Настройка и проверка исключений на основе расширения файла и расположения папки

Область применения:

• Microsoft Defender для конечной точки (план 1)
• Microsoft Defender для конечной точки (план 2)
• Антивирусная программа в Microsoft Defender

Платформы

• Windows

Вы можете определить исключения для Microsoft Defender антивирусной программы, которые применяются к запланированным проверкам, проверкам по запросу и постоянной защите и мониторингу в режиме реального времени. Как правило, вам не нужно применять исключения. Если необходимо применить исключения, можно выбрать один из следующих типов:

• Исключения на основе расширений файлов и расположений папок (описано в этой статье)
• Исключения для файлов, открытых процессами

Подготовка к работе

См . раздел Рекомендации по определению исключений перед определением списков исключений.

Списки исключений

Чтобы исключить определенные файлы из Microsoft Defender антивирусной проверки, измените списки исключений. антивирусная программа Microsoft Defender включает множество автоматических исключений на основе известных действий операционной системы и типичных файлов управления, например тех, которые используются в управлении предприятием, управлении базами данных и других корпоративных сценариях.

В следующей таблице перечислены некоторые примеры исключений на основе расширения файла и расположения папки.

Характеристики списков исключений

• Исключения папок применяются ко всем файлам и папкам в этой папке, если вложенная папка не является точкой повторного обработки. Вложенные папки точек повторного синтайза должны быть исключены отдельно.
• Расширения файлов применяются к любому имени файла с заданным расширением, если путь или папка не определены.

Важные примечания об исключениях на основе расширений файлов и расположений папок

• Использование подстановочных знаков, таких как звездочка (*), изменяет способ интерпретации правил исключения. Важные сведения о работе подстановочных знаков см. в разделе Использование подстановочных знаков в именах файлов и папках или списках исключений расширений .

• Не исключайте сопоставленные сетевые диски. Укажите фактический сетевой путь.

• Папки, которые являются точками повторного анализа, создаются после запуска службы антивирусной программы Microsoft Defender, а те, которые были добавлены в список исключений, не включаются. Перезапустите службу, перезапустив Windows, чтобы новые точки повторного анализа были распознаны как допустимый целевой объект исключения.

• Исключения применяются к запланированным проверкам, проверкам по запросу и защите в режиме реального времени, но не ко всем возможностям Defender для конечной точки. Чтобы определить исключения в Defender для конечной точки, используйте пользовательские индикаторы.

• По умолчанию локальные изменения, внесенные в списки (пользователями с правами администратора, включая изменения, внесенные с помощью PowerShell и WMI), объединяются со списками, определенными (и развернутыми) групповая политика, Configuration Manager или Intune. Списки групповая политика имеют приоритет при возникновении конфликтов. Кроме того, изменения в списке исключений, внесенные с помощью групповая политика, отображаются в приложении Безопасность Windows.

• Чтобы разрешить локальным изменениям переопределять параметры управляемого развертывания, настройте способ объединения списков исключений, определяемых локально и глобально.

Настройка списка исключений на основе имени папки или расширения файла

Для определения исключений для антивирусной программы Microsoft Defender можно выбрать один из нескольких методов.

Использование Intune для настройки исключений имен файлов, папок или расширений файлов

См. следующие статьи:

• Настройка параметров ограничений устройств в Microsoft Intune
• Microsoft Defender параметры ограничения антивирусных устройств для Windows 10 в Intune

Использование Configuration Manager для настройки исключений имен файлов, папок или расширений файлов

Дополнительные сведения о настройке Microsoft Configuration Manager (текущая ветвь) см. в статье Создание и развертывание политик защиты от вредоносных программ: параметры исключения.

Использование групповая политика для настройки исключений расширений папок или файлов

1. Для этого на компьютере, управляющем групповыми политиками, откройте Консоль управления групповой политикой, щелкните правой кнопкой мыши нужный объект групповой политики и выберите Изменить.

2. В групповая политика управление Редакторперейдите в раздел Конфигурация компьютера и выберите Административные шаблоны.

3. Разверните дерево, чтобы открыть компоненты> Windows Microsoft Defender Исключения антивирусной программы>.

4. Откройте параметр Исключения пути для редактирования и добавьте исключения.

   1. Задайте для параметра значение Включено.

   2. В разделе Параметры выберите Показать.

   3. Укажите каждую папку в отдельной строке в столбце Имя значения .

   4. Если вы указываете файл, обязательно введите полный путь к файлу, включая букву диска, путь к папке, имя файла и расширение.

   5. Введите 0 в столбце Значение .

   6. Нажмите кнопку OK.

5. Откройте параметр Исключения расширений для редактирования и добавьте исключения.

   1. Задайте для параметра значение Включено.

   2. В разделе Параметры выберите Показать.

   3. Введите расширение каждого файла в отдельной строке в столбце Имя значения .

   4. Введите 0 в столбце Значение .

   5. Нажмите кнопку OK.

Использование командлетов PowerShell для настройки исключений имен файлов, папок или расширений файлов

Использование PowerShell для добавления или удаления исключений для файлов на основе расширения, расположения или имени файла требует использования сочетания трех командлетов и соответствующего параметра списка исключений. Все командлеты находятся в модуле Defender.

Для командлетов используется следующий формат:

<cmdlet> -<exclusion list> "<item>"

В следующей таблице перечислены командлеты, которые можно использовать в <cmdlet> части командлета PowerShell:

В следующей таблице перечислены значения, которые можно использовать в <exclusion list> части командлета PowerShell:

Например, следующий фрагмент кода приведет к исключению любого файла с расширением .test Microsoft Defender антивирусной программы:

Add-MpPreference -ExclusionExtension ".test"

Использование инструментария управления Windows (WMI) для настройки исключений имен файлов, папок или расширений файлов

Используйте методы Set, Add и Remove класса MSFT_MpPreference для следующих свойств:

ExclusionExtension
ExclusionPath

Использование команд Set, Add и Remove аналогично их аналогам в PowerShell: Set-MpPreference, Add-MpPreferenceи Remove-MpPreference.

Использование приложения Безопасность Windows для настройки исключений имен файлов, папок или расширений файлов

Инструкции см. в разделе Добавление исключений в приложение Безопасность Windows.

Использование подстановочных знаков в списках исключений имени файла и папки или расширений

Вы можете использовать звездочку *, вопросительный знак ?или переменные среды (например %ALLUSERSPROFILE%, ) в качестве подстановочных знаков при определении элементов в списке исключений имени файла или пути к папке. Можно объединить и сопоставить * переменные и ? среды в одном исключении. Способ интерпретации этих подстановочных знаков отличается от их обычного использования в других приложениях и языках. Обязательно ознакомьтесь с этим разделом, чтобы понять их конкретные ограничения.

В следующей таблице описано, как можно использовать подстановочные знаки, и приведены некоторые примеры.

Системные переменные среды

В следующей таблице перечислены и описаны переменные среды системной учетной записи.

Просмотр списка исключений

Элементы в списке исключений можно получить с помощью одного из следующих методов:

• Intune
• Microsoft Configuration Manager
• MpCmdRun
• PowerShell
• Приложение "Безопасность Windows

При использовании PowerShell список можно получить двумя способами:

• Получите состояние всех Microsoft Defender настроек антивирусной программы. Каждый список отображается в отдельных строках, но элементы в каждом списке объединяются в одну строку.
• Запишите состояние всех настроек в переменную и используйте эту переменную, чтобы вызывать только конкретный список, который вас интересует. Каждое Add-MpPreference использование записывается в новую строку.

Проверка списка исключений с помощью MpCmdRun

Чтобы проверка исключений с помощью выделенного средства командной строки mpcmdrun.exe, используйте следующую команду:

Start, CMD (Run as admin)
cd "%programdata%\microsoft\windows defender\platform"
cd 4.18.2111-5.0 (Where 4.18.2111-5.0 is this month's Microsoft Defender Antivirus "Platform Update".)
MpCmdRun.exe -CheckExclusion -path <path>

Просмотрите список исключений наряду со всеми остальными Microsoft Defender настройками антивирусной программы с помощью PowerShell

Используйте следующий командлет:

Get-MpPreference

В следующем примере элементы, содержащиеся в списке ExclusionExtension , выделены:

Дополнительные сведения см. в разделах Использование командлетов PowerShell для настройки и запуска антивирусной программы в Microsoft Defender и Командлеты антивирусной программы в Microsoft Defender.

Получение определенного списка исключений с помощью PowerShell

Используйте следующий фрагмент кода (введите каждую строку как отдельную команду); замените WDAVprefs любой меткой, которую вы хотите назвать переменной:

$WDAVprefs = Get-MpPreference
$WDAVprefs.ExclusionExtension
$WDAVprefs.ExclusionPath

В следующем примере список разделен на новые строки для каждого использования командлета Add-MpPreference :

Дополнительные сведения см. в разделах Использование командлетов PowerShell для настройки и запуска антивирусной программы в Microsoft Defender и Командлеты антивирусной программы в Microsoft Defender.

Проверка списков исключений с помощью тестового файла EICAR

Вы можете проверить, работают ли списки исключений, с помощью PowerShell с командлетом Invoke-WebRequest или классом .NET WebClient для скачивания тестового файла.

В следующем фрагменте кода PowerShell замените test.txt файлом, соответствующим правилам исключения. Например, если вы исключаете .testing расширение, замените test.txttest.testingна . Если вы тестируете путь, убедитесь, что вы выполняете командлет в этом пути.

Invoke-WebRequest "https://secure.eicar.org/eicar.com.txt" -OutFile "test.txt"

Если Microsoft Defender антивирусная программа сообщает о вредоносных программах, правило не работает. Если нет отчета о вредоносных программах и скачанный файл существует, исключение работает. Вы можете открыть файл, чтобы убедиться, что содержимое совпадает с тем, что описано на веб-сайте тестового файла EICAR.

Вы также можете использовать следующий код PowerShell, который вызывает класс .NET WebClient для скачивания тестового файла, как в Invoke-WebRequest командлете; замените c:\test.txt файлом, соответствующим проверяемому правилу:

$client = new-object System.Net.WebClient
$client.DownloadFile("http://www.eicar.org/download/eicar.com.txt","c:\test.txt")

Если у вас нет доступа к Интернету, вы можете создать собственный тестовый файл EICAR, написав строку EICAR в новый текстовый файл с помощью следующей команды PowerShell:

[io.file]::WriteAllText("test.txt",'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*')

Вы также можете скопировать строку в пустой текстовый файл и попытаться сохранить ее с именем файла или в папке, которую вы пытаетесь исключить.

См. также

• Настройка и проверка исключений в Microsoft Defender проверки антивирусной программы
• Настройка и проверка исключений для файлов, открытых процессами
• Исключения в антивирусной программе в Microsoft Defender в системе Windows Server
• Распространенные ошибки, которых следует избегать при определении исключений