如何在Docker Windows容器中运行Windows Defender？启动报错如何解决

核心结论 #

你当前的需求无法通过默认配置的Windows Docker容器实现，原因如下：

• 微软官方发布的所有Windows容器基础镜像（包括你使用的20H2完整版Windows镜像）都默认裁剪了Windows Defender运行依赖的内核级过滤驱动、系统服务权限相关组件，以实现镜像轻量化。
• Windows容器的进程隔离机制默认禁止容器内的程序加载内核驱动、修改底层安全策略，而Defender的核心运行逻辑依赖内核层的权限支持。
• 你此前查到的各类修改组策略、重装Defender组件的解决方案都是针对物理机/完整虚拟机环境的，在容器限制的权限下无法生效，还会引发额外的依赖报错。

报错说明 #

你遇到的HRESULT 0x800106ba是Windows Defender的通用报错码，对应的核心原因就是Defender的核心服务组件缺失、或者核心服务未正常运行，和你在物理机/虚拟机上完全禁用Defender后调用Defender相关命令返回的错误完全一致，没有额外特殊含义。

可选替代方案 #

如果你的渗透测试场景需要运行完整的Windows Defender服务，可以选择以下方案：

• 放弃Docker容器方案，改用Hyper-V虚拟机、Windows沙箱等完整虚拟化环境，这类环境拥有完整的系统内核权限，可以正常安装运行Windows Defender所有组件。
• 如果必须使用容器化环境，可以尝试使用Hyper-V隔离模式启动容器，启动命令添加--isolation hyperv参数，同时需要额外修改容器的安全策略、手动补全Defender的缺失组件，但该方案稳定性极低，且不同Windows版本的配置逻辑差异极大，不推荐使用。

内容的提问来源于stack exchange，提问作者J.Todd