Preporuke za traženje virusa za enterprise računala sa sustavom Windows ili Windows Server (KB822158)

Isključivanje skeniranja datoteka servisa Windows Update ili automatskog ažuriranja

• Isključite skeniranje datoteke baze podataka servisa Windows Update ili automatskog ažuriranja (Datastore.edb). Datoteka se nalazi u sljedećoj mapi:

       %windir%\SoftwareDistribution\Datastore

• Isključite pregled datoteka zapisnika koje se nalaze u sljedećoj mapi:

       %windir%\SoftwareDistribution\Datastore\Logs
  
  Konkretno, izuzimanje sljedećih datoteka:

  • Edb*.jrs

  • Edb.chk

  • Tmp.edb

• Zamjenski znak (*) označava da možda postoji nekoliko datoteka.

Isključivanje skeniranja Sigurnost u sustavu Windows datoteka

• Dodajte sljedeće datoteke na put %windir%\Security\Database popisa izuzetaka:

  • *.edb

  • *.Sdb

  • *.Prijavite

  • *.Chk

  • *.jrs

  • *.xml

  • *.csv

  • *.cmtx

  Napomena Ako te datoteke nisu isključene, antivirusni softver može spriječiti odgovarajući pristup tim datotekama, a sigurnosne baze podataka mogu se oštetiti. Pregledavanje tih datoteka može spriječiti korištenje datoteka ili može spriječiti primjenu sigurnosnog pravilnika na datoteke. Te datoteke ne treba skenirati jer ih antivirusni softver možda neće ispravno tretirati kao vlasničke datoteke baze podataka.
  
  To su preporučena isključenja. Možda postoje druge vrste datoteka koje nisu obuhvaćene ovim člankom koje treba izuzeti.

Isključivanje skeniranja datoteka pravilnik grupe datoteka povezanih s

• pravilnik grupe informacija o korisničkom registru. Te se datoteke nalaze u sljedećoj mapi:

       %allusersprofile%\
  
  Konkretno, izostavite sljedeću datoteku:

       NTUser.pol

• pravilnik grupe datoteka klijentskih postavki. Te se datoteke nalaze u sljedećoj mapi:

       %SystemRoot%\System32\GroupPolicy\Machine\
       %SystemRoot%\System32\GroupPolicy\User\
  
  Konkretno, izuzimanje sljedećih datoteka:

       Vrijednost registra.pol
       Registar.tmp

Isključivanje skeniranja datoteka korisničkog profila

• Informacije o korisničkom registru i datoteke podrške. Datoteke se nalaze u sljedećoj mapi:
  
       userprofile%\
  
  Konkretno, izuzimanje sljedećih datoteka:
  
       NTUser.dat*

Pokretanje antivirusnog softvera na domenskih kontrolera

Budući da kontrolori domene klijentima pružaju važan servis, rizik od ometanja njihovih aktivnosti od zlonamjernog koda, zlonamjernog softvera ili virusa mora se minimizirati. Antivirusni softver općenito je prihvaćen način smanjenja rizika od infekcije. Instalirajte i konfigurirajte antivirusni softver tako da se rizik za domenski kontroler smanji što je više moguće, a performanse zahvaćene su što je moguće manje. Sljedeći popis sadrži preporuke za konfiguriranje i instaliranje antivirusnog softvera na domenski kontroler sustava Windows Server.

Upozorenje Preporučujemo da na testni sustav primijenite sljedeću navedenu konfiguraciju da biste bili sigurni da u vašem okruženju ne uvodi neočekivane čimbenike ili ne ugrožava stabilnost sustava. Rizik od prevelikog pregleda jest to da se datoteke neprimjereno označavaju kao promijenjene. To uzrokuje previše replikacije u servisu Active Directory. Ako testiranje potvrdi da sljedeće preporuke ne utječe na replikaciju, antivirusni softver možete primijeniti na produkcijsko okruženje.

Napomena Određene preporuke proizvođača antivirusnog softvera mogu nadjaasiti preporuke u ovom članku.

• Antivirusni softver mora biti instaliran na sve domenske kontrolere u tvrtki. U idealnom slučaju pokušajte instalirati takav softver na svim drugim poslužiteljskim i klijentskim sustavima koji moraju komunicirati s domenskim kontrolerima. Zlonamjerni softver možete uhvatiti čim prije, primjerice u vatrozidu ili klijentskom sustavu u kojem se uvodi zlonamjerni softver. Time se sprječava da zlonamjerni softver ikad dosegne infrastrukturne sustave o kojima klijenti ovise.

• Koristite verziju antivirusnog softvera osmišljenu za rad s domenskim kontrolerima servisa Active Directory i koji za pristup datotekama na poslužitelju koristi ispravna sučelja za programiranje aplikacija (API-je). Starije verzije većine softvera dobavljača neprikladno mijenjaju metapodatke datoteke dok se datoteka skenira. Zbog toga modul servisa za replikaciju datoteka prepoznaje promjenu datoteke i stoga zakaže replikaciju datoteke. Novije verzije sprječavaju taj problem.
  Dodatne informacije potražite u sljedećem članku u Microsoftovoj bazi znanja:

  815263Antivirusni programi, programi za sigurnosno kopiranje i optimizaciju diska kompatibilni sa servisom za replikaciju datoteka

• Nemojte koristiti domenski kontroler za pregledavanje interneta ni za izvođenje drugih aktivnosti koje mogu predstavljati zlonamjerni kod.

• Preporučujemo da minimizirate radna opterećenja na domenski kontrolerima. Kada je to moguće, izbjegavajte korištenje domenskog kontrolera u ulozi poslužitelja datoteka. To smanjuje aktivnost traženja virusa na zajedničkim datotekama i minimizira performanse.

• Nemojte stavljati bazu podataka servisa Active Directory ni FRS i zapisivati datoteke na komprimirane jedinice NTFS datotečnog sustava.

Isključivanje skeniranja datoteka servisa Active Directory i servisa Active Directory

• Izostavite glavne NTDS datoteke baze podataka. Mjesto tih datoteka navedeno je u sljedećem potključu registra:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Database File Zadano je mjesto %windir%\Ntds. Konkretno, izuzimanje sljedećih datoteka:

  • Ntds.dit

  • Ntds.pat

• Isključite datoteke zapisnika transakcija servisa Active Directory. Mjesto tih datoteka navedeno je u sljedećem potključu registra:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path Zadano je mjesto %windir%\Ntds. Konkretno, izuzimanje sljedećih datoteka:

  • EDB*.log

  • Res*.log

  • Edb*.jrs

  • Ntds.pat

• Izuzmite datoteke u radnoj mapi NTDS koja je navedena u sljedećem potključu registra:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory Konkretno, izuzimanje sljedećih datoteka:

  • Temp.edb

  • Edb.chk

Isključivanje skeniranja SYSVOL datoteka

• Isključite skeniranje datoteka u radnoj mapi servisa za replikaciju datoteka (FRS) koja je navedena u sljedećem potključu registra:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Working Directory Zadano je mjesto %windir%\Ntfrs. Izuzmite sljedeće datoteke koje postoje u mapi:

  • edb.chk u mapi %windir%\Ntfrs\jet\sys

  • Ntfrs.jdb u mapi %windir%\Ntfrs\jet

  • *.prijavite se u mapu %windir%\Ntfrs\jet\ log

• Isključite skeniranje datoteka u datotekama zapisnika FRS baze podataka koje su navedene u sljedećem potključu registra:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\Ntfrs\Parameters\DB Log File Directory Zadano je mjesto %windir%\Ntfrs. Izuzimanje sljedećih datoteka:

  • Edb*.log (ako ključ registra nije postavljen)

  • FRS Working Dir\Jet\Log\Edb*.jrs

• NapomenaPostavke za određene izuzetke datoteka ovdje su dokumentirane radi potpunosti. Te mape po zadanom omogućuju pristup samo sustavu i administratorima. Provjerite jesu li na snazi ispravne zaštite. Te mape sadrže samo radne datoteke komponenti za FRS i DFSR.

• Isključite skeniranje mape NTFRS Staging, kao što je navedeno u sljedećem potključu registra:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\NtFrs\Parameters\Replica Sets\GUID\Replica Set Stage Pripremna priprema po zadanom koristi sljedeće mjesto:

  %systemroot%\Sysvol\Staging areas

• Isključite skeniranje DFSR pripremne mape kao što je navedeno u atributu msDFSR-StagingPath objekta CN=SYSVOL Subscription,CN=Domain System Volume,CN=DFSR-LocalSettings,CN=DomainControllerName,OU=Domain Controllers,DC=DomainName in AD DS. Ovaj atribut sadrži put do stvarne lokacije koju DFS replikacija koristi za faze datoteka. Konkretno, izuzimanje sljedećih datoteka:

  • Ntfrs_cmp*.*

  • *.frx

• Isključite skeniranje datoteka u mapi Sysvol\Sysvol ili u mapi SYSVOL_DFSR\Sysvol.
  
  Trenutno mjesto mape Sysvol\Sysvol ili SYSVOL_DFSR\Sysvol i sve su podmape cilj ponovnog razdvajanja datotečnog sustava korijena skupa replika. Sysvol\Sysvol i SYSVOL_DFSR\Sysvol mape po zadanom koriste sljedeća mjesta:

  %systemroot%\Sysvol\Domain
  %systemroot%\Sysvol_DFSR\Domain

  Put do trenutno aktivnog SYSVOL-a referencira netlogon i može se odrediti nazivom vrijednosti SysVol u sljedećem potključu:

  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters

• Izuzimanje sljedećih datoteka iz ove mape i svih njezinih podmapa:

  • *.Adm

  • *.admx

  • *.adml

  • Vrijednost registra.pol

  • Registar.tmp

  • *.Aas

  • *.Inf

  • Scripts.ini

  • *.Ins

  • Oscfilter.ini

• Isključite pregled datoteka u mapi FRS Predinstalacija koja se nalazi na sljedećem mjestu:

  Replica_root\DO_NOT_REMOVE_NtFrs_PreInstall_Directory
  
  Mapa Predinstalacija uvijek je otvorena kada je FRS pokrenut.
  
  Izuzimanje sljedećih datoteka iz ove mape i svih njezinih podmapa:

  • Ntfrs*.*

• Isključite skeniranje datoteka u DFSR bazi podataka i radnim mapama. Mjesto je navedeno sljedećim potključem registra:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path U ovom potključu registra "Put" put je XML datoteke u kojoj se nalazi naziv grupe replikacije. U ovom bi primjeru put sadržavao "Domain System Volume" (Količinski sustav domene).
  
  Zadano je mjesto sljedeća skrivena mapa:

       %systemdrive%\System Volume Information\DFSR
  
  Izuzimanje sljedećih datoteka iz ove mape i svih njezinih podmapa:

  • $db_normalno$

  • FileIDTable_*

  • SimilarityTable_*

  • *.xml

  • $db_prljavo$

  • $db_čišćenje$

  • $db_izgubljeno$

  • Dfsr.db

  • Fsr.chk

  • *.frx

  • *.Prijavite

  • Fsr*.jrs

  • Tmp.edb

• Napomena Ako se bilo koja od tih mapa ili datoteka premjesti ili stavi na neko drugo mjesto, skenirajte ili izostavite ekvivalentni element.

Isključivanje skeniranja DFS datoteka

Isti resursi koji su isključeni za skup replika SYSVOL moraju se izuzeti i kada se FRS ili DFSR koriste za repliciranje zajedničkih resursa mapiranih na DFS korijenske i ciljne veze na računalima sa sustavom Windows Server 2008 R2 ili računalima ili kontrolorima domena utemeljenima na sustavu Windows Server 2008.

Isključivanje skeniranja DHCP datoteka

Prema zadanim postavkama DHCP datoteke koje treba izuzeti nalaze se u sljedećoj mapi na poslužitelju:

%systemroot%\System32\DHCP Izuzimanje sljedećih datoteka iz ove mape i svih njezinih podmapa:

• *.Mdb

• *.Pat

• *.Prijavite

• *.Chk

• *.edb

Mjesto DHCP datoteka može se promijeniti. Da biste odredili trenutno mjesto DHCP datoteka na poslužitelju, provjerite parametre DatabasePath, DhcpLogFilePath i BackupDatabasePath navedene u sljedećem potključu registra:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

Isključivanje skeniranja DNS datoteka

DNS po zadanom koristi sljedeću mapu:

%systemroot%\System32\Dns Izuzimanje sljedećih datoteka iz ove mape i svih njezinih podmapa:

• *.Prijavite

• *.Dns

• ČIZMA

Isključivanje skeniranja WINS datoteka

Wins po zadanom koristi sljedeću mapu:

     %systemroot%\System32\Wins
Izuzimanje sljedećih datoteka iz ove mape i svih njezinih podmapa:

• *.Chk

• *.Prijavite

• *.Mdb

Za računala na kojima je instalirana verzija sustava Windows utemeljena na značajci Hyper-V

U nekim slučajevima na računalu sa sustavom Windows Server 2008 na kojem je instalirana uloga Hyper-V ili na poslužitelju Microsoft Hyper-V Server 2008 ili na računalu sa sustavom Microsoft Hyper-V Server 2008 R2 možda ćete morati konfigurirati komponentu skeniranja u stvarnom vremenu unutar antivirusnog softvera da bi se izuzeli datoteke i cijele mape. Dodatne informacije potražite u sljedećem članku u Microsoftovoj bazi znanja:

• 961804Virtualna računala nedostaju ili se 0x800704C8, 0x80070037 ili 0x800703E3 pojavljuje kada pokušate pokrenuti ili stvoriti virtualno računalo

Sljedeći koraci

Ako su performanse ili stabilnost sustava poboljšani preporukama iz ovog članka, obratite se dobavljaču antivirusnog softvera za upute ili za ažuriranu verziju ili postavke antivirusnog softvera.

Napomena Vaš antivirusni dobavljač treće strane može raditi s timom Microsoftove podrške u komercijalno razumnim naporima.

Povijest promjena

 U sljedećoj su tablici navedene neke od najvažnijih promjena ove teme.