Empfehlungen zum Virenscan für Unternehmenscomputer, auf denen Windows oder Windows Server ausgeführt wird (KB822158)

Deaktivieren des Scannens von Dateien, die zu Windows Update oder automatischen Updates gehören

• Deaktivieren Sie das Scannen der Datenbankdatei von Windows Update oder automatischen Updates („Datastore.edb“). Diese Datei befindet sich im folgenden Ordner:

       %windir%\SoftwareDistribution\Datastore

• Deaktivieren Sie das Scannen der Protokolldateien im folgenden Ordner:

       %windir%\SoftwareDistribution\Datastore\Logs
  
  Schließen sie insbesondere die folgende Datei aus:

  • Edb*.jrs

  • Edb.chk

  • Tmp.edb

• Das Platzhalterzeichen (*) gibt an, dass mehrere Dateien vorhanden sein können .

Deaktivieren Sie das Scannen von Windows-Sicherheitsdateien

• Fügen Sie die folgenden Dateien zum Pfad „%windir%\Security\Database“ der Ausschlussliste hinzu:

  • *.edb

  • *.sdb

  • *.log

  • *.chk

  • *.jrs

  • *.xml

  • *.csv

  • *.cmtx

  Hinweis Wenn diese Dateien nicht ausgeschlossen werden, verhindert Antivirensoftware möglicherweise den entsprechenden Zugriff auf diese Dateien, und Sicherheitsdatenbanken können beschädigt werden. Durch das Scannen dieser Dateien kann verhindert werden, dass die Dateien verwendet werden, oder es kann verhindert werden, dass eine Sicherheitsrichtlinie auf die Dateien angewendet wird. Diese Dateien sollten nicht überprüft werden, da Antivirensoftware sie möglicherweise nicht ordnungsgemäß als proprietäre Datenbankdateien behandelt.
  
  Dies sind die empfohlenen Ausschlüsse.  Möglicherweise gibt es andere Dateitypen, die nicht in diesem Artikel enthalten sind und ausgeschlossen werden sollten.

Deaktivieren des Scannens von Dateien, die zu Gruppenrichtlinien gehören

• Gruppenrichtlinien-Registrierungsinformationen für Benutzer. Diese Dateien sind in folgendem Ordner gespeichert:

       %allusersprofile%\
  
  Schließen sie insbesondere die folgende Datei aus:

       NTUser.pol

• Gruppenrichtlinien-Clienteinstellungsdateien Diese Dateien sind in folgendem Ordner gespeichert:

       %SystemRoot%\System32\GroupPolicy\Machine\
       %SystemRoot%\System32\GroupPolicy\User\
  
  Schlließen Sie insbesondere die folgende Datei aus:

       Registry.pol
  Registry.tmp

Scannen von Benutzerprofildateien deaktivieren

• Benutzerregistrierungsinformationen und Hilfsdateien. Die Dateien befinden sich im folgenden Ordner:
  
       userprofile%\
  
  Schließen Sie insbesondere die folgenden Dateien aus:
  
       NTUser.dat*

Ausführen von Antivirensoftware auf Domänencontrollern

Da die Domänencontroller den Clients wichtige Dienste bereitstellen, muss das Risiko einer Unterbrechung dieser Aktivitäten aufgrund von bösartigem Code, Schadsoftware oder Viren auf ein Minimum begrenzt werden. Antivirensoftware ist die allgemein übliche Möglichkeit, das Risiko einer Infektion zu reduzieren. Installieren und konfigurieren Sie Antivirenprogramme so, dass das Risiko für den Domänencontroller so weit wie möglich reduziert wird und die Auswirkungen auf die Leistung möglichst minimal sind. Die folgende Liste enthält Empfehlungen, die bei der Konfiguration und Installation von Antivirensoftware auf einem Domänencontroller mit Windows Server hilfreich sind.

Warnung Es wird empfohlen, die nachstehend beschriebene Konfiguration zunächst auf ein Testsystem anzuwenden, um sicherzustellen, dass sie keine unerwarteten Faktoren in Ihre spezifische Umgebung einführt oder die Systemstabilität beeinträchtigt. Das Risiko, das durch eine zu große Anzahl von Scanvorgängen besteht, liegt darin, dass Dateien fälschlicherweise als geändert gekennzeichnet werden, wodurch es zu einem zu hohen Replikationsverkehr in Active Directory kommt. Wenn der Test ergibt, dass die Replikation durch die folgenden Empfehlungen nicht beeinträchtigt wird, können Sie die Antivirensoftware in der Produktionsumgebung einsetzen.

Hinweis Spezifische Empfehlungen von Anbietern von Antivirensoftware können die Empfehlungen in diesem Artikel ersetzen.

• Antivirensoftware muss auf allen Domänencontrollern in der Organisation installiert werden. Idealerweise sollten Sie versuchen, derartige Software auch auf allen anderen Server- und Clientsystemen zu installieren, die mit den Domänencontrollern kommunizieren müssen. Im Idealfallfall wird die Schadsoftware am frühestmöglichen Punkt abgefangen, zum Beispiel an der Firewall oder auf dem Clientsystem, das als erstes infiziert wird. Dadurch wird verhindert, dass die Schadsoftware jemals die Infrastruktursysteme erreicht, von denen die Clients abhängig sind.

• Verwenden Sie eine Version eines Antivirenprogramms, die darauf ausgelegt ist, in Verbindung mit Active Directory-Domänencontrollern ausgeführt zu werden und die für den Zugriff auf Dateien auf dem Server die richtigen APIs verwendet. Ältere Versionen der Software der meisten Anbieter ändern die Metadaten einer Datei unsachgemäß, während die Datei gescannt wird. Dies bewirkt, dass das Dateireplikationsdienst-Modul eine Dateiänderung erkennt und daher die Datei für die Replikation einplant. Bei neueren Versionen tritt dieses Problem nicht auf.
  Weitere Informationen finden Sie im folgenden Artikel der Microsoft Knowledge Base:

  815263 Antiviren-, Sicherungs- und Datenträgeroptimierungsprogramme, die mit dem Dateireplikationsdienst kompatibel sind

• Verwenden Sie keinen Domänencontroller, um das Internet zu durchsuchen oder andere Aktivitäten auszuführen, die bösartigen Code einführen könnten.

• Es empfiehlt sich, die Verarbeitungslasten auf Domänencontrollern zu minimieren. Vermeiden Sie, wenn möglich, die Verwendung von Domänencontrollern in einer Dateiserverrolle. Das verringert die Virusscanaktivitäten auf Dateifreigaben und minimiert die Beeinträchtigung der Systemleistung.

• Speichern Sie keine Active Directory-Dateien oder FRS-Datenbank- und -Protokolldateien auf mit dem NTFS-Dateisystem komprimierten Volumes.

Deaktivieren des Scannens von Active Directory-Dateien und Dateien mit Bezug zu Active Directory

• Schließen Sie die Dateien aus der NTDS-Hauptdatenbank aus. Der Speicherort dieser Dateien ist in folgendem Registrierungsunterschlüssel festgelegt:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Database File
  
  Der Standardspeicherort ist %windir%\Ntds. Schließen Sie insbesondere die folgenden Dateien aus:

  • Ntds.dit

  • Ntds.pat

• Schließen Sie Active Directory-Transaktionsprotokolldateien aus. Der Speicherort dieser Dateien ist in folgendem Registrierungsunterschlüssel festgelegt:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path
  
   Der Standardspeicherort ist %windir%\Ntds. Schließen Sie insbesondere die folgenden Dateien aus:

  • EDB*.log

  • Res*.log

  • Edb*.jrs

  • Ntds.pat

• Schließen Sie die Dateien im NTDS-Arbeitsordner aus, der in folgendem Registrierungsunterschlüssel angegeben ist:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory
  
  Schließen Sie insbesondere folgende Dateien aus:

  • Temp.edb

  • Edb.chk

Deaktivieren des Scannens von SYSVOL-Dateien

• Deaktivieren Sie das Scannen von Dateien im Arbeitsordner des Dateireplikationsdiensts (File Replication Service, FRS), der in folgendem Registrierungsunterschlüssel angegeben ist:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Working Directory
  
  Der Standardspeicherort ist %windir%\Ntfrs. Schließen Sie die folgenden im Ordner enthaltenen Dateien aus:

  • „edb.chk“ im Ordner %windir%\Ntfrs\jet\sys

  • „ntfrs.jdb“ im Ordner %windir%\Ntfrs\jet

  • „*.log“ im Ordner %windir%\Ntfrs\jet\log

• Deaktivieren Sie das Scannen von Dateien in den FRS-Datenbankprotokolldateien, die in folgendem Registrierungsunterschlüssel angegeben sind:

  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\Ntfrs\Parameters\DB Log File Directory
  
  Der Standardspeicherort ist %windir%\Ntfrs. Schließen Sie die folgenden Dateien aus:

  • „Edb*.log“ (wenn der Registrierungsschlüssel nicht festgelegt ist)

  • „FRS Working Dir\Jet\Log\Edb*.jrs“

• Hinweis Die Einstellungen für spezielle Dateiausschlüsse werden hier der Vollständigkeit halber aufgeführt. Standardmäßig lassen diese Ordner lediglich den Zugriff durch SYSTEM und Administratoren zu. Stellen Sie sicher, dass die richtigen Schutzmaßnahmen ergriffen wurden. Diese Ordner enthalten nur Komponentenarbeitsdateien für FRS und DFSR.

• Deaktivieren Sie das Scannen des NTFRS-Stagingordners, wie im folgenden Registrierungsunterschlüssel angegeben:

  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\NtFrs\Parameters\Replica Sets\GUID\Replica Set Stage
  
  Standardmäßig verwendet das Staging den folgenden Speicherort:

  %systemroot%\Sysvol\Staging areas

• Deaktivieren Sie das Scannen des DFSR-Stagingordners, wie im msDFSR-StagingPath-Attribut des Objekts CN=SYSVOL Subscription,CN=Domain System Volume,CN=DFSR-LocalSettings,CN=DomainControllerName,OU=Domain Controllers,DC=DomainName in AD DS angegeben. Dieses Attribut enthält den Pfad zum tatsächlichen Speicherort, den die DFS-Replikation für das Staging von Dateien verwendet. Schließen Sie insbesondere die folgenden Dateien aus:

  • Ntfrs_cmp*.*

  • *.frx

• Deaktivieren Sie das Scannen der Dateien im Ordner „SYSVOL_DFSR\Sysvol“.
  
  Der aktuelle Speicherort des Ordners „Sysvol\Sysvol“ oder „SYSVOL_DFSR\Sysvol“ und aller seiner Unterordner ist das Dateisystem-Analyseziel des Replikatgruppen-Stammordners. Dies sind die Standardspeicherorte der Ordner „Sysvol\Sysvol“ und „SYSVOL_DFSR\Sysvol“:

  %systemroot%\Sysvol\Domain
  %systemroot%\Sysvol_DFSR\Domain

  Der Pfad zum aktuell aktiven SYSVOL wird durch die NETLOGON-Freigabe angegeben und kann anhand des Namens des SysVol-Werts im folgenden Registrierungsunterschlüssel bestimmt werden:

  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters

• Schließen Sie die folgenden Dateien aus diesem Ordner und all seinen Unterordnern aus:

  • *.adm

  • *.admx

  • *.adml

  • Registry.pol

  • Registry.tmp

  • *.aas

  • *.inf

  • Scripts.ini

  • *.ins

  • Oscfilter.ini

• Deaktivieren Sie das Scannen von Dateien im FRS-Vorinstallationsordner am folgenden Speicherort:

  Replica_root\DO_NOT_REMOVE_NtFrs_PreInstall_Directory
  
  Der Vorinstallationsort ist immer geöffnet, wenn FRS ausgeführt wird.
  
  Schließen Sie die folgenden Dateien aus diesem Ordner und all seinen Unterordnern aus:

  • Ntfrs*.*

• Deaktivieren Sie das Scannen der Dateien in den DFSR-Datenbank- und -Arbeitsordnern. Der Speicherort wird durch den folgenden Registrierungsunterschlüssel festgelegt:

  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path
  
  In diesem Registrierungsunterschlüssel ist „Path“ der Pfad einer XML-Datei, die den Namen der Replikationsgruppe angibt. In diesem Beispiel würde der Pfad „Domain System Volume“ enthalten.
  
  Der Standardspeicherort ist der folgende ausgeblendete Ordner:

       %systemdrive%\System Volume Information\DFSR
  
  Schließen Sie die folgenden Dateien und alle Unterordner aus diesem Ordner aus:

  • $db_normal$

  • FileIDTable_*

  • SimilarityTable_*

  • *.xml

  • $db_dirty$

  • $db_clean$

  • $db_lost$

  • Dfsr.db

  • Fsr.chk

  • *.frx

  • *.log

  • Fsr*.jrs

  • Tmp.edb

• Hinweis Falls einzelne dieser Ordner oder Dateien an einen anderen Speicherort verschoben wurden, scannen Sie die entsprechenden Elemente bzw. schließen Sie diese aus.

Deaktivieren des Scannens von DFS-Dateien

Die gleichen Ressourcen, die für eine SYSVOL-Replikatgruppe ausgeschlossen werden, müssen auch dann ausgeschlossen werden, wenn FRS oder DFSR zum Replizieren von Freigaben verwendet wird, die dem DFS-Stammordner und den Verknüpfungszielen auf Mitgliedscomputern oder Domänencontrollern mit Windows Server 2008 R2 oder Windows Server 2008 zugeordnet sind.

Deaktivieren des Scannens von DHCP-Dateien

Standardmäßig befinden sich DHCP-Dateien, die Sie ausschließen sollten, im folgenden Ordner auf dem Server:

%systemroot%\System32\DHCP Schließen Sie die folgenden Dateien aus diesem Ordner und all seinen Unterordnern aus:

• *.mdb

• *.pat

• *.log

• *.chk

• *.edb

Der Speicherort von DHCP-Dateien kann geändert werden. Zum Bestimmen des aktuellen Speicherorts der DHCP-Dateien auf dem Server überprüfen Sie die Parameter DatabasePath, DhcpLogFilePath und BackupDatabasePath im folgenden Registrierungsunterschlüssel:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

Deaktivieren des Scannens von DNS-Dateien

DNS verwendet standardmäßig den folgenden Ordner:

%systemroot%\System32\Dns Schließen Sie die folgenden Dateien aus diesem Ordner und all seinen Unterordnern aus:

• *.log

• *.dns

• BOOT

Deaktivieren des Scannens von WINS-Dateien

WINS verwendet standardmäßig den folgenden Ordner:

     %systemroot%\System32\Wins
  Schließen Sie die folgenden Dateien aus diesem Ordner und all seinen Unterordnern aus:

• *.chk

• *.log

• *.mdb

Computer, auf denen Hyper-V-basierte Versionen von Windows ausgeführt werden

In einigen Szenarien kann es auf einem Windows Server 2008-basierten Computer, auf dem die Hyper-V-Rolle installiert ist, oder auf einem Microsoft Hyper-V Server 2008 oder auf einem Microsoft Hyper-V Server 2008 R2-basierten Computer erforderlich sein, die Echtzeitüberprüfungskomponente in der Antivirensoftware so zu konfigurieren, dass Dateien und ganze Ordner ausgeschlossen werden. Weitere Informationen finden Sie im folgenden Artikel der Microsoft Knowledge Base:

• 961804 Virtuelle Maschinen fehlen oder es wird der Fehlercode 0x800704C8, 0x80070037 oder 0x800703E3 angezeigt, wenn Sie eine virtuelle Maschine starten oder erstellen

Nächste Schritte

Wenn die Systemleistung oder -stabilität sich durch die in diesem Artikel beschriebenen Empfehlungen verbessert, wenden Sie sich an den Hersteller Ihrer Antivirensoftware, um Anweisungen oder eine aktualisierte Version der Antivirensoftware zu erhalten.

Hinweis Ihr Drittanbieter für Antivirensoftware kann mit dem Microsoft-Support-Team bei wirtschaftlich angemessenen Bemühungen zusammenarbeiten.

Änderungsverlauf

 In der folgenden Tabelle sind einige der wichtigsten Änderungen an diesem Thema zusammengefasst.