Ekskluder mapper eller stasjoner fra Windows Defender-skanning: En komplett veiledning

Når Windows Defender utløses ved den minste provokasjon og flagger mapper eller prosesser du vet er pålitelige, kan systemet redusere hastigheten eller blokkere ofte brukte oppgaver. Ved å konfigurere skanneekskluderinger kan du finjustere hva som skannes og når, uten å deaktivere beskyttelsen: nøkkelen er å gjøre dette med omhu for å minimere påvirkningen på sikkerheten.

I denne grundige og praktiske veiledningen lærer du hvordan du ekskluderer filer, mapper, utvidelser, stasjoner og prosesser, og går et skritt videre med kontekstuelle ekskluderinger som bare gjelder for bestemte typer skanninger, utløsere eller spesifikke prosesser. Du vil også se hvordan du gjør dette ved hjelp av Windows -sikkerhetsappen , gruppepolicy, PowerShell og WMI , samt hvordan du validerer at reglene dine fungerer med verktøy som MpCmdRun eller EICAR-testfilen.

Hva er unntak i Microsoft Defender, og når skal de brukes?

Unntak er regler som forteller Defender hva som ikke skal skannes (filer, mapper, utvidelser eller prosesser), enten det er i planlagte skanninger, skanninger på forespørsel eller sanntidsbeskyttelse. Hovedformålet deres er å redusere ytelsesproblemer , men de har en kostnad: de reduserer beskyttelsesnivået , så bruk dem bare når det er nødvendig og presist.

Utelatelser er ikke den ideelle løsningen for falske positiver . Hvis du oppdager en, er den riktige fremgangsmåten å sende inn filen til analyse via Microsoft Defender-portalen (abonnement kreves) eller nettstedet Microsoft Security Intelligence . For midlertidige tilfeller i miljøer med Microsoft Defender for Endpoint, bør du vurdere å opprette et spesifikt "tillat"-flagg i stedet for å ekskludere en hel bane.

Kontekstuelle ekskluderinger: Begrens etter rutetype, eksamen, utløser eller prosess

Kontekstuelle ekskluderinger lar deg være veldig spesifikk når et unntak gjelder. De defineres ved å legge til restriksjoner til den ekskluderte ruten ved hjelp av en streng med syntaks hvordan er: <RUTA>\:{TypeName:value,TypeName:value}. ViktigTyper og verdier skiller mellom store og små bokstaver.

Fire restriksjoner er tilgjengelige for å finjustere reglene dine:

• Stitype (fil eller mappe): Avgrenser om utelukkelsen bare skal brukes hvis destinasjonen er fil o mappe. Ejemplo: C:\documents\*.mdb\:{PathType:file} o C:\documents\*\:{PathType:folder}.
• Skannetype (eksamenstype): begrenser utelukkelsen til eksamener rask o fullt. Ejemplo: C:\documents\:{ScanType:full}.
• Skannutløser (trigger): Gjelder når eksamen starter På etterspørsel (inkluderer planlagt og regissert komplett/raskt), Ved tilgang (sanntid) eller via BM (atferdsovervåking). Ejemplo: C:\documents\:{ScanTrigger:OnAccess}.
• Prosess (prosess): Begrenser utelukkelse til tilgang fra en bestemt prosess (jokertegn tillatt). Ejemplo: C:\documents\design.doc\:{Process:\"winword.exe\"}.

Raske eksempler på syntaks i aksjon:

• Bare hvis det er en fil og i sanntid: C:\documents\design.doc\:{PathType:file,ScanTrigger:OnAccess}.
• Bare når du åpner den ord (etter bildenavn): C:\documents\design.doc\:{Process:\"winword.exe\"}.
• Med jokertegn i ruter og utvidelser: C:\*\*.doc\:{PathType:file,ScanTrigger:OnDemand}.
• Jokertegn i prosessstien: C:\documents\design.doc\:{Process:\"C:\\Program Files*\\Microsoft Office\\root\\Office??\\winword.exe\"}.

Husk standardvirkemåtenHvis du ikke angir PathType, ScanType eller ScanTrigger, brukes utelukkelsen. både til filer og mapper y i alle typer og utløsereFor å unngå tvetydigheter (for eksempel, C:\program.exe kan være en mappe), kombinerer restriksjoner som i C:\program.exe\:{ScanType:quick,PathType:file}.

Eksamenstyper og utløsere: Hvordan de påvirker reglene dine

Defender utfører flere typer skanninger : hurtigskanningen ser på vanlige oppstartsplasseringer for skadelig programvare , minne og relevante registernøkler; fullskanningen skanner hele filsystemet i tillegg til det hurtigskanningen dekker; og den målrettede skanningen analyserer et bestemt element (f.eks. fra hurtigmenyen).

Utløsere bestemmer når ekskludering utløses . OnDemand grupperer planlagte og manuelt startet skanninger (raske, fullstendige og målrettede); OnAccess tilsvarer sanntidsbeskyttelse (åpne, skrive, lese eller endre); BM refererer til skanninger utløst av atferdsovervåking , inkludert minne.

Praktiske eksempler for å justere effekten på ytelsen:

• Ekskluder en mappe bare i den fullstendige: C:\documents\:{ScanType:full}.
• Ekskluder en fil bare i hurtigmenyen og sørge for at det er en fil: C:\program.exe\:{ScanType:quick,PathType:file}.
• Ekskluder en rute som kun vises i sanntid: C:\documents\:{ScanTrigger:OnAccess}.

Å kombinere restriksjoner reduserer risikoflaten ved å unngå altfor brede unntak som kan overse trusler hvis de brukes i uforutsette sammenhenger.

Versjonskrav og funksjonalitetsomfang

Kontekstuelle ekskluderinger krever Microsoft Defender Antivirus med plattformversjon 4.18.2205.7 eller nyere og motorversjon 1.1.19300.2 eller nyere . Se etter oppdateringer for plattform og sikkerhetsinformasjon for å sikre at miljøet ditt støtter disse alternativene.

Unntak gjelder for planlagte skanninger, skanninger på forespørsel og sanntidsbeskyttelse . Microsoft bemerker imidlertid at unntak vanligvis ikke er nødvendige bortsett fra i spesifikke tilfeller (for eksempel administrative verktøy, databaser eller intensive operasjoner som du kjenner til og kontrollerer).

Slik konfigurerer du unntak: Windows Security-appen, gruppepolicy, PowerShell og WMI

Fra Windows-sikkerhetsappen (grafisk grensesnitt) : Åpne søkefeltet og skriv inn «Sikkerhet» for å få tilgang til Windows-sikkerhet . Gå til Virus- og trusselbeskyttelse , og deretter til Administrer innstillinger i «Innstillinger for virus- og trusselbeskyttelse». I delen Unntak klikker du på Legg til eller fjern unntak , og deretter på Legg til unntak . Du kan velge Fil , Mappe (inkludert undermapper), Filtype (etter filtype) eller Prosess (etter navn). For å fjerne et unntak bruker du sideikonet ved siden av hvert element og velger Fjern.

Bruke gruppepolicy (GPO) : Åpne konsollen for gruppepolicyadministrasjon , rediger ønsket GPO, og naviger til Datamaskinkonfigurasjon > Administrative maler > Windows-komponenter > Microsoft Defender Antivirus > Unntak . Gå til Baneunntak , velg Aktivert , klikk Vis , og legg til hver bane (mappe eller fil med fullstendig bane). Skriv inn 0 i Verdi-kolonnen. Gjenta for utvidelsesunntak (én filtype per linje, med eller uten punktum; verdi 0 ). Bruk og OK.

Med Microsoft Intune eller Configuration Manager : du kan definere unntak etter filnavn, mappe eller filtype fra Intune (se den tilhørende sikkerhetspolicyen) og i Configuration Manager (gjeldende gren) ved hjelp av policyer mot skadelig programvare i delen for unntaksinnstillinger.

Med PowerShell (Forsvarsmodul): bruk Sett-MpPreference å opprette/overskrive, Add-MpPreference å legge til og Fjern-MpPreference å fjerne. De viktigste parameterne er -Utelukkelsesutvidelse (utvidelser) og -Utelukkelsessti (filer eller mapper, inkludert underkataloger). Ejemplo: Add-MpPreference -ExclusionExtension ".test"For å se gjennom alle preferanser, kjør Get-MpPreference; du kan også lagre i en variabel: $WDAVprefs = Get-MpPreference og så se $WDAVprefs.ExclusionExtension o $WDAVprefs.ExclusionPath.

Med WMI : MSFT_MpPreference- klassen eksponerer Set- , Add- og Remove- metoder på egenskaper som ExclusionExtension og ExclusionPath , på samme måte som PowerShell-cmdleter. Dette er nyttig for automatisering og skripting i administrerte miljøer.

Bruk av jokertegn og miljøvariabler i utvidelser, stier og prosesser

Forsvarer støtter jokertegn i utelukkelser av sti/fil/prosess og utvidelse: stjernen * og spørsmålstegnet ?, i tillegg til Miljøvariabler (for eksempel %ALLUSERSPROFILE%). øye: tolkningen avviker fra andre språk og apps; det er viktig å forstå omfanget godt.

Mønstre med *: På filnavn/filendelse, erstatter et hvilket som helst antall tegn i sist definerte mappe; i mappeutelukkelser, Hver * erstatter en enkelt mappe i banen, og etter å ha matchet jokertegn- og navngitte mapper, alle undermapper er inkludert. eksempler: C:\MyData\*.txt deksler C:\MyData\notes.txt; C:\somepath\*\Data det inkluderer C:\somepath\Archives\Data y C:\somepath\Authorized\Data; C:\Serv\*\*\Backup dekker ruter som C:\Serv\Primary\Denied\Backup y C:\Serv\Secondary\Allowed\Backup.

Mønstre med ?: På filnavn/filendelse, erstatter et enkelt tegn i den siste mappen; i carpetas, erstatter ett enkelt tegn i navnet på hver mappe i mønsteret. eksempler: C:\MyData\my?.zip ville dekke C:\MyData\my1.zip; C:\somepath\?\Data ville falle sammen med C:\somepath\P\Data; C:\somepath\test0?\Data vil inkludere C:\somepath\test01\Data.

MiljøvariablerDe utvider til sin faktiske bane når de evaluerer ekskluderingen. eksempler: %ALLUSERSPROFILE%\CustomLogFiles er lik C:\ProgramData\CustomLogFiles; og du kan kombinere dem med jokertegn, som %PROGRAMFILES%\Contoso*\v?\bin\contoso.exe, som ville gifte seg C:\Program Files\Contoso Labs\v1\bin\contoso.exe.

De vanligste miljøvariablene På Windows-systemer vil dette gi deg bærbare unntak uten absolutte stier: %APPDATA% (applikasjonsprofil), %LOCALAPPDATA%, %ProgramData%, %ProgramFiles%, %ProgramFiles(x86)%, %SystemDrive%, %SystemRoot%, %windir%, %PUBLIC% y %USERPROFILE%. Husk at det er mange flere (startmenyer, system32, fonter osv.) som følger samme utvidelsesmønster.

Se gjennom og valider unntakene dine: PowerShell, MpCmdRun og EICAR

Revider hva du har konfigurert med PowerShell: Get-MpPreference Viser alle preferanser. Hvis du er interessert i målretting, lagre til en variabel og se spesifikke egenskaper: $WDAVprefs = Get-MpPreferenceDeretter $WDAVprefs.ExclusionExtension y $WDAVprefs.ExclusionPath. På denne måten kan du oppdage dupliserte eller altfor brede oppføringer..

Valider unntak med MpCmdRun-verktøyet (linje med kommandoer). Åpne en cmd Som administrator, gå til %ProgramData%\Microsoft\Windows Defender\platform, skriv inn mappen til plattformversjonen (for eksempel 4.18.2111-5.0) og kjør: MpCmdRun.exe -CheckExclusion -path <ruta>. Denne sjekken bekrefter om en bestemt rute faktisk er ekskludert..

Teknisk test med EICAR-testfilenFra PowerShell laster du ned testfilen til en plassering som oppfyller reglene dine, og bekrefter virkemåten. Ejemplo: Invoke-WebRequest \"https://secure.eicar.org/eicar.com.txt\" -OutFile \"test.txt\"Hvis Defender varsler deg om skadelig programvare, unntaket gjelder ikke; hvis det ikke er noe varsel og filen finnes, utelukkelse fungerer.

Alternativ med .NET WebClient: $client = new-object System.Net.WebClient; $client.DownloadFile(\"http://www.eicar.org/download/eicar.com.txt\",\"c:\\test.txt\"). Uten internett, genererer EICAR-innholdet lokalt: [io.file]::WriteAllText(\"test.txt\",\"X5O!P%@AP[4\\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*\"). Bruk den alltid på kontrollerte ruter slik at det ikke forstyrrer andre prosesser.

Å bruke unntak på en nøyaktig måte forhindrer at datamaskinens generelle sikkerhet forringes. Du har sett hvordan du bruker kontekstuelle begrensninger (PathType, ScanType, ScanTrigger og Process), hvordan du konfigurerer dem fra Windows Security-appen, Group Policy Objects (GPO-er), Intune/Configuration Manager, PowerShell og WMI, og hvordan du bekrefter at alt fungerer med MpCmdRun og EICAR. Vinnerstrategien er å bruke de smalest mulige unntakene , utnytte jokertegn og miljøvariabler på en klok måte, og regelmessig gjennomgå listen for å fjerne oppføringer du ikke lenger trenger.