Priporočila za iskanje virusov v računalnikih v podjetjih s sistemom Windows ali Windows Server (KB822158)

Izklop pregledovanja datotek Windows Update samodejnega posodabljanja

• Izklopite pregledovanje datoteke zbirke Windows Update za samodejno posodabljanje (Datastore.edb). Ta datoteka je v tej mapi:

       %windir%\SoftwareDistribution\Datastore

• Izklopite pregledovanje dnevniških datotek, ki so v tej mapi:

       %windir%\SoftwareDistribution\Datastore\Logs
  
  Izključite te datoteke:

  • Edb*.jrs

  • Edb.chk

  • Tmp.edb

• Nadomestni znak (*) pomeni, da je morda več datotek.

Izklop pregledovanja Varnost sistema Windows datotek

• Dodajte te datoteke na pot %windir%\Security\Database seznama izključitev:

  • *.Edb

  • *.Sdb

  • *.Dnevnik

  • *.chk

  • *.jrs

  • *.xml

  • *.csv

  • *.cmtx

  Opomba Če te datoteke niso izključene, lahko protivirusna programska oprema prepreči ustrezen dostop do teh datotek in varnostne zbirke podatkov se lahko poškodujejo. Pregled teh datotek lahko prepreči uporabo datotek ali prepreči uporabo varnostnega pravilnika za datoteke. Teh datotek ne bi bilo treba pregledati, ker jih protivirusna programska oprema morda ne bo pravilno obravnavala kot lastniške datoteke zbirke podatkov.
  
  To so priporočene izključitve. Obstajajo lahko tudi druge vrste datotek, ki niso vključene v ta članek in bi jih bilo treba izključiti.

Izklop pregledovanja pravilnik skupine povezanih datotek

• pravilnik skupine o uporabniškem registru. Te datoteke so v tej mapi:

       Računalnik: %allusersprofile%\
       Uporabniki: %ProgramData%\Microsoft\GroupPolicy\Users\<User Sid>\
  
  Izključite to datoteko:

       NTUser.pol

• pravilnik skupine datoteke z nastavitvami odjemalca. Te datoteke so v tej mapi:

       %SystemRoot%\System32\GroupPolicy\Machine\
       %SystemRoot%\System32\GroupPolicy\User\
  
  Izključite te datoteke:

       Registry.pol
       Registry.tmp

Izklop pregledovanja datotek uporabniškega profila

• Informacije o uporabniškem registru in podporne datoteke. Datoteke so v tej mapi:
  
       %userprofile%\
  
  Izključite te datoteke:
  
       NTUser.dat*

Izvajanje protivirusne programske opreme v krmilnikih domene

Ker krmilniki domene odjemalcem zagotavljajo pomembno storitev, je treba zmanjšati tveganje motenj njihovih dejavnosti zaradi zlonamerne kode, zlonamerne programske opreme ali virusa. Protivirusna programska oprema je splošno sprejet način za zmanjšanje tveganja okužbe. Namestite in konfigurirajte protivirusno programsko opremo, tako da se tveganje za krmilnik domene čim bolj zmanjša, učinkovitost delovanja pa čim manj vpliva na učinkovitost delovanja. Na spodnjem seznamu so priporočila, ki vam bodo pomagala konfigurirati in namestiti protivirusno programsko opremo v Windows Server krmilniku domene.

Opozorilo Priporočamo, da za preskusni sistem uporabite navedeno konfiguracijo in tako zagotovite, da v vašem okolju ta konfiguracija ne bo uvedla nepričakovanih dejavnikov ali ogrozila stabilnosti sistema. Preveliko število pregledovanja lahko pomeni, da so datoteke neprimerno označena kot spremenjene. To povzroči preveč podvajanja v imeniku Active Directory. Če preskušanje preveri, da spodnja priporočila ne vplivajo na podvajanje, lahko uporabite protivirusno programsko opremo v proizvodnem okolju.

Opomba Posebna priporočila ponudnikov protivirusne programske opreme lahko nadomeščajo priporočila v tem članku.

• Protivirusna programska oprema mora biti nameščena v vseh krmilnikih domene v podjetju. V idealnem razdelku poskusite namestiti takšno programsko opremo v vse druge strežniške in odjemalske sisteme, ki so morali komunicirati s krmilniki domene. Optimalno je, da zlonamerno programsko opremo ujamete v najzgodnejši fazi, na primer v požarnem zidu ali v odjemalskem sistemu, v katerem je bila zlonamerna programska oprema uvedena. Zlonamerni programski opremi tako preprečite, da bi kdaj dosegla sisteme infrastrukture, od katere so odvisni odjemalci.

• Uporabite različico protivirusne programske opreme, ki je zasnovana za delo s krmilniki domene imenika Active Directory in ki za dostop do datotek v strežniku uporablja ustrezne API-je (Application Programming Interfaces). Starejše različice programske opreme večine ponudnikov pri pregledovanju datoteke neprimerno spremenijo metapodatke datoteke.

• S krmilnikom domene ne brskajte po internetu ali izvajajte drugih dejavnosti, ki lahko uvedejo zlonamerno kodo.

• Priporočamo, da zmanjšate delovne obremenitve v krmilnikih domene. Če je na primer mogoče, se izogibajte uporabi krmilnikov domene v vlogi datotenega strežnika. S to prakso se zmanjša dejavnost pregledovanja virusov v datote poštnih mapah in zmanjša učinkovitost delovanja.

• Ne postavljajte stisnjenih datotek imenika Active Directory in dnevniških datotek v datotečni sistem NTFS.

Izklop pregledovanja datotek, povezanih z imenikom Active Directory in imenikom Active Directory

• Izključite datoteke zbirke podatkov Main NTDS. Mesto teh datotek je določeno v tem registrskem podključu:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Database File Privzeto mesto je %windir%\Ntds. Izključite te datoteke:

  • Ntds.dit

  • Ntds.pat

• Izključite datoteke transakcijskih dnevnikov imenika Active Directory. Mesto teh datotek je določeno v tem registrskem podključu:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path Privzeto mesto je %windir%\Ntds. Izključite te datoteke:

  • EDB*.log

  • Spreminjanje*.log

  • Edb*.jrs

  • Ntds.pat

• Izključite datoteke v delovni mapi NTDS, ki je določena v tem registrskem podključu:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory Izključite te datoteke:

  • Temp.edb

  • Edb.chk

Izklop pregledovanja datotek SYSVOL

• Izklopite pregledovanje datotek v mapi Sysvol\Sysvol ali mapi SYSVOL_DFSR\Sysvol.
  
  Trenutno mesto mape Sysvol\Sysvol ali SYSVOL_DFSR\Sysvol in vseh podmap je cilj ponovnega ločevanja datoteičnega sistema korena nabora replik. Mapa Sysvol\Sysvol in SYSVOL_DFSR\Sysvol privzeto uporabljata ta mesta:

  %systemroot%\Sysvol\Domain
  %systemroot%\Sysvol_DFSR\Domain

  Na pot do trenutno aktivne funkcije SYSVOL se sklicuje skupna raba NETLOGON in jo je mogoče določiti z imenom vrednosti SysVol v tem podključu:

  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters

• Iz te mape in vse njene podmape izključite te datoteke:

  • *.Adm

  • *.admx

  • *.adml

  • Registry.pol

  • Registry.tmp

  • *.Aas

  • *.Inf

  • Scripts.ini

  • *.Ins

  • Oscfilter.ini

• Izklopite pregledovanje datotek v zbirki podatkov DFSR in službenih mapah. Mesto je določeno v tem registrskem podključu:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path V tem registrskem podključu je »Pot« pot datoteke XML, ki vsebuje ime skupine replikacij. V tem primeru bi pot vsebovala »Domain System Volume« (Nosilec sistema domene).
  
  Privzeto mesto je ta skrita mapa:

       %systemdrive%\Informacije o nosilcu sistema\DFSR
  
  Iz te mape in vse njene podmape izključite te datoteke:

  • $db_normal$

  • FileIDTable_*

  • SimilarityTable_*

  • *.xml

  • $db_dirty$

  • $db_clean$

  • $db_lost$

  • Dfsr.db

  • Fsr.chk

  • *.frx

  • *.Dnevnik

  • Fsr*.jrs

  • Tmp.edb

  Opomba Če katero od teh map ali datotek premaknete ali prestavite na drugo mesto, preglejte ali izključite ustrezni element.

Izklop pregledovanja datotek DFS

Isti viri, ki so izključeni za nabor replik SYSVOL, morajo biti izključeni tudi, če se DFSR uporablja za podvajanje v skupni rabi, ki so preslikane v koren DFS, in cilje povezovanja v računalnikih ali krmilnikih domene družbe Windows Server.

Izklop pregledovanja datotek DHCP

Privzeto so datoteke DHCP, ki jih je treba izključiti, prisotne v tej mapi v strežniku:

     %systemroot%\System32\DHCP

Iz te mape in vse njene podmape izključite te datoteke:

• *.mdb

• *.Pat

• *.Dnevnik

• *.chk

• *.Edb

Mesto datotek DHCP je mogoče spremeniti. Če želite določiti trenutno mesto datotek DHCP v strežniku, preverite parametre DatabasePath, DhcpLogFilePath in BackupDatabasePath , ki so določeni v tem registrskem podključu:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

Izklop pregledovanja datotek DNS

Zapis DNS privzeto uporablja to mapo:

%systemroot%\System32\Dns Izključi te datoteke iz te mape in vseh njenih podmap:

• *.Dnevnik

• *.Dns

• ŠKORENJ

Izklop pregledovanja datotek WINS

Wins privzeto uporablja to mapo:

     %systemroot%\System32\Wins

Iz te mape in vse njene podmape izključite te datoteke:

• *.chk

• *.Dnevnik

• *.mdb

Za računalnike, v katerih se izvajajo različice sistema Windows, ki temeljijo na funkciji Hyper-V

V nekaterih primerih je v računalnikih Windows Server, v katerih je nameščena vloga Hyper-V, morda treba konfigurirati komponento za sprotno pregledovanje v protivirusni programski opremi, da izključite datoteke in celotne mape. Če želite več informacij, glejte ta članek v zbirki znanja:

• 961804Navidezni računalniki manjkajo ali pa pride do 0x800704C8, 0x80070037 ali 0x800703E3, ko poskusite zagnati ali ustvariti navidezni računalnik

Naslednji koraki

Če so učinkovitost delovanja ali stabilnost sistema izboljšana s priporočili, ki so na voljo v tem članku, se za navodila ali posodobljeno različico protivirusne programske opreme obrnite na prodajalca protivirusne programske opreme.

Opomba Vaš neodvisni ponudnik protivirusnih programov lahko dela s skupino za Microsoftovo podporo na komercialno sprejemljiv način.

Zgodovina sprememb

 V spodnji tabeli so povzete najpomembnejše spremembe v tej temi.