Víruskeresési javaslatok Windows vagy Windows Server (KB822158) rendszert futtató vállalati számítógépekhez

A Windows Update vagy az automatikus frissítési fájlok vizsgálatának kikapcsolása

• Kapcsolja ki a Windows Update vagy az Automatikus frissítés adatbázisfájl (Datastore.edb) vizsgálatát. Ez a fájl a következő mappában található:

       %windir%\SoftwareDistribution\Datastore

• Kapcsolja ki a következő mappában található naplófájlok vizsgálatát:

       %windir%\SoftwareDistribution\Datastore\Logs
  
  Zárja ki a következő fájlokat:

  • Edb*.jrs

  • Edb.chk

  • Tmp.edb

• A helyettesítő karakter (*) azt jelzi, hogy több fájl is lehet.

A Windows biztonság fájlok vizsgálatának kikapcsolása

• Adja hozzá a következő fájlokat a kizárások listájának %windir%\Security\Database elérési útjában:

  • *.edb

  • *.Sdb

  • *.napló

  • *.chk

  • *.jrs

  • *.xml

  • *.csv

  • *.cmtx

  Megjegyzés Ha ezek a fájlok nincsenek kizárva, a víruskereső szoftver megakadályozhatja a megfelelő hozzáférést ezekhez a fájlokhoz, és a biztonsági adatbázisok megsérülhetnek. A fájlok vizsgálata megakadályozhatja a fájlok használatát, vagy megakadályozhatja, hogy biztonsági szabályzatot alkalmazzanak a fájlokra. Ezeket a fájlokat nem szabad beolvasni, mert előfordulhat, hogy a víruskereső szoftver nem megfelelően kezeli őket saját adatbázisfájlként.
  
  Ezek az ajánlott kizárások. Előfordulhat, hogy a cikkben nem szereplő egyéb fájltípusokat ki kell zárni.

Csoportházirend kapcsolódó fájlok vizsgálatának kikapcsolása

• Csoportházirend felhasználói beállításjegyzék adatait. Ezek a fájlok a következő mappában találhatók:

       Számítógép: %allusersprofile%\
       Felhasználók: %ProgramData%\Microsoft\GroupPolicy\Users\<User Sid>\
  
  Zárja ki a következő fájlt:

       NTUser.pol

• Csoportházirend ügyfélbeállítások fájljait. Ezek a fájlok a következő mappában találhatók:

       %SystemRoot%\System32\GroupPolicy\Machine\
       %SystemRoot%\System32\GroupPolicy\User\
  
  Zárja ki a következő fájlokat:

       Registry.pol
       Registry.tmp

Felhasználóiprofil-fájlok vizsgálatának kikapcsolása

• A felhasználói beállításjegyzék adatai és a támogató fájlok. A fájlok a következő mappában találhatók:
  
       %userprofile%\
  
  Zárja ki a következő fájlokat:
  
       NTUser.dat*

Víruskereső szoftver futtatása tartományvezérlőkön

Mivel a tartományvezérlők fontos szolgáltatásokat nyújtanak az ügyfelek számára, minimalizálni kell annak kockázatát, hogy a tevékenységüket rosszindulatú kódok, kártevők vagy vírusok okozzák. Víruskereső szoftver az általánosan elfogadott módja a fertőzés kockázatának csökkentésére. Telepítse és konfigurálja a víruskereső szoftvert úgy, hogy a tartományvezérlőre jelentett kockázat a lehető legkisebbre csökkenjen, és a teljesítmény a lehető legkisebb mértékben csökkenjen. Az alábbi lista javaslatokat tartalmaz a víruskereső szoftverek Windows Server tartományvezérlőn való konfigurálásához és telepítéséhez.

Figyelmeztetés Azt javasoljuk, hogy a következő konfigurációt alkalmazza egy tesztrendszerre, hogy az adott környezetben ez a konfiguráció ne vezessen be váratlan tényezőket, és ne rontsa a rendszer stabilitását. A túl sok vizsgálat kockázata az, hogy a fájlok helytelenül módosultakként vannak megjelölve. Ez túl sok replikációt okoz az Active Directoryban. Ha a tesztelés ellenőrzi, hogy a következő javaslatok nem befolyásolják-e a replikációt, alkalmazhatja a víruskereső szoftvert az éles környezetre.

Jegyzet A víruskereső szoftverek gyártóitól származó konkrét javaslatok felülírhatják a cikkben szereplő javaslatokat.

• A víruskereső szoftvert a vállalat összes tartományvezérlőjén telepíteni kell. Ideális esetben próbálja meg telepíteni az ilyen szoftvereket minden olyan kiszolgálóra és ügyfélrendszerre, amelynek kommunikálnia kell a tartományvezérlőkkel. Optimális, ha a kártevőt a legkorábbi időpontban észleli, például a tűzfalon vagy azon az ügyfélrendszeren, ahol a kártevőt bevezették. Ez megakadályozza, hogy a kártevők valaha is elérjék azokat az infrastruktúra-rendszereket, amelyektől az ügyfelek függenek.

• Használjon olyan víruskereső szoftvert, amely az Active Directory-tartományvezérlőkkel való együttműködésre lett kialakítva, és a megfelelő alkalmazásprogramozási felületeket (API-kat) használja a kiszolgálón lévő fájlok eléréséhez. A legtöbb szállítói szoftver régebbi verziói helytelenül módosítják a fájl metaadatait a fájl vizsgálata során.

• Ne használjon tartományvezérlőt az interneten való böngészéshez, és ne végezzen más olyan tevékenységeket, amelyek rosszindulatú kódot eredményezhetnek.

• Javasoljuk, hogy minimálisra csökkentse a tartományvezérlők számítási feladatait. Ha lehetséges, kerülje például a tartományvezérlők fájlkiszolgálói szerepkörben való használatát. Ez a gyakorlat csökkenti a fájlmegosztások víruskeresési tevékenységét, és minimalizálja a teljesítménybeli többletterhelést.

• Ne helyezzen Active Directory- és naplófájlokat NTFS fájlrendszerű tömörített kötetekre.

Az Active Directoryval és az Active Directoryval kapcsolatos fájlok vizsgálatának kikapcsolása

• Zárja ki a fő NTDS-adatbázisfájlokat. Ezeknek a fájloknak a helye a következő beállításjegyzék-alkulcsban van megadva:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Database File Az alapértelmezett hely a %windir%\Ntds. Zárja ki a következő fájlokat:

  • Ntds.dit

  • Ntds.pat

• Zárja ki az Active Directory tranzakciós naplófájljait. Ezeknek a fájloknak a helye a következő beállításjegyzék-alkulcsban van megadva:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path Az alapértelmezett hely a %windir%\Ntds. Zárja ki a következő fájlokat:

  • EDB*.log

  • Res*.log

  • Edb*.jrs

  • Ntds.pat

• Zárja ki a következő beállításkulcsban megadott NTDS Munka mappában lévő fájlokat:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory Zárja ki a következő fájlokat:

  • Temp.edb

  • Edb.chk

A SYSVOL-fájlok vizsgálatának kikapcsolása

• Kapcsolja ki a Sysvol\Sysvol mappában vagy a SYSVOL_DFSR\Sysvol mappában lévő fájlok vizsgálatát.
  
  A Sysvol\Sysvol vagy a SYSVOL_DFSR\Sysvol mappa és az összes almappá aktuális helye a replikakészlet gyökerének fájlrendszer-újraelemzési célja. A Sysvol\Sysvol és a SYSVOL_DFSR\Sysvol mappák alapértelmezés szerint a következő helyeket használják:

  %systemroot%\Sysvol\Domain
  %systemroot%\Sysvol_DFSR\Domain

  Az aktuálisan aktív SYSVOL elérési útjára a NETLOGON-megosztás hivatkozik, és a SysVol értékneve határozza meg a következő alkulcsban:

  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters

• Zárja ki a következő fájlokat ebből a mappából és annak almappáiból:

  • *.Adm

  • *.admx

  • *.adml

  • Registry.pol

  • Registry.tmp

  • *.Aas

  • *.Inf

  • Scripts.ini

  • *.Inek

  • Oscfilter.ini

• Kapcsolja ki az elosztott fájlrendszerbeli adatbázis és a munkamappák fájljainak vizsgálatát. A hely a következő beállításjegyzék-alkulcsban van megadva:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path Ebben a beállításjegyzékbeli alkulcsban a "Path" egy XML-fájl elérési útja, amely a replikációs csoport nevét tartalmazza. Ebben a példában az elérési út a következőt tartalmazza: "Tartományi rendszerkötet"
  
  . Az alapértelmezett hely a következő rejtett mappa:

       %systemdrive%\System Volume Information\DFSR
  
  Zárja ki a következő fájlokat ebből a mappából és annak almappáiból:

  • $db_normal$

  • FileIDTable_*

  • SimilarityTable_*

  • *.xml

  • $db_dirty$

  • $db_clean$

  • $db_lost$

  • Dfsr.db

  • Fsr.chk

  • *.frx

  • *.napló

  • Fsr*.jrs

  • Tmp.edb

  Megjegyzés Ha ezen mappák vagy fájlok bármelyikét áthelyezik vagy más helyre helyezik, vizsgálja meg vagy zárja ki a megfelelő elemet.

Elosztott fájlrendszerbeli fájlok vizsgálatának kikapcsolása

A SYSVOL replikakészletek által kizárt erőforrásokat is ki kell zárni, ha az elosztott fájlrendszer-replikációs szolgáltatás (DFSR) az elosztott fájlrendszer gyökér- és csatolási céljaira leképezett megosztások replikálására szolgál Windows Server tagszámítógépeken vagy tartományvezérlőkön.

DHCP-fájlok vizsgálatának kikapcsolása

Alapértelmezés szerint a kizárandó DHCP-fájlok a következő mappában találhatók a kiszolgálón:

     %systemroot%\System32\DHCP

Zárja ki a következő fájlokat ebből a mappából és annak almappáiból:

• *.mdb

• *.lapogatás

• *.napló

• *.chk

• *.edb

A DHCP-fájlok helye módosítható. A DHCP-fájlok aktuális helyének meghatározásához ellenőrizze a következő beállításkulcsban megadott DatabasePath, DhcpLogFilePath és BackupDatabasePath paramétereket:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

A DNS-fájlok vizsgálatának kikapcsolása

A DNS alapértelmezés szerint a következő mappát használja:

%systemroot%\System32\Dns Zárja ki a következő fájlokat ebből a mappából és annak almappáiból:

• *.napló

• *.Dns

• RENDSZERINDÍTÁS

WINS-fájlok vizsgálatának kikapcsolása

Alapértelmezés szerint a WINS a következő mappát használja:

     %systemroot%\System32\Wins

Zárja ki a következő fájlokat ebből a mappából és annak almappáiból:

• *.chk

• *.napló

• *.mdb

A Windows Hyper-V-alapú verzióit futtató számítógépek esetén

Bizonyos esetekben a Hyper-V szerepkörrel rendelkező Windows Server számítógépeken szükség lehet a víruskereső szoftveren belüli valós idejű vizsgálati összetevő konfigurálására, hogy kizárja a fájlokat és a teljes mappákat. További információt a tudásbázis következő cikkében talál:

• 961804A virtuális gépek hiányoznak, vagy hiba 0x800704C8, 0x80070037 vagy 0x800703E3 akkor fordul elő, amikor megpróbál elindítani vagy létrehozni egy virtuális gépet

További lépések

Ha a jelen cikkben ismertetett javaslatok javítják a rendszer teljesítményét vagy stabilitását, kérjen útmutatást a víruskereső szoftver gyártójától, illetve a víruskereső szoftver frissített verziójáért vagy beállításaiért.

Megjegyzés A külső víruskereső gyártó üzletileg ésszerű erőfeszítéseket tehet a Microsoft ügyfélszolgálata csapattal.

Változások jegyzéke

 Az alábbi táblázat összefoglalja a témakör legfontosabb változásait.