Konfigurace plánovaných kontrol v programu Microsoft Defender

Plánování prověřování v programu Microsoft Defender je jedním z úkolů údržby, které vám šetří čas a starosti: vy určíte, co se má prověřovat, kdy a jak důkladně, a systém se postará o zbytek bez přerušení. Se správnou konfigurací se prověřování přizpůsobí vašemu pracovnímu dni, využijí prostojů a fungují ve spojení s ochranou v reálném čase, aby posílily zabezpečení bez ovlivnění výkonu.

Tato příručka popisuje všechny způsoby konfigurace plánovaných a na vyžádání prověřování: Plánovač úloh, Zásady skupiny (GPO), Microsoft Intune, Configuration Manager, PowerShell, WMI, portál Microsoft Defender a dokonce i nástroj příkazového řádku. Také probereme rozsah prověřování (e-mail, síťové soubory, namapované jednotky, komprimované soubory), výchozí hodnoty, doporučení a optimalizace aplikované samotným enginem.

Typy kontrol dostupných v programu Microsoft Defender

Microsoft Defender Antivirus nabízí tři režimy kontroly: rychlou, úplnou a vlastní , přičemž každý z nich má svůj vlastní účel a náklady na čas a zdroje. Výběr správného režimu kontroly je klíčem k vyvážení zabezpečení a výkonu vašich zařízení.

Rychlá kontrola (doporučeno): Kontroluje běžná místa spouštění a trvalého výskytu malwaru (klíče registru a známé spouštěcí složky) a také připojená vyměnitelná zařízení, jako jsou USB disky. V kombinaci s ochranou v reálném čase poskytuje robustní ochranu před hrozbami spouštějícími systém a malwarem na úrovni jádra.

Užitečná nová funkce: S aktualizací platformy 4.18.2311.xx (prosinec 2023) je k dispozici možnost „Rychlá kontrola zahrnuje výjimky“. Ta umožňuje rychle prohledat soubory a složky vyloučené z ochrany v reálném čase pomocí kontextových výjimek. Ve verzi Preview lze tuto funkci spravovat v Intune (katalog konfigurace).

Úplná kontrola: Začne rychlou kontrolou a poté zkontroluje všechny připojené pevné disky a, pokud jsou nakonfigurovány, i vyměnitelné nebo síťové disky. To může trvat hodiny nebo dny v závislosti na objemu a typu dat. Používá definice dostupné při spuštění; pokud dojde k aktualizacím během kontroly, bude nutné provést další úplnou kontrolu, aby se pokryly nové signatury. Vzhledem ke spotřebě zdrojů se pravidelné plánování obecně nedoporučuje.

Vlastní kontrola: Tato funkce umožňuje zadat konkrétní umístění (například jednotku USB nebo konkrétní složku) a spustit kontrolu pouze v rámci tohoto výběru. Je ideální pro kontrolu přenosných médií nebo konkrétních vysoce rizikových oblastí bez spuštění úplné kontroly.

Jak vybrat typ analýzy

Pro pravidelné a plánované kontroly je preferovanou možností rychlá kontrola: kontroluje procesy, paměť, profily a kritická umístění a spolu s ochranou v reálném čase poskytuje velmi vyvážené pokrytí.

Pokud jsou na konkrétním počítači detekovány hrozby, začněte rychlou kontrolou: ve většině případů detekuje a vyčistí identifikovaný malware bez nutnosti provedení úplné kontroly.

Pokud chcete zkontrolovat vyměnitelné médium nebo konkrétní složku, zvolte vlastní skenování: ušetří čas tím, že se zaměří pouze na podezřelou cestu.

Po instalaci nebo opětovné aktivaci antivirové ochrany Microsoft Defender spusťte rychlou kontrolu (nebo úplnou kontrolu, pokud dáváte přednost důkladnosti): nezapomeňte, že úplná kontrola bude trvat déle a spotřebuje více prostředků.

Klíčové body před programováním

Existují dva typy nativních plánovaných skenů: denní (pouze rychlé) a týdenní (rychlé nebo úplné). Frekvenci upravte podle svého prostředí, ale úplné skenování si vyhraďte pro specifické scénáře.

Předplánované aktualizace: Ve výchozím nastavení Defender kontroluje aktualizace ochrany 15 minut před plánovanou kontrolou. Pokud chcete toto chování změnit, můžete spravovat, kdy se mají aktualizace stahovat a používat .

Notebooky a baterie: Pokud se během plánované úplné kontroly zařízení vybije a přepne se na napájení z baterie, kontrola se zastaví (událost 1002) a bude pokračovat v další plánovanou hodinu.

Časové pásmo : Plánované kontroly se řídí místním časovým pásmem zařízení. V geograficky rozptýlených prostředích plánujte s ohledem na tuto proměnnou.

Ochrana v reálném čase + rychlost: I když se škodlivé soubory mohou skrývat mimo dosah rychlého systému, monitorování v reálném čase analyzuje soubory při otevírání/zavírání a procházení složek, takže tato kombinace udržuje vysokou ochranu.

Ochrana přístupu do cloudu: zajišťuje, že přístupné soubory jsou kontrolovány podle nejnovějších modelů cloudové inteligence a strojového učení od společnosti Microsoft.

Automatická oprava: Pokud ochrana v reálném čase detekuje malware a příponu postižených souborů nelze při spuštění určit, Defender spustí během procesu opravy úplnou kontrolu.

Zařízení s dlouhými obdobími nečinnosti: Pokud je zařízení delší dobu offline, může se celý proces prodloužit kvůli objemu nahromaděných změn.

Zahrnout výjimky do rychlých kontrol: Pokud potřebujete v pravidelných kontrolách rozsáhlejší pokrytí, můžete povolit rychlé kontroly, které kontrolují výjimky ochrany v reálném čase z PowerShellu, Intune nebo GPO.

Plánování skenování z Plánovače úloh (Windows)

Pokud dáváte přednost detailní kontrole bez spoléhání se na zásady, Plánovač úloh systému Windows vám umožňuje definovat spouštěče pro prověřování nástrojem Defender. Je jednoduchý, efektivní a dostupný na každém počítači se systémem Windows.

1. Otevřít Plánovač úloh: Do vyhledávacího pole na hlavním panelu zadejte „Plánovač úloh“ a otevřete aplikaci.
2. Přejděte do Defenderu: V levém podokně rozbalte Knihovnu plánovače úloh > Microsoft > Windows a vyberte složku Windows Defender.
3. Vyberte úkol: V prostředním panelu dvakrát klikněte na „Naplánované prohledávání v programu Windows Defender“.
4. Upravte spouštěč: V části Plánované prověřování (Vlastnosti) (Místní počítač) otevřete kartu Spouštěče a klikněte na tlačítko „Nový“.
5. Definujte frekvenci a spusťte: Vyberte frekvenci, čas a podmínky (například pouze pokud je zařízení neaktivní) a potvrďte.

Návrh: Využijte nastavení priorit nebo stav nečinnosti, aby analýza nenarušovala práci uživatele, zejména v prostředí s plným úvazkem.

Konfigurace skenování pomocí zásad skupiny (GPO)

Objekty GPO jsou standardním způsobem centrální konfigurace parametrů skenování ve spravovaných prostředích Windows. Umožňují nastavit typy skenování, okna náhodného výběru, využití CPU, plány a chování po aktualizacích.

1. Otevření konzoly pro správu zásad skupiny ve vašem manažerském týmu.
2. Upravit objekt zásad skupiny které chcete konfigurovat.
3. Jít do: Konfigurace počítače > Šablony pro správu > Součásti systému Windows > Antivirus Microsoft Defender a pro plánování Antivirus Microsoft Defender > Skenování.
4. Konfigurace jednotlivých nastavení podle vašich potřeb a klikněte na OK.
5. Propojení a nasazení objektu zásad skupiny jak to normálně děláš.

Denně (rychle): Můžete zadat interval v hodinách pro spuštění rychlých testů (0 = nikdy) a denní dobu v minutách po půlnoci (výchozí hodnota 120 = 2:00).

Týdenní (rychlé nebo úplné): Vyberte typ skenování, den v týdnu (nebo nikdy) a denní dobu v minutách po půlnoci. Užitečné pro rychlé týdenní zvýšení výkonu nebo úplné skenování naplánované během údržbových intervalů.

Náhodnost úloh : Defender může náhodně nastavit čas spuštění mezi 0 a 23 hodinami; ve výchozím nastavení úlohy začínají náhodně v rámci 4hodinového okna od času nastaveného plánovačem. Okno náhodnosti můžete také nastavit mezi 1 a 23 hodinami; pokud je zakázáno nebo není nakonfigurováno, je náhodnost 0–4 hodiny.

Využití CPU v analýze: „Zadejte maximální procento využití CPU během vyšetření“ umožňuje definovat maximum mezi 5 a 100 (0 = bez omezení). Výchozí hodnota je 50. Toto není pevný limit , ale doporučení; manuální analýzy se tohoto limitu nedrží.

Když se zařízení nepoužívá: Pomocí možnosti „Spustit plánovanou kontrolu pouze tehdy, když je zařízení zapnuté, ale nepoužívá se“ můžete zabránit spuštění kontroly, když uživatel pracuje. Ve výchozím nastavení je tato možnost povolena.

Náprava: Naplánujte úplné skenování pro dokončení oprav v konkrétní den a čas (ve výchozím nastavení nikdy a 120 minut po půlnoci, pokud je tato možnost povolena).

Po aktualizacích ochrany : Možnost „Aktivovat skenování po aktualizaci Security Intelligence“ spustí okamžité skenování procesů po stažení nových signatur (ve výchozím nastavení povoleno).

Konfigurace analytických nástrojů a nastavení pomocí Microsoft Intune

Intune umožňuje spravovat antivirové zásady a spouštět vzdálené kontroly ve Windows 10 a 11. K úpravě plánování a rozsahu můžete použít zásady Endpoint Security (Antivirus) nebo Device Restriction.

Konfigurace možností skenování a plánování: viz „Možnosti omezení zařízení v Intune“ a „Nastavení omezení virů pro zařízení s Windows 10 v Intune“, kde najdete nastavení specifická pro Defender, která můžete použít pro skupiny zařízení.

Spuštění kontroly z Endpoint Security: V centru pro správu Intune přejděte do sekce Endpoint Security > Antivirus a na kartě Windows 10/11 vyberte jako akci na vybraných zařízeních možnost Rychlá kontrola (doporučeno) nebo Úplná kontrola.

Pro jedno zařízení: V Intune přejděte do sekce Zařízení > Všechna zařízení, otevřete zařízení a v části „… Další“ spusťte Rychlou kontrolu nebo Úplnou kontrolu.

Rada pro správu: Pokud chcete, aby naplánované rychlé kontroly kontrolovaly položky, které jsou normálně vyloučeny z ochrany v reálném čase, zvažte povolení možnosti „Rychlá kontrola zahrnuje vyloučení“ v katalogu konfigurace.

Konfigurace možností pomocí Microsoft Configuration Manageru

Pomocí nástroje Configuration Manager (aktuální větev) vytvořte a nasaďte zásady antimalwaru pro standardizaci nastavení skenování napříč kolekcemi zařízení. V sekci nastavení skenování můžete upravit typ skenování (rychlé/úplné), plány, chování aktualizací a využití CPU.

Nejlepší postupy: používat diferencované profily podle role nebo kritické důležitosti (např. servery vs. stolní počítače), rezervovat celé systémy pro údržbová okna a ověřit dopad postupným zaváděním před zobecněním.

PowerShell, WMI a příkazový řádek: Podrobná kontrola

PowerShell a WMI vám poskytují okamžitou kontrolu nad dotazováním a nastavováním předvoleb a také spouštěním kontrol na vyžádání. Jsou nezbytné pro automatizaci, skriptování a rychlou reakci.

Spusťte analýzu: použití Start-MpScan spustit rychlé nebo úplné vyhodnocení na základě parametrů. Chcete-li mít rychlé vyhodnocení, které zahrnuje kontextová vyloučení, můžete nastavit Set-MpPreference -QuickScanIncludeExclusions 1.

Nastavení klíčových předvoleb (Set-MpPreference / MSFT_MpPreference): Dostupná nastavení zahrnují:

• E-mail: -DisableEmailScanning Řídí skenování souborů pošty. Výchozí nastavení: Zakázáno.
• Komprimované soubory: -DisableArchiveScanning zahrnout/vyloučit soubory .zip, .rar atd. Výchozí: Povoleno. Seznam vyloučených rozšíření má prioritu.
• Síťové soubory: -DisableScanningNetworkFiles určuje, zda jsou skenovány. Výchozí nastavení: zakázáno.
• Namapované síťové disky (úplný popis): -DisableScanningMappedNetworkDrivesForFullScanVýchozí: zakázáno.
• Vyměnitelné disky: -DisableRemovableDriveScanning skenovat pouze celé. Výchozí nastavení: zakázáno.
• Průměrné zatížení CPU: -ScanAvgCPULoadFactor (vodítko, nikoli pevný limit). Výchozí: 50. Ruční skenování toto omezení neplatí.
• Omezení CPU pro plánované: -ThrottleForScheduledScanOnly.

Další nastavení: Kontrola skriptů je ve výchozím nastavení povolena (lze spravovat pomocí zásad); kontrola bodů opětovné analýzy se zobrazuje jako zakázaná a v tabulce zásad není k dispozici žádný parametr; kontrola zabalených spustitelných souborů je uvedena jako povolená, ale byla odebrána z několika nedávných šablon ADMX pro Windows 11, takže její ovládání pomocí GPO nemusí být k dispozici.

WMI: K zahájení prověřování ze skriptů WMI použijte metodu Start třídy MSFT_MpScan . Pro povolené parametry a návratové stavy si prostudujte rozhraní API Windows Defender WMIv2.

Příkazový řádek (mpcmdrun.exe): Zkoušky můžete spustit s parametry jako mpcmdrun.exe -scan -scantype 1Informace o dalších typech (např. plné) a definování konkrétních cest naleznete v nápovědě k nástroji.

Spouštění vzdálených kontrol z portálu Microsoft Defender

U spravovaného zařízení umožňuje portál Microsoft Defender spustit rychlé nebo úplné kontroly, aniž byste se museli zařízení dotýkat. To je užitečné při reakci na upozornění nebo při namátkových kontrolách.

1. Přístup do https://security.microsoft.com e inicia sesión.
2. Otevřít stránku zařízení objektivní.
3. Vyberte elipsu (…) a zvolte Spusťte antivirovou kontrolu.
4. značka Rychlý test (doporučeno) nebo Kompletní zkouška, přidejte komentář a potvrďte.

Kontrola stavu: v části Akce a zásilky > Centrum akcí > Historie filtrujte podle možnosti „Spustit antivirovou kontrolu“ a ověřte stav „Dokončeno“.

Rozsah kontrol: pošta, síť, disky a soubory

Kromě plánování můžete definovat, co se má skenovat, abyste vyvážili efektivitu a náklady: e-maily, síťové soubory, mapované a vyměnitelné disky, komprimované soubory a další.

E-mail: Obránce může analyzovat DBX, MBX y MIME během prověřování na vyžádání a plánovaného prověřování. Soubory PST Soubory bez kódu Unicode (Outlook 2003 nebo starší) jsou kontrolovány, ale hrozby v souboru PST nelze odstranit. Pokud je v e-mailu zjištěna hrozba, zobrazí se předmět a název přílohy, které identifikují zprávu, kterou chcete ručně vyčistit.

Namapované síťové disky: V jakémkoli operačním systému se zkoumají pouze ty namapované na úrovni systému (nikoli ty namapované uživatelem v jeho relaci s jeho přihlašovacími údaji).

Síťové soubory: Ve výchozím nastavení je skenování souborů v síťových prostředcích zakázáno; povolte ho pouze v případě, že přináší užitek vašemu prostředí, a sledujte jeho dopad.

Komprimované soubory (.zip, .rar atd.): Skenování je ve výchozím nastavení povoleno. Seznam vyloučených souborů podle přípony má přednost před tímto nastavením. Můžete také omezit hloubku podsložek v archivních souborech a nastavit maximální velikost (v KB) pro skenování; hodnota 0 omezení neuplatňuje.

Body pro opětovnou analýzu: Zásada „Povolit kontrolu bodů pro opětovnou analýzu“ se zobrazuje jako zakázaná a bez dostupného parametru; pokud potřebujete specifické chování, podívejte se na poznámky k „Bodům pro opětovnou analýzu“.

Vyměnitelné disky: Možnost „skenovat pouze celé disky“ je ve výchozím nastavení zakázána; upravte tuto předvolbu podle vašich zásad pro USB.

Optimalizace výkonu pro plánované rychlé kontroly

Aby se snížila zátěž, může Defender přeskočit určité naplánované rychlé testy, pokud byl v posledních sedmi dnech spuštěn „kvalifikovaný rychlý test“. Tato optimalizace se týká pouze rychlých testů spuštěných podle plánu (nikoli těch spuštěných na vyžádání) a neovlivňuje ochranu v reálném čase.

Kompatibilita : Dostupné od Windows 10 1607 (Anniversary Update) a novějších verzí a ve Windows Serveru 2016 a novějších. Nevztahuje se na instalace Server Core.

Specifické podmínky a výjimky pro „kvalifikovanou rychlost“ : Společnost Microsoft dokumentuje další kritéria a situace, kdy se tato optimalizace nepoužije; projděte si je, pokud potřebujete zaručit spuštění bez ohledu na nedávnou aktivitu.

Hodnoty a lokality politiky: Praktické shrnutí

Pro konzistentní správu uvádíme několik výchozích hodnot a jejich přidružených umístění/vlastností pro Defender Antivirus:

• Poštovní zkouška (Skenování > Povolit skenování e-mailů): Ve výchozím nastavení zakázáno; PowerShell: -DisableEmailScanning.
• Skriptová zkouškaVe výchozím nastavení povoleno; spravovatelné pomocí zásad (AllowScriptScanning).
• Body reanalýzyVýchozí nastavení je zakázáno; žádný parametr není k dispozici.
• Namapované síťové disky (úplné): -DisableScanningMappedNetworkDrivesForFullScanVýchozí nastavení zakázáno.
• Archivovat soubory: -DisableArchiveScanning (vyloučení rozšíření mají přednost). Výchozí nastavení povoleno.
• Síťové soubory: -DisableScanningNetworkFilesVýchozí nastavení zakázáno.
• Zabalené spustitelné soubory: : Výchozí nastavení povoleno; žádný parametr, odstraněno z několika nedávných šablon ADMX pro Windows 11.
• Vyměnitelné disky (pouze kompletní): : Výchozí nastavení zakázáno; -DisableRemovableDriveScanning.
• Hloubka v archivních souborech: výchozí hodnota 0; žádný parametr.
• Využití CPU během analýzyVýchozí hodnota 50; -ScanAvgCPULoadFactor (orientační bod, nikoli pevný limit; manuály jej neuvádějí).
• Maximální velikost souboru archivu: standardně žádné omezení (0 = žádné omezení); žádný parametr.
• Nízká priorita CPU v plánovanémVýchozí nastavení je zakázáno; žádný parametr.
• Omezení CPU pouze v plánovaném režimu: -ThrottleForScheduledScanOnly.
• Rychlé vyloučení z kontrolyVýchozí nastavení je zakázáno; dostupné prostřednictvím zásad a QuickScanIncludeExclusions.

Spuštění lokálních kontrol: Aplikace Zabezpečení systému Windows

Na jednotlivých počítačích umožňuje aplikace Zabezpečení systému Windows spustit rychlé, úplné nebo vlastní prověření během několika sekund. Je to nejjednodušší možnost pro koncového uživatele a užitečná pro jednorázové bezpečnostní kontroly.

Nezapomeňte: ruční skenování může ignorovat omezení procesoru , proto je naplánujte mimo špičku, pokud je k dispozici velké množství dat.

Rozsah a platformy

Popsané možnosti platí pro zařízení s Windows 10/11 a Windows Serverem podporovaná antivirovou aplikací Microsoft Defender, s občasnými odchylkami v závislosti na verzi (například šablony ADMX nebo dostupnost optimalizace).

Více zdrojů a diagnostika

Chcete-li prozkoumat problémy s výkonem nebo skenováním, použijte analyzátor výkonu antivirové ochrany Microsoft Defender a průvodce řešením problémů s konfigurací. Projděte si také dostupné funkce a rutiny PowerShellu, abyste ověřili aktuální předvolby a výsledky skenování.

Při používání zásad (GPO/Intune/ConfigMgr) vždy ověřte jejich funkčnost v pilotní skupině před rozšířením na zbytek prostředí a sledujte události protokolu Defenderu (například 1002 při úplném vypnutí baterie) pro úpravu oken a podmínek. Díky rozumné kombinaci plánování, stanovení rozsahu a automatizace se Defender bezproblémově začlení do každodenních pracovních postupů vašich týmů, udržuje ochranu aktuální pomocí cloudových informací a minimalizuje dopad prostřednictvím randomizace, řízení CPU a nečinného provádění.