Windows または Windows Server を搭載しているエンタープライズ コンピューターでウイルス スキャンを行う場合の推奨事項 (KB822158)

Windows Update または自動更新関連のファイルのスキャンを無効にする

• Windows Update または自動更新データベース ファイル (Datastore.edb) のスキャンを無効にします。 このファイルは、次のフォルダーにあります。

       %windir%\SoftwareDistribution\Datastore

• 以下のフォルダーにあるイベント ログのスキャンを無効にします。

       %windir%\SoftwareDistribution\Datastore\Logs
  
  具体的に、除外するファイルを以下に示します。

  • Edb*.jrs

  • Edb.chk

  • Tmp.edb

• ワイルドカード文字 (*) は、複数のファイルが存在する可能性があることを示します。

Windows セキュリティ ファイルのスキャンを無効にする

• 除外リストの %windir%\Security\Database パス内に以下のファイルを追加します。

  • *.edb

  • *.sdb

  • *.log

  • *.chk

  • *.jrs

  • *.xml

  • *.csv

  • *.cmtx

  注 これらのファイルが除外されない場合、ウイルス対策ソフトウェアによりこれらのファイルへの適切なアクセスが妨害され、セキュリティ データベースが破損する可能性があります。 これらのファイルをスキャンすると、ファイルが使用できなくなったり、ファイルにセキュリティ ポリシーが適用されなくなる可能性があります。 ウイルス対策ソフトウェアはこれらのファイルを独自のデータベース ファイルとして正しく扱わない場合があるため、これらのファイルはスキャンしないでください。
  
  これらのファイルは除外することが推奨されています。 この記事に記載されていない他のファイルの種類も除外が推奨される場合があります。

グループ ポリシー関連のファイルのスキャンを無効にする

• グループ ポリシー ユーザー レジストリ情報 これらのファイルは次のフォルダーにあります。

       コンピューター: %allusersprofile%\
       ユーザー: %ProgramData%\Microsoft\GroupPolicy\Users\<User Sid>\
  
  具体的には、次のファイルを除外します。

       NTUser.pol

• グループ ポリシー クライアント設定ファイル。 これらのファイルは次のフォルダーにあります。

       %SystemRoot%\System32\GroupPolicy\Machine\
       %SystemRoot%\System32\GroupPolicy\User\
  
  具体的に、除外するファイルを以下に示します。

       Registry.pol
       Registry.tmp

ユーザー プロファイル ファイルのスキャンを無効にする

• ユーザー レジストリ情報とサポート ファイル。 ファイルは次のフォルダーにあります:
  
       %userprofile%\
  
  具体的には、次のファイルを除外します:
  
       NTUser.dat*

ドメイン コントローラーでウイルス対策ソフトウェアを実行する

ドメイン コントローラーはクライアントに重要なサービスを提供するため、マルウェアまたはウイルスに含まれる悪意のあるコードによってその活動が中断されるリスクを最小限に抑える必要があります。 感染のリスクを減らす方法として、ウイルス対策ソフトウェアが広く受け入れられています。 ウイルス対策ソフトウェアのインストールと構成を行い、ドメイン コントローラーのリスクとパフォーマンスへの影響を最小限に抑えるようにします。 次の一覧には、Windows Server のドメイン コントローラーにウイルス対策ソフトウェアのインストールと構成を行う際の推奨事項を記載しています。

警告 次の指定した構成をテスト システムに適用して、特定の環境でこの構成で予期しない要因が発生したり、システムの安定性が損なわれないことを確認することをお勧めします。 スキャンが頻繁に実行されると、ファイルが変更されたことを示すフラグが不適切に設定されます。 その結果、Active Directory で過度のレプリケーションが実行されるというリスクが生じます。 以下の推奨事項に従ってもレプリケーションに影響しないことがテストで確認されたら、ウイルス対策ソフトウェアを運用環境に適用できます。

注 ウイルス対策ソフトウェア ベンダーの個別の推奨事項がこの記事の推奨事項よりも優先される場合があります。

• ウイルス対策ソフトウェアは、企業のすべてのドメイン コントローラーにインストールする必要があります。 可能な限り、ドメイン コントローラーと対話的に通信する必要がある他のサーバーおよびクライアントのシステムのすべてに、ウイルス対策ソフトウェアをインストールします。 マルウェアは、ファイアウォールや、マルウェアが持ち込まれたクライアント システムなど、できる限り早い段階で検出するようにします。 早期検出が、クライアントが依存しているインフラストラクチャ システムへのマルウェアの進入を防ぎます。

• Active Directory ドメイン コントローラーと連携するように設計され、正しいアプリケーション プログラミング インターフェイス (API) を使用してサーバー上のファイルにアクセスするバージョンのウイルス対策ソフトウェアを使用します。 ほとんどのベンダー ソフトウェアは、バージョンが古いとファイルのメタデータをファイルのスキャン時に不適切に書き換えます。

• ドメイン コントローラーを使用してインターネットを閲覧したり、悪意のあるコードが発生する可能性のあるその他のアクティビティを実行したりしないでください。

• マイクロソフトは、ドメイン コントローラー上の負荷を最小限にすることを推奨します。 たとえば、可能な場合は、ファイル サーバー ロールでドメイン コントローラーを使用しないようにします。 この方法により、ファイル共有でのウイルス スキャン アクティビティが削減され、パフォーマンスのオーバーヘッドが最小限に抑えられます。

• Active Directory とログ ファイルを NTFS ファイル システムの圧縮ボリュームに配置しないでください。

Active Directory および Active Directory 関連のファイルのスキャンを無効にする

• メインの NTDS データベース ファイルを除外します。 次のレジストリ サブキーに場所が指定されています。

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Database File
  
  既定の場所は %windir%\Ntds です。 具体的に、除外するファイルを以下に示します。

  • Ntds.dit

  • Ntds.pat

• Active Directory トランザクション ログ ファイルを除外します。 次のレジストリ サブキーに場所が指定されています。

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path
  
  既定の場所は %windir%\Ntds です。 具体的に、除外するファイルを以下に示します。

  • EDB*.log

  • Res*.log

  • Edb*.jrs

  • Ntds.pat

• 次のレジストリ サブキーで指定されている NTDS 作業フォルダー内のファイルを除外します。

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory
  
  具体的には、次のファイルを除外します。

  • Temp.edb

  • Edb.chk

SYSVOL ファイルのスキャンを無効にする

• Sysvol\Sysvol フォルダーまたは SYSVOL_DFSR\Sysvol フォルダーのファイルのスキャンを無効にします。
                  
  Sysvol\Sysvol または SYSVOL_DFSR\Sysvol フォルダーとすべてのサブフォルダーの現在の場所は、ファイル システムによるレプリカ セット ルートの再解析の対象です。 Sysvol\Sysvol および SYSVOL_DFSR\Sysvol フォルダーは既定で次の場所を使用しています。

  %systemroot%\Sysvol\Domain
  %systemroot%\Sysvol_DFSR\Domain

  現在アクティブな SYSVOL のパスは、NETLOGON 共有から参照されており、次のサブキーの SysVol 値名で確認できます。

  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters

• 以下のファイルを、このフォルダーとそのすべてのサブフォルダーから除外します。

  • *.adm

  • *.admx

  • *.adml

  • Registry.pol

  • Registry.tmp

  • *.aas

  • *.inf

  • Scripts.ini

  • *.ins

  • Oscfilter.ini

• DFSR データベースと作業フォルダーのファイルのスキャンを無効にします。 場所は、次のレジストリ サブキーで指定します。

  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path
  
  このレジストリ サブキーでは、"Path" はレプリケーション グループの名前を含む XML ファイルのパスです。 この例では、パスには "Domain System Volume" が含まれます。
  
  既定の場所は次の隠しフォルダーです。

       %systemdrive%\System Volume Information\DFSR
  
  以下のファイルを、このフォルダーとそのすべてのサブフォルダーから除外します。

  • $db_normal$

  • FileIDTable_*

  • SimilarityTable_*

  • *.xml

  • $db_dirty$

  • $db_clean$

  • $db_lost$

  • Dfsr.db

  • Fsr.chk

  • *.frx

  • *.log

  • Fsr*.jrs

  • Tmp.edb

  注 上記のフォルダーまたはファイルが、別の場所に移動または配置されている場合、対応する要素をスキャンまたは除外します。

DFS ファイルのスキャンを無効にする

また、DFSR を使用して、メンバー コンピューターまたはドメイン コントローラー上の DFS ルート ターゲットとリンク ターゲットにマップされている共有をレプリケートする場合は、SYSVOL レプリカ セットに対して除外されるのと同じリソースWindows Server除外する必要があります。

DHCP ファイルのスキャンを無効にする

既定では、除外する必要のある DHCP ファイルは、サーバー上の次のフォルダーに存在します。

     %systemroot%\System32\DHCP

以下のファイルを、このフォルダーとそのすべてのサブフォルダーから除外します。

• *.mdb

• *.pat

• *.log

• *.chk

• *.edb

DHCP ファイルの場所は変更される可能性があります。 サーバー上の DHCP ファイルの現在の場所を判別するには、以下のレジストリ サブキーで指定されている [DatabasePath]、[DhcpLogFilePath]、および [BackupDatabasePath] パラメーターを確認します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

DNS ファイルのスキャンを無効にする

既定では、DNS は以下のフォルダーを使用します。

%systemroot%\System32\Dns 以下のファイルを、このフォルダーとそのすべてのサブフォルダーから除外します。

• *.log

• *.dns

• BOOT

WINS ファイルのスキャンを無効にする

既定では、WINS は以下のフォルダーを使用します。

     %systemroot%\System32\Wins

以下のファイルを、このフォルダーとそのすべてのサブフォルダーから除外します。

• *.chk

• *.log

• *.mdb

Hyper-V ベースの Windows を搭載しているコンピューターの場合

一部のシナリオでは、Hyper-V の役割がインストールされているコンピューター Windows Serverで、ファイルとフォルダー全体を除外するように、ウイルス対策ソフトウェア内のリアルタイム スキャン コンポーネントを構成することが必要になる場合があります。 詳細については、次の「サポート技術情報」 (Microsoft Knowledge Base) の資料を参照してください。

• 961804 仮想マシンを起動または作成しようとすると、仮想マシンが見つからないか、エラー 0x800704C8、0x80070037、または 0x800703E3 が表示される

次の手順

この記事に記載されている推奨事項によってシステムのパフォーマンスや安定性が向上した場合は、ウイルス対策ソフトウェアベンダーに連絡して手順を確認するか、ウイルス対策ソフトウェアの更新バージョンまたは設定を確認してください。

注 サード パーティのウイルス対策ベンダーは、Microsoft サポート チームと協力して、商業的に妥当な作業を行うことができます。

変更履歴

 次の表は、このトピックに対する最も重要な変更をまとめたものです。