Aanbevelingen voor virusscans voor bedrijfscomputers met Windows of Windows Server (KB822158)

Scannen van Windows Update- of automatisch bijwerken van bestanden uitschakelen

• Schakel het scannen van het databasebestand Windows Update of Automatisch bijwerken (Datastore.edb) uit. Dit bestand bevindt zich in de volgende map:

       %windir%\SoftwareDistribution\Datastore

• Schakel het scannen uit van de logboekbestanden die zich in de volgende map bevinden:

       %windir%\SoftwareDistribution\Datastore\Logs
  
  Sluit met name de volgende bestanden uit:

  • Edb*.jrs

  • Edb.chk

  • Tmp.edb

• Het jokerteken (*) geeft aan dat er mogelijk meerdere bestanden zijn.

Scannen van Windows-beveiliging bestanden uitschakelen

• Voeg de volgende bestanden toe aan het pad %windir%\Security\Database van de lijst met uitsluitingen:

  • *.Edb

  • *.Sdb

  • *.Log

  • *.Chk

  • *.Jrs

  • *.xml

  • *.csv

  • *.cmtx

  Opmerking Als deze bestanden niet worden uitgesloten, kan antivirussoftware de juiste toegang tot deze bestanden verhinderen en kunnen beveiligingsdatabases beschadigd raken. Het scannen van deze bestanden kan voorkomen dat de bestanden worden gebruikt of kan voorkomen dat een beveiligingsbeleid wordt toegepast op de bestanden. Deze bestanden moeten niet worden gescand omdat antivirussoftware ze mogelijk niet correct behandelt als eigen databasebestanden.
  
  Dit zijn de aanbevolen uitsluitingen. Mogelijk zijn er andere bestandstypen die niet zijn opgenomen in dit artikel die moeten worden uitgesloten.

Scannen van groepsbeleid-gerelateerde bestanden uitschakelen

• groepsbeleid gebruikersregistergegevens. Deze bestanden bevinden zich in de volgende map:

       %allusersprofile%\
  
  Sluit met name het volgende bestand uit:

       NTUser.pol

• groepsbeleid clientinstellingenbestanden. Deze bestanden bevinden zich in de volgende map:

       %SystemRoot%\System32\GroupPolicy\Machine\
       %SystemRoot%\System32\GroupPolicy\User\
  
  Sluit met name de volgende bestanden uit:

       Registry.pol
       Registry.tmp

Scannen van gebruikersprofielbestanden uitschakelen

• Gebruikersregistergegevens en ondersteunende bestanden. De bestanden bevinden zich in de volgende map:
  
       userprofile%\
  
  Sluit met name de volgende bestanden uit:
  
       NTUser.dat*

Antivirussoftware uitvoeren op domeincontrollers

Omdat domeincontrollers een belangrijke service bieden aan clients, moet het risico van onderbreking van hun activiteiten door schadelijke code, malware of een virus worden geminimaliseerd. Antivirussoftware is de algemeen geaccepteerde manier om het risico op infectie te verminderen. Installeer en configureer antivirussoftware, zodat het risico voor de domeincontroller zoveel mogelijk wordt beperkt en de prestaties zo min mogelijk worden beïnvloed. De volgende lijst bevat aanbevelingen voor het configureren en installeren van antivirussoftware op een Windows Server-domeincontroller.

Waarschuwing U wordt aangeraden de volgende opgegeven configuratie toe te passen op een testsysteem om ervoor te zorgen dat dit in uw specifieke omgeving geen onverwachte factoren introduceert of de stabiliteit van het systeem in gevaar brengt. Het risico van te veel scannen is dat bestanden ten onrechte worden gemarkeerd als gewijzigd. Dit veroorzaakt te veel replicatie in Active Directory. Als het testen controleert of de replicatie niet wordt beïnvloed door de volgende aanbevelingen, kunt u de antivirussoftware toepassen op de productieomgeving.

Opmerking Specifieke aanbevelingen van leveranciers van antivirussoftware kunnen de aanbevelingen in dit artikel vervangen.

• Antivirussoftware moet worden geïnstalleerd op alle domeincontrollers in de onderneming. Probeer in het ideale land dergelijke software te installeren op alle andere server- en clientsystemen die moeten communiceren met de domeincontrollers. Het is optimaal om de malware op het vroegste punt te vangen, zoals bij de firewall of op het clientsysteem waar de malware wordt geïntroduceerd. Dit voorkomt dat de malware ooit de infrastructuursystemen bereikt waar de clients van afhankelijk zijn.

• Gebruik een versie van antivirussoftware die is ontworpen voor gebruik met Active Directory-domeincontrollers en die gebruikmaakt van de juiste Api's (Application Programming Interfaces) voor toegang tot bestanden op de server. Oudere versies van de meeste software van de leverancier wijzigen de metagegevens van een bestand op ongepaste wijze wanneer het bestand wordt gescand. Dit zorgt ervoor dat de File Replication Service-engine een bestandswijziging herkent en daarom het bestand voor replicatie plant. Nieuwere versies voorkomen dit probleem.
  Zie het volgende artikel in de Microsoft Knowledge Base voor meer informatie:

  815263Antivirus-, back-up- en schijfoptimalisatieprogramma's die compatibel zijn met de File Replication-service

• Gebruik een domeincontroller niet om op internet te surfen of andere activiteiten uit te voeren die schadelijke code kunnen veroorzaken.

• We raden u aan de workloads op domeincontrollers te minimaliseren. Vermijd indien mogelijk het gebruik van domeincontrollers in een bestandsserverfunctie. Dit vermindert de virusscanactiviteit op bestandsshares en minimaliseert de prestatieoverhead.

• Plaats geen Active Directory- of FRS-database- en logboekbestanden op gecomprimeerde volumes van het NTFS-bestandssysteem.

Scannen van Active Directory- en Active Directory-gerelateerde bestanden uitschakelen

• Sluit de Hoofd-NTDS-databasebestanden uit. De locatie van deze bestanden wordt opgegeven in de volgende registersubsleutel:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Database File De standaardlocatie is %windir%\Ntds. Sluit met name de volgende bestanden uit:

  • Ntds.dit

  • Ntds.pat

• Sluit de Active Directory-transactielogboekbestanden uit. De locatie van deze bestanden wordt opgegeven in de volgende registersubsleutel:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path De standaardlocatie is %windir%\Ntds. Sluit met name de volgende bestanden uit:

  • EDB*.log

  • Res*.log

  • Edb*.jrs

  • Ntds.pat

• Sluit de bestanden uit in de NTDS-werkmap die is opgegeven in de volgende registersubsleutel:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory Sluit met name de volgende bestanden uit:

  • Temp.edb

  • Edb.chk

Scannen van SYSVOL-bestanden uitschakelen

• Schakel het scannen van bestanden in de bestandsreplicatieservice (FRS) -werkmap uit die is opgegeven in de volgende registersubsleutel:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Working Directory De standaardlocatie is %windir%\Ntfrs. Sluit de volgende bestanden uit die zich in de map bevinden:

  • edb.chk in de map %windir%\Ntfrs\jet\sys

  • Ntfrs.jdb in de map %windir%\Ntfrs\jet

  • *.log in de map %windir%\Ntfrs\jet\log

• Schakel het scannen uit van bestanden in de FRS-databaselogboekbestanden die zijn opgegeven in de volgende registersubsleutel:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\Ntfrs\Parameters\DB Log File Directory De standaardlocatie is %windir%\Ntfrs. Sluit de volgende bestanden uit:

  • Edb*.log (als de registersleutel niet is ingesteld)

  • FRS Working Dir\Jet\Log\Edb*.jrs

• OpmerkingInstellingen voor specifieke bestandsuitsluitingen worden hier beschreven voor volledigheid. Deze mappen bieden standaard alleen toegang tot systeembeheerders en beheerders. Controleer of de juiste beveiligingen van kracht zijn. Deze mappen bevatten alleen werkbestanden voor onderdelen voor FRS en DFSR.

• Schakel het scannen van de map NTFRS Staging uit, zoals opgegeven in de volgende registersubsleutel:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\NtFrs\Parameters\Replica Sets\GUID\Replica Set Stage Standaard gebruikt fasering de volgende locatie:

  %systemroot%\Sysvol\Staging-gebieden

• Schakel het scannen van de map DFSR Staging uit zoals opgegeven in het kenmerk msDFSR-StagingPath van het object CN=SYSVOL Subscription,CN=Domain System Volume,CN=DFSR-LocalSettings,CN=DomainControllerName,OU=Domain Controllers,DC=DomainName in AD DS. Dit kenmerk bevat het pad naar de werkelijke locatie die DFS-replicatie gebruikt om bestanden te fasen. Sluit met name de volgende bestanden uit:

  • Ntfrs_cmp*.*

  • *.Frx

• Schakel het scannen van bestanden in de map Sysvol\Sysvol of de map SYSVOL_DFSR\Sysvol uit.
  
  De huidige locatie van de map Sysvol\Sysvol of SYSVOL_DFSR\Sysvol en alle submappen is het reparsedoel van het bestandssysteem van de hoofdmap van de replicaset. De mappen Sysvol\Sysvol en SYSVOL_DFSR\Sysvol gebruiken standaard de volgende locaties:

  %systemroot%\Sysvol\Domain
  %systemroot%\Sysvol_DFSR\Domain

  Het pad naar de actieve SYSVOL wordt verwezen door de NETLOGON-share en kan worden bepaald door de naam van de SysVol-waarde in de volgende subsleutel:

  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters

• Sluit de volgende bestanden uit deze map en alle bijbehorende submappen:

  • *.Adm

  • *.Admx

  • *.adml

  • Registry.pol

  • Registry.tmp

  • *.aas

  • *.Inf

  • Scripts.ini

  • *.Ins

  • Oscfilter.ini

• Schakel het scannen van bestanden uit in de map FRS Preinstall die zich op de volgende locatie bevindt:

  Replica_root\DO_NOT_REMOVE_NtFrs_PreInstall_Directory
  
  De map Vooraf installeren is altijd geopend wanneer FRS wordt uitgevoerd.
  
  Sluit de volgende bestanden uit deze map en alle bijbehorende submappen:

  • Ntfrs*.*

• Schakel het scannen van bestanden in de DFSR-database en werkmappen uit. De locatie wordt opgegeven met de volgende registersubsleutel:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path In deze registersubsleutel is 'Pad' het pad van een XML-bestand met de naam van de replicatiegroep. In dit voorbeeld bevat het pad 'Domain System Volume'.
  
  De standaardlocatie is de volgende verborgen map:

       %systemdrive%\System Volume Information\DFSR
  
  Sluit de volgende bestanden uit deze map en alle bijbehorende submappen:

  • $db_normal$

  • FileIDTable_*

  • SimilarityTable_*

  • *.xml

  • $db_dirty$

  • $db_clean$

  • $db_lost$

  • Dfsr.db

  • Fsr.chk

  • *.Frx

  • *.Log

  • Fsr*.jrs

  • Tmp.edb

• Opmerking Als een van deze mappen of bestanden wordt verplaatst of op een andere locatie wordt geplaatst, scant of sluit u het equivalente element uit.

Scannen van DFS-bestanden uitschakelen

Dezelfde resources die zijn uitgesloten voor een SYSVOL-replicaset moeten ook worden uitgesloten wanneer FRS of DFSR wordt gebruikt voor het repliceren van shares die zijn toegewezen aan de DFS-hoofdmap en koppelingsdoelen op Windows Server 2008 R2-gebaseerde of Windows Server 2008-gebaseerde lidcomputers of domeincontrollers.

Scannen van DHCP-bestanden uitschakelen

DHCP-bestanden die moeten worden uitgesloten, zijn standaard aanwezig in de volgende map op de server:

%systemroot%\System32\DHCP Sluit de volgende bestanden uit deze map en alle bijbehorende submappen:

• *.Mdb

• *.Pat

• *.Log

• *.Chk

• *.Edb

De locatie van DHCP-bestanden kan worden gewijzigd. Als u de huidige locatie van de DHCP-bestanden op de server wilt bepalen, controleert u de parameters DatabasePath, DhcpLogFilePath en BackupDatabasePath die zijn opgegeven in de volgende registersubsleutel:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

Scannen van DNS-bestanden uitschakelen

DNS gebruikt standaard de volgende map:

%systemroot%\System32\Dns Sluit de volgende bestanden uit deze map en alle bijbehorende submappen:

• *.Log

• *.Dns

• OPSTARTEN

Scannen van WINS-bestanden uitschakelen

WINS gebruikt standaard de volgende map:

     %systemroot%\System32\Wins
Sluit de volgende bestanden uit deze map en alle bijbehorende submappen:

• *.Chk

• *.Log

• *.Mdb

Voor computers met Hyper-V-versies van Windows

In sommige scenario's, op een computer met Windows Server 2008 waarop de Hyper-V-functie is geïnstalleerd of op een Microsoft Hyper-V Server 2008 of op een computer met Microsoft Hyper-V Server 2008 R2, kan het nodig zijn om het realtime scannen onderdeel in de antivirussoftware te configureren om bestanden en volledige mappen uit te sluiten. Zie het volgende artikel in de Microsoft Knowledge Base voor meer informatie:

• 961804Virtuele machines ontbreken of er wordt een fout 0x800704C8, 0x80070037 of 0x800703E3 treedt op wanneer u probeert een virtuele machine te starten of te maken

Volgende stappen

Als de prestaties of stabiliteit van uw systeem worden verbeterd door de aanbevelingen in dit artikel, neemt u contact op met de leverancier van uw antivirussoftware voor instructies of voor een bijgewerkte versie of instellingen van de antivirussoftware.

Opmerking Uw externe antivirusleverancier kan met het Microsoft Ondersteuning team werken aan commercieel redelijke inspanningen.

Wijzigingsoverzicht

 De volgende tabel bevat een overzicht van enkele van de belangrijkste wijzigingen in dit onderwerp.