Anbefalinger til virusscanning for Enterprise-computere, der kører Windows eller Windows Server (KB822158)

Slå scanning af Filer i Windows Update eller Automatisk opdatering fra

• Slå scanning af databasefilen Windows Update eller Automatisk opdatering (Datastore.edb) fra. Denne fil er placeret i følgende mappe:

       %windir%\SoftwareDistribution\Datastore

• Slå scanning af logfiler, der er placeret i følgende mappe, fra:

       %windir%\SoftwareDistribution\Datastore\Logs
  
  Du kan især udelade følgende filer:

  • Edb*.jrs

  • Edb.chk

  • Tmp.edb

• Jokertegnet (*) angiver, at der kan være flere filer.

Slå scanning af Windows Sikkerhed filer fra

• Tilføj følgende filer i stien %windir%\Security\Database på udeladelseslisten:

  • *.edb

  • *.Sdb

  • *.Log

  • *.Chk

  • *.jrs

  • *.xml

  • *.csv

  • *.cmtx

  Bemærk! Hvis disse filer ikke udelades, kan antivirussoftware forhindre passende adgang til disse filer, og sikkerhedsdatabaser kan blive beskadiget. Scanning af disse filer kan forhindre, at filerne bruges, eller det kan forhindre en sikkerhedspolitik i at blive anvendt på filerne. Disse filer bør ikke scannes, fordi antivirussoftware muligvis ikke behandler dem korrekt som beskyttede databasefiler.
  
  Dette er de anbefalede udeladelser. Der kan være andre filtyper, der ikke er inkluderet i denne artikel, som skal udelades.

Slå scanning af Gruppepolitik-relaterede filer fra

• Gruppepolitik brugeroplysninger i registreringsdatabasen. Disse filer er placeret i følgende mappe:

       %allusersprofile%\
  
  Du skal specifikt udelade følgende fil:

       NTUser.pol

• Gruppepolitik filer med klientindstillinger. Disse filer er placeret i følgende mappe:

       %SystemRoot%\System32\GroupPolicy\Machine\
       %SystemRoot%\System32\GroupPolicy\User\
  
  Du kan især udelade følgende filer:

       Registry.pol
       Registry.tmp

Slå scanning af brugerprofilfiler fra

• Oplysninger i brugerregistreringsdatabasen og supplerende filer. Filerne er placeret i følgende mappe:
  
       brugerprofil%\
  
  Du kan især udelade følgende filer:
  
       NTUser.dat*

Køre antivirussoftware på domænecontrollere

Da domænecontrollere leverer en vigtig tjeneste til klienter, skal risikoen for afbrydelse af deres aktiviteter fra skadelig kode, malware eller virus minimeres. Antivirussoftware er den generelt accepterede måde at reducere risikoen for infektion på. Installér og konfigurer antivirussoftware, så risikoen for domænecontrolleren reduceres så meget som muligt, og ydeevnen påvirkes så lidt som muligt. Følgende liste indeholder anbefalinger, der kan hjælpe dig med at konfigurere og installere antivirussoftware på en Windows Server-domænecontroller.

Advarsel Vi anbefaler, at du anvender følgende angivne konfiguration på et testsystem for at sikre, at det i dit specifikke miljø ikke introducerer uventede faktorer eller kompromitterer systemets stabilitet. Risikoen for for meget scanning er, at filer er upassende markeret som ændret. Dette medfører for meget replikering i Active Directory. Hvis test kontrollerer, at replikering ikke påvirkes af følgende anbefalinger, kan du anvende antivirussoftwaren på produktionsmiljøet.

Bemærk Specifikke anbefalinger fra leverandører af antivirussoftware kan tilsidesætte anbefalingerne i denne artikel.

• Antivirussoftware skal være installeret på alle domænecontrollere i virksomheden. Ideelt set skal du prøve at installere denne software på alle andre server- og klientsystemer, der skal interagere med domænecontrollerne. Det er optimalt at fange malwaren tidligst muligt, f.eks. ved firewallen eller i klientsystemet, hvor malwaren introduceres. Dette forhindrer, at malwaren nogensinde når de infrastruktursystemer, som klienterne er afhængige af.

• Brug en version af antivirussoftware, der er udviklet til at fungere sammen med Active Directory-domænecontrollere, og som bruger de korrekte API'er (Application Programming Interfaces) til at få adgang til filer på serveren. Ældre versioner af de fleste leverandørsoftware ændrer uhensigtsmæssigt en fils metadata, når filen scannes. Dette medfører, at filreplikeringstjenesten genkender en filændring og derfor planlægger filen til replikering. Nyere versioner forhindrer dette problem.
  Du kan få mere at vide i følgende artikel i Microsoft Knowledge Base:

  815263Antivirus-, sikkerhedskopierings- og diskoptimeringsprogrammer, der er kompatible med filreplikeringstjenesten

• Brug ikke en domænecontroller til at søge på internettet eller udføre andre aktiviteter, der kan introducere skadelig kode.

• Vi anbefaler, at du minimerer arbejdsbelastningerne på domænecontrollere. Når det er muligt, skal du undgå at bruge domænecontrollere i en filserverrolle. Dette reducerer virusscanningsaktiviteten på filshares og minimerer ydeevnen.

• Placer ikke Active Directory- eller FRS-database og logfiler på komprimerede NTFS-filsystemenheder.

Slå scanning af Active Directory- og Active Directory-relaterede filer fra

• Udelad hoved-NTDS-databasefilerne. Placeringen af disse filer er angivet i følgende undernøgle i registreringsdatabasen:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Database File Standardplaceringen er %windir%\Ntds. Du kan især udelade følgende filer:

  • Ntds.dit

  • Ntds.pat

• Udelad Active Directory-transaktionslogfilerne. Placeringen af disse filer er angivet i følgende undernøgle i registreringsdatabasen:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path Standardplaceringen er %windir%\Ntds. Du kan især udelade følgende filer:

  • EDB*.log

  • Res*.log

  • Edb*.jrs

  • Ntds.pat

• Udelad filerne i ntds-arbejdsmappen, der er angivet i følgende undernøgle i registreringsdatabasen:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory Du kan især udelade følgende filer:

  • Temp.edb

  • Edb.chk

Slå scanning af SYSVOL-filer fra

• Deaktiver scanning af filer i den FRS-arbejdsmappe (File Replication Service), der er angivet i følgende undernøgle i registreringsdatabasen:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Working Directory Standardplaceringen er %windir%\Ntfrs. Udelad følgende filer, der findes i mappen:

  • edb.chk i mappen %windir%\Ntfrs\jet\sys

  • Ntfrs.jdb i mappen %windir%\Ntfrs\jet

  • *.log i mappen %windir%\Ntfrs\jet\log

• Deaktiver scanning af filer i de FRS-databaselogfiler, der er angivet i følgende undernøgle i registreringsdatabasen:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\Ntfrs\Parameters\DB Log File Directory Standardplaceringen er %windir%\Ntfrs. Udelad følgende filer:

  • Edb*.log (hvis registreringsdatabasenøglen ikke er angivet)

  • FRS Working Dir\Jet\Log\Edb*.jrs

• BemærkIndstillinger for specifikke filudeladelser er beskrevet her for at være fuldstændige. Som standard tillader disse mapper kun adgang til system og administratorer. Kontrollér, at den korrekte beskyttelse er gældende. Disse mapper indeholder kun komponentarbejdsfiler til FRS og DFSR.

• Deaktiver scanning af mappen NTFRS Staging, som angivet i følgende undernøgle i registreringsdatabasen:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\NtFrs\Parameters\Replica Sets\GUID\Replica Set Stage Som standard anvender den midlertidige placering følgende placering:

  %systemroot%\Sysvol\Staging-områder

• Slå scanning af mappen DFSR Staging fra som angivet i attributten msDFSR-StagingPath for objektet CN=SYSVOL Subscription,CN=Domain System Volume,CN=DFSR-LocalSettings,CN=DomainControllerName,OU=Domain Controllers,DC=DomainName i AD DS. Denne attribut indeholder stien til den faktiske placering, som DFS-replikering bruger til fasefiler. Du kan især udelade følgende filer:

  • Ntfrs_cmp*.*

  • *.frx

• Deaktiver scanning af filer i mappen Sysvol\Sysvol eller mappen SYSVOL_DFSR\Sysvol.
  
  Den aktuelle placering af mappen Sysvol\Sysvol eller SYSVOL_DFSR\Sysvol og alle undermapperne er filsystemets genfortolkningsmål for replikasætroden. Mapperne Sysvol\Sysvol og SYSVOL_DFSR\Sysvol bruger som standard følgende placeringer:

  %systemroot%\Sysvol\Domain
  %systemroot%\Sysvol_DFSR\Domain

  Stien til den aktuelt aktive SYSVOL refereres til af NETLOGON-sharet og kan bestemmes af navnet på sysVol-værdien i følgende undernøgle:

  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters

• Udelad følgende filer fra denne mappe og alle dens undermapper:

  • *.Adm

  • *.Admx

  • *.Adml

  • Registry.pol

  • Registry.tmp

  • *.Aas

  • *.Inf

  • Scripts.ini

  • *.Ins

  • Oscfilter.ini

• Slå scanning af filer fra i mappen FRS Preinstall, der er på følgende placering:

  Replica_root\DO_NOT_REMOVE_NtFrs_PreInstall_Directory
  
  Mappen Forudinstaller er altid åben, når FRS kører.
  
  Udelad følgende filer fra denne mappe og alle dens undermapper:

  • Ntfrs*.*

• Slå scanning af filer i DFSR-databasen og arbejdsmapper fra. Placeringen angives af følgende undernøgle i registreringsdatabasen:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path I denne undernøgle i registreringsdatabasen er "Sti" stien til en XML-fil, der angiver navnet på replikeringsgruppen. I dette eksempel indeholder stien "Domain System Volume".
  
  Standardplaceringen er følgende skjulte mappe:

       %systemdrive%\System Volume Information\DFSR
  
  Udelad følgende filer fra denne mappe og alle dens undermapper:

  • $db_normal$

  • FileIDTable_*

  • SimilarityTable_*

  • *.xml

  • $db_dirty$

  • $db_clean$

  • $db_lost$

  • Dfsr.db

  • Fsr.chk

  • *.frx

  • *.Log

  • Fsr*.jrs

  • Tmp.edb

• Bemærk! Hvis en af disse mapper eller filer flyttes eller placeres på en anden placering, skal du scanne eller udelade det tilsvarende element.

Slå scanning af DFS-filer fra

De samme ressourcer, der er udelukket for et SYSVOL-replikasæt, skal også udelades, når FRS eller DFSR bruges til at replikere shares, der er knyttet til DFS-rod- og linkdestinationerne på Windows Server 2008 R2-baserede eller Windows Server 2008-baserede medlemscomputere eller domænecontrollere.

Slå scanning af DHCP-filer fra

DHCP-filer, der skal udelades, findes som standard i følgende mappe på serveren:

%systemroot%\System32\DHCP Udelad følgende filer fra denne mappe og alle dens undermapper:

• *.Mdb

• *.Pat

• *.Log

• *.Chk

• *.edb

Placeringen af DHCP-filer kan ændres. Hvis du vil bestemme den aktuelle placering af DHCP-filerne på serveren, skal du kontrollere parametrene DatabasePath, DhcpLogFilePath og BackupDatabasePath , som er angivet i følgende undernøgle i registreringsdatabasen:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

Slå scanning af DNS-filer fra

Som standard bruger DNS følgende mappe:

%systemroot%\System32\Dns Udelad følgende filer fra denne mappe og alle dens undermapper:

• *.Log

• *.Dns

• BOOT

Slå scanning af WINS-filer fra

SOM standard bruger WINS følgende mappe:

     %systemroot%\System32\Wins
Udelad følgende filer fra denne mappe og alle dens undermapper:

• *.Chk

• *.Log

• *.Mdb

For computere, der kører Hyper-V-baserede versioner af Windows

I nogle scenarier kan det på en Windows Server 2008-baseret computer, der har Hyper-V-rollen installeret eller på en Microsoft Hyper-V Server 2008 eller på en Microsoft Hyper-V Server 2008 R2-baseret computer, være nødvendigt at konfigurere scanningskomponenten i realtid i antivirussoftwaren til at udelade filer og hele mapper. Du kan få mere at vide i følgende artikel i Microsoft Knowledge Base:

• 961804Virtuelle maskiner mangler, eller der opstår fejl 0x800704C8, 0x80070037 eller 0x800703E3 opstår, når du forsøger at starte eller oprette en virtuel maskine

Næste trin

Hvis systemets ydeevne eller stabilitet forbedres af anbefalingerne i denne artikel, skal du kontakte din leverandør af antivirussoftware for at få vejledning eller for at få en opdateret version eller indstillinger af antivirussoftwaren.

Bemærk! Din leverandør af antivirus fra tredjepart kan samarbejde med Microsoft Support-teamet om en kommercielt rimelig indsats.

Ændringsoversigt

 Følgende tabel opsummerer nogle af de vigtigste ændringer i dette emne.