Ieteikumi par vīrusu skenēšanu Enterprise datoriem, kuros darbojas operētājsistēma Windows vai Windows Server (KB822158)

Failu skenēšanas un Windows Update atjaunināšanas izslēgšana

• Izslēdziet datora vai automātiskās Windows Update faila (Datastore.edb) skenēšanu. Šis fails atrodas šajā mapē:

       %windir%\SoftwareDistribution\Datastore

• Izslēdziet failu skenēšanu, kas atrodas šajā mapē:

       %windir%\SoftwareDistribution\Datastore\Logs
  
  Īpaši izslēdziet šos failus:

  • Edb*.jrs

  • Edb.chk

  • Tmp.edb

• Aizstājējzīme (*) norāda, ka var būt vairāki faili.

Failu skenēšanas Windows drošība izslēgšana

• Izņēmumu saraksta ceļā pievienojiet šādus failus:

  • *.edb

  • *.sdb

  • *.log

  • *.chk

  • *.jrs

  • *.xml

  • *.csv

  • *.cmtx

  Piezīme Ja šie faili netiek izslēgti, pretvīrusu programmatūra var neļaut atbilstošai piekļuvei šiem failiem, un drošības datu bāzes var kļūt bojātas. Šo failu skenēšana var neļaut izmantot failus vai arī var neļaut failiem lietot drošības politiku. Šos failus nedrīkst skenēt, jo pretvīrusu programmatūra, iespējams, tos nepareizi apstrādā kā īpašuma datu bāzes failus.
  
  Šie ir ieteicamie izņēmumi. Var būt citi failu tipi, kas nav iekļauti šajā rakstā un kuri nav jāizslēdz.

Ar grupas politika saistīto failu skenēšanas izslēgšana

• grupas politika lietotāja reģistra informāciju. Šie faili atrodas šajā mapē:

       %allusersprofile%\
  
  Izslēdziet šo failu:

       NTUser.pol

• grupas politika klienta iestatījumu failus. Šie faili atrodas šajā mapē:

       %SystemRoot%\System32\GroupPolicy\Machine\
       %SystemRoot%\System32\GroupPolicy\User\
  
  Īpaši izslēdziet šos failus:

       Registry.pol
       Registry.tmp

Lietotāja profila failu skenēšanas izslēgšana

• Lietotāja reģistra informācija un atbalsta faili. Faili atrodas šajā mapē:
  
       userprofile%\
  
  Īpaši izslēdziet šos failus:
  
       NTUser.dat*

Pretvīrusu programmatūras izmantošana domēna kontrolleros

Tā kā domēnu kontrolleri sniedz svarīgiem klientiem pakalpojumu, ir mazinātu risku, ka viņu darbības nepārtrauc ļaunprātīgs kods, ļaunprogrammatūra vai vīruss. Pretvīrusu programmatūra ir vispārēji pieņemts veids, kā samazināt inficēšanās risku. Instalējiet un konfigurējiet pretvīrusu programmatūru, lai risks ar domēna kontrolleri pēc iespējas samazinātu risku un veiktspēja tiek ietekmēta pēc iespējas mazāk. Šajā sarakstā iekļauti ieteikumi, kas palīdzēs konfigurēt un instalēt pretvīrusu programmatūru Windows Server domēna kontrollerī.

Brīdinājums Mēs iesakām testa sistēmai lietot tālāk norādīto konfigurāciju, lai pārliecinātos, ka jūsu konkrētajā vidē tas nerada neparedzētus faktorus vai kompromitēt sistēmas stabilitāti. Pārāk liela skenēšanas riski rada tas, ka faili tiek atbilstoši atzīmēti kā mainīti. Tas izraisa pārāk daudz replicēšanas pakalpojumā Active Directory. Ja pārbaudē tiek pārbaudīts, vai šo replicēšanu neietekmē tālāk sniegtie ieteikumi, varat izmantot pretvīrusu programmatūru ražošanas vidē.

Piezīme Specifiski ieteikumi no pretvīrusu programmatūras piegādātājiem var aizstāt šajā rakstā sniegtos ieteikumus.

• Pretvīrusu programmatūra ir jāinstalē visos uzņēmuma domēnu kontrolleros. Ideālā gadījumā mēģiniet instalēt šādu programmatūru visās citās serveru un klientu sistēmās, kurām ir mijiedarbojas ar domēna kontrolleriem. Ir optimāli atrast ļaunprogrammatūru agrākajā atrašanās vietā, piemēram, ugunsmūrī vai klienta sistēmā, kur ir ieviesta ļaunprogrammatūra. Tādējādi ļaunprogrammatūra sasniedz infrastruktūras sistēmas, no kurām klienti ir atkarīgi.

• Izmantojiet pretvīrusu programmatūru, kas ir paredzēta darbam ar Active Directory domēna kontrolleriem un izmanto pareizos lietojumprogrammu programmēšanas interfeisus (API), lai piekļūtu failiem serverī. Vecākas vairuma piegādātāja programmatūras versijas atbilstoši maina faila metadatus, kad fails tiek skenēts. Tādējādi failu replicēšanas pakalpojuma programma atpazīst failu izmaiņas un līdz ar to ieplāno faila replicēšanu. Jaunākas versijas novērš šo problēmu.
  Papildinformāciju skatiet šajā Microsoft zināšanu bāzes rakstā:

  815263Ar failu replicēšanas pakalpojumu saderīgas pretvīrusu, dublēšanas un diska optimizācijas programmas

• Neizmantojiet domēna kontrolleri, lai pārlūkotu internetu vai veiktu citas darbības, kas varētu ieviest ļaunprātīgu kodu.

• Mēs iesakām samazināt darba slodzes domēna kontrolleros. Ja iespējams, neizmantojiet failu servera lomā domēna kontrollerus. Tādējādi tiek samazināta vīrusu skenēšanas darbība failu koplietojumos un samazināta veiktspējas virstēriņš.

• Nelieciet Active Directory vai FRS datu bāzi un žurnālfailus NTFS failu sistēmā saspiestos sējumus.

Active Directory un ar Active Directory saistītu failu skenēšanas izslēgšana

• Neiekļaujiet galvenos NTDS datu bāzes failus. Šo failu atrašanās vieta ir norādīta ar šādu reģistra apakšatslēgu:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Database File Noklusējuma atrašanās vieta ir %windir%\Ntds. Īpaši izslēdziet šos failus:

  • Ntds.dit

  • Ntds.pat

• Neiekļaujiet Active Directory transakciju žurnālfailus. Šo failu atrašanās vieta ir norādīta ar šādu reģistra apakšatslēgu:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path Noklusējuma atrašanās vieta ir %windir%\Ntds. Īpaši izslēdziet šos failus:

  • EDB*.log

  • Res*.log

  • Edb*.jrs

  • Ntds.pat

• Izslēdziet failus no NTDS darba mapes, kas norādīta šādā reģistra apakšatslēgā:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory Īpaši izslēdziet šos failus:

  • Temp.edb

  • Edb.chk

SYSVOL failu skenēšanas izslēgšana

• Izslēdziet failu skenēšanu failu replicēšanas pakalpojuma (FRS) mapē Darbs, kas norādīta šādā reģistra apakšatslēgā:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Working Directory Noklusējuma atrašanās vieta ir %windir%\Ntfrs. Neiekļaujiet šos mapē esošos failus:

  • edb.chk mapē %windir%\Ntfrs\jet\sys

  • Ntfrs.jdb mapē %windir%\Ntfrs\jet folder

  • *.log in the %windir%\Ntfrs\jet\log folder

• Izslēdziet failu skenēšanu FRS datu bāzu žurnāla failos, kas norādīti šādā reģistra apakšatslēgā:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\Ntfrs\Parameters\DB Log File Directory Noklusējuma atrašanās vieta ir %windir%\Ntfrs. Neiekļaujiet šos failus:

  • Edb*.log (ja reģistra atslēga nav iestatīta)

  • FRS Working Dir\Jet\Log\Edb*.jrs

• PiezīmeŠeit ir dokumentēti iestatījumi konkrētiem failu izņēmumiem, lai tie būtu pilnībā. Pēc noklusējuma šīs mapes ļauj piekļūt tikai sistēmas un administratoriem. Lūdzu, pārliecinieties, vai ir spēkā pareiza aizsardzība. Šajās mapēs ir tikai komponentu darba faili FRS un DFSR.

• Izslēdziet mapes NTFRS iztrūkšanas mapi, kā norādīts šajā reģistra apakšatslēgā:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\NtFrs\Parameters\Replica Sets\GUID\Replica Set Stage Pēc noklusējuma izstādīšanas funkcija izmanto šādu atrašanās vietu:

  %systemroot%\Sysvol\Staging areas

• Izslēdziet DFSR iztrūkuma mapes skenēšanu, kā norādīts objekta CN=SYSVOL abonementa atribūta msDFSR-StagingPath,CN =Domain System Volume,CN=DFSR-LocalSettings,CN=DomainControllerName,OU=Domain Controllers,DC=DomainName AD DS. Šis atribūts ietver ceļu uz faktisko atrašanās vietu, ko DFS replicēšana izmanto posma failos. Īpaši izslēdziet šos failus:

  • Ntfrs_cmp*.*

  • *.frx

• Izslēdziet failu skenēšanu mapē Sysvol\Sysvol vai mapē SYSVOL_DFSR\Sysvol.
  
  Mapes Sysvol\Sysvol vai SYSVOL_DFSR\Sysvol pašreizējā atrašanās vieta un visas apakšmapes ir replicēšanas kopas saknes failu sistēmas mērķis. Mapes Sysvol\Sysvol un SYSVOL_DFSR\Sysvol pēc noklusējuma izmanto šādas atrašanās vietas:

  %systemroot%\Sysvol\Domain
  %systemroot%\Sysvol_DFSR\Domain

  Uz ceļu uz pašreiz aktīvo SYSVOL atsaucas NETLOGON koplietojums, un to var noteikt pēc vērtības SysVol nosaukuma šajā apakšatslēgā:

  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters

• Neiekļaujiet šajā mapē un visās tās apakšmapēs šādus failus:

  • *.adm

  • *.admx

  • *.adml

  • Registry.pol

  • Registry.tmp

  • *.aas

  • *.inf

  • Scripts.ini

  • *.ins

  • Oscfilter.ini

• Izslēdziet failu skenēšanu FRS pirminstalēšanas mapē, kas atrodas šajā atrašanās vietā:

  Replica_root\DO_NOT_REMOVE_NtFrs_PreInstall_Directory
  
  Pirminstalēšanas mape vienmēr tiek atvērta, kad darbojas FRS.
  
  Neiekļaujiet šajā mapē un visās tās apakšmapēs šādus failus:

  • Ntfrs*.*

• Izslēdziet failu skenēšanu DFSR datu bāzē un darba mapēs. Atrašanās vietu norāda šī reģistra apakšatslēga:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path Šajā reģistra apakšatslēgā "Ceļš" ir XML faila ceļš, kas norāda replicēšanas grupas nosaukumu. Šajā piemērā ceļā būtu ietverts "Domēnu sistēmas sējuma".
  
  Noklusējuma atrašanās vieta ir šāda paslēptā mape:

       %systemdrive%\System Volume Information\DFSR
  
  Neiekļaujiet šajā mapē un visās tās apakšmapēs šādus failus:

  • $db_normal$

  • FileIDTable_*

  • SimilarityTable_*

  • *.xml

  • $db_dirty$

  • $db_clean$

  • $db_lost$

  • Dfsr.db

  • Fsr.chk

  • *.frx

  • *.log

  • Fsr*.jrs

  • Tmp.edb

• Piezīme Ja kāda no šīm mapēm vai failiem tiek pārvietota vai novietota citā atrašanās vietā, skenējiet vai izslēdziet ekvivalento elementu.

DFS failu skenēšanas izslēgšana

Tie paši resursi, kas izslēgti no SYSVOL dublikāta kopas, ir jāizslēdz arī tad, ja frs vai DFSR tiek izmantots, lai replicētu koplietojumus, kas ir kartēti uz DFS sakni un saišu mērķiem attiecībā uz Windows Server 2008 R2 vai Windows Server 2008 dalībnieku datoriem vai domēnu kontrolleriem.

KARODZIŅA failu skenēšanas izslēgšana

Pēc noklusējuma DHCP faili, kuri jāizslēdz, serverī atrodas šajā mapē:

%systemroot%\System32\DHCP Neiekļaujiet šajā mapē un visās tās apakšmapēs šādus failus:

• *.mdb

• *.pat

• *.log

• *.chk

• *.edb

VARI VAR mainīt ARĪ VARI failu atrašanās vietu. Lai noteiktu FAILOS CURRENT atrašanās vietu serverī, skatiet parametrus DatabasePath,FileFilePath un BackupDatabasePath, kas norādīti šajā reģistra apakšatslēgā:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

DNS failu skenēšanas izslēgšana

Pēc noklusējuma DNS izmanto šādu mapi:

%systemroot%\System32\DNS Neiekļaujiet šajā mapē un visās tās apakšmapēs šādus failus:

• *.log

• *.dns

• BOOT

WINS failu skenēšanas izslēgšana

Pēc noklusējuma WINS izmanto šādu mapi:

     %systemroot%\System32\Wins
Neiekļaujiet šajā mapē un visās tās apakšmapēs šādus failus:

• *.chk

• *.log

• *.mdb

Datoriem, kuros darbojas Windows Hyper-V versijas

Dažos gadījumos Windows Server 2008 datorā, kurā ir instalēta Hyper-V loma vai Microsoft Hyper-V Server 2008 vai Microsoft Hyper-V Server 2008 R2 datorā, var būt nepieciešams konfigurēt pretvīrusu programmatūras reāllaika skenēšanas komponentu, lai izslēgtu failus un visas mapes. Papildinformāciju skatiet šajā Microsoft zināšanu bāzes rakstā:

• 961804Mēģinot startēt vai izveidot virtuālo mašīnu, trūkst 0x800704C8, 0x80070037 vai 0x800703E3 kļūda vai rodas kļūda

Nākamās darbības

Ja jūsu sistēmas veiktspēja vai stabilitāte ir uzlabota, izmantojot šajā rakstā sniegtos ieteikumus, sazinieties ar savas pretvīrusu programmatūras ražotāju, lai saņemtu norādījumus vai saņemtu atjauninātu pretvīrusu programmatūras versiju vai iestatījumus.

Piezīme Jūsu trešās puses pretvīrusu aizsardzības piegādātājs var sadarboties ar Microsoft atbalsta komandu, lai ieguldītu komerciāli saprātīgas pūles.

Izmaiņu vēsture

 Šajā tabulā apkopotas dažas no svarīgākajām šīs tēmas izmaiņām.