variável $asrAction para "Enabled" quando estiver pronto para bloquear.

# ============================================================
# Endurecer-Defender.ps1  -  Windows 11 (2026)
# Executar numa janela PowerShell ELEVADA (Administrador)
# ============================================================

#Requires -RunAsAdministrator

$asrAction = "AuditMode"   # mudar para "Enabled" apos validacao

Write-Host "[1/7] Verificar estado inicial..." -ForegroundColor Cyan
$status = Get-MpComputerStatus
if (-not $status.AntivirusEnabled) {
    Write-Warning "Defender nao esta ativo (modo passivo?). A abortar."
    return
}

Write-Host "[2/7] Atualizar assinaturas..." -ForegroundColor Cyan
Update-MpSignature -UpdateSource MicrosoftUpdateServer

Write-Host "[3/7] Protecao via nuvem (nivel alto)..." -ForegroundColor Cyan
Set-MpPreference -MAPSReporting Advanced
Set-MpPreference -SubmitSamplesConsent SendAllSamples
Set-MpPreference -CloudBlockLevel High
Set-MpPreference -CloudExtendedTimeout 50

Write-Host "[4/7] Acesso Controlado a Pastas (auditoria)..." -ForegroundColor Cyan
Set-MpPreference -EnableControlledFolderAccess AuditMode

Write-Host "[5/7] Protecao de Rede e verificacoes extra..." -ForegroundColor Cyan
Set-MpPreference -EnableNetworkProtection Enabled
Set-MpPreference -DisableIOAVProtection $false
Set-MpPreference -DisableArchiveScanning $false
Set-MpPreference -DisableRemovableDriveScanning $false

Write-Host "[6/7] Regras ASR (estado: $asrAction)..." -ForegroundColor Cyan
$asrRules = @(
    "BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550",
    "D4F940AB-401B-4EFC-AADC-AD5F3C50688A",
    "3B576869-A4EC-4529-8536-B80A7769E899",
    "D3E037E1-3EB8-44C8-A917-57927947596D",
    "5BEB7EFE-FD9A-4556-801D-275E5FFC04CC",
    "92E97FA1-2EDF-4476-BDD6-9DD0B4DDDC7B",
    "9E6C4E1F-7D60-472F-BA1A-A39EF669E4B2",
    "B2B3F03D-6A65-4F7B-A9C7-1C7EF74A9BA4",
    "C1DB55AB-C21A-4637-BB3F-A12568109D35",
    "D1E49AAC-8F56-4280-B9BA-993A6D77406C",
    "01443614-CD74-433A-B99E-2ECDC07BFC25",
    "e6db77e5-3df2-4cf1-b95a-636979351e5b"
)
foreach ($r in $asrRules) {
    Add-MpPreference -AttackSurfaceReductionRules_Ids $r `
        -AttackSurfaceReductionRules_Actions $asrAction
}

Write-Host "[7/7] Concluido. A confirmar..." -ForegroundColor Green
Get-MpPreference | Select-Object `
    MAPSReporting, CloudBlockLevel, `
    EnableControlledFolderAccess, EnableNetworkProtection
Write-Host "Regras ASR aplicadas:" $asrRules.Count -ForegroundColor Green

Se a política de execução de scripts o impedir, autorize o script da sessão atual com Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass antes de o correr. Isto não altera a política permanente da máquina.

Passo 12: Verificar, exportar e reverter

Confirme que tudo ficou ativo comparando com a linha de base do Passo 1. Depois exporte a configuração para poder reaplicá-la noutra máquina ou reverter se algo correr mal:

# Verificacao final
Get-MpPreference | Select-Object `
    MAPSReporting, CloudBlockLevel, EnableControlledFolderAccess, `
    EnableNetworkProtection, `
    AttackSurfaceReductionRules_Ids, AttackSurfaceReductionRules_Actions

# Exportar configuracao para ficheiro
Get-MpPreference | Export-Clixml -Path "C:\backup\defender-config.xml"

# Para REVERTER as regras ASR (remover todas):
$asrRules | ForEach-Object {
    Remove-MpPreference -AttackSurfaceReductionRules_Ids $_
}

# Para desativar o Acesso Controlado a Pastas:
Set-MpPreference -EnableControlledFolderAccess Disabled

Guarde o ficheiro XML exportado num local seguro. Os GUIDs e estados das regras ASR devem corresponder ao que aplicou. Se um campo aparecer vazio, reaplique o passo correspondente. A documentação completa dos parâmetros está na referência do cmdlet Set-MpPreference.

5 erros comuns ao configurar o Windows Defender

Estes são os enganos que mais partem configurações de Windows Defender na prática. Evitá-los poupa horas de diagnóstico.

  • Usar Set-MpPreference em vez de Add-MpPreference para listas: Set substitui a lista inteira. Se tem 11 regras ASR e aplica uma nova com Set, fica só com essa. Use sempre Add para regras ASR, aplicações permitidas e pastas protegidas.
  • Saltar a fase de auditoria das regras ASR: ativar tudo em Block de imediato bloqueia macros internas, scripts de instalação e ferramentas administrativas legítimas. Comece sempre em AuditMode.
  • Ativar o Acesso Controlado a Pastas sem allow-list: software de backup, editores de imagem e jogos que gravam em Documentos param de funcionar. Audite primeiro e construa a lista de exceções.
  • Tentar ligar a Proteção contra Adulteração por PowerShell: não funciona por design. Tem de ser ativada na interface ou via Intune. Quem espera fazê-lo por Set-MpPreference perde tempo.
  • Aplicar com outro antivírus instalado: com uma suite de terceiros ativa, o Defender entra em modo passivo e as regras ASR e o acesso controlado a pastas simplesmente não funcionam, mesmo que os comandos não deem erro.

Resolução de problemas: 8 situações frequentes

Quando algo não corre como esperado, comece por aqui. Estes oito problemas cobrem a maioria dos pedidos de ajuda relacionados com endurecimento do Windows Defender.

SintomaCausa provávelSolução
“Operation failed with 0x800106ba”Serviço do Defender paradoReiniciar o serviço WinDefend e correr Get-Service WinDefend
Regras ASR não aparecem em Get-MpPreferenceAplicadas com Set em vez de AddReaplicar com Add-MpPreference
ASR não bloqueia nadaDefender em modo passivoDesinstalar o antivírus de terceiros
Aplicação legítima bloqueada por ASRFalsa deteção da regraAdicionar AttackSurfaceReductionOnlyExclusions
“Set-MpPreference: Access denied”PowerShell sem elevação ou Tamper ProtectionAbrir como Administrador; algumas mudanças exigem desligar adulteração
Acesso Controlado bloqueia o OfficeApp não está na allow-listAdd-MpPreference -ControlledFolderAccessAllowedApplications
Update-MpSignature falhaSem rede ou fonte erradaVerificar ligação; usar -UpdateSource MicrosoftUpdateServer
Política de domínio anula as definiçõesGPO/Intune sobrepõe o localConfigurar ao nível da política de grupo, não localmente

Reiniciar e diagnosticar o serviço do Defender

Muitos erros resolvem-se confirmando que o serviço está a correr e que o motor responde. Estes comandos diagnosticam o essencial:

# Estado do servico principal do Defender
Get-Service WinDefend | Select-Object Status, StartType

# Forcar verificacao da plataforma e versao
Get-MpComputerStatus | Select-Object AMRunningMode, AMProductVersion

# Repor a plataforma do Defender se estiver corrompida
& "$env:ProgramFiles\Windows Defender\MpCmdRun.exe" -wdenable

Se AMRunningMode devolver “Passive Mode” ou “EDR Block Mode”, o Defender não é o antivírus ativo e o endurecimento não terá efeito completo. O valor desejado é “Normal”.

Dicas avançadas para administradores

Depois do básico, estas técnicas levam o Windows Defender mais longe, sobretudo em ambientes geridos ou com vários equipamentos.

  • Distribuir por Intune ou GPO: em mais de três ou quatro máquinas, deixe o PowerShell local e use perfis de Endpoint Security no Intune ou os modelos administrativos do GPO. Garante consistência e impede que utilizadores desfaçam as definições.
  • Análise offline para rootkits persistentes: Start-MpWDOScan reinicia em ambiente mínimo e analisa antes do arranque do Windows, apanhando malware que se esconde durante a sessão normal.
  • Integrar com a deteção de rede: combine o endurecimento do endpoint com análise de tráfego. O nosso guia de análise de pacotes com Wireshark ajuda a confirmar que a Proteção de Rede está mesmo a bloquear o que deve.
  • Indicadores personalizados: em Defender for Endpoint (versão empresarial), defina indicadores de ficheiro, IP e URL para bloquear ameaças específicas da sua organização, além das listas globais da Microsoft.
  • Monitorizar o ASR de forma contínua: exporte periodicamente os eventos 1121 e 1122 para um SIEM. Picos súbitos de bloqueios podem sinalizar uma campanha ativa de phishing contra a sua equipa.

Para contexto sobre como estas defesas se comparam com produtos pagos em testes independentes, a AV-TEST publica resultados regulares de antivírus para Windows doméstico. Vale a pena cruzar esses dados com a nossa comparação entre Bitdefender e Norton para decidir se, no seu caso, faz sentido complementar o Defender.

Validar o endurecimento com um teste seguro

Endurecer sem testar é confiar na sorte. Há formas seguras de confirmar que as defesas respondem. O ficheiro de teste EICAR é uma cadeia inofensiva, reconhecida por todos os antivírus, que serve precisamente para validar que a deteção funciona sem usar malware real.

# Verificar deteção em tempo real com o ficheiro de teste EICAR
# (cadeia oficial e inofensiva, apenas para teste)
$eicar = 'X5O!P%@AP[4\PZX54(P^)7CC)7}$' +
         'EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*'
Set-Content -Path "$env:TEMP\eicar.txt" -Value $eicar
# O Defender deve eliminar o ficheiro de imediato e registar uma deteção.

# Confirmar a deteção no historico de ameacas
Get-MpThreatDetection | Select-Object -First 5 `
    ActionSuccess, ThreatID, InitialDetectionTime

Se o ficheiro desaparecer assim que o gravar e Get-MpThreatDetection mostrar a entrada, a proteção em tempo real funciona. Para testar as regras ASR, a Microsoft fornece um conjunto de demonstrações no portal Defender, mas em ambiente doméstico basta confirmar, pelos eventos 1121, que uma macro de teste a tentar criar um processo filho foi bloqueada.

Combine este teste com boas práticas gerais de higiene digital. Um antivírus endurecido não substitui passwords fortes nem cuidado com phishing, temas que abordamos no guia de segurança de palavras-passe e na introdução prática à segurança online. A defesa em camadas é o que realmente reduz o risco.

Como as camadas do Defender trabalham em conjunto

A força deste endurecimento não vem de uma única definição, mas da forma como as camadas se reforçam. Vale a pena perceber a sequência de defesa para saber o que falha (e o que segura) quando uma ameaça chega à máquina. Imagine um anexo malicioso recebido por email num documento de Word com uma macro.

A primeira barreira é a regra ASR que impede o Office de criar processos filho. Mesmo que o utilizador abra o documento e ative a macro, esta não consegue lançar o PowerShell nem o cmd para descarregar a carga seguinte. Se, por hipótese, essa regra estiver em auditoria e deixar passar, entra a regra que bloqueia JavaScript e VBScript de lançar executáveis transferidos. Caso o binário malicioso chegue mesmo ao disco, a proteção via nuvem em nível alto avalia a sua reputação em milissegundos e bloqueia ficheiros raros ou recém-vistos antes de executarem.

Se, apesar de tudo, um processo malicioso ganhar execução e tentar cifrar ficheiros, o Acesso Controlado a Pastas trava qualquer escrita não autorizada em Documentos, Imagens e Ambiente de Trabalho. E se o malware tentar desligar o próprio Defender para abrir caminho, a Proteção contra Adulteração impede-o. Cada camada cobre a falha potencial da anterior. É exatamente por isto que não basta ativar uma ou duas: a segurança real está na sobreposição.

A Proteção de Rede acrescenta uma camada transversal. Mesmo que uma das defesas de endpoint falhe e o malware tente contactar o seu servidor de comando-e-controlo, o bloqueio de domínios e IP de má reputação corta a comunicação. Sem canal de saída, muitas cargas modernas, incluindo infostealers que tentam exfiltrar credenciais, ficam inertes. Esta abordagem em profundidade é o consenso atual entre equipas de resposta a incidentes.

Manter o endurecimento ao longo do tempo

Configurar o Windows Defender uma vez não chega. As ameaças evoluem, a Microsoft publica regras ASR novas e as aplicações mudam. Um plano simples de manutenção mantém a proteção afinada sem grande esforço.

Mensalmente, reveja o histórico de deteções com Get-MpThreatDetection e os eventos ASR 1121 e 1122. Procure padrões: se uma regra dispara muito contra uma aplicação concreta, decida entre uma exclusão por ficheiro ou ajustar o fluxo de trabalho. Confirme também que as assinaturas estão recentes e que Get-MpComputerStatus continua a devolver tudo a True. Leva cinco minutos e apanha cedo qualquer regressão causada por uma atualização ou por software novo.

Trimestralmente, consulte a referência oficial de regras ASR para ver se a Microsoft adicionou regras relevantes. Quando aparece uma regra nova, aplique-a primeiro em auditoria, como fez no início, e só depois bloqueie. Atualize o seu script Endurecer-Defender.ps1 com os novos GUIDs para que qualquer reinstalação ou nova máquina herde a configuração completa. Guarde o script num repositório interno ou num gestor de configuração para não perder o trabalho.

Por fim, teste periodicamente. Uma proteção que ninguém verifica tende a degradar-se em silêncio. Repita o teste EICAR a cada poucos meses e, em ambientes empresariais, considere exercícios controlados que simulem técnicas reais de ataque para confirmar que as regras ASR e a Proteção de Rede respondem como esperado. A confiança numa defesa deve vir de a ter visto funcionar, não de a ter configurado.

Perguntas frequentes sobre o Windows Defender

O Windows Defender é suficiente sozinho em 2026?

Para a maioria dos utilizadores domésticos e pequenas empresas, sim, desde que esteja endurecido como descrevemos. Com regras ASR em bloqueio, acesso controlado a pastas e proteção via nuvem ao máximo, o Defender atinge níveis de proteção próximos das melhores suites pagas. Quem gere dados muito sensíveis ou precisa de gestão centralizada avançada pode beneficiar de uma solução comercial complementar.

As regras ASR vão abrandar o meu computador?

O impacto no desempenho é mínimo. As regras ASR intercetam comportamentos específicos (uma macro a criar um processo, um script a lançar um executável) e não fazem análise contínua de ficheiros. A maioria dos utilizadores não nota qualquer diferença. O acesso controlado a pastas também tem custo desprezável depois de a allow-list estar montada.

Posso aplicar isto no Windows 10?

Tecnicamente, a maioria dos comandos funciona no Windows 10, mas o suporte terminou a 14 de outubro de 2025. Sem atualizações de segurança, o sistema operativo torna-se um risco que nenhum endurecimento do antivírus compensa. Recomendamos migrar para o Windows 11 antes de investir tempo nesta configuração.

Como reverto tudo se algo correr mal?

Use os comandos de reversão do Passo 12: Remove-MpPreference para cada regra ASR e Set-MpPreference -EnableControlledFolderAccess Disabled para o acesso controlado. Se exportou a configuração antes de começar, pode restaurá-la. Em último recurso, um ponto de restauro do sistema repõe o estado anterior.

Preciso da Proteção contra Adulteração se já uso este endurecimento?

Sim, e é talvez a definição mais importante de todas. Sem ela, qualquer malware que ganhe execução pode simplesmente desligar o Defender e anular todo o resto. A Proteção contra Adulteração tranca as definições para que nem o próprio administrador as altere por vias automáticas, o que para um atacante é uma barreira decisiva.

As regras ASR funcionam na edição Home do Windows 11?

A maioria funciona. Algumas regras avançadas comportam-se apenas em modo de auditoria na edição Home, registando em vez de bloquear, mas as regras principais contra macros, scripts e roubo de credenciais bloqueiam normalmente. O acesso controlado a pastas e a proteção via nuvem funcionam totalmente em todas as edições.

Com que frequência devo rever esta configuração?

Reveja os eventos ASR e o histórico de deteções pelo menos uma vez por mês. A Microsoft adiciona novas regras ASR periodicamente, por isso vale a pena consultar a referência oficial a cada trimestre e acrescentar as regras novas relevantes ao seu script. Mantenha também o Windows 11 atualizado, já que o motor do Defender é melhorado via Windows Update.

Conclusão: defesa empresarial sem custos adicionais

O Windows Defender de fábrica é competente. O Windows Defender endurecido, com as 12 regras ASR, o acesso controlado a pastas, a proteção via nuvem no máximo e a proteção contra adulteração ativa, está ao nível de soluções que custam dezenas de euros por ano. Tudo isto com ferramentas já presentes no Windows 11 e um único script de PowerShell.

O caminho certo é faseado: verificar a linha de base, aplicar em auditoria, analisar os eventos durante uma a duas semanas e só depois bloquear. Essa disciplina evita as surpresas que levam muita gente a desligar tudo à primeira aplicação travada. Guarde o script, exporte a configuração e reveja os eventos com regularidade. Num cenário de ameaças cada vez mais agressivo, esta configuração é das melhores relações entre esforço e proteção que existem para Windows.

Cobertura relacionada