Настройка и проверка исключений на основе расширения файла и расположения папки

Вы можете определить исключения для Microsoft Defender антивирусной программы, которые применяются к запланированным проверкам, проверкам по запросу и постоянной защите и мониторингу в режиме реального времени. Как правило, вам не нужно применять исключения. Если необходимо применить исключения, можно выбрать один из следующих типов:

• Исключения на основе расширений файлов и расположений папок, как описано в этой статье.
• Исключения для файлов, открытых процессами

Предварительные условия

Поддерживаемые операционные системы

• Windows

Подготовка к работе

См . раздел Рекомендации по определению исключений перед определением списков исключений.

Списки исключений

Чтобы исключить определенные файлы из Microsoft Defender антивирусной проверки, измените списки исключений. антивирусная программа Microsoft Defender включает множество автоматических исключений на основе известных действий операционной системы и типичных файлов управления. Например, вы можете:

• Files используется в управлении предприятием.
• Files используется в управлении базами данных.
• Files используется в других корпоративных сценариях.

В следующей таблице перечислены некоторые примеры исключений на основе расширения файла и расположения папки.

Характеристики списков исключений

• Исключения папок применяются ко всем файлам и папкам в этой папке, если вложенная папка не является точкой повторного обработки. Необходимо отдельно исключить вложенные папки точек повторного выполнения.
• Исключения расширений файлов применяются к любому файлу с этим расширением, если путь или папка также не указаны.

Важные примечания об исключениях на основе расширений файлов и расположений папок

• Подстановочные знаки (например, *) изменяют способ интерпретации правил исключения. Важные сведения о том, как работают подстановочные знаки, см. в разделе Использование подстановочных знаков в именах файлов и папках или списках исключений расширений этой статьи.

• Не исключайте сопоставленные сетевые диски. Укажите фактический сетевой путь.

• Папки точек повторного описания создаются после запуска службы антивирусной программы Microsoft Defender. Перезапустите Windows, чтобы новые точки повторного анализа были распознаны как допустимые целевые объекты исключения.

• Исключения применяются к запланированным проверкам, проверкам по запросу и защите в режиме реального времени, но не ко всем возможностям Defender для конечной точки. Чтобы определить исключения в Defender для конечной точки, используйте пользовательские индикаторы.

• По умолчанию локальные изменения исключений администраторами (включая изменения, внесенные с помощью PowerShell и инструментария управления Windows или WMI), объединяются с исключениями, развернутыми групповая политика, Configuration Manager или Microsoft Intune. Исключения по групповая политика имеют приоритет при возникновении конфликтов. Изменения исключений, внесенные с помощью групповая политика, отображаются в приложении Безопасность Windows.

  Сведения о том, как локальные изменения переопределяют параметры управляемого развертывания, см . в статье Настройка объединения списков исключений, определяемых локально и глобально.

Настройка списка исключений на основе имени папки или расширения файла

Для определения исключений для антивирусной программы Microsoft Defender можно использовать следующие методы.

Использование Intune для настройки исключений имен файлов, папок или расширений файлов

Дополнительные сведения см. в следующей статье:

• Создание политики исключений антивирусной программы Microsoft Defender в Microsoft Intune

Использование Configuration Manager для настройки исключений имен файлов, папок или расширений файлов

Дополнительные сведения см. в статье Создание и развертывание политик защиты от вредоносных программ: параметры исключения.

Использование групповая политика для настройки исключений расширений папок или файлов

1. Для этого на компьютере, управляющем групповыми политиками, откройте Консоль управления групповой политикой, щелкните правой кнопкой мыши нужный объект групповой политики и выберите Изменить.

2. В редакторе управления групповая политикаперейдите в раздел Конфигурация компьютера и выберите Административные шаблоны.

3. Разверните дерево, чтобы открыть компоненты> Windows Microsoft Defender Исключения антивирусной программы>.

4. Откройте параметр Исключения пути для редактирования и добавьте исключения.

   1. Задайте для параметра значение Включено.

   2. В разделе Параметры выберите Показать.

   3. Укажите каждую папку в отдельной строке в столбце Имя значения .

   4. Если вы указываете файл, обязательно введите полный путь к файлу, включая букву диска, путь к папке, имя файла и расширение.

   5. Введите 0 в столбце Значение .

   6. Нажмите кнопку OK.

   7. Откройте параметр Исключения расширений для редактирования и добавьте исключения.

   8. Задайте для параметра значение Включено.

   9. В разделе Параметры выберите Показать.

   10. Введите расширение каждого файла в отдельной строке в столбце Имя значения .

   11. Введите 0 в столбце Значение .

   12. Нажмите кнопку OK.

Использование командлетов PowerShell для настройки исключений имен файлов, папок или расширений файлов

Используйте следующие командлеты в модуле Defender для управления исключениями:

• Set-MpPreference: создание или замена списка исключений.

  Важно!

  Если вы уже создали список исключений с помощью командлетов Set-MpPreference или Add-MpPreference, то при следующем использовании Set-MpPreference существующий список исключений перезаписывается указанными вами записями.

• Add-MpPreference: добавление записей в существующий список исключений.

• Remove-MpPreference: удалите записи из существующего списка исключений.

Используйте следующие параметры в этих командлетах:

• ExcludeExtension: исключить файлы с указанным расширением. Используйте следующий синтаксис: "Extension1","Extension2"..."ExtensionN".

• ExclusionPath:

  • Исключите указанный файл по указанному пути.

    или

  • Исключите все файлы в указанной папке (включая файлы во вложенных папках).

  Используйте следующий синтаксис: "Entry1","Entry2",..."EntryN".

В этом примере любой файл с расширением .test исключается из Microsoft Defender антивирусной проверки:

Add-MpPreference -ExclusionExtension ".test"

Дополнительные сведения см. в статье Настройка и запуск Microsoft Defender антивирусной программы с помощью командлетов PowerShell.

Использование инструментария управления Windows (WMI) для настройки исключений имен файлов, папок или расширений файлов

Используйте методы Set, Add и Removeкласса MSFT_MpPreference для следующих свойств:

• ExclusionExtension
• ExclusionPath

Методы Set, Add и Remove в классе MSFT_MpPreference аналогичны командлетам Set-MpPreference, Add-MpPreference и Remove-MpPreference в модуле Defender в PowerShell.

Дополнительные сведения см. в разделе API WMIv2 в Защитнике Windows.

Использование приложения Безопасность Windows для настройки исключений имен файлов, папок или расширений файлов

Дополнительные сведения см. в разделе Добавление исключений в приложение Безопасность Windows.

Использование подстановочных знаков в списках исключений имени файла и папки или расширений

Вы можете использовать звездочку *, вопросительный знак ?или переменные среды (например, %ALLUSERSPROFILE%) в качестве подстановочных знаков для исключений имени файла или пути к папке. Можно смешивать и сопоставлять *переменные среды , ?и в одном исключении.

То, как антивирусная программа Microsoft Defender интерпретирует подстановочные знаки, отличается от обычного использования в других приложениях и языках:

• Служба антивирусной Microsoft Defender запускается в системном контексте с помощью учетной записи LocalSystem. Служба получает сведения из системных переменных среды, а не из переменных среды пользователя . Используйте в качестве подстановочных знаков только следующие типы переменных среды:
  • Системные переменные среды.
  • Переменные среды, применяемые к процессам, выполняющимся в качестве учетной записи NT AUTHORITY\SYSTEM.
• Для каждой записи можно использовать не более шести подстановочных знаков.
• Вместо буквы диска нельзя использовать подстановочный знак.
• Звездочка * в исключении папки указывает на одну папку. Используйте несколько экземпляров для \*\ указания нескольких вложенных папок с неопределенными именами.

В следующей таблице описано, как можно использовать подстановочные знаки, и приведены некоторые примеры.

Системные переменные среды

В следующей таблице перечислены переменные среды системных учетных записей и соответствующие расположения по умолчанию. Некоторые из этих расположений отличаются от соответствующих переменных среды учетной записи пользователя.

Просмотр списка исключений

Элементы в списке исключений можно получить с помощью одного из следующих методов:

• Microsoft Intune
• Microsoft Configuration Manager
• MpCmdRun
• PowerShell
• Приложение "Безопасность Windows

Проверка исключения указанного пути с помощью MpCmdRun

Вы можете использовать программу командной строкиMpCmdRun.exe в антивирусной программе Microsoft Defender версии 4.18.2111-5.0 или более поздней (декабрь 2021 г.), чтобы проверить, исключены ли определенные пути к папкам или файлам и папкам, выполнив следующие команды в командной строке с повышенными привилегиями (окно командной строки, открытое путем выбора запуска от имени администратора):

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -CheckExclusion -Path <PathAndFile or Path>

Например, команда MpCmdRun.exe -CheckExclusion -Path C:\Data\Test возвращает следующие выходные данные:

• Путь исключен:

  C:\Data\Test [\Device\HarddiskVolume1\Data\Test] исключен. Код выхода — 0.

• Путь не исключен:

  C:\Data\Test [\Device\HarddiskVolume1\Data\Test] не исключен. Код выхода — 1.

Получение исключений с помощью PowerShell

Выполните следующие команды в окне PowerShell с повышенными привилегиями:

$p=Get-MpPreference; @(
  $p.ExclusionExtension | ForEach-Object {[pscustomobject]@{Type='ExclusionExtension'; Value=$_}}
  $p.ExclusionPath      | ForEach-Object {[pscustomobject]@{Type='ExclusionPath';      Value=$_}}
)

Дополнительные сведения см. в разделах Использование командлетов PowerShell для настройки и запуска антивирусной программы в Microsoft Defender и Командлеты антивирусной программы в Microsoft Defender.

Проверка списков исключений с помощью тестового файла EICAR

Чтобы скачать тестовый файл, можно проверить работу списков исключений с помощью PowerShell с командлетом Invoke-WebRequest или классом .NET WebClient.

В следующей команде PowerShell замените test.txt файлом, соответствующим правилам исключения. Например, если вы исключаете .testing расширение, замените test.txttest.testingна . Если вы тестируете путь, убедитесь, что вы выполняете командлет в этом пути.

Invoke-WebRequest "https://secure.eicar.org/eicar.com.txt" -OutFile "test.txt"

Если Microsoft Defender антивирусная программа сообщает о вредоносных программах, правило не работает. Если нет отчета о вредоносных программах и скачанный файл существует, исключение работает. Вы можете открыть файл, чтобы убедиться, что содержимое совпадает с тем, что описано на веб-сайте тестового файла EICAR.

Вы также можете использовать следующие команды PowerShell, которые вызывают класс .NET WebClient для скачивания тестового файла. Замените c:\test.txt файлом, который соответствует правилу, которое вы проверяете:

$client = new-object System.Net.WebClient

$client.DownloadFile("http://www.eicar.org/download/eicar.com.txt","c:\test.txt")

Если у вас нет доступа к Интернету, вы можете создать собственный тестовый файл EICAR, написав строку EICAR в новый текстовый файл с помощью следующей команды PowerShell:

[io.file]::WriteAllText("test.txt",'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*')

Вы также можете скопировать строку в пустой текстовый файл и попытаться сохранить ее с именем файла или в папке, которую вы пытаетесь исключить.

См. также

• Настройка и проверка исключений в Microsoft Defender проверки антивирусной программы
• Настройка и проверка исключений для файлов, открытых процессами
• Исключения в антивирусной программе в Microsoft Defender в системе Windows Server
• Распространенные ошибки, которых следует избегать при определении исключений