Исключения, которых следует избегать в антивирусной программе Microsoft Defender и Defender для конечных точек

  • Применяется к: Microsoft Defender Antivirus, Microsoft Defender for Endpoint on macOS, Microsoft Defender for Endpoint on Linux

Important

Добавьте исключения с осторожностью. Исключения для Microsoft Defender Antivirus и Microsoft Defender for Endpoint снижают уровень защиты устройств.

Вы можете настроить исключения для элементов, которые Microsoft Defender Antivirus или Microsoft Defender для конечной точки в macOS или Linux не должны проверять. Однако исключенные элементы могут содержать угрозы, которые делают ваше устройство уязвимым. Исключения также снижают уровень защиты функций, зависящих от антивирусного модуля, таких как защита от вредоносных программ, а также файловые и сертификатные индикаторы компрометации (IOC). Исключения процессов также не позволяют функциям сетевой защиты Microsoft Defender для конечной точки и правилам уменьшения поверхности атаки (ASR) проверять трафик или применять правила к исключённым процессам. Прежде чем создавать какие-либо исключения, ознакомьтесь с важными сведениями об исключениях, а также с более общим руководством Исключения для Microsoft Defender для конечной точки и Microsoft Defender Antivirus.

Не исключите файлы, типы файлов, папки или процессы, описанные в этой статье, даже если вы доверяете, что элементы не являются вредоносными. Эти рекомендации применимы к антивирусной программе Microsoft Defender и Defender for Endpoint в Windows, macOS и Linux.

Папки, которые не следует исключать

Злоумышленники могут использовать некоторые папки в злоумышленных целях, поэтому не исключайте следующие папки из проверок:

  • Windows:

    • %systemdrive%

    • C:, C:\ или C:\*

    • %ProgramFiles%\Java или C:\Program Files\Java

    • Папки программы для установленных приложений. Например, , %ProgramFiles%\Contoso\, C:\Program Files\Contoso\%ProgramFiles(x86)%\Contoso\илиC:\Program Files (x86)\Contoso\

    • C:\Temp, C:\Temp\ или C:\Temp\*

    • C:\Users\ или C:\Users\*

    • C:\Users\<UserProfileName>\AppData\Local\Temp\ или C:\Users\<UserProfileName>\AppData\LocalLow\Temp\

      Note

      При использовании антивирусной защиты на уровне файлов в SharePointследует исключить следующие папки:

      C:\Users\ServiceAccount\AppData\Local\Temp или C:\Users\Default\AppData\Local\Temp.

    • %Windir%\Prefetch, C:\Windows\Prefetch, C:\Windows\Prefetch\или C:\Windows\Prefetch\*

    • %Windir%\System32\Spool или C:\Windows\System32\Spool

    • C:\Windows\System32\CatRoot2

    • %Windir%\Temp, C:\Windows\Temp, C:\Windows\Temp\или C:\Windows\Temp\*

  • Linux и macOS:

    • /
    • /bin или /sbin
    • /usr/lib

Расширения файлов, которые не следует исключать

Злоумышленники могут злоупотреблять некоторыми типами файлов, поэтому не исключить из проверок следующие расширения файлов:

  • .7z
  • .bat
  • .bin
  • .cab
  • .cmd
  • .com
  • .cpl
  • .dll
  • .exe
  • .fla
  • .gif
  • .gz
  • .hta
  • .inf
  • .jar
  • .java
  • .job
  • .jpeg
  • .jpg
  • .js
  • .ko или .ko.gz
  • .msi
  • .ocx
  • .png
  • .ps1
  • .py
  • .rar
  • .reg
  • .scr
  • .sys
  • .tar
  • .tmp
  • .url
  • .vbe
  • .vbs
  • .wsf
  • .zip

Note

Вы можете исключить типы файлов (например, .gif, .jpg, .jpegили .png), если ваша организация использует современное, актуальное программное обеспечение со строгими политиками обновления для обработки уязвимостей.

Процессы, которые не следует исключать

Злоумышленники могут использовать некоторые процессы в злоумышленных целях, поэтому не исключайте следующие процессы из проверок:

  • Windows:

    • AcroRd32.exe
    • addinprocess.exe
    • addinprocess32.exe
    • addinutil.exe
    • bash.exe
    • bginfo.exe
    • bitsadmin.exe
    • cdb.exe
    • cmd.exe
    • cscript.exe
    • csi.exe
    • dbghost.exe
    • dbgsvc.exe
    • dnx.exe
    • dotnet.exe
    • excel.exe
    • fsi.exe
    • fsiAnyCpu.exe
    • iexplore.exe
    • java.exe
    • kd.exe
    • lxssmanager.dll
    • msbuild.exe
    • mshta.exe
    • ntkd.exe
    • ntsd.exe
    • outlook.exe
    • powerpnt.exe
    • powershell.exe
    • psexec.exe
    • rcsi.exe
    • schtasks.exe
    • svchost.exe
    • system.management.automation.dll
    • windbg.exe
    • winword.exe
    • wmic.exe
    • wscript.exe
    • wuauclt.exe

  • Linux и macOS:

    • bash
    • java
    • python и python3.
    • sh
    • zsh

Не исключайте имена файлов без полного пути

При исключении файла укажите полный путь, чтобы исключить только нужный файл. Исключение только для имен ведет себя по-разному в зависимости от платформы, но указание полного пути является безопасным выбором в каждом случае:

  • Microsoft Defender Антивирусная программа на Windows: исключение файла сопоставляется как путь. Простое имя файла, например Filename.exe, не является надежным способом исключения файла и не позволяет надежно исключить этот файл. Используйте полностью определенный путь, например C:\Program Files\Contoso\Filename.exe. Чтобы исключить файл по имени в нескольких местах, используйте вместо этого путь с подстановочными знаками. Дополнительные сведения см. в разделах Исключения файлов и папок и Подстановочные знаки в исключениях файлов и папок.
  • Microsoft Defender для конечной точки в macOS и Linux: macOS и Linux предоставляют возможность исключения имен файлов в дополнение к исключениям полного пути. Чтобы исключить именно тот файл, который нужно, а не другой файл с тем же именем, укажите полный путь, например /usr/local/bin/contoso-app.

Не используйте один список исключений для нескольких рабочих нагрузок сервера

Не используйте один список исключений для определения исключений для нескольких серверных рабочих нагрузок. Вместо этого разделите исключения на несколько списков для разных приложений или служб.

Например, используйте другой список исключений для Internet Information Services (IIS), чем список исключений для SQL Server.

В Windows Server Microsoft Defender антивирусная программа автоматически применяет множество исключений на основе ролей, поэтому проверьте, какие исключения уже применяются перед созданием настраиваемых списков. Дополнительные сведения см. в статье Исключения антивирусной программы Microsoft Defender в Windows Server.

На серверах Linux определите конкретные процессы и пути, которые нужно исключить для каждой нагрузки, вместо повторного использования одного списка. Дополнительные сведения см. в статье "Настройка и проверка исключений для Microsoft Defender для конечной точки в Linux" иустранение неполадок с производительностью для Microsoft Defender для конечной точки в Linux.

Не используйте переменные среды, указывающие на неожиданные системные расположения

Поскольку антивирусная служба работает в системном контексте, антивирусная программа Microsoft Defender обрабатывает переменные среды в исключениях с помощью системной (LocalSystem) учетной записи. Многие переменные в обоих контекстах указывают на один и тот же путь, но некоторые — нет. Например, %TEMP% преобразуется в C:\Windows\TEMP, а не в C:\Users\<username>\AppData\Local\Temp, поэтому исключение, использующее %TEMP%, не включает расположение, которое можно было бы ожидать.

Прежде чем использовать переменную среды в исключении, убедитесь, в какой путь она разворачивается при использовании системной учетной записи. Дополнительные сведения см. в разделе Системные переменные среды.

См. также

  • Last updated on