Vyloučení složek nebo jednotek z prohledávání v programu Windows Defender

Když program Microsoft Defender prohledává celý systém, je někdy nejlepší vyloučit určité položky, aby se zlepšil výkon nebo se zabránilo zbytečným selháním. Konfigurace vyloučení pro soubory, složky, rozšíření nebo procesy je správný způsob, jak to provést, ale existují důležité nuance, které je třeba zvážit, abyste se vyhnuli výraznému snížení ochrany.

V následujících řádcích najdete kompletního a velmi praktického průvodce, jak vyloučit potřebné položky, a to jak z aplikace Zabezpečení systému Windows, tak i pomocí PowerShellu, GPO, Intune/Configuration Manageru a WMI . Zahrnuje také pokročilá kontextová vyloučení (podle typu skenování, triggeru a procesu), použití zástupných znaků a proměnných prostředí a metody ověřování pomocí MpCmdRun a testovacího souboru EICAR.

Co jsou to výjimky a kdy je použít?

Výjimky se primárně používají ke zmírnění dopadu na výkon v určitých scénářích (například během kompilací, záloh nebo úloh náročných na I/O). Jejich použití snižuje ochranu , proto by měly být pečlivě vybírány a nepoužívané bez rozdílu.

Kromě základních výjimek podporuje antivirový program Microsoft Defender kontextová vyloučení s omezeními. Tato omezení omezují, kdy a jak se vyloučení použije : podle typu cesty (soubor/složka), typu kontroly (rychlá/úplná/cílená), spouštěče (na vyžádání, při přístupu, monitorováním chování) a procesu přístupu.

Důležité: Kontextová vyloučení nejsou ideální pro spolehlivé zpracování falešně pozitivních výsledků. V případě skutečného falešně pozitivního výsledku je správným postupem odeslat soubor k analýze společnosti Microsoft (portál Defenderu nebo web Security Intelligence) nebo, v podnikových prostředích dočasně, použít příznaky oprávnění v aplikaci Defender for Endpoint.

Kontextová vyloučení: typy omezení a syntaxe

Způsob, jak vytvořit kontextové vyloučení, je přidat k cestě k souboru nebo složce příponu se složenými závorkami, která definuje záměr. Základní syntaxe Je to: <RUTA>\:{TypeName:value,TypeName:value}. Všimněte si, že Všechny názvy a hodnoty typů rozlišují velká a malá písmena.

Čtyři dostupná omezení jsou následující. Můžete je kombinovat a doladit tak kontext, ve kterém se vyloučení vztahuje:

Typ cesty pro označení, zda je cíl „soubor“ nebo „složka“.
Typ skenu omezit vyloučení na „rychlé“ nebo „úplné“ zkoušky. Zkouška „zdrojová/řízená“ spadá pod základní vyloučení, pokud je spuštěna na vyžádání.
ScanTrigger pro spouštěč: „OnDemand“ (manuální nebo plánované), „OnAccess“ (v reálném čase při otevření/čtení/zápisu) nebo monitorování chování (často zkráceně „BM“).
Proces omezit vyloučení na konkrétní proces (zástupné znaky v cestě nebo názvu obrazu jsou povoleny).

Typické příklady: upřesněte svá vyloučení omezením podle typu vyšetření nebo postupu, abyste minimalizovali riziko.

Požadavky na verzi pro kontextová vyloučení

Abyste mohli používat omezené výjimky, potřebujete aktualizovanou verzi antivirové ochrany Microsoft Defender . Minimální verze platformy: 4.18.2205.7 ; minimální verze modulu: 1.1.19300.2 . Pro zajištění kompatibility zkontrolujte aktualizace produktů a bezpečnostní informace.

Syntaxe a příklady kontextových vyloučení

Vycházeje ze stávajících výjimek, můžete je upřesnit přidáním omezení. Nezapomeňte respektovat velká a malá písmena v názvu typu a hodnotách. Základní syntaxe: <RUTA>\:{TypeName:value,TypeName:value}.

Příklad 1: Vyloučit pouze v případě, že cílem je soubor, a pouze při skenování při přístupu. Konkrétní soubor je vyloučeno v reálném čase: c:\documents\design.doc\:{PathType:file,ScanTrigger:OnAccess}.

Příklad 2: Vyloučení souboru pouze v případě, že přístup k němu provádí konkrétní proces. Zde se vyloučení uplatní, když proces, jehož obraz je volána winword.exe dotkněte se souboru: c:\documents\design.doc\:{Process:"winword.exe"}.

Příklad 3: V cestách k souborům nebo složkám jsou povoleny zástupné znaky. Nezahrnuje dokumenty .doc v rámci zkoušek na vyžádání: c:\*\*.doc\:{PathType:file,ScanTrigger:OnDemand}.

Příklad 4: Cesta k obrazu procesu může obsahovat zástupné znaky. Omezení podle verze Office: c:\documents\design.doc\:{Process:"C:\\Program Files*\\Microsoft Office\\root\\Office??\\winword.exe"}.

Omezení podle typu cesty: soubor nebo složka

Pokud nic neurčíte, vyloučení se vztahuje na cíl bez ohledu na to, zda se jedná o soubor nebo složku, a na všechny typy vyšetření. Vynutit, aby bylo platné pouze v případě, že se jedná o složku Spojené státy americké PathType:folder. Příklad: C:\documents\*\:{PathType:folder}.

Chcete-li zajistit, aby se výjimka vztahovala pouze na soubory (nikdy na složku), použijte Typ cesty:soubor. Příklad: C:\documents\*.mdb\:{PathType:file}.

Poznámka k zdokumentované zvláštnosti: Pokud je cílem soubor, ale vy uvedete, že vyloučením je složka, toto se nepoužije; pokud je však cílem složka a vy zadáte „soubor“, toto se použije . Mějte to na paměti při navrhování pravidel.

Omezit podle typu zkoušky: rychlá, úplná a směrovaná

Ve výchozím nastavení se základní vyloučení týká všech zkoušek (rychlých, úplných nebo zaměřených na zdroje). Chcete-li dopad zmírnit , můžete jej omezit na konkrétní typ zkoušky, o který máte zájem.

Příklad: Vyloučení složky pouze během celé zkoušky: C:\documents\:{ScanType:full}. Takže to nepřekáží s rychlou nebo cílenou analýzou.

Příklad: Vyloučení jedné položky pouze během rychlé kontroly: C:\program.exe\:{ScanType:quick}Pokud chcete mít jistotu, že se jedná o soubor a nikoli o složku s podobným názvem, přidejte Typ cesty:soubor: C:\program.exe\:{ScanType:quick,PathType:file}.

Omezit spouštěčem zkoušky

Spouštěcí kategorie jsou: OnDemand (manuální/příkazové a také programované), OnAccess (ochrana v reálném čase) a monitorování chování (někdy zkráceně BM, zahrnuje analýzu paměti).

Příklad: Vyloučení složky a jejího obsahu pouze při skenování při přístupu (v reálném čase): c:\documents\:{ScanTrigger:OnAccess}. Bude se to dále analyzovat v manuálních nebo plánovaných zkouškách, pokud nepřidáte žádná další omezení.

Omezit přístupem procesu

Tato možnost je velmi užitečná, pokud nechcete vyloučit celý proces (což by bylo nebezpečné), ale pouze určité přístupy z daného procesu ke konkrétnímu souboru nebo složce. V názvu souboru nebo cestě k obrázku jsou povoleny zástupné znaky.

Příklad: omezení na Word, Access nebo obecnou cestu k Office: c:\documents\design.doc\:{Process:"winword.exe", Process:"msaccess.exe", Process:"C:\\Program Files*\\Microsoft Office\\root\\Office??\\winword.exe"}. Vyloučení funguje pouze když je přístup iniciován jedním z těchto procesů.

Jak nakonfigurovat výjimky v aplikaci Zabezpečení systému Windows

Z grafického rozhraní je to velmi jednoduché. Otevřete vyhledávací lištu a přejděte na „Zabezpečení systému Windows“. Přejděte na „Ochrana před viry a hrozbami“ a v části „Nastavení ochrany před viry a hrozbami“ vyberte „Spravovat nastavení“.

Přejděte na „Výjimky“ a vyberte „Přidat nebo odebrat výjimky“. Klikněte na „Přidat výjimku“ a vyberte typ: Soubor, Složka, Typ souboru nebo Proces . Na základě vašeho výběru budou vyloučeny následující položky: soubor, celá složka (včetně podsložek), přípona souboru v libovolném umístění nebo proces podle názvu.

Chcete-li složku vyloučit, vyberte možnost „Složka“, přejděte k cestě a potvrďte stisknutím tlačítka „Vybrat složku“. Od tohoto okamžiku bude složka vyloučena z analýzy podle základních pravidel vyloučení.

Pokud budete chtít později vyloučení odebrat, v seznamu vyloučených položek klepněte na ikonu vedle položky a zvolte možnost „Odebrat“ . Jedná se o okamžitý a vratný proces.

Konfigurace výjimek pomocí Intune a Configuration Manageru

V podnikovém prostředí můžete vyloučení nasazovat centrálně. S Microsoft Intune máte konfigurační profily pro Defender, které přijímají seznamy vyloučení podle cesty, přípony nebo procesu.

Pokud používáte Microsoft Configuration Manager (SCCM) , nakonfigurujte je v antimalwarových zásadách (aktuální větev) v rámci možností vyloučení. Tyto platformy usnadňují udržování konzistence a dodržování předpisů napříč všemi spravovanými počítači.

Konfigurace výjimek pomocí zásad skupiny (GPO)

Otevřete konzolu Správa zásad skupiny (GPMC), vyhledejte objekt GPO, který chcete upravit, a klikněte na „Upravit“. Přejděte do části Konfigurace počítače > Šablony pro správu > Součásti systému Windows > Antivirus Microsoft Defender > Výjimky.

V části „Vyloučení cest“: nastavte možnost na „Povoleno“ a klikněte na „Zobrazit“. Každou složku nebo soubor zadejte na samostatný řádek (pokud se jedná o soubor, uveďte jednotku, úplnou cestu, název a příponu). Ve sloupci „Hodnota“ zadejte hodnotu „0“.

V případě možnosti „Vyloučení rozšíření“ nastavte možnost „Povoleno“, přejděte do sekce „Zobrazit“ a zadejte každé rozšíření na řádek (s tečkou nebo bez ní). Do sloupce „Hodnota“ opět zadejte „0“.

PowerShell: Přidání, odebrání a zobrazení výjimek

Defender obsahuje cmdlety ve vestavěném modulu. Chcete-li vytvořit nebo přepsat seznam, použijte Set-MpPreference, pro přidání prvků Přidat MpPreference a k jejich odstranění Odebrat-MpPreferenceObecný tvar je: <cmdlet> -<lista de exclusión> "<elemento>".

Hlavní parametry jsou -CestaVyloučení (konkrétní soubor nebo složka s podadresáři) a -ExclusionExtension (všechny vámi zadané přípony). Příklad vyloučení přípony: Add-MpPreference -ExclusionExtension ".test". Takže jakýkoli soubor .test bude z analýzy vynecháno.

Chcete-li zkontrolovat úplný stav preferencí, spusťte Get-MpPreference. Můžeš to vyhodit k proměnné a dotazovat vlastnosti jako ExclusionPath o ExclusionExtension:

$WDAVprefs = Get-MpPreference
$WDAVprefs.ExclusionExtension
$WDAVprefs.ExclusionPath

Nezapomeňte, že každé použití příkazu Add-MpPreference přidá do seznamu nový řádek; pokud jej chcete znovu sestavit od nuly, použijte Set-MpPreference s kompletním seznamem, který chcete zachovat.

WMI (MSFT_MpPreference) pro výjimky

Výjimky můžete také spravovat pomocí WMI s třídou MSFT_MpPreferencePoužijte jeho metody Set, Add a Remove na relevantních vlastnostech, jako například ExclusionPath y ExclusionExtension. Chování je analogické k rutinám PowerShellu: Set = přepíše, Add = přidá, Remove = odstraní.

Charakteristika a rozsah seznamů vyloučených

Vyloučení složek se vztahují na všechny soubory a podsložky, s výjimkou podsložek, které jsou body opravy , a ty je nutné explicitně vyloučit. Tím se zabrání neočekávanému chování v přesměrovaných cestách.

Výjimky podle přípony se vztahují na jakýkoli soubor s danou příponou bez ohledu na jeho umístění, pokud současně nedefinujete konkrétní cestu.

Používání zástupných znaků a proměnných prostředí

Ve vyloučení cest (složky nebo soubory) můžete použít hvězdička (*), otazník (?) a typ proměnných prostředí %ALLUSERSPROFILE%Tyto zástupné znaky se neinterpretují úplně stejně jako v jiných jazycích, proto je dobré znát jejich pravidla.

Hvězdička (*): V názvech souborů a příponách nahrazuje libovolný počet znaků a ovlivňuje pouze soubory v poslední definované složce; ve výjimkách složek každá * nahrazuje jednu složku. Můžete je řetězit zpětnými lomítky a reprezentovat tak více úrovní: po porovnání počtu zástupných znaků a názvů jsou zahrnuty všechny podsložky.

Otazník (?): V názvech souborů a příponách nahrazuje jeden znak a vztahuje se na poslední složku. Ve výjimkách složek nahrazuje znak v názvu složky a po nalezení shody zahrnuje i podsložky.

Proměnné prostředí: při vyhodnocování vyloučení engine rozšíří proměnnou na cestu. V jednom pravidle je lze kombinovat s * a ?.

Příklady s *: C:\MyData\*.txt zahrnuje C:\MyData\notes.txt; C:\somepath\*\Data zahrnuje C:\somepath\Archives\Data a jeho podsložky; C:\Serv\*\*\Backup zahrnuje trasy jako např. C:\Serv\Primary\Denied\Backup y C:\Serv\Secondary\Allowed\Backup.
Příklady s ?: C:\MyData\my?.zip zahrnuje C:\MyData\my1.zip; C:\somepath\?\Data zahrnuje C:\somepath\P\Data; C:\somepath\test0?\Data zahrnuje C:\somepath\test01\Data.
Proměnné: %ALLUSERSPROFILE%\CustomLogFiles kryty C:\ProgramData\CustomLogFiles\Folder1\file1.txt.
Kombinaceón: %PROGRAMFILES%\Contoso*\v?\bin\contoso.exe zahrnuje trasy jako např. C:\Program Files\Contoso Labs\v1\bin\contoso.exe.

Proměnné systémového prostředí (systémový účet)

Níže je uveden užitečný seznam běžných proměnných prostředí a jejich typického rozšíření ve Windows. Použijte je ve výjimkách pro přenositelnější pravidla napříč počítači:

% APPDATA% → C:\Windows\system32\config\systemprofile\Appdata\Roaming
%APPDATA%\Microsoft\Internet Explorer\Rychlé spuštění → C:\Windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Internet Explorer\Rychlé spuštění
Nabídka Start %APPDATA%\Microsoft\Windows → C:\Windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Nabídka Start
%APPDATA%\Microsoft\Windows\Nabídka Start\Programy → C:\Windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Nabídka Start\Programy
% LOCALAPPDATA % → C:\WINDOWS\system32\config\systemprofile\AppData\Local
%Programové data% → C:\ProgramData
% Programové soubory% → C:\Program Files
%ProgramFiles%\Běžné soubory → C:\Program Files\Common Files
%ProgramFiles%\Postranní panel systému Windows\Gadgety → C:\Program Files\Postranní panel Windows\Gadgety
%ProgramFiles (x86)% → C:\Program Files (x86)
%ProgramFiles(x86)%\Běžné soubory → C:\Program Files (x86)\Common Files
% SystemDrive% → C:
%SystemDrive%\Program Files → C:\Program Files
%SystemDrive%\Program Files (x86) → C:\Program Files (x86)
%SystémováDisk%\Uživatelé → C:\Uživatelé
%SystémováDisk%\Uživatelé\Veřejné → C:\Uživatelé\Veřejné
% SystemRoot% → C:\Windows
% Windir% → C:\Windows
%windir%\Fonty → C:\Windows\Fonty
%windir%\Zdroje → C:\Windows\Prostředky
%windir%\resources\0409 → C:\Windows\zdrojů\0409
%windir%\system32 → C:\Windows\System32
%ALLUSERSPROFILE% → C:\ProgramData
%ALLUSERSPROFILE%\Data aplikace → C:\ProgramData\Aplikační data
%ALLUSERSPROFILE%\Dokumenty → C:\ProgramData\Dokumenty
%ALLUSERSPROFILE%\Dokumenty\Moje hudba\Ukázky hudby → C:\ProgramData\Dokumenty\Moje hudba\Ukázková hudba
%ALLUSERSPROFILE%\Dokumenty\Moje hudba → C:\ProgramData\Dokumenty\Moje hudba
%ALLUSERSPROFILE%\Dokumenty\Moje obrázky → C:\ProgramData\Dokumenty\Moje obrázky
%ALLUSERSPROFILE%\Dokumenty\Moje obrázky\Ukázkové obrázky → C:\ProgramData\Dokumenty\Moje obrázky\Ukázkové obrázky
%ALLUSERSPROFILE%\Dokumenty\Moje videa → C:\ProgramData\Dokumenty\Moje videa
%ALLUSERSPROFILE%\Microsoft\Windows\DeviceMetadataStore → C:\ProgramData\Microsoft\Windows\DeviceMetadataStore
%ALLUSERSPROFILE%\Microsoft\Windows\GameExplorer → C:\ProgramData\Microsoft\Windows\GameExplorer
%ALLUSERSPROFILE%\Microsoft\Windows\Vyzváněcí tóny → C:\ProgramData\Microsoft\Windows\Vyzváněcí tóny
Nabídka Start %ALLUSERSPROFILE%\Microsoft\Windows → C:\ProgramData\Microsoft\Windows\Nabídka Start
%ALLUSERSPROFILE%\Microsoft\Windows\Nabídka Start\Programy → C:\ProgramData\Microsoft\Windows\Nabídka Start\Programy
%ALLUSERSPROFILE%\Microsoft\Windows\Nabídka Start\Programy\Nástroje pro správu → C:\ProgramData\Microsoft\Windows\Nabídka Start\Programy\Nástroje pro správu
%ALLUSERSPROFILE%\Microsoft\Windows\Nabídka Start\Programy\Po spuštění → C:\ProgramData\Microsoft\Windows\Nabídka Start\Programy\Po spuštění
%ALLUSERSPROFILE%\Microsoft\Windows\Šablony → C:\ProgramData\Microsoft\Windows\Šablony
Nabídka Start %ALLUSERSPROFILE% → C:\ProgramData\Nabídka Start
%ALLUSERSPROFILE%\Nabídka Start\Programy → C:\ProgramData\Nabídka Start\Programy
%ALLUSERSPROFILE%\Nabídka Start\Programy\Nástroje pro správu → C:\ProgramData\Nabídka Start\Programy\Nástroje pro správu
%ALLUSERSPROFILE%\Šablony → C:\ProgramData\Šablony
%LOCALAPPDATA%\Microsoft\Windows\ConnectedSearch\Šablony → C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\ConnectedSearch\Templates
%LOCALAPPDATA%\Microsoft\Windows\Historie → C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\History
%VEŘEJNOST% → C:\Uživatelé\Veřejné
%PUBLIC%\Obrázky účtu → C:\Uživatelé\Veřejné\ObrázkyÚčtu
%PUBLIC%\Počítač → C:\Uživatelé\Veřejné\Plocha
%PUBLIC%\Dokumenty → C:\Uživatelé\Veřejné\Dokumenty
%PUBLIC%\Stažení → C:\Uživatelé\Veřejné\Stažené soubory
%PUBLIC%\Hudba\Ukázková hudba → C:\Uživatelé\Veřejné\Hudba\Ukázková hudba
%PUBLIC%\Hudba\Ukázkové seznamy skladeb → C:\Uživatelé\Veřejné\Hudba\Ukázkové seznamy skladeb
%PUBLIC%\Obrázky\Ukázkové obrázky → C:\Uživatelé\Veřejné\Obrázky\Ukázkové obrázky
%PUBLIC%\RecordedTV.library-ms → C:\Uživatelé\Veřejné\NahranáTV.library-ms
%PUBLIC%\Videa → C:\Uživatelé\Veřejné\Videa
%PUBLIC%\Videa\Ukázková videa → C:\Uživatelé\Veřejné\Videa\Ukázková videa
% USERPROFILE% → C:\Windows\system32\config\systemprofile
%USERPROFILE%\AppData\Local → C:\Windows\system32\config\systemprofile\AppData\Local
%USERPROFILE%\AppData\LocalLow → C:\Windows\system32\config\systemprofile\AppData\LocalLow
%USERPROFILE%\AppData\Roaming → C:\Windows\system32\config\systemprofile\AppData\Roaming

Zkontrolujte a ověřte svá vyloučení

Kromě Get-MpPreference V PowerShellu můžete ověřit konkrétní případy pomocí nástroje příkazového řádku. MpCmdRun.exeSpusťte CMD jako správce, přejděte do složky platformy Defender a použijte -CheckExclusion:

cd "%ProgramData%\Microsoft\Windows Defender\Platform"
cd 4.18.2111-5.0  (cambia a la versión de plataforma instalada)
MpCmdRun.exe -CheckExclusion -path <ruta a comprobar>

Chcete-li skutečně ověřit, zda je vyloučení respektováno, můžete použít testovací soubor EICAR. Stáhněte si ho pomocí Invoke-WebRequest nebo System.Net.WebClient a zjistěte, zda Defender reaguje. Pokud jste obsah správně vyloučili, neměl by jej detekovat v kontextu pokrytém vaším pravidlem.

Invoke-WebRequest "https://secure.eicar.org/eicar.com.txt" -OutFile "test.txt"

$client = New-Object System.Net.WebClient
$client.DownloadFile("http://www.eicar.org/download/eicar.com.txt","c:\test.txt")

Bez internetu můžete obsah EICAR vytvořit lokálně pomocí PowerShellu: zapište přesný standardní řetězec do dočasného souboru v rámci cesty/podmínky, kterou vaše vyloučení pokrývá.

[io.file]::WriteAllText("test.txt",'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*')

Osvědčené postupy a klíčové připomínky

Vyhněte se vyloučení celých procesů, pokud je můžete nahradit omezením pro jednotlivé procesy v určité cestě; tímto způsobem nepřeskočíte zbytečné kontroly daného spustitelného souboru v jiných umístěních.

Pokud je to možné, omezte vyloučení na konkrétní typ vyšetření a spouštěč . Například vyloučení velké složky pouze během plných vyšetření, a nikoli během přístupu, snižuje rizika.

Nezapomeňte, že interpretace zástupných znaků se liší v jiných prostředích. Otestujte svá pravidla pomocí MpCmdRun a pokud možno s obsahem EICAR v rámci přesného kontextu (cesta/proces), který jste vyloučili.

Udržujte Defender aktuální, abyste mohli využívat vylepšení v oblasti kontroly vyloučení. Kontextová vyloučení vyžadují minimální verze platformy a enginu. Pravidelně kontrolujte poznámky k produktu.

Zvládnutí vyloučení v programu Microsoft Defender vám umožňuje jemně vyladit výkon bez přílišného ohrožení zabezpečení. Díky kontextovým pravidlům podle typu cesty, skenování, triggeru a procesu a centralizované správě pomocí GPO/Intune/SCCM a výkonu PowerShellu/WMI můžete vyloučit pouze to, co je nezbytné , a ověřit to pomocí MpCmdRun, Get-MpPreference a EICAR pro naprostý klid.