Priporočila za iskanje virusov v računalnikih v podjetjih s sistemom Windows ali Windows Server (KB822158)

Izklop pregledovanja datotek storitve Windows Update ali samodejnega posodabljanja

• Izklopite pregledovanje datoteke zbirke podatkov storitve Windows Update ali samodejne posodobitve (Datastore.edb). Ta datoteka je v tej mapi:

       %windir%\SoftwareDistribution\Datastore

• Izklopite pregledovanje dnevniških datotek, ki so v tej mapi:

       %windir%\SoftwareDistribution\Datastore\Logs
  
  Izključite te datoteke:

  • Edb*.jrs

  • Edb.chk

  • Tmp.edb

• Nadomestni znak (*) pomeni, da je morda več datotek.

Izklop pregledovanja Varnost sistema Windows datotek

• Dodajte te datoteke na pot %windir%\Security\Database seznama izključitev:

  • *.Edb

  • *.Sdb

  • *.Dnevnik

  • *.Chk

  • *.jrs

  • *.xml

  • *.csv

  • *.cmtx

  Opomba Če te datoteke niso izključene, lahko protivirusna programska oprema prepreči ustrezen dostop do teh datotek in varnostne zbirke podatkov se lahko poškodujejo. Pregled teh datotek lahko prepreči uporabo datotek ali prepreči uporabo varnostnega pravilnika za datoteke. Teh datotek ne bi bilo treba pregledati, ker jih protivirusna programska oprema morda ne bo pravilno obravnavala kot lastniške datoteke zbirke podatkov.
  
  To so priporočene izključitve. Obstajajo lahko tudi druge vrste datotek, ki niso vključene v ta članek in bi jih bilo treba izključiti.

Izklop pregledovanja pravilnik skupine povezanih datotek

• pravilnik skupine o uporabniškem registru. Te datoteke so v tej mapi:

       %allusersprofile%\
  
  Izključite to datoteko:

       NTUser.pol

• pravilnik skupine datoteke z nastavitvami odjemalca. Te datoteke so v tej mapi:

       %SystemRoot%\System32\GroupPolicy\Machine\
       %SystemRoot%\System32\GroupPolicy\User\
  
  Izključite te datoteke:

       Registry.pol
       Registry.tmp

Izklop pregledovanja datotek uporabniškega profila

• Informacije o uporabniškem registru in podporne datoteke. Datoteke so v tej mapi:
  
       userprofile%\
  
  Izključite te datoteke:
  
       Ntuser.dat*

Izvajanje protivirusne programske opreme v krmilnikih domene

Ker krmilniki domene odjemalcem zagotavljajo pomembno storitev, je treba zmanjšati tveganje motenj njihovih dejavnosti zaradi zlonamerne kode, zlonamerne programske opreme ali virusa. Protivirusna programska oprema je splošno sprejet način za zmanjšanje tveganja okužbe. Namestite in konfigurirajte protivirusno programsko opremo, tako da se tveganje za krmilnik domene čim bolj zmanjša, učinkovitost delovanja pa čim manj vpliva na učinkovitost delovanja. Na spodnjem seznamu so priporočila, s katerimi lahko konfigurirate in namestite protivirusno programsko opremo v krmilnik domene strežnika Windows Server.

Opozorilo Priporočamo, da za preskusni sistem uporabite navedeno konfiguracijo in se tako prepričate, da v vašem okolju ne predstavlja nepričakovanih dejavnikov ali ogrozi stabilnost sistema. Preveliko število pregledovanja lahko pomeni, da so datoteke neprimerno označena kot spremenjene. To povzroči preveč podvajanja v imeniku Active Directory. Če preskušanje preveri, da spodnja priporočila ne vplivajo na podvajanje, lahko uporabite protivirusno programsko opremo v proizvodnem okolju.

Opomba Posebna priporočila ponudnikov protivirusne programske opreme lahko nadomeščajo priporočila v tem članku.

• Protivirusna programska oprema mora biti nameščena v vseh krmilnikih domene v podjetju. V idealnem razdelku poskusite namestiti takšno programsko opremo v vse druge strežniške in odjemalske sisteme, ki so morali komunicirati s krmilniki domene. Optimalno je, da zlonamerno programsko opremo ujamete v najzgodnejši fazi, na primer v požarnem zidu ali v odjemalskem sistemu, v katerem je bila zlonamerna programska oprema uvedena. Zlonamerni programski opremi tako preprečite, da bi kdaj dosegla sisteme infrastrukture, od katere so odvisni odjemalci.

• Uporabite različico protivirusne programske opreme, ki je zasnovana za delo s krmilniki domene imenika Active Directory in ki za dostop do datotek v strežniku uporablja ustrezne API-je (Application Programming Interfaces). Starejše različice programske opreme večine ponudnikov pri pregledovanju datoteke neprimerno spremenijo metapodatke datoteke. To povzroči, da mehanizem storitve za podvajanje datotek prepozna spremembo datoteke in zato načrtuje datoteko za podvajanje. Novejše različice preprečujejo to težavo.
  Če želite več informacij, glejte naslednji članek v Microsoftovi zbirki znanja:

  815263Protivirusni programi, programi za varnostno kopiranje in optimizacijo diska, ki so združljivi s storitvijo za podvajanje datotek

• S krmilnikom domene ne brskajte po internetu ali izvajajte drugih dejavnosti, ki lahko uvedejo zlonamerno kodo.

• Priporočamo, da zmanjšate delovne obremenitve v krmilnikih domene. Če je mogoče, se izogibajte uporabi krmilnikov domene v vlogi datotenega strežnika. S tem zmanjšate učinkovitost delovanja protivirusnega pregledovanja v datote poštnih mapah in zmanjšate učinkovitost delovanja.

• Ne stisnite zbirke podatkov imenika Active Directory ali FRS in dnevniških datotek na stisnjene nosilce datotečnega sistema NTFS.

Izklop pregledovanja datotek, povezanih z imenikom Active Directory in imenikom Active Directory

• Izključite datoteke zbirke podatkov Main NTDS. Mesto teh datotek je določeno v tem registrskem podključu:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Database File Privzeto mesto je %windir%\Ntds. Izključite te datoteke:

  • Ntds.dit

  • Ntds.pat

• Izključite datoteke transakcijskih dnevnikov imenika Active Directory. Mesto teh datotek je določeno v tem registrskem podključu:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path Privzeto mesto je %windir%\Ntds. Izključite te datoteke:

  • EDB*.log

  • Res*.log

  • Edb*.jrs

  • Ntds.pat

• Izključite datoteke v delovni mapi NTDS, ki je določena v tem registrskem podključu:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory Izključite te datoteke:

  • Temp.edb

  • Edb.chk

Izklop pregledovanja datotek SYSVOL

• Izklopite pregledovanje datotek v delovni mapi FRS (File Replication Service), ki je določena v tem registrskem podključu:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Working Directory Privzeto mesto je %windir%\Ntfrs. Izključite te datoteke, ki obstajajo v mapi:

  • edb.chk v mapi %windir%\Ntfrs\jet\sys

  • Ntfrs.jdb v mapi %windir%\Ntfrs\jet

  • *.log in the %windir%\Ntfrs\jet\log folder

• Izklopite pregledovanje datotek v datotekah dnevnika zbirke podatkov FRS, ki so določene v tem registrskem podključu:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\Ntfrs\Parameters\DB Log File Directory Privzeto mesto je %windir%\Ntfrs. Izključite te datoteke:

  • Edb*.log (če registrski ključ ni nastavljen)

  • FRS Working Dir\Jet\Log\Edb*.jrs

• OpombaNastavitve za določene izjeme datotek so tukaj navedene zaradi popolnosti. Te mape privzeto omogočajo dostop le do sistema in skrbnikov. Preverite, ali so v veljati pravilne zaščite. V teh mapah so le datoteke, ki delujejo s komponentami za FRS in DFSR.

• Izklopite pregledovanje mape za spajanje NTFRS, kot je določeno v tem registrskem podključu:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\NtFrs\Parameters\Replica Sets\GUID\Replica Set Stage Priprava privzeto uporablja to mesto:

  %systemroot%\Sysvol\Območja za odskočno napravo

• Izklopite pregledovanje mape s pripravo DFSR, kot je določeno v atributu msDFSR-StagingPath predmeta CN=SYSVOL Subscription,CN=Domain System Volume,CN=DFSR-LocalSettings,CN=DomainControllerName,OU=Domain Controllers,DC=DomainName v AD DS. Ta atribut vsebuje pot do dejanskega mesta, ki ga replikacija DFS uporablja za datoteke stopnje. Izključite te datoteke:

  • Ntfrs_cmp*.*

  • *.frx

• Izklopite pregledovanje datotek v mapi Sysvol\Sysvol ali mapi SYSVOL_DFSR\Sysvol.
  
  Trenutno mesto mape Sysvol\Sysvol ali SYSVOL_DFSR\Sysvol in vseh podmap je cilj ponovnega ločevanja datoteičnega sistema korena nabora replik. Mapa Sysvol\Sysvol in SYSVOL_DFSR\Sysvol privzeto uporabljata ta mesta:

  %systemroot%\Sysvol\Domain
  %systemroot%\Sysvol_DFSR\Domain

  Na pot do trenutno aktivne funkcije SYSVOL se sklicuje skupna raba NETLOGON in jo je mogoče določiti z imenom vrednosti SysVol v tem podključu:

  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters

• Iz te mape in vse njene podmape izključite te datoteke:

  • *.Adm

  • *.Admx

  • *.adml

  • Registry.pol

  • Registry.tmp

  • *.Aas

  • *.Inf

  • Scripts.ini

  • *.Ins

  • Oscfilter.ini

• Izklopite pregledovanje datotek v mapi FRS Preinstall, ki je na tem mestu:

  Replica_root\DO_NOT_REMOVE_NtFrs_PreInstall_Directory
  
  Mapa Vnaprej nameščena je vedno odprta, ko se izvaja FRS.
  
  Iz te mape in vse njene podmape izključite te datoteke:

  • Ntfrs*.*

• Izklopite pregledovanje datotek v zbirki podatkov DFSR in službenih mapah. Mesto je določeno s tem registrskem podključem:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path V tem registrskem podključu je »Pot« pot datoteke XML, ki določa ime skupine replikacij. V tem primeru bi pot vsebovala »Domain System Volume« (Nosilec sistema domene).
  
  Privzeto mesto je ta skrita mapa:

       %systemdrive%\Informacije o nosilcu sistema\DFSR
  
  Iz te mape in vse njene podmape izključite te datoteke:

  • $db_normal$

  • FileIDTable_*

  • SimilarityTable_*

  • *.xml

  • $db_dirty$

  • $db_clean$

  • $db_lost$

  • Dfsr.db

  • Fsr.chk

  • *.frx

  • *.Dnevnik

  • Fsr*.jrs

  • Tmp.edb

• Opomba Če katero od teh map ali datotek premaknete ali prestavite na drugo mesto, preglejte ali izključite ustrezni element.

Izklop pregledovanja datotek DFS

Isti viri, ki so izključeni za množico dvojnikov SYSVOL, morajo biti izključeni tudi, če se FRS ali DFSR uporablja za podvajanje datotek v skupni rabi, preslikanih v koren sistema DFS, in za povezovanje ciljev v sistemih Windows Server 2008 R2 ali Windows Server 2008 v računalnikih ali krmilnikih domene, ki temeljijo na sistemu Windows Server 2008.

Izklop pregledovanja datotek DHCP

Privzeto so datoteke DHCP, ki jih je treba izključiti, prisotne v tej mapi v strežniku:

%systemroot%\System32\DHCP Iz te mape in vseh podmap izključite te datoteke:

• *.Mdb

• *.Pat

• *.Dnevnik

• *.Chk

• *.Edb

Mesto datotek DHCP je mogoče spremeniti. Če želite določiti trenutno mesto datotek DHCP v strežniku, preverite parametre DatabasePath, DhcpLogFilePath in BackupDatabasePath , ki so določeni v tem registrskem podključu:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

Izklop pregledovanja datotek DNS

Zapis DNS privzeto uporablja to mapo:

%systemroot%\System32\Dns Izključi te datoteke iz te mape in vseh njenih podmap:

• *.Dnevnik

• *.Dns

• ŠKORENJ

Izklop pregledovanja datotek WINS

Wins privzeto uporablja to mapo:

     %systemroot%\System32\Wins
Iz te mape in vse njene podmape izključite te datoteke:

• *.Chk

• *.Dnevnik

• *.Mdb

Za računalnike, v katerih se izvajajo različice sistema Windows, ki temeljijo na funkciji Hyper-V

V nekaterih primerih je v računalniku s sistemom Windows Server 2008, v katerem je nameščena vloga Hyper-V ali v strežniku Microsoft Hyper-V Server 2008 ali računalniku s sistemom Microsoft Hyper-V Server 2008 R2, morda treba konfigurirati komponento sproti pregledovanja v protivirusni programski opremi, da izključi datoteke in celotne mape. Če želite več informacij, glejte naslednji članek v Microsoftovi zbirki znanja:

• 961804Navidezni računalniki manjkajo ali pa pride do 0x800704C8, 0x80070037 ali 0x800703E3, ko poskusite zagnati ali ustvariti navidezni računalnik

Naslednji koraki

Če so učinkovitost delovanja ali stabilnost sistema izboljšana s priporočili v tem članku, se za navodila ali posodobljeno različico ali nastavitve protivirusne programske opreme obrnite na prodajalca protivirusne programske opreme.

Opomba Vaš neodvisni ponudnik protivirusnih programov lahko s skupino za Microsoftovo podporo dela na komercialno razumnih prizadevanjih.

Zgodovina sprememb

 V spodnji tabeli so povzete nekatere najpomembnejše spremembe v tej temi.