Recommandations en matière d’analyse antivirus pour les ordinateurs dʼentreprise exécutant Windows ou Windows Server (KB822158)

Désactiver l'analyse des fichiers Windows Update ou de la mise à jour automatique

• Désactivez l’analyse du fichier de base de données Windows Update ou de la mise à jour automatique (Datastore.edb). Ce fichier se trouve dans le dossier suivant :

       %windir%\SoftwareDistribution\Datastore

• Désactivez l’analyse des fichiers journaux situés dans le dossier suivant :

       %windir%\NDistribution de logiciels\NDatastore\NLogs
  
  Plus précisément, excluez les fichiers suivants :

  • Edb*.jrs

  • Edb.chk

  • Tmp.edb

• Le caractère générique (*) indique la présence possible de plusieurs fichiers.

Désactivation de l’analyse des fichiers de sécurité Windows

• Ajoutez les fichiers suivants dans le chemin d’accès %windir%\Security\Database de la liste des exclusions :

  • *.edb

  • *.sdb

  • *.log

  • *.chk

  • *.jrs

  • *.xml

  • *.csv

  • *.cmtx

  Remarque Si ces fichiers ne sont pas exclus, le logiciel antivirus peut empêcher l’accès correct à ces fichiers et les bases de données de sécurité peuvent être endommagées. L’analyse de ces fichiers peut empêcher leur utilisation ou l’application d’une stratégie de sécurité aux fichiers. Ces fichiers ne doivent pas être analysés, car le logiciel antivirus peut ne pas les traiter correctement comme des fichiers de bases de données propriétaires.
  
  Il s’agit des exclusions recommandées. Il peut y avoir d’autres types de fichiers qui ne sont pas inclus dans cet article qui doivent être exclus.

Désactivation de l’analyse des fichiers associés à la stratégie de groupe

• Informations sur le Registre de l’utilisateur de stratégie de groupe. Ces fichiers se trouvent dans le dossier suivant :

       Ordinateur : %allusersprofile%\
       Utilisateurs : %ProgramData%\Microsoft\GroupPolicy\Users\<User Sid>\
  
  Plus précisément, excluez le fichier suivant :

       NTUser.pol

• Fichiers de paramètres du client de stratégie de groupe. Ces fichiers se trouvent dans le dossier suivant :

       %SystemRoot%\System32\GroupPolicy\Machine\SystemRoot%\System32\GroupPolicy\Machine\N
  %SystemRoot%\System32\GroupPolicy\NUser\N
  
  Plus précisément, excluez les fichiers suivants :

       Registre.pol
  Registre.tmp

Désactivation de l’analyse des fichiers de profil utilisateur

• Informations du Registre utilisateur et fichiers de support. Les fichiers se trouvent dans le dossier suivant :
  
       %userprofile%\
  
  Plus précisément, excluez les fichiers suivants :
  
       NTUser.dat*

Exécution d’un antivirus sur les contrôleurs de domaine

Comme les contrôleurs de domaine fournissent un service important aux clients, le risque d’interruption de leurs activités provenant de code malveillant, d’un programme malveillant ou d’un virus doit être réduit. Le logiciel antivirus est la méthode généralement acceptée pour réduire les risques d’infection. Installez et configurez le logiciel antivirus afin que les risques sur le contrôleur de domaine soient réduits au maximum et que les performances soient affectées au minimum. La liste suivante contient des recommandations vous permettant de configurer et d’installer le logiciel antivirus sur un contrôleur de domaine Windows Server.

Avertissement Nous vous recommandons d’appliquer la configuration spécifiée suivante à un système de test pour vous assurer que, dans votre environnement spécifique, cette configuration n’introduit pas de facteurs inattendus ou ne compromet pas la stabilité du système. Le risque lié à un nombre excessif d’analyses entraîne l’indication incorrecte de modification des fichiers. Ceci entraîne une réplication excessive dans Active Directory. Si les tests confirment que cette réplication n’est pas affectée par les recommandations suivantes, vous pouvez appliquer le logiciel antivirus à l’environnement de production.

Remarque  Les recommandations spécifiques des fournisseurs de logiciels antivirus peuvent remplacer les recommandations de cet article.

• Le logiciel antivirus doit être installé sur tous les contrôleurs de domaine de l’entreprise. En premier lieu, essayez d’installer ce logiciel sur tous les autres systèmes serveur et client qui doivent interagir avec les contrôleurs de domaine. Il est souhaitable d’intercepter le logiciel malveillant au point le plus avancé, tel qu’au niveau du pare-feu ou du système client, là où le logiciel malveillant s’introduit en premier. Cela l’empêche définitivement d’atteindre les systèmes d’infrastructure dont les clients dépendent.

• Utilisez une version de logiciel antivirus conçue pour fonctionner avec les contrôleurs de domaine Active Directory et qui utilise les INTERFACES de programmation d’applications (API) appropriées pour accéder aux fichiers sur le serveur. Les versions plus anciennes de la plupart des logiciels fournisseurs modifient de manière inappropriée les métadonnées d’un fichier lors de l’analyse de ce fichier.

• N’utilisez pas de contrôleur de domaine pour parcourir Internet ou effectuer d’autres activités susceptibles d’introduire du code malveillant.

• Nous vous recommandons de minimiser les charges de travail des contrôleurs de domaine. Par exemple, si possible, évitez d’utiliser des contrôleurs de domaine dans un rôle de serveur de fichiers. Cette pratique réduit l’activité d’analyse antivirus sur les partages de fichiers et réduit la surcharge de performances.

• Ne placez pas les fichiers Active Directory et les fichiers journaux sur les volumes compressés du système de fichiers NTFS.

Désactivation de l’analyse d’Active Directory et des fichiers associés à Active Directory

• Excluez les principaux fichiers de base de données NTDS. L’emplacement de ces fichiers est spécifié dans la sous-clé de Registre suivante :

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ServicesNT\DS\Paramètres\DSA Fichier de base de données
  
  L'emplacement par défaut est %windir%\Ntds. Excluez en particulier les fichiers suivants :

  • Ntds.dit

  • Ntds.pat

• Excluez les fichiers du journal des transactions Active Directory. L’emplacement de ces fichiers est spécifié dans la sous-clé de Registre suivante :

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Paramètres\Chemin des fichiers journaux de la base de données
  
  L'emplacement par défaut est %windir%\Ntds. Excluez en particulier les fichiers suivants :

  • EDB*.log

  • Res*.log

  • Edb*.jrs

  • Ntds.pat

• Excluez les fichiers du dossier de travail NTDS spécifié dans la sous-clé de Registre suivante :

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Paramètres\DSA Répertoire de travail
  
  Exclure spécifiquement les fichiers suivants :

  • Temp.edb

  • Edb.chk

Désactivation de l’analyse des fichiers SYSVOL

• Désactivez l’analyse des fichiers situés dans le dossier Sysvol\Sysvol ou SYSVOL_DFSR\Sysvol.
  
  L’emplacement actuel du dossier Sysvol\Sysvol ou SYSVOL_DFSR\Sysvol et de tous ses sous-dossiers est la cible d’analyse du système de fichiers de la racine du jeu de réplicas. Par défaut, les dossiers Sysvol\Sysvol et SYSVOL_DFSR\Sysvol utilisent les emplacements suivants :

  %systemroot%\Sysvol\Domain
  %systemroot%\Sysvol_DFSR\Domain

  Le chemin d'accès au SYSVOL actuellement actif est référencé par le partage NETLOGON et peut être déterminé par le nom de la valeur SysVol dans la sous-clé suivante :

  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters

• Excluez les fichiers suivants de ce dossier et de ses sous-dossiers :

  • *.adm

  • *.admx

  • *.adml

  • Registry.pol

  • Registry.tmp

  • *.aas

  • *.inf

  • Scripts.ini

  • *.ins

  • Oscfilter.ini

• Désactivez l’analyse des fichiers dans la base de données DFSR et les dossiers de travail. L’emplacement est spécifié dans la sous-clé de Registre suivante :

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path Dans cette sous-clé de Registre, « Chemin d’accès » est le chemin d’un fichier XML qui contient le nom du groupe de réplication. Dans cet exemple, le chemin d’accès contient « Domain System Volume ».
  
  L’emplacement par défaut est le dossier masqué suivant :

       %systemdrive%\NInformations sur le volume du système\NDFSR
  
  Exclure les fichiers suivants de ce dossier et de tous ses sous-dossiers :

  • $db_normal$

  • FileIDTable_*

  • SimilarityTable_*

  • *.xml

  • $db_dirty$

  • $db_clean$

  • $db_lost$

  • Dfsr.db

  • Fsr.chk

  • *.frx

  • *.log

  • Fsr*.jrs

  • Tmp.edb

  Remarque Si l'un de ces dossiers ou fichiers est déplacé ou placé à un autre endroit, il convient d'analyser ou d'exclure l'élément équivalent.

Désactivation de l’analyse des fichiers DFS

Les ressources exclues d’un jeu d’réplica SYSVOL doivent également être exclues si DFSR est utilisé pour répliquer des partages mappés à la racine DFS et aux cibles de liaison sur Windows Server ordinateurs membres ou contrôleurs de domaine.

Désactivation de l’analyse des fichiers DHCP

Par défaut, les fichiers DHCP qui doivent être exclus sont présents dans le dossier suivant sur le serveur :

     %systemroot%\System32\DHCP

Excluez les fichiers suivants de ce dossier et de ses sous-dossiers :

• *.mdb

• *.pat

• *.log

• *.chk

• *.edb

L’emplacement des fichiers DHCP peut être modifié. Pour déterminer l’emplacement actuel des fichiers DHCP sur le serveur, vérifiez les paramètres DatabasePath, DhcpLogFilePath et BackupDatabasePath spécifiés dans la sous-clé de Registre suivante :

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

Désactivation de l’analyse des fichiers DNS

Par défaut, DNS utilise le dossier suivant :

%systemroot%\System32\Dns Excluez les fichiers suivants de ce dossier et de tous ses sous-dossiers :

• *.log

• *.dns

• BOOT

Désactivation de l’analyse des fichiers WINS

Par défaut, WINS utilise le dossier suivant :

     %systemroot%\System32\Wins

Excluez les fichiers suivants de ce dossier et de ses sous-dossiers :

• *.chk

• *.log

• *.mdb

Pour les ordinateurs exécutant des versions Hyper-V de Windows

Dans certains scénarios, sur Windows Server ordinateurs sur lesquels le rôle Hyper-V est installé, il peut être nécessaire de configurer le composant d’analyse en temps réel dans le logiciel antivirus pour exclure des fichiers et des dossiers entiers. Pour plus d’informations, consultez l’article suivant de la Base de connaissances :

• 961804Des machines virtuelles sont manquantes ou une erreur 0x800704C8, 0x80070037 ou 0x800703E3 survient lorsque vous essayez de démarrer ou de créer une machine virtuelle

Prochaines étapes

Si les performances ou la stabilité de votre système sont améliorées par les recommandations formulées dans cet article, contactez votre fournisseur de logiciels antivirus pour obtenir des instructions ou pour obtenir une version mise à jour de ou des paramètres du logiciel antivirus.

Remarque Votre fournisseur d’antivirus tiers peut travailler avec l’équipe Support Microsoft sur un effort commercialement raisonnable.

Historique des modifications

 Le tableau suivant récapitule les modifications les plus importantes apportées à cette rubrique.