Raccomandazioni per la scansione antivirus per i computer aziendali che eseguono Windows o Windows Server (KB822158)

Si applica a
Windows

Nota

Si applica a:

Windows Server 2025, tutte le edizioni
Windows Server 2022, tutte le edizioni
Windows Server 2019, tutte le edizioni
Windows Server 2016, tutte le edizioni
Windows Server 2012 R2, tutte le edizioni
Windows Server 2012, tutte le edizioni
Windows 11, tutte le edizioni
Windows 10, tutte le edizioni

Introduzione

Questo articolo contiene consigli per aiutare un amministratore a determinare la causa della potenziale instabilità nello scenario seguente:

Sintomi

Il computer basato su Windows o Windows Server riscontra i problemi seguenti:

  • Prestazioni di sistema

    • CPU elevata o maggiore utilizzo della CPU

      • Modalità utente
      • Modalità kernel

    • Perdite di memoria kernel

      • Pool non di paging
      • Pool di paging
      • Gestire la perdita

    • Lentezza

      • Copia file quando si usa Esplora risorse

        • Copia file quando usi un'app console (ad esempio, cmd.exe)

      • Operazioni di backup

  • Stabilità

    • Lentezza delle applicazioni

      • Accesso a una condivisione di rete o a un'unità mappata
      • Mancanza temporanea di risposta in Esplora risorse

    • Errore dell'applicazione

      • Violazione di accesso

    • L'applicazione smette di rispondere

      • Deadlock

        • Chiamata di procedura remota (RPC)
        • Named pipes

      • Condizioni di gara

      • Perdita di memoria di byte privati

      • Perdita di memoria byte virtuali

      • Byte virtuali: frammentazione della memoria

  • Problemi di affidabilità del sistema operativo

    • Il sistema si blocca (è necessario forzare un riavvio per il ripristino)

      • Deadlock
      • Condizioni di gara
      • Gestire le perdite
      • Perdite di pool non di paging
      • Perdite di pool di paging

  • Errori irreversibili (noti anche come controlli bug)

Per ulteriori informazioni, vedere gli articoli seguenti:

Risoluzione

Prima di aggiungere esclusioni antivirus, eseguire le operazioni seguenti:

  1. Aggiornare le definizioni per il programma antivirus di terze parti. Se il problema persiste, invia un falso positivo (FP) al supporto del fornitore dell'antivirus di terze parti.

  2. Verifica di non aver impostato una funzionalità specifica in modalità avanzata o aggressiva che causa più dei sintomi seguenti:

    • Falsi positivi
    • Problemi di compatibilità delle applicazioni
    • Aumento dell'utilizzo delle risorse (ad esempio, uso elevato della CPU (modalità utente o modalità kernel) o uso elevato della memoria (modalità utente o modalità kernel)
    • Rallentamenti
    • Le applicazioni smettono di rispondere
    • Errori dell'applicazione
    • Sistema che non risponde

  3. Aggiornare la versione del programma antivirus di terze parti. Oppure, per il test, vedi
    Come disattivare temporaneamente il driver del filtro in modalità kernel in Windows

  4. Collabora con il fornitore di antivirus di terze parti per risolvere ulteriormente i problemi. Potrebbe essere necessario disporre dei seguenti tipi di dati avanzati per restringere il problema:

Soluzione alternativa

Consigli Questo articolo contiene informazioni che illustrano come ridurre le impostazioni di sicurezza o disattivare temporaneamente le funzionalità di sicurezza in un computer. È possibile apportare queste modifiche per comprendere la natura di un problema specifico. Prima di apportare queste modifiche, è consigliabile valutare i rischi associati all'implementazione di questa soluzione alternativa in un particolare ambiente. Se implementi questa soluzione alternativa, esegui le operazioni aggiuntive appropriate per proteggere il computer.

Avviso

  • Questa soluzione alternativa non è consigliata. Tuttavia, queste informazioni vengono fornite per consentire all'utente di implementare questa soluzione alternativa a propria discrezione. Usare questa soluzione alternativa a proprio rischio.
  • Questa soluzione alternativa può rendere un computer o una rete più vulnerabile agli attacchi da parte di utenti malintenzionati o di malware, ad esempio virus.
  • È consigliabile applicare temporaneamente queste impostazioni per valutare il comportamento del sistema.
  • Siamo consapevoli del rischio di escludere i file o le cartelle specifici menzionati in questo articolo dalle scansioni eseguite dal software antivirus. Il sistema sarà più sicuro se non si escludono file o cartelle dalle analisi.
  • Quando si analizzano questi file, potrebbero verificarsi problemi di prestazioni e affidabilità del sistema operativo a causa del blocco dei file.
  • Non escludere nessuno di questi file in base all'estensione del nome del file. Ad esempio, non escludere tutti i file con estensione DIT. Microsoft non ha alcun controllo su altri file che potrebbero usare le stesse estensioni dei file descritti in questo articolo.
  • Questo articolo fornisce sia i nomi dei file che le cartelle che possono essere esclusi. Tutti i file e le cartelle descritti in questo articolo sono protetti da autorizzazioni predefinite per consentire solo l'accesso a SYSTEM e amministratore e contengono solo componenti del sistema operativo. L'esclusione di un'intera cartella potrebbe essere più semplice, ma potrebbe non offrire la stessa protezione possibile rispetto all'esclusione di file specifici in base ai nomi di file.
  • L'aggiunta di esclusioni antivirus dovrebbe sempre essere l'ultima risorsa se nessun'altra opzione è fattibile.

Disattivare l'analisi dei file di Windows Update o di aggiornamento automatico

  • Disattiva la scansione del file di database di Windows Update o Aggiornamento automatico (Datastore.edb). Questo file si trova nella seguente cartella:
    %windir%\SoftwareDistribution\Datastore

  • Disattivare l'analisi dei file di log presenti nella cartella seguente:
    %windir%\SoftwareDistribution\Datastore\Logs

    In particolare, escludere i file seguenti:

    • Edb*.jrs
    • Edb.chk
    • Tmp.edb

  • Il carattere jolly (*) indica che potrebbero essere presenti diversi file.

Disattivare l'analisi dei file di Sicurezza di Windows

  • Aggiungere i file seguenti nel percorso %windir%\Sicurezza\Database dell'elenco delle esclusioni:

    • *.edb
    • *.sdb
    • *.log
    • *.chk
    • *.jrs
    • *.xml
    • *.csv
    • *.cmtx

    Avvertenza Se questi file non vengono esclusi, il software antivirus potrebbe impedire l'accesso appropriato a questi file e i database di sicurezza potrebbero danneggiarsi. La scansione di questi file può impedire l'uso dei file o potrebbe impedire l'applicazione di un criterio di sicurezza ai file. Questi file non devono essere analizzati perché il software antivirus potrebbe non trattarli correttamente come file di database proprietari.

    Queste sono le esclusioni consigliate. Potrebbero esserci altri tipi di file che non sono inclusi in questo articolo che devono essere esclusi.

  • Criteri di gruppo informazioni registro utenti. Questi file si trovano nella seguente cartella:
    Desktop: %allusersprofile%\
         Utenti: %ProgramData%\Microsoft\GroupPolicy\Users\<User Sid>\

    In particolare, escludere il file seguente:
    NTUser.pol

  • File di impostazioni client di Criteri di gruppo. Questi file si trovano nella seguente cartella:
    %SystemRoot%\System32\GroupPolicy\Machine\
         %SystemRoot%\System32\GroupPolicy\User\

    In particolare, escludere i file seguenti:
    Registry.pol
         Registry.tmp

Disattivare la scansione dei file del profilo utente

  • Informazioni del registro degli utenti e file di supporto. I file si trovano nella seguente cartella:

         %userprofile%\

    In particolare, escludere i file seguenti:

         NTUser.dat*

Esecuzione di software antivirus nei controller di dominio

Poiché i controller di dominio forniscono un servizio importante ai clienti, è necessario ridurre al minimo il rischio di interruzione delle attività da parte di codice dannoso, malware o virus. Il software antivirus è il modo generalmente accettato per ridurre il rischio di infezione. Installare e configurare il software antivirus in modo da ridurre il più possibile il rischio per il controller di dominio e influire il meno possibile sulle prestazioni. L'elenco seguente contiene consigli per la configurazione e l'installazione di software antivirus in un controller di dominio Windows Server.

Avviso È consigliabile applicare la configurazione specificata seguente a un sistema di test per assicurarsi che, nell'ambiente specifico, tale configurazione non introduca fattori imprevisti o comprometta la stabilità del sistema. Il rischio di un'analisi eccessiva è che i file vengano contrassegnati in modo inappropriato come modificati. Ciò causa un'eccessiva replica in Active Directory. Se il test verifica che la replica non sia interessata dai consigli seguenti, è possibile applicare il software antivirus all'ambiente di produzione.

Avvertenza I consigli specifici dei fornitori di software antivirus potrebbero prevalere su quelli contenuti in questo articolo.

  • Il software antivirus deve essere installato in tutti i controller di dominio dell'organizzazione. Idealmente, provare a installare tale software in tutti gli altri sistemi server e client che devono interagire con i controller di dominio. È ottimale catturare il malware nel primo momento, ad esempio nel firewall o nel sistema client in cui viene introdotto. Ciò impedisce al malware di raggiungere i sistemi dell'infrastruttura da cui dipendono i client.
  • Usa una versione del software antivirus progettata per funzionare con i controller di dominio Active Directory e che usa le API (Application Programming Interface) corrette per accedere ai file nel server. Le versioni precedenti della maggior parte dei software dei fornitori modificano in modo inappropriato i metadati di un file durante la scansione del file.
  • Non usare un controller di dominio per esplorare Internet o eseguire altre attività che potrebbero introdurre codice dannoso.
  • È consigliabile ridurre al minimo i carichi di lavoro nei controller di dominio. Ad esempio, quando possibile, evitare di usare i controller di dominio in un ruolo di file server. Questa procedura riduce l'attività di scansione dei virus sulle condivisioni file e minimizza il sovraccarico delle prestazioni.
  • Non inserire Active Directory e i file di log in volumi compressi con file system NTFS.

  • Escludere i file del database NTDS principale. Il percorso di questi file è specificato nella sottochiave del Registro di sistema seguente:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Database File

    Il percorso predefinito è %windir%\Ntds. In particolare, escludere i file seguenti:

    • Ntds.dit
    • Ntds.pat

  • Escludere i file di log delle transazioni di Active Directory. Il percorso di questi file è specificato nella sottochiave del Registro di sistema seguente:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path

    Il percorso predefinito è %windir%\Ntds. In particolare, escludere i file seguenti:

    • EDB*.log
    • Res*.log
    • Edb*.jrs
    • Ntds.pat

  • Escludere i file nella cartella di lavoro NTDS specificata nella sottochiave del Registro di sistema seguente:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory

    In particolare, escludere i file seguenti:

    • Temp.edb
    • Edb.chk

Disattivare la scansione dei file SYSVOL

  • Disattivare la scansione dei file nella cartella Sysvol\Sysvol o nella cartella SYSVOL_DFSR\Sysvol.

    La posizione corrente della cartella Sysvol\Sysvol o SYSVOL_DFSR\Sysvol e di tutte le sottocartelle è la destinazione di analisi del file system della radice del set di repliche. Per impostazione predefinita, le cartelle Sysvol\Sysvol e SYSVOL_DFSR\Sysvol usano i percorsi seguenti:
    %systemroot%\Sysvol\Domain
    %systemroot%\Sysvol_DFSR\Domain
    Il percorso del SYSVOL attualmente attivo è indicato dalla condivisione NETLOGON e può essere determinato dal nome del valore SysVol nella sottochiave seguente:
    HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters

  • Escludere i file seguenti da questa cartella e da tutte le relative sottocartelle:

    • *.adm
    • *.admx
    • *.adml
    • Registry.pol
    • Registry.tmp
    • *.aas
    • *.inf
    • Scripts.ini
    • *.ins
    • Oscfilter.ini

  • Disattivare la scansione dei file nel database DFSR e nelle cartelle di lavoro. Il percorso è specificato nella sottochiave del Registro di sistema seguente:
    HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path

    In questa sottochiave del Registro di sistema, "Path" è il percorso di un file XML che contiene il nome del gruppo di replica. In questo esempio il percorso conterrebbe "Volume di sistema del dominio".

    Il percorso predefinito è la seguente cartella nascosta:
    %systemdrive%\System Volume Information\DFSR

    Escludere i file seguenti da questa cartella e da tutte le relative sottocartelle:

    • $db_normal$
    • FileIDTable_*
    • SimilarityTable_*
    • *.xml
    • $db_dirty$
    • $db_clean$
    • $db_lost$
    • Dfsr.db
    • Fsr.chk
    • *.frx
    • *.log
    • fsr*.jrs
    • Tmp.edb

    Avvertenza Se una di queste cartelle o file viene spostata o collocata in un'altra posizione, analizzare o escludere l'elemento equivalente.

Disattivare la scansione dei file DFS

Le stesse risorse escluse per un set di repliche SYSVOL devono essere escluse anche se DFSR viene utilizzato per replicare le condivisioni mappate alle destinazioni di collegamento e radice DFS nei computer membri di Windows Server o nei controller di dominio.

Disattiva la scansione dei file DHCP

Per impostazione predefinita, i file DHCP che devono essere esclusi sono presenti nella cartella seguente nel server:

%systemroot%\System32\DHCP

Escludere i file seguenti da questa cartella e da tutte le relative sottocartelle:

  • *.mdb
  • *.pat
  • *.log
  • *.chk
  • *.edb

Il percorso dei file DHCP può essere modificato. Per determinare il percorso corrente dei file DHCP nel server, controllare i parametri DatabasePath, DhcpLogFilePath e BackupDatabasePath specificati nella sottochiave del Registro di sistema seguente:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

Disattiva la scansione dei file DNS

Per impostazione predefinita, DNS usa la cartella seguente:

%systemroot%\System32\DNS Escludere i file seguenti da questa cartella e da tutte le relative sottocartelle:

  • *.log
  • *.dns
  • AVVIO

Disattivare la scansione dei file WINS

Per impostazione predefinita, WINS utilizza la cartella seguente:

%systemroot%\System32\wins

Escludere i file seguenti da questa cartella e da tutte le relative sottocartelle:

  • *.chk
  • *.log
  • *.mdb

Per i computer che eseguono versioni di Windows basate su Hyper-V

In alcuni scenari, nei computer Windows Server in cui è installato il ruolo Hyper-V, potrebbe essere necessario configurare il componente di analisi in tempo reale all'interno del software antivirus per escludere file e intere cartelle. Per altre informazioni, vedere l'articolo della Knowledge Base seguente:

  • 961804 Macchine virtuali mancanti o si verifica un errore 0x800704C8, 0x80070037 o 0x800703E3 quando si tenta di avviare o creare una macchina virtuale

Passaggi successivi

Se le prestazioni o la stabilità del sistema sono migliorate grazie ai consigli forniti in questo articolo, contattare il fornitore del software antivirus per istruzioni o per ottenere una versione aggiornata o le impostazioni del software antivirus.

Avvertenza Il fornitore di antivirus di terze parti può collaborare con il team del supporto tecnico Microsoft su un impegno commercialmente ragionevole.

Riferimenti

Contratto di Servizi Microsoft

Contratto per i servizi Microsoft

Microsoft Virus Initiative

Cronologia delle modifiche

La tabella seguente riepiloga le modifiche più importanti apportate a questo argomento.

Data Descrizione
Agosto 17, 2021 Aggiornata la nota nella sezione "Ulteriori informazioni": "Nota su Windows 10, Windows Server 2016 e versioni successive..."
2 Novembre 2021 Aggiornata la nota nella sezione "Ulteriori informazioni": "Questo vale anche per Windows Server 2012 R2..."
14 marzo 2022 Intero articolo rivisto. Sono state aggiunte le sezioni "Sintomi" e "Risoluzione" e riorganizzato il contenuto rimanente.
Luglio 14, 2023 Aggiunto un terzo punto elenco nella sezione "Introduzione". Aggiunta di un'intestazione sezione "Sintomi". Rimossa la sezione "Ulteriori informazioni".
Agosto 7, 2023 Sono stati risolti i problemi di layout che causavano l'esecuzione di più righe negli elenchi delle esclusioni.
22 maggio 2025 Rimosso Windows Server 2008 e Windows 7 da "Si applica a" ed eliminato tutto il contenuto correlato. Aggiunto Windows Windows Server 2025 a "Si applica a". Collegamenti di riferimento incrociato aggiornati.