ID článku: 822158 - Zobraziť produkty, ktorých sa tento článok týka.
Rozbaliť všetko | Zbaliť všetko

Na tejto stránke

ÚVOD

Tento článok obsahuje odporúčania, ktoré vám môžu pomôcť určiť príčinu potenciálnej nestability v počítači so spustenou podporovanou verziou systému Microsoft Windows, ak sa používa s antivírusovým softvérom v prostredí domény so službou Active Directory alebo v prostredí spravovaného podniku.

Poznámka Odporúčame vám, aby ste tieto procedúry dočasne používali na hodnotenie systému. Ak na základe odporúčaní uvedených v tomto článku dôjde k zvýšeniu výkonnosti alebo stability systému, obráťte sa na dodávateľa svojho antivírusového softvéru a požiadajte ho o ďalšie pokyny alebo o aktualizovanú verziu antivírusového softvéru.

Dôležité upozornenie: Tento článok obsahuje postupy, ktoré vedú k oslabeniu zabezpečenia počítača alebo k dočasnému vypnutiu funkcií zabezpečenia v počítači. Vykonávanie týchto zmien vám umožní pochopiť podstatu konkrétneho problému. Pred vykonávaním týchto zmien sa však odporúča vyhodnotiť riziká spojené s implementáciou tohto riešenia v konkrétnom prostredí. Ak implementujete toto riešenie, vykonajte všetky zodpovedajúce dodatočné opatrenia na ochranu počítača.

DALSIE INFORMACIE

Počítače, v ktorých sú spustené systémy Windows Server 2008 R2, Windows Server 2008, Windows Server 2003, Windows 2000, Windows XP, Windows Vista alebo Windows 7

Upozornenie: Toto riešenie môže oslabiť zabezpečenie počítača alebo siete voči útokom zlomyseľných používateľov alebo nebezpečného softvéru, ako sú napríklad vírusy. Toto riešenie sa neodporúča, no poskytujeme tieto informácie, s pomocou ktorých môžete riešenie implementovať podľa vlastného uváženia. Toto riešenie používate na vlastné riziko.

Poznámky
  • Nevieme o žiadnych rizikách, ktoré by mohli vyplývať z vylúčenia súborov alebo priečinkov uvedených v tomto článku z kontrol vykonávaných antivírusovým softvérom. Ak však z kontrol nevylúčite žiadne súbory ani priečinky, systém môže byť bezpečnejší.
  • Pri kontrole týchto súborov sa v dôsledku zamykania súborov môžu vyskytnúť problémy s výkonnosťou a spoľahlivosťou operačného systému.
  • Nevylučujte žiadny z týchto súborov na základe prípony názvu súboru. Nevylučujte napríklad všetky súbory s príponou .dit. Spoločnosť Microsoft nemá žiadnu kontrolu nad súbormi, ktoré môžu používať rovnaké prípony ako súbory popísané v tomto článku.
  • V tomto článku sú uvedené názvy súborov a priečinkov, ktoré je možné vylúčiť. Všetky súbory a priečinky, ktoré sú popísané v tomto článku, sú chránené predvolenými povoleniami, ktoré poskytujú prístup iba kontu SYSTEM a kontám správcu, a obsahujú iba súčasti operačného systému. Vylúčenie celého priečinka môže byť jednoduchšie, ale nemusí poskytovať rovnakú úroveň ochrany ako vylúčenie konkrétnych súborov na základe názvov súborov.

Vypnutie kontroly súborov súvisiacich so službou Windows Update alebo s automatickými aktualizáciami

  • Vypnite kontrolu databázového súboru služby Windows Update alebo automatických aktualizácií (Datastore.edb). Tento súbor sa nachádza v nasledujúcom priečinku:
    %windir%\SoftwareDistribution\Datastore
  • Vypnite kontrolu súborov denníka, ktoré sa nachádzajú v nasledujúcom priečinku:
    %windir%\SoftwareDistribution\Datastore\Logs
    Vylúčte najmä tieto súbory:
    • Res*.log
    • Res*.jrs
    • Edb.chk
    • Tmp.edb
    Zástupný znak (*) naznačuje, že môže ísť o niekoľko súborov.

Vypnutie kontroly súborov zabezpečenia systému Windows

  • Pridajte nasledujúce súbory do cesty %windir%\Security\Database zoznamu vylúčených položiek:
    • *.edb
    • *.sdb
    • *.log
    • *.chk
    • *.jrs
    Poznámka. Ak tieto súbory nie sú vylúčené, antivírusový softvér môže zabrániť správnemu prístupu k týmto súborom a databázy zabezpečenia sa môžu poškodiť. Kontrola týchto súborov môže zabrániť použitiu týchto súborov alebo použitiu politiky zabezpečenia na tieto súbory. Tieto súbory by sa nemali kontrolovať, pretože antivírusový softvér ich nemusí správne spracovať ako vlastné databázové súbory.

Vypnutie kontroly súborov súvisiacich so skupinovou politikou

  • Informácie o používateľoch skupinovej politiky v databáze Registry. Tieto súbory sa nachádzajú v nasledujúcom priečinku:
    %allusersprofile%\
    Vylúčte najmä nasledujúci súbor:
    NTUser.pol
  • Súbor nastavenia klienta skupinovej politiky. Tento súbor sa nachádza v nasledujúcom priečinku:
    %Systemroot%\System32\GroupPolicy\
    Vylúčte najmä nasledujúci súbor:
    Registry.pol
Ďalšie informácie zobrazíte kliknutím na nasledujúce čísla článkov databázy Microsoft Knowledge Base:
951059 V počítači so systémom Windows Server 2003 sa po prihlásení používateľa do počítača neočakávane odstránia nastavenia politiky databázy Registry (Toto prepojenie môže smerovať na obsah, ktorý je z časti alebo celý v angličtine)
930597 Niektoré nastavenia politiky databázy Registry sa stratia a chybové hlásenia sa zapíšu do denníka Aplikácia v počítači so systémom Windows XP alebo so systémom Windows Vista (Toto prepojenie môže smerovať na obsah, ktorý je z časti alebo celý v angličtine)

Radiče domén so systémom Windows Server 2008 R2, Windows Server 2008, Windows Server 2003 a Windows 2000

Keďže radiče domény poskytujú dôležitú službu pre klientov, riziko prerušenia ich aktivít v dôsledku pôsobenia škodlivého kódu, malvéru alebo vírusu je nutné znížiť na minimum. Všeobecne používaným prostriedkom na zníženie rizika infekcie je antivírusový softvér. Nainštalujte a nakonfigurujte antivírusový softvér, aby sa riziko pre radič domény znížilo tak, ako je to len možné, a aby aj výkon bol ovplyvnený čo najmenej. Nasledujúci zoznam obsahuje odporúčania, ktoré vám pomôžu nakonfigurovať a nainštalovať antivírusový softvér do radičov domény so systémami Windows Server 2008 R2, Windows Server 2008, Windows Server 2003 alebo Windows 2000.

Upozornenie: Odporúčame vám použiť nasledujúcu zadanú konfiguráciu na testovací systém, aby ste overili, či vo vašom konkrétnom prostredí nedôjde k zavedeniu neočakávaných faktorov ani k ohrozeniu stability systému. Riziko vyplývajúce z nadmernej kontroly spočíva v tom, že súbory sa nesprávne označia ako zmenené. To vedie k nadmernej replikácii v službe Active Directory. Ak testovanie potvrdí, že nasledujúce odporúčania neovplyvňujú replikáciu, môžete nasadiť antivírusový softvér do produkčného prostredia.

Poznámka. Špecifické odporúčania od dodávateľov antivírusového softvéru môžu mať vyššiu prioritu než odporúčania v tomto článku.
  • Antivírusový softvér musí byť nainštalovaný vo všetkých radičoch domény v podniku. Ideálne by bolo, ak by ste mohli vyskúšať tento softvér vo všetkých ostatných serverových a klientskych systémoch, ktoré musia vstupovať do interakcie s radičmi domény. Malvér je optimálne zachytiť v čo najskoršom štádiu, napríklad na úrovni brány firewall alebo v klientskom systéme, kde dochádza k prieniku malvéru. To zabraňuje prieniku malvéru do systémov infraštruktúry, od ktorej sú klienti závislí.
  • Použite verziu antivírusového softvéru, ktorý je určený pre radiče domén so službou Active Directory a ktorý používa správne rozhrania API (Application Programming Interface) na prístup k súborom na serveri. Staršie verzie softvéru dodávateľov pri kontrole súboru väčšinou neprimerane menia jeho metaúdaje. To spôsobuje, že stroj služby replikácie súborov rozpozná zmenu súboru, a preto naplánuje replikáciu súboru. Novšie verzie už predchádzajú tomuto problému. Ďalšie informácie získate po kliknutí na nasledujúce číslo článku databázy Microsoft Knowledge Base:
    815263 Antivírusové programy, zálohovacie programy a programy na optimalizáciu diskov, ktoré sú kompatibilné so službou replikácie súborov (Toto prepojenie môže smerovať na obsah, ktorý je z časti alebo celý v angličtine)
  • Nepoužívajte radič domény na prehľadávanie Internetu ani na vykonávanie iných aktivít, ktoré môžu byť zneužité na zavedenie škodlivého kódu.
  • Odporúčame vám znížiť zaťaženie radičov domény na minimum. Ak je to možné, vyhnite sa používaniu radičov domény v role súborového servera. Takto môžete znížiť rozsah aktivity zisťovania vírusov v zdieľaných umiestneniach súborov a znížiť nároky na výkon na minimum.
  • Neumiestňujte databázové súbory a súbory denníkov služby Active Directory alebo služby FRS na komprimované zväzky so systémom súborov NTFS.
    Ďalšie informácie získate po kliknutí na nasledujúce číslo článku databázy Microsoft Knowledge Base:
    318116 Problémy s databázami aplikácie Jet na komprimovaných jednotkách (Toto prepojenie môže smerovať na obsah, ktorý je z časti alebo celý v angličtine)

Vypnutie kontroly služby Active Directory a súborov súvisiacich so službou Active Directory

  • Vylúčte hlavné databázové súbory NTDS. Umiestnenie týchto súborov je zadané v nasledujúcom kľúči databázy Registry:
    HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters\DSA Database File
    Predvoleným umiestnením je umiestnenie %windir%\Ntds. Vylúčte najmä tieto súbory:
    Ntds.dit
    Ntds.pat
  • Vylúčte súbory denníkov transakcií služby Active Directory. Umiestnenie týchto súborov je zadané v nasledujúcom kľúči databázy Registry:
    HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path
    Predvoleným umiestnením je umiestnenie %windir%\Ntds. Vylúčte najmä tieto súbory:
    • EDB*.log
    • Res*.log
    • Res*.jrs
    • Ntds.pat
    Poznámka V systéme Windows Server 2003 sa už súbor Ntds.pat nepoužíva.
  • Vylúčte súbory v pracovnom priečinku NTDS, ktoré sú zadané v nasledujúcom kľúči databázy Registry:
    HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory
    Vylúčte najmä tieto súbory:
    • Temp.edb
    • Edb.chk

Vypnutie kontroly súborov SYSVOL

  • Vypnite kontrolu súborov v pracovnom priečinku služby replikácie súborov FRS, ktorý je zadaný v nasledujúcom kľúči databázy Registry:
    HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NtFrs\Parameters\Working Directory
    Predvoleným umiestnením je umiestnenie %windir%\Ntfrs. Vylúčte nasledujúce súbory, ktoré existujú v priečinku:
    • edb.chk
    • Ntfrs.jdb
    • *.log
  • Vypnite kontrolu súborov v priečinku denníkov databázy služby FRS, ktorý je zadaný v nasledujúcom kľúči databázy Registry:
    HKEY_LOCAL_MACHINE\System\Currentcontrolset\Services\Ntfrs\Parameters\DB Log File Directory
    Predvoleným umiestnením je umiestnenie %windir%\Ntfrs. Vylúčte nasledujúce súbory:
    • Eedb*.log (ak kľúč databázy Registry nie je nastavený).
    • FRS Working Dir\Jet\Log\Edb*.jrs (systémy Windows Server 2008 a Windows Server 2008 R2).
    • Edb*.jrs (systémy Windows Server 2008 a Windows Server 2008 R2).
    Poznámka. Na tomto mieste sú pre úplnosť zdokumentované nastavenia pre vylúčenia konkrétnych súborov. Prístup k týmto priečinkom majú predvolene povolený iba skupiny System a Administrators. Overte, či je nastavená správna ochrana. Tieto priečinky obsahujú iba pracovné súbory súčastí pre služby FRS a DFSR.
  • Vypnite kontrolu pracovného súboru, ktorý je zadaný v nasledujúcom kľúči databázy Registry.
    HKEY_LOCAL_MACHINE\System\Currentcontrolset\Services\NtFrs\Parameters\Replica Sets\GUID\Replica Set Stage

    Pracovný súbor predvolene používa nasledujúce umiestnenie:
    %systemroot%\Sysvol\Staging areas
    Vylúčte nasledujúce súbory:
    • Nntfrs_cmp*.*
  • Vypnite kontrolu súborov v priečinku Sysvol\Sysvol.

    Aktuálne umiestnenie priečinka Sysvol\Sysvol a všetkých jeho podpriečinkov je cieľom opätovnej syntaktickej analýzy systému súborov koreňového priečinka replikačnej množiny. Priečinok Sysvol\Sysvol používa nasledujúce umiestnenie:
    %systemroot%\Sysvol\Sysvol
    Vylúčte nasledujúce súbory z tohto priečinka a všetkých jeho podpriečinkov:
    • *.adm
    • *.admx
    • *.adml
    • Registry.pol
    • *.aas
    • *.inf
    • Fdeploy.inf
    • Scripts.ini
    • *.ins
    • Oscfilter.ini
  • Vypnite kontrolu súborov v predinštalačnom priečinku služby FRS, ktorý sa nachádza v nasledujúcom umiestnení:
    Replica_root\DO_NOT_REMOVE_NtFrs_PreInstall_Directory
    Predinštalačný priečinok je otvorený vždy, keď je spustená služba FRS.

    Vylúčte nasledujúce súbory z tohto priečinka a všetkých jeho podpriečinkov:
    • Ntfrs*.*
  • Vypnite kontrolu súborov v databáze a pracovných priečinkoch služby DFSR. Umiestnenie je zadané nasledujúcim kľúčom databázy Registry:
    HKEY_LOCAL_MACHINE\System\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path >
    Reťazec Path v tomto kľúči databázy Registry označuje cestu súboru XML, ktorý označuje názov replikačnej množiny. V tomto príklade bude cesta obsahovať reťazec Domain System Volume.

    Predvoleným umiestnením je nasledujúci skrytý priečinok:
    %systemdrive%\System Volume Information\DFSR
    Vylúčte nasledujúce súbory z tohto priečinka a všetkých jeho podpriečinkov:
    • $db_normal$
    • FileIDTable_2
    • SimilarityTable_2
    • *.xml
    • $db_dirty$
    • Dfsr.db
    • Fsr.chk
    • *.frx
    • *.log
    • Fsr*.jrs
    • Tmp.edb
    Ak niektorý z týchto priečinkov alebo súborov presuniete alebo uložíte do iného umiestnenia, skontrolujte alebo vylúčte ekvivalentný element.

Vypnutie kontroly súborov služby DFS

Rovnaké prostriedky, ako boli prostriedky vylúčené pre replikačnú množinu SYSVOL, je nutné vylúčiť aj pri použití služby FRS alebo DFSR na replikáciu zdieľaných položiek, ktoré sú priradené ku koreňovému priečinku služby DFS a cieľom prepojenia v radičoch domény alebo členských počítačoch so systémami Windows Server 2008 R2, Windows Server 2008, Windows Server 2003 alebo Windows 2000.

Vypnutie kontroly súborov DHCP

Súbory DHCP, ktoré by mali byť vylúčené, sú predvolene prítomné v nasledujúcom priečinku na serveri:
%systemroot%\System32\DHCP
Vylúčte nasledujúce súbory z tohto priečinka a všetkých jeho podpriečinkov:
  • *.mdb
  • *.pat
  • *.log
  • *.chk
  • *.edb
Umiestnenie súborov DHCP je možné zmeniť. Ak chcete určiť aktuálne umiestnenie súborov DHCP na serveri, skontrolujte parametre DatabasePath, DhcpLogFilePath a BackupDatabasePath, ktoré sú zadané v nasledujúcom podkľúči databázy Registry:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

Radiče domény so systémom Windows Server 2008, Windows Server 2003 a Windows 2000

Vypnutie kontroly súborov DNS

Služba DNS predvolene používa nasledujúci priečinok:
%systemroot%\System32\Dns
Vylúčte nasledujúce súbory z tohto priečinka a všetkých jeho podpriečinkov:
  • *.log
  • *.dns
  • BOOT

Vypnutie kontroly súborov WINS

Služba WINS predvolene používa nasledujúci priečinok:
%systemroot%\System32\Wins
Vylúčte nasledujúce súbory z tohto priečinka a všetkých jeho podpriečinkov:
  • *.chk
  • *.log
  • *.mdb

Vlastnosti

ID článku: 822158 - Posledná kontrola: 8. februára 2010 - Revízia: 13.1
Informácie v tomto článku sa týkajú nasledujúcich produktov:
  • Windows Server 2008 Standard
  • Windows Server 2008 Enterprise
  • Windows Server 2008 Datacenter
  • Windows Server 2008 for Itanium-Based Systems
  • Microsoft Windows Server 2003 Datacenter Edition
  • Microsoft Windows Server 2003 Enterprise Edition
  • Microsoft Windows Server 2003 Standard Edition
  • Microsoft Windows XP Professional Edition
  • Microsoft Windows XP Home Edition
  • Microsoft Windows XP Tablet PC Edition
  • Microsoft Windows XP Media Center Edition 2005 Update Rollup 2
  • Microsoft Windows 2000 Advanced Server
  • Microsoft Windows 2000 Professional Edition
  • Microsoft Windows 2000 Datacenter Server
  • Microsoft Windows 2000 Server
  • Windows Vista Business
  • Windows Vista Business 64-bit edition
  • Windows Vista Enterprise
  • Windows Vista Enterprise 64-bit edition
  • Windows Vista Home Basic
  • Windows Vista Home Basic 64-bit edition
  • Windows Vista Home Premium
  • Windows Vista Home Premium 64-bit edition
  • Windows Vista Ultimate
  • Windows Server 2008 Foundation
  • Windows Server 2008 R2 Datacenter
  • Windows Server 2008 R2 Enterprise
  • Windows Server 2008 R2 Standard
  • Windows Web Server 2008 R2
  • Windows 7 Enterprise
  • Windows 7 Home Basic
  • Windows 7 Home Premium
  • Windows 7 Professional
  • Windows 7 Ultimate
Kľúčové slová: 
kbinfo kbprb kbexpertiseinter kbsecurity KB822158

Odošlite odozvu

 

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com