如何开启 Win11 内置的“数据执行保护(DEP)” 增强系统底层防御方法

想给你的Windows 11系统底层安全再加一道锁吗？对付那些利用缓冲区溢出漏洞的恶意攻击，启用系统内置的“数据执行保护（DEP）”是个非常有效的方法。它的原理很巧妙：通过处理器支持的NX/XD位，将内存中的堆、栈等数据区域标记为“不可执行”，从而直接切断恶意代码的常见执行路径。下面，我们就来详细说说几种开启DEP的方法。

一、通过系统属性图形界面启用 DEP

对于大多数用户来说，通过图形界面操作是最直观的选择。这个方法兼容所有Windows 11版本，默认策略是“仅保护Windows程序和服务”，在安全性和软件兼容性之间取得了不错的平衡。

1. 首先，右键点击任务栏或桌面上的“此电脑”图标，选择“属性”；或者更直接一点，按下键盘上的 Win + Pause/Break 组合键。

2. 在打开的窗口左侧，找到并点击“高级系统设置”。

3. 在弹出的“系统属性”对话框中，切换到“高级”选项卡，在“性能”一栏点击“设置”按钮。

4. 接着，在新窗口中找到并切换到“数据执行保护”选项卡。

5. 在这里，选择“为除下列选定程序之外的所有程序和服务启用DEP”这个选项。

6. 点击“确定”保存，根据提示重启电脑，设置就生效了。

二、通过命令提示符（管理员）强制启用全局 DEP

如果你需要为所有程序无条件启用DEP，或者是在批量部署的环境下，使用命令行的方式会更高效。这个方法直接修改系统的启动配置数据库（BCD），当然，前提是你的处理器支持NX/XD功能。

1. 右键点击开始菜单，选择“Windows Terminal（管理员）”或“命令提示符（管理员）”。

2. 在打开的管理员终端中，输入以下命令并回车：bcdedit.exe /set {current} nx AlwaysOn。

3. 看到“操作成功完成”的提示后，说明设置已经写入。

4. 最后，输入命令 shutdown /r /t 0 来立即重启系统，让更改完全生效。

三、通过注册表编辑器启用软件级 DEP 回退机制

有些较旧的硬件可能不支持NX/XD，或者在BIOS中关闭了相关虚拟化功能。这时，我们可以通过修改注册表，启用一个软件模拟的DEP回退机制来提供一定程度的保护（主要用于兼容某些旧版驱动）。

1. 按下 Win + R，输入 regedit，并以管理员身份运行注册表编辑器。

2. 导航到以下路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management。

3. 在右侧窗格中，查找名为 FeatureSettingsOverride 的DWORD值。如果不存在，就右键空白处，选择“新建” -> “DWORD (32 位) 值”，并命名为这个名字。

4. 双击这个值，将其“数值数据”修改为 4。

5. 接着，在同一个位置下，再新建一个名为 FeatureSettingsOverrideMask 的DWORD值，将其“数值数据”设置为 3。

6. 关闭注册表编辑器，重启计算机。

四、验证 DEP 当前启用状态

做完以上任何一项设置后，验证DEP是否真的成功启用了至关重要，这可以避免因硬件兼容性或策略冲突导致配置未生效。系统自带的工具就能帮我们看清底层的运行时状态。

1. 按下 Win + R，输入 msinfo32 并回车，打开“系统信息”窗口。

2. 在右侧的详细信息列表中，仔细查找“数据执行保护”这一项。

3. 确认其值显示为 可用，并且状态是 已启用。如果显示“不可用”，那通常意味着你的CPU不支持该技术，或者BIOS中的相关选项被禁用了。