Viirusekontrolli soovitused suurettevõtete arvutitele, kus töötab Windows või Windows Server (KB822158)

Windows Update- või automaatvärskendusfailide kontrollimise väljalülitamine

• Lülitage välja Windows Update või automaatvärskenduse andmebaasifaili (Datastore.edb) kontrollimine. See fail asub järgmises kaustas:

       %windir%\SoftwareDistribution\Datastore

• Lülitage järgmises kaustas asuvate logifailide kontrollimine välja.

       %windir%\SoftwareDistribution\Datastore\Logs
  
  Täpsemalt välistage järgmised failid:

  • Edb*.jrs

  • Edb.chk

  • Tmp.edb

• Metamärk (*) näitab, et faile võib olla mitu.

Windowsi turve failide kontrollimise väljalülitamine

• Lisage välistamiste loendisse %windir%\Security\Database järgmised failid:

  • *.edb

  • *.sdb

  • *.Logi

  • *.chk

  • *.jrs

  • *.xml

  • *.csv

  • *.cmtx

  Märkus Kui need failid pole välistatud, võib viirusetõrjetarkvara takistada neile failidele asjakohast juurdepääsu ja turbeandmebaasid võivad muutuda rikutuks. Nende failide skannimine võib takistada failide kasutamist või takistada turbepoliitika rakendamist failidele. Neid faile ei tohiks kontrollida, kuna viirusetõrjetarkvara ei pruugi neid õigesti käsitleda varaliste andmebaasifailidena.
  
  Need on soovitatavad välistamised. Võib olla ka muid failitüüpe, mida selles artiklis ei käsitleta, mis tuleks välistada.

Rühmapoliitika seotud failide kontrollimise väljalülitamine

• Rühmapoliitika kasutaja registriteave. Need failid asuvad järgmises kaustas:

       %allusersprofile%\
  
  Välistage järgmine fail:

       NTUser.pol

• Rühmapoliitika kliendisätete failid. Need failid asuvad järgmises kaustas:

       %SystemRoot%\System32\GroupPolicy\Machine\
       %SystemRoot%\System32\GroupPolicy\User\
  
  Täpsemalt välistage järgmised failid:

       Registry.pol
       Registry.tmp

Kasutajaprofiili failide kontrollimise väljalülitamine

• Kasutaja registriteave ja tugifailid. Failid asuvad järgmises kaustas:
  
       userprofile%\
  
  Täpsemalt välistage järgmised failid:
  
       NTUser.dat*

Viirusetõrjetarkvara käitamine domeenikontrollerites

Kuna domeenikontrollerid pakuvad klientidele olulist teenust, tuleb minimeerida ohtu, et nende tegevus ründevarast, ründevarast või viirusest katkeb. Viirusetõrjetarkvara on üldiselt aktsepteeritav viis nakkusohu vähendamiseks. Installige ja konfigureerige viirusetõrjetarkvara nii, et riski domeenikontrollerile vähendataks nii palju kui võimalik ja jõudlust mõjutab võimalikult vähe. Järgmine loend sisaldab soovitusi, mis aitavad teil konfigureerida ja installida viirusetõrjetarkvara Windows Serveri domeenikontrollerisse.

Hoiatus Soovitame teil rakendada testsüsteemile järgmine määratud konfiguratsioon, et tagada, et teie konkreetses keskkonnas ei tekiks ootamatuid tegureid ega ohustaks süsteemi stabiilsust. Liiga suure kontrollimise oht seisneb selles, et failid on sobimatult märgitud muudetuks. See põhjustab Active Directorys liiga palju tiražeerimist. Kui testimine kinnitab, et järgmised soovitused ei mõjuta tiražeerimist, saate rakendada viirusetõrjetarkvara tootmiskeskkonnale.

Märkus Viirusetõrjetarkvara tootjate konkreetsed soovitused võivad selles artiklis toodud soovitused alistada.

• Viirusetõrjetarkvara tuleb installida ettevõtte kõigisse domeenikontrolleritesse. Ideaaljuhul proovige installida selline tarkvara kõikidesse muudesse serveri- ja klientsüsteemidesse, mis peavad domeenikontrolleritega suhtlema. Optimaalne on tabada ründevara varaseimas punktis, näiteks tulemüüris või klientsüsteemis, kus ründevara kasutusele võeti. See takistab ründevaral jõuda kunagi taristusüsteemideni, millest kliendid sõltuvad.

• Kasutage viirusetõrjetarkvara versiooni, mis on loodud töötama Active Directory domeenikontrolleritega ja mis kasutab serveris olevatele failidele juurdepääsemiseks õigeid rakendusliideseid (API-sid). Enamiku tarnijate tarkvara varasemad versioonid muudavad faili metaandmeid faili kontrollimise ajal sobimatult. See põhjustab faili paljundusteenuse mootoril faili muutuse tuvastamise ja seetõttu faili tiražeerimise ajastamise. Uuemad versioonid takistavad seda probleemi.
  Lisateavet leiate Microsofti teabebaasi järgmisest artiklist:

  815263Faili paljundusteenusega ühilduvad viirusetõrje-, varundus- ja kettaopteerimisprogrammid

• Ärge kasutage domeenikontrollerit Interneti sirvimiseks ega muude toimingute tegemiseks, mis võivad pahatahtlikku koodi kasutusele võtta.

• Soovitame minimeerida domeenikontrollerite töökoormusi. Võimaluse korral vältige domeenikontrollerite kasutamist failiserveri rollis. See vähendab failiketaste viirusekontrolli ja minimeerib jõudluse üldkulusid.

• Ärge pange Active Directory ega FRS-andmebaasi ega logifaile NTFS-failisüsteemi tihendatud draividele.

Active Directory ja Active Directoryga seotud failide kontrollimise väljalülitamine

• Välistage PEAMISED NTDS-andmebaasifailid. Nende failide asukoht on määratud järgmise registri alamvõtmega:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Database File Vaikeasukoht on %windir%\Ntds. Täpsemalt välistage järgmised failid:

  • Ntds.dit

  • Ntds.pat

• Välistage Active Directory tehingulogifailid. Nende failide asukoht on määratud järgmise registri alamvõtmega:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path Vaikeasukoht on %windir%\Ntds. Täpsemalt välistage järgmised failid:

  • EDB*.log

  • Res*.log

  • Edb*.jrs

  • Ntds.pat

• Välistage failid NTDS-i töökaustast, mis on määratud järgmise registri alamvõtmega:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory Täpsemalt välistage järgmised failid:

  • Temp.edb

  • Edb.chk

SYSVOL-failide kontrollimise väljalülitamine

• Lülitage välja failide skannimine faili paljundusteenuse (FRS) töökaustas, mis on määratud järgmise registri alamvõtmega:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Working Directory Vaikeasukoht on %windir%\Ntfrs. Välistage järgmised kaustas olevad failid:

  • edb.chk kaustas %windir%\Ntfrs\jet\sys

  • Ntfrs.jdb kaustas %windir%\Ntfrs\jet

  • *.logi kausta %windir%\Ntfrs\jet\log

• Lülitage välja frS-andmebaasi logifailide failide kontrollimine, mis on määratud järgmise registri alamvõtmega:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\Ntfrs\Parameters\DB Log File Directory Vaikeasukoht on %windir%\Ntfrs. Välista järgmised failid:

  • Edb*.log (kui registrivõti pole seatud)

  • FRS Working Dir\Jet\Log\Edb*.jrs

• MärkusKonkreetsete failivälistuste sätted on siin täielikuks dokumenteeritud. Vaikimisi lubavad need kaustad juurdepääsu ainult süsteemile ja administraatoritele. Veenduge, et õiged kaitsed oleksid jõus. Need kaustad sisaldavad ainult FRS-i ja DFSR-i komponentide tööfaile.

• Lülitage ntFRS-i vahekausta skannimine välja, nagu on määratud järgmises registri alamvõtmes:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\NtFrs\Parameters\Replica Sets\GUID\Replica Set Stage Vaikimisi kasutab lavastus järgmist asukohta:

  %systemroot%\Sysvol\Staging areas

• Lülitage välja kausta DFSR Staging skannimine, nagu on määratud objekti CN=SYSVOL Subscription atribuudis msDFSR-StagingPath,CN =Domain System Volume,CN=DFSR-LocalSettings,CN=DomainControllerName,OU=Domain Controllers,DC=DomainName in AD DS. See atribuut sisaldab tegeliku asukoha teed, mida DFS-tiražeerimine kasutab etapifailide jaoks. Täpsemalt välistage järgmised failid:

  • Ntfrs_cmp*.*

  • *.frx

• Lülitage failide skannimine välja kaustas Sysvol\Sysvol või kaustas SYSVOL_DFSR\Sysvol.
  
  Kausta Sysvol\Sysvol või SYSVOL_DFSR\Sysvol ja kõigi alamkaustade praegune asukoht on failisüsteemi koopiakomplekti juure sihtmärk. Kaustades Sysvol\Sysvol ja SYSVOL_DFSR\Sysvol kasutatakse vaikimisi järgmisi asukohti.

  %systemroot%\Sysvol\Domain
  %systemroot%\Sysvol_DFSR\Domain

  Parajasti aktiivse SYSVOL-i teele viitab NETLOGON-i osa ja selle saab määratleda järgmise alamvõtme SysVol väärtuse nimega:

  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters

• Välistage sellest kaustast ja kõigist selle alamkaustadest järgmised failid:

  • *.Adm

  • *.admx

  • *.adml

  • Registry.pol

  • Registry.tmp

  • *.Aas

  • *.Inf

  • Scripts.ini

  • *.Ins

  • Oscfilter.ini

• Lülitage välja failide skannimine FRS-i eelinstallimiskaustas, mis asub järgmises asukohas:

  Replica_root\DO_NOT_REMOVE_NtFrs_PreInstall_Directory
  
  FrS-i töötamisel on kaust Eelinstall alati avatud.
  
  Välistage sellest kaustast ja kõigist selle alamkaustadest järgmised failid:

  • Ntfrs*.*

• Lülitage välja failide kontrollimine DFSR-andmebaasis ja töökaustades. Asukoha määrab järgmine registri alamvõti:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path Selles registri alamvõtmes on "Tee" XML-faili tee, mis teatab tiražeerimisrühma nime. Selles näites sisaldaks tee teksti "Domain System Volume"
  
  (Domeeni süsteemidraiv). Vaikeasukoht on järgmine peidetud kaust:

       %systemdrive%\Süsteemidraivi teave\DFSR
  
  Välistage sellest kaustast ja kõigist selle alamkaustadest järgmised failid:

  • $db_normal$

  • FileIDTable_*

  • SimilarityTable_*

  • *.xml

  • $db_räpane$

  • $db_clean$

  • $db_lost$

  • Dfsr.db

  • Fsr.chk

  • *.frx

  • *.Logi

  • Fsr*.jrs

  • Tmp.edb

• Märkus Kui mõni neist kaustadest või failidest teisaldatakse või paigutatakse mõnda teise asukohta, skannige samaväärne element või jätke see välja.

DFS-failide kontrollimise väljalülitamine

SYSVOL-koopiakomplekti jaoks välistatud ressursid tuleb välistada ka siis, kui FRS-i või DFSR-i kasutatakse windows Server 2008 R2-põhistes või Windows Server 2008-põhistes liikmearvutites või domeenikontrollerites DFS-i juur- ja linkimissihtmärkidega vastendatud ühiskasutatavate osade kopeerimiseks.

DHCP-failide kontrollimise väljalülitamine

Vaikimisi on välistatavad DHCP-failid serveris järgmises kaustas:

%systemroot%\System32\DHCP Välista sellest kaustast ja kõigist selle alamkaustadest järgmised failid:

• *.Mdb

• *.Pat

• *.Logi

• *.chk

• *.edb

DHCP-failide asukohta saab muuta. DHCP-failide praeguse asukoha määramiseks serveris kontrollige järgmises registri alamvõtmes määratud parameetreid DatabasePath, DhcpLogFilePath ja BackupDatabasePath :

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

DNS-failide kontrollimise väljalülitamine

Vaikimisi kasutab DNS järgmist kausta:

%systemroot%\System32\Dns Välista sellest kaustast ja kõigist selle alamkaustadest järgmised failid:

• *.Logi

• *.Dns

• BOOT

WINS-failide kontrollimise väljalülitamine

WinS kasutab vaikimisi järgmist kausta:

     %systemroot%\System32\Wins
Välistage sellest kaustast ja kõigist selle alamkaustadest järgmised failid:

• *.chk

• *.Logi

• *.Mdb

Arvutites, kus töötab Windowsi Hyper-V-põhine versioon

Mõnel juhul võib windows Server 2008-põhises arvutis, kuhu on installitud Hyper-V roll, või Microsoft Hyper-V Server 2008 või Microsoft Hyper-V Server 2008 R2 põhises arvutis olla vajalik konfigureerida viirusetõrjetarkvaras reaalajas skannimise komponent failide ja tervete kaustade välistamiseks. Lisateavet leiate Microsofti teabebaasi järgmisest artiklist:

• 961804Virtuaalarvutid puuduvad või virtuaalarvuti käivitamisel või loomisel ilmneb tõrge 0x800704C8, 0x80070037 või 0x800703E3

Järgmised toimingud

Kui selles artiklis antud soovitused parandavad teie süsteemi jõudlust või stabiilsust, pöörduge juhiste saamiseks viirusetõrjetarkvara tootja poole või viirusetõrjetarkvara värskendatud versiooni või sätete kohta.

Märkus Teie kolmanda osapoole viirusetõrjetarkvara tootja saab Microsofti tugimeeskonnaga koostööd teha majanduslikult mõistlike jõupingutustega.

Muudatuste ajalugu

 Järgmises tabelis on kokkuvõte selle teema olulisematest muudatustest.