Aanbevelingen voor virusscans voor bedrijfscomputers met Windows of Windows Server (KB822158)

Van toepassing op
Windows

Opmerking

Van toepassing op:

Windows Server 2025, alle edities
Windows Server 2022, alle edities
Windows Server 2019, alle edities
Windows Server 2016, alle edities
Windows Server 2012 R2, alle edities
Windows Server 2012, alle edities
Windows 11, alle edities
Windows 10, alle edities

Inleiding

Dit artikel bevat aanbevelingen om een beheerder te helpen de oorzaak van mogelijke instabiliteit te bepalen in het volgende scenario:

Symptomen

Uw Windows- of Windows Server-computer ondervindt de volgende problemen:

  • Systeemprestaties

    • Hoog CPU-gebruik of verhoogd CPU-gebruik

      • Gebruikersmodus
      • Kernelmodus

    • Kernelgeheugen lekt

      • Niet-wisselbare pool
      • Wisselbad
      • Handvat lek

    • Traagheid

      • Bestanden kopiëren wanneer u Windows Verkenner gebruikt

        • Bestandskopie wanneer u een console-app gebruikt (bijvoorbeeld cmd.exe)

      • Back-upbewerkingen

  • Stabiliteit

    • Traagheid van toepassing

      • Toegang krijgen tot een netwerkshare of een toegewezen station
      • Tijdelijk uitblijven van reactie in Windows Verkenner

    • Fout bij toepassing

      • Toegangsfout

    • Toepassing reageert niet meer

      • Impasses

        • Remote Procedure Call (RPC)
        • Benoemde pijpen

      • Race voorwaarden

      • Geheugenlek privébytes

      • Geheugenlek voor virtuele bytes

      • Geheugenfragmentatie van virtuele bytes

  • Problemen met de betrouwbaarheid van het besturingssysteem

    • Systeem reageert niet meer (u moet een herstart forceren om te herstellen)

      • Impasses
      • Race voorwaarden
      • Voorkom lekken
      • Lekken van niet-wisselbare pool
      • Lekkages van wisselbaar zwembad

  • Stopfouten (ook wel bugcontroles genoemd)

Zie de volgende artikelen voor meer informatie:

Oplossing

Voer de volgende stappen uit voordat u antivirusuitsluitingen toevoegt:

  1. Werk de definities bij voor het antivirusprogramma van derden. Als het probleem zich blijft voordoen, dien dan een fout-positief (FP) in bij de ondersteuning van de externe antivirusleverancier.

  2. Controleer of u geen specifieke functionaliteit hebt ingesteld in een beveiligde of agressieve modus die meer van de volgende symptomen veroorzaakt:

    • Fout-positieven
    • Compatibiliteitsproblemen met toepassingen
    • Verhoogd brongebruik (bijvoorbeeld hoog CPU-gebruik (gebruikers- of kernelmodus) of hoog geheugengebruik (gebruikers- of kernelmodus)
    • Vertragingen
    • Toepassingen reageren niet meer
    • Fouten bij toepassingen
    • Niet-reagerend systeem

  3. Werk de versie van het antivirusprogramma van derden bij. Voor testdoeleinden raadpleegt u
    Het kernelmodusfilterstuurprogramma tijdelijk uitschakelen in Windows

  4. Werk samen met uw externe antivirusleverancier om het probleem verder op te lossen. Mogelijk hebt u de volgende geavanceerde gegevens nodig om het probleem te beperken:

Tijdelijke oplossing

Belangrijk Dit artikel bevat informatie over het verlagen van beveiligingsinstellingen of het tijdelijk uitschakelen van beveiligingsfuncties op een computer. U kunt deze wijzigingen aanbrengen om de aard van een specifiek probleem te begrijpen. Voordat je deze wijzigingen aanbrengt, raden we je aan de risico's te evalueren die gepaard gaan met het implementeren van deze tijdelijke oplossing in jouw specifieke omgeving. Als u deze methode implementeert, dient u extra maatregelen te nemen om de computer te beschermen.

Waarschuwing

  • Deze tijdelijke oplossing wordt niet aanbevolen. We bieden u deze informatie echter zodat u deze tijdelijke oplossing naar eigen goeddunken kunt implementeren. U gebruikt deze tijdelijke oplossing voor uw eigen risico.
  • Deze methode kan uw computer of netwerk kwetsbaarder maken bij een aanval door kwaadwillende gebruikers of schadelijke software, zoals een virus.
  • We raden u aan deze instellingen tijdelijk toe te passen om het systeemgedrag te evalueren.
  • We zijn ons bewust van het risico dat de specifieke bestanden of mappen die in dit artikel worden genoemd, worden uitgesloten van scans die worden gemaakt door uw antivirussoftware. Uw systeem is veiliger als u geen bestanden of mappen uitsluit van scans.
  • Wanneer u deze bestanden scant, kunnen er problemen optreden met de prestaties en de betrouwbaarheid van het besturingssysteem vanwege bestandsvergrendeling.
  • Sluit geen van deze bestanden uit op basis van de bestandsnaamextensie. Sluit bijvoorbeeld niet alle bestanden met de extensie .dit uit. Microsoft heeft geen controle over andere bestanden die mogelijk dezelfde extensies gebruiken als de bestanden die in dit artikel worden beschreven.
  • In dit artikel vindt u bestandsnamen en mappen die kunnen worden uitgesloten. Alle bestanden en mappen die in dit artikel worden beschreven, worden beveiligd met standaardmachtigingen om alleen SYSTEEM- en beheerderstoegang toe te staan en ze bevatten alleen onderdelen van het besturingssysteem. Het uitsluiten van een hele map is misschien eenvoudiger, maar biedt mogelijk niet zoveel bescherming als het uitsluiten van specifieke bestanden op basis van bestandsnamen.
  • Het toevoegen van antivirusuitsluitingen moet altijd het laatste redmiddel zijn als er geen andere optie haalbaar is.

Het scannen van bestanden voor Windows Update of Automatische updates uitschakelen

  • Schakel het scannen van het databasebestand voor Windows Update of Automatische updates (Datastore.edb) uit. Dit bestand bevindt zich in de volgende map:
    %windir%\SoftwareDistribution\Datastore

  • Schakel het scannen van de logboekbestanden in de volgende map uit:
    %windir%\SoftwareDistribution\Datastore\Logs

    Sluit met name de volgende bestanden uit:

    • edb*.jrs
    • Edb.chk
    • Tmp.edb

  • Het jokerteken (*) geeft aan dat er meerdere bestanden kunnen zijn.

Scannen van bestanden met Windows-beveiliging uitschakelen

  • Voeg de volgende bestanden toe aan het pad %windir%\Security\Database van de lijst met uitsluitingen:

    • *.edb
    • *.sdb
    • *.log
    • *.chk
    • *.jrs
    • *.xml
    • *.csv
    • *.cmtx

    Notitie Als deze bestanden niet worden uitgesloten, kan antivirussoftware de juiste toegang tot deze bestanden verhinderen en kunnen beveiligingsdatabases beschadigd raken. Het scannen van deze bestanden kan verhinderen dat de bestanden worden gebruikt of dat een beveiligingsbeleid wordt toegepast op de bestanden. Deze bestanden mogen niet worden gescand omdat antivirussoftware ze mogelijk niet correct behandelt als bedrijfseigen databasebestanden.

    Dit zijn de aanbevolen uitsluitingen. Het is mogelijk dat andere bestandstypen die niet in dit artikel staan en die moeten worden uitgesloten.

  • Informatie over het gebruikersregister van het groepsbeleid. Deze bestanden bevinden zich in de volgende map:
    Computer: %allusersprofile%\
         Gebruikers: %ProgramData%\Microsoft\GroupPolicy\Users\<User sid>\

    Sluit met name het volgende bestand uit:
    NTUser.pol

  • Clientinstellingenbestanden voor groepsbeleid. Deze bestanden bevinden zich in de volgende map:
    %SystemRoot%\System32\GroupPolicy\Machine\
         %SystemRoot%\System32\GroupPolicy\User\

    Sluit met name de volgende bestanden uit:
    Register.pol
         Registry.tmp

Scannen van gebruikersprofielbestanden uitschakelen

  • Informatie over het gebruikersregister en ondersteunende bestanden. De bestanden bevinden zich in de volgende map:

         %gebruikersprofiel%\

    Sluit met name de volgende bestanden uit:

         NTUser.dat*

Antivirussoftware uitvoeren op domeincontrollers

Omdat domeincontrollers een belangrijke service leveren aan klanten, moet het risico van verstoring van hun activiteiten door kwaadaardige code, malware of een virus tot een minimum worden beperkt. Antivirussoftware is de algemeen aanvaarde manier om het risico op infectie te verminderen. Installeer en configureer antivirussoftware zodat het risico voor de domeincontroller zoveel mogelijk wordt beperkt en de prestaties zo min mogelijk worden beïnvloed. De volgende lijst bevat aanbevelingen voor hulp bij het configureren en installeren van antivirussoftware op een Windows Server-domeincontroller.

Waarschuwing We raden u aan de volgende opgegeven configuratie toe te passen op een testsysteem om er zeker van te zijn dat deze configuratie in uw specifieke omgeving geen onverwachte factoren introduceert of de stabiliteit van het systeem in gevaar brengt. Het risico van te veel scannen is dat bestanden ten onrechte worden gemarkeerd als gewijzigd. Dit veroorzaakt te veel replicatie in Active Directory. Als tijdens het testen is vastgesteld dat de replicatie niet wordt beïnvloed door de volgende aanbevelingen, kunt u de antivirussoftware toepassen op de productieomgeving.

Notitie Specifieke aanbevelingen van leveranciers van antivirussoftware hebben mogelijk voorrang op de aanbevelingen in dit artikel.

  • Antivirussoftware moet worden geïnstalleerd op alle domeincontrollers in het bedrijf. Probeer bij voorkeur dergelijke software te installeren op alle andere server- en clientsystemen die moeten communiceren met de domeincontrollers. Het is optimaal om de malware in een vroeg stadium op te sporen, zoals bij de firewall of bij het clientsysteem waar de malware is geïntroduceerd. Dit voorkomt dat de malware ooit de infrastructuursystemen bereikt waarvan de clients afhankelijk zijn.
  • Gebruik antivirussoftware die is ontworpen om te werken met Active Directory-domeincontrollers en die gebruikmaakt van de juiste API's (Application Programming Interfaces) om toegang te krijgen tot bestanden op de server. Oudere versies van de software van de meeste leveranciers wijzigen de metagegevens van een bestand op ongepaste wijze terwijl het bestand wordt gescand.
  • Gebruik geen domeincontroller om te surfen op internet of andere activiteiten uit te voeren die schadelijke code kunnen introduceren.
  • We raden u aan de werkbelasting van domeincontrollers tot een minimum te beperken. Vermijd bijvoorbeeld, indien mogelijk, het gebruik van domeincontrollers in een bestandsserverfunctie. Deze procedure vermindert het scannen op bestandsshares en minimaliseert de prestatieoverhead.
  • Plaats Active Directory- en logbestanden niet op gecomprimeerde volumes van het NTFS-bestandssysteem.

  • Sluit de belangrijkste NTDS-databasebestanden uit. De locatie van deze bestanden wordt opgegeven in de volgende registersubsleutel:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Database File

    De standaardlocatie is %windir%\Ntds. Sluit met name de volgende bestanden uit:

    • Ntds.dit
    • Ntds.pat

  • De logboekbestanden van Active Directory-transacties uitsluiten. De locatie van deze bestanden wordt opgegeven in de volgende registersubsleutel:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path

    De standaardlocatie is %windir%\Ntds. Sluit met name de volgende bestanden uit:

    • EDB*.log
    • Res*.log
    • edb*.jrs
    • Ntds.pat

  • Sluit de bestanden in de NTDS-werkmap uit die in de volgende registersubsleutel is opgegeven:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory

    Sluit met name de volgende bestanden uit:

    • Temp.edb
    • Edb.chk

Scannen van SYSVOL-bestanden uitschakelen

  • Het scannen van bestanden in de map Sysvol\Sysvol of de map SYSVOL_DFSR\Sysvol uitschakelen.

    De huidige locatie van de map Sysvol\Sysvol of SYSVOL_DFSR\Sysvol en alle submappen is het reparsedoel van het bestandssysteem van de hoofdmap van de replicaset. De mappen Sysvol\Sysvol en SYSVOL_DFSR\Sysvol gebruiken standaard de volgende locaties:
    %systemroot%\Sysvol\Domain
    %systemroot%\Sysvol_DFSR\Domain
    Het pad naar het actieve SYSVOL wordt aangegeven door de NETLOGON-share en kan worden bepaald door de naam van de SysVol-waarde in de volgende subsleutel:
    HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters

  • Sluit de volgende bestanden uit van deze map en alle submappen:

    • *.adm
    • *.admx
    • *.adml
    • Register.pol
    • Registry.tmp
    • *.aas
    • *.inf
    • Scripts.ini
    • *.ins
    • Oscfilter.ini

  • Het scannen van bestanden in de DFSR-database en werkmappen uitschakelen. De locatie wordt opgegeven in de volgende registersubsleutel:
    HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path

    In deze registersubsleutel is 'Pad' het pad van een XML-bestand dat de naam van de replicatiegroep bevat. In dit voorbeeld bevat dat pad 'Domain System Volume'.

    De standaardlocatie is de volgende verborgen map:
    %systemdrive%\System Volume Information\DFSR

    Sluit de volgende bestanden uit van deze map en alle submappen:

    • $db_normal$
    • FileIDTable_*
    • SimilarityTable_*
    • *.xml
    • $db_dirty$
    • $db_clean$
    • $db_lost$
    • Dfsr.db
    • Fsr.chk
    • *.frx
    • *.log
    • fsr*.jrs
    • Tmp.edb

    Notitie Als een van deze mappen of bestanden wordt verplaatst of op een andere locatie wordt geplaatst, moet u het overeenkomstige element scannen of uitsluiten.

Scannen van DFS-bestanden uitschakelen

Dezelfde bronnen die voor een SYSVOL-replicaset zijn uitgesloten, moeten ook worden uitgesloten als DFSR wordt gebruikt voor het repliceren van shares die zijn toegewezen aan de DFS-hoofd- en koppelingsdoelen op lidcomputers of domeincontrollers van Windows Server.

Scannen van DHCP-bestanden uitschakelen

DHCP-bestanden die moeten worden uitgesloten, bevinden zich standaard in de volgende map op de server:

%systemroot%\System32\DHCP

Sluit de volgende bestanden uit van deze map en alle submappen:

  • *.mdb
  • *.pat
  • *.log
  • *.chk
  • *.edb

De locatie van DHCP-bestanden kan worden gewijzigd. Als u de huidige locatie van de DHCP-bestanden op de server wilt bepalen, controleert u de parameters DatabasePath, DhcpLogFilePath en BackupDatabasePath die zijn opgegeven in de volgende registersubsleutel:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

Scannen van DNS-bestanden uitschakelen

DNS gebruikt standaard de volgende map:

%systemroot%\System32\Dns Sluit de volgende bestanden uit van deze map en alle submappen:

  • *.log
  • *.dns
  • OPSTARTEN

Scannen van WINS-bestanden uitschakelen

WINS gebruikt standaard de volgende map:

%systemroot%\System32\Wins

Sluit de volgende bestanden uit van deze map en alle submappen:

  • *.chk
  • *.log
  • *.mdb

Voor computers met Hyper-V-versies van Windows

In sommige scenario's, op Windows Server-computers waarop de Hyper-V-functie is geïnstalleerd, kan het nodig zijn om de component voor realtime scannen in de antivirussoftware te configureren om bestanden en hele mappen uit te sluiten. Raadpleeg het volgende Knowledge Base-artikel voor meer informatie:

  • 961804 virtuele machines ontbreken of er treedt een fout 0x800704C8, 0x80070037 of 0x800703E3 op wanneer u probeert een virtuele machine te starten of te maken

Volgende stappen

Als de prestaties of stabiliteit van uw systeem zijn verbeterd door de aanbevelingen in dit artikel, neemt u contact op met de leverancier van uw antivirussoftware voor instructies of voor een bijgewerkte versie van of instellingen voor de antivirussoftware.

Notitie Uw externe antivirusleverancier kan samenwerken met het team van Microsoft Ondersteuning voor een commercieel redelijke inspanning.

Meer informatie

Serviceovereenkomst van Microsoft

Microsoft-servicesovereenkomst

Microsoft Virus Initiative

Wijzigingsoverzicht

De volgende tabel bevat een overzicht van de belangrijkste wijzigingen in dit onderwerp.

Datum Beschrijving
Augustus 17, 2021 De opmerking in de sectie 'Meer informatie' is bijgewerkt: 'Opmerking over Windows 10, Windows Server 2016 en hoger...'
dinsdag 2 november 2021 De opmerking in de sectie 'Meer informatie' is bijgewerkt: 'Dit geldt ook voor Windows Server 2012 R2...'
14 maart 2022 Herzien hele artikel. Secties 'Symptomen' en 'Oplossing' toegevoegd en de resterende inhoud opnieuw ingedeeld.
14 juli 2023 Een derde item met opsommingstekens toegevoegd in de sectie 'Inleiding'. Een sectiekop 'Symptomen' toegevoegd. De sectie 'Meer informatie' is verwijderd.
Augustus 7, 2023 Er zijn lay-outproblemen opgelost die meerdere regels samen liepen in de lijsten met uitsluitingen.
22 mei 2025 Windows Server 2008 en Windows 7 verwijderd uit 'Van toepassing op' en alle gerelateerde inhoud verwijderd. Windows Server 2025 toegevoegd aan 'Van toepassing op'. Kruisverwijzingskoppelingen bijgewerkt.