XP SP2 發布後，微軟同期推出「Windows AntiSpyware (後更名 Windows Defender)」與「惡意軟件移除工具 (MRT)」，大量用戶混淆二者。本文從安裝形態、檢測對象、更新機制、授權模式四個維度劃清界限，並給出協同部署建議。

一眼辨別：圖標、體積、安裝方式、下載入口

屬性	Windows AntiSpyware (反間諜軟件)	惡意軟件移除工具 (MRT)
圖標	靶心/盾牌狀	補丁/綁帶狀
安裝包大小	~6 MB	~260 KB (壓縮包解壓後略大)
運行模式	常駐服務 + 實時防護 + 掃描引擎，需安裝	按需掃描器，無需安裝，雙擊運行/命令行調用
官方下載	`FamilyId=321CD7A2-6A57-4C57-A8BD-DBF62EDA9671`	`FamilyID=ad724ae0-e72d-4f54-9ab3-75b8eb148356`
更新頻率	每日/實時 (特徵庫 + 引擎)	每月第二個周二 (Patch Tuesday) 隨補丁發布
授權	免費 (需正版 Windows 驗證 WGA)	免費 (無 WGA 檢查，離線可用)

核心差異：防護對象與檢測邏輯

反間諜軟件：針對「間諜軟件」的常駐防禦系統

• 間諜軟件定義：捆綁免費軟件/駕駛下載靜默安裝、竊取瀏覽習慣/鍵盤記錄/屏幕快照、劫持瀏覽器首頁/搜索/插件、修改 Hosts/LSP/Winsock、彈窗廣告、上傳隱私數據。**特徵：隱蔽、持久、商業化數據變現。**
• 防護能力：實時監控 (文件/註冊表/網絡/進程)、定時/手動掃描、ActiveX/瀏覽器助手對象 (BHO) 阻擋、系統設置鎖定 (首頁/搜索/安全區域)、軟件探索器 (啟動項/運行中程序/網絡連接/WinSock LSP)。
• 定位：**第一道防線**，持續運行，阻止安裝、運行中行為攔截、已安裝清理。

惡意軟件移除工具 (MRT)：針對「高盛行惡意代碼」的定期清理工具

• 惡意軟件定義 (微軟)：病毒、蠕蟲、特洛伊木馬、後門、Rootkit、勒索軟件、挖礦程序、惡意腳本、**具有自我複製/傳播/破壞/竊取/控制能力的代碼**。
• 檢測範圍：僅針對微軟內部確定的「高盛行、高危害」特定家族 (如 Blaster、Sasser、Mydoom、Zotob、Conficker、WannaCry、Emotet、TrickBot 等)，每月更新清單，非全量病毒庫。
• 運行模式：
  • 靜默模式：Windows Update 自動推送，後台運行，僅發現感染時彈窗通知。
  • 手動模式：`mrt.exe` / 下載獨立包 → 掃描 → 報告 → 清理。
• 定位：**補救性清理工具**，不提供實時防護、不防禦未知/低盛行樣本、不替代殺毒軟件。

關係圖譜：間諜軟件 ≠ 惡意軟件 ≠ 病毒 (但有交集)

        ┌─────────────────────┐
        │     惡意軟件        │  ← 微軟廣義定義：病毒+蠕蟲+木馬+後門+Rootkit+勒索+挖礦+間諜軟件(部分)
        └──────────┬──────────┘
                   │
       ┌───────────┼───────────┐
       ▼           ▼           ▼
┌────────────┐ ┌─────────┐ ┌──────────┐
│   病毒     │ │  蠕蟲   │ │ 特洛伊木馬│  ← 經典三大類，自我複製/傳播/偽裝
└────────────┘ └─────────┘ └──────────┘
       ▲
       │  子集/交集
┌────────────┐
│ 間諜軟件    │  ← 商業化數據竊取、瀏覽器劫持、持久化駐留
└────────────┘

MRT 覆蓋「惡意軟件」高盛行子集；AntiSpyware 專注「間諜軟件」全生命週期；傳統殺毒 (AV) 覆蓋「病毒/蠕蟲/木馬」全量特徵庫 + 启发式/行為/雲引擎。**三者互補，不可互替。**

協同部署建議：分層防護矩陣

層級	工具/技術	角色	更新頻率	備註
邊界/網關	下一代防火牆 / 安全網關 / SSE	流量級阻斷、威脅情報匹配	實時	首道防線
終端實時	Windows Defender (Win8+) / 第三方 EDR/EPP	文件/行為/內存/網絡/雲引擎實時防護	實時/每小時	核心防線，**必須啟用**
終端專項	Windows AntiSpyware (WinXP/2003) / Defender 反間諜模塊	專項針對間諜軟件/BHO/啟動項/LSP	每日	Win10/11 已整合入 Defender，無需獨立安裝
定期清理	MRT (每月 Patch Tuesday)	清理高盛行惡意代碼殘留、驗證實時防護有效性	月度	自動推送/手動運行雙通道
應急排查	Sysinternals (Autoruns/Process Explorer/TCPView) + 專殺工具	深度排查 Rootkit/持久化/異常連接	按需	專業運維/應急響應工具箱

給 XP/2003 存量系統的遷移建議

XP/2003 已停止主流支持 (2014/2015)，AntiSpyware/MRT 亦停止更新。**唯一正確路徑：升級至受支持 OS (Win10/11 LTSC、Win2019/2022) + 現代 EDR/XDR**。若極少數業務必須留存，請實施：網絡隔離 (VLAN/防火牆/單向閘)、應用白名單 (AppLocker/WDAC)、虛擬化沙箱運行、全量審計日志轉發、定期離線備份、彌補措施文檔化並納入風險登記冊。