Aanbevelingen voor het scannen van virussen voor Enterprise-computers waarop Windows of Windows Server (KB822158)

Het scannen van gerelateerde bestanden Windows bijwerken of automatisch bijwerken uitschakelen

• Het scannen van het Windows Databasebestand bijwerken of Automatisch bijwerken (Datastore.edb) uitschakelen. Dit bestand bevindt zich in de volgende map:

  %windir%\SoftwareDistribution\Datastore

• Het scannen van de logboekbestanden in de volgende map uitschakelen:

  %windir%\SoftwareDistribution\Datastore\Logs Sluit met name de volgende bestanden uit:

  • Edb*.jrs

  • Edb.chk

  • Tmp.edb

• Het jokerteken (*) geeft aan dat er mogelijk meerdere bestanden zijn.

Het scannen van bestanden Windows-beveiliging uitschakelen

• Voeg de volgende bestanden toe aan het pad %windir%\Security\Database van de lijst met uitsluitingen:

  • *.edb

  • *.sdb

  • *.log

  • *.chk

  • *.jrs

  • *.xml

  • *.csv

  • *.cmtx

  Opmerking Als deze bestanden niet worden uitgesloten, kan antivirussoftware de juiste toegang tot deze bestanden voorkomen en kunnen beveiligingsdatabases beschadigd raken. Als u deze bestanden scant, wordt voorkomen dat de bestanden worden gebruikt of kan een beveiligingsbeleid niet worden toegepast op de bestanden. Deze bestanden moeten niet worden gescand omdat antivirussoftware ze mogelijk niet correct behandelt als eigen databasebestanden.
  
  Dit zijn de aanbevolen uitsluitingen. Mogelijk zijn er andere bestandstypen die niet in dit artikel zijn opgenomen, die moeten worden uitgesloten.

Het scannen van groepsbeleidsgerelateerde bestanden uitschakelen

• Gebruikersregistergegevens van groepsbeleid. Deze bestanden bevinden zich in de volgende map:

  %allusersprofile%\ Sluit met name het volgende bestand uit:

  NTUser.pol

• Bestandsinstellingen voor groepsbeleidsclients. Deze bestanden bevinden zich in de volgende map:

  %SystemRoot%\System32\GroupPolicy\Machine\
  %SystemRoot%\System32\GroupPolicy\User\ Sluit met name de volgende bestanden uit:

  Register.pol
  Registry.tmp

Het scannen van gebruikersprofielbestanden uitschakelen

• Gebruikersregistergegevens en ondersteunende bestanden. De bestanden bevinden zich in de volgende map:
  
  userprofile%\

• Sluit met name de volgende bestanden uit:

  NTUser.dat*

Antivirussoftware uitvoeren op domeincontrollers

Omdat domeincontrollers een belangrijke service bieden aan clients, moet het risico op verstoring van hun activiteiten door schadelijke code, van malware of van een virus worden geminimaliseerd. Antivirussoftware is de algemeen geaccepteerde manier om het risico op infectie te beperken. Installeer en configureer antivirussoftware zodat het risico voor de domeincontroller zo veel mogelijk wordt beperkt en de prestaties zo weinig mogelijk worden beïnvloed. De volgende lijst bevat aanbevelingen om u te helpen bij het configureren en installeren van antivirussoftware op een Windows serverdomeincontroller.

Waarschuwing U wordt aangeraden de volgende opgegeven configuratie toe te passen op een testsysteem om ervoor te zorgen dat het in uw specifieke omgeving geen onverwachte factoren introduceert of de stabiliteit van het systeem in gevaar brengt. Het risico van te veel scannen is dat bestanden ongepast worden gemarkeerd als gewijzigd. Dit veroorzaakt te veel replicatie in Active Directory. Als bij het testen wordt gecontroleerd of replicatie niet wordt beïnvloed door de volgende aanbevelingen, kunt u de antivirussoftware toepassen op de productieomgeving.

Opmerking Specifieke aanbevelingen van leveranciers van antivirussoftware kunnen de aanbevelingen in dit artikel overtrof.

• Antivirussoftware moet zijn geïnstalleerd op alle domeincontrollers in de onderneming. Probeer deze software in het ideale ideale gebied te installeren op alle andere server- en clientsystemen die moeten werken met de domeincontrollers. Het is optimaal om de malware op het vroegst te vangen, bijvoorbeeld bij de firewall of bij het clientsysteem waar de malware wordt geïntroduceerd. Hiermee voorkomt u dat de malware de infrastructuursystemen bereikt waar de clients van afhankelijk zijn.

• Gebruik een versie van antivirussoftware die is ontworpen voor gebruik met Active Directory-domeincontrollers en die de juiste API's (Application Programming Interfaces) gebruikt om toegang te krijgen tot bestanden op de server. Oudere versies van de meeste software van leveranciers wijzigen de metagegevens van een bestand onjuist terwijl het bestand wordt gescand. Hierdoor herkent de engine Bestandsreplicatieservice een bestandswijziging en wordt het bestand daarom gepland voor replicatie. Nieuwere versies voorkomen dit probleem.
  Zie het volgende artikel in de Microsoft Knowledge Base voor meer informatie:

  815263Antivirus-, back-up- en schijfoptimalisatieprogramma's die compatibel zijn met de bestandsreplicatieservice

• Gebruik geen domeincontroller om op internet te bladeren of om andere activiteiten uit te voeren die schadelijke code kunnen introduceren.

• U wordt aangeraden de werkbelasting voor domeincontrollers tot een minimum te beperken. Vermijd indien mogelijk het gebruik van domeincontrollers in een bestandsserverrol. Hiermee verlaagt u de activiteit voor het scannen van virussen op bestandsaandelen en minimaliseert u de overheadprestaties.

• Plaats geen Active Directory- of FRS-database- en logboekbestanden op gecomprimeerde volumes van het NTFS-bestandssysteem.

Het scannen van Active Directory- en Active Directory-bestanden uitschakelen

• Sluit de hoofd-NTDS-databasebestanden uit. De locatie van deze bestanden wordt opgegeven in de volgende subsleutel Registr:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Database File De standaardlocatie is %windir%\Ntds. Sluit met name de volgende bestanden uit:

  Ntds.dit
  Ntds.pat

• Sluit de Active Directory-transactielogboekbestanden uit. De locatie van deze bestanden wordt opgegeven in de volgende register subsleutel:

  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path   De standaardlocatie is %windir%\Ntds. Sluit met name de volgende bestanden uit:

  • EDB*.log

  • Res*.log

  • Edb*.jrs

  • Ntds.pat

• Sluit de bestanden in de map NTDS Working uit die is opgegeven in de volgende register subsleutel:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory Sluit met name de volgende bestanden uit:

  • Temp.edb

  • Edb.chk

Scannen van SYSVOL-bestanden uitschakelen

• Het scannen van bestanden uitschakelen in de werkmap Bestandsreplicatieservice (FRS) die is opgegeven in de volgende register subsleutel:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Working Directory De standaardlocatie is %windir%\Ntfrs. Sluit de volgende bestanden uit die in de map aanwezig zijn:

  • edb.chk in de map %windir%\Ntfrs\jet\sys

  • Ntfrs.jdb in de map %windir%\Ntfrs\jet

  • *.log in de map %windir%\Ntfrs\jet\log

• Het scannen van bestanden in de FRS-databaselogboekbestanden uitschakelen die zijn opgegeven in de volgende register subsleutel:

  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\Ntfrs\Parameters\DB Log File Directory De standaardlocatie is %windir%\Ntfrs. Sluit de volgende bestanden uit.
  
  Opmerking Instellingen voor specifieke bestandsuitsluitingen wordt hier beschreven voor volledigheid. Deze mappen bieden standaard alleen toegang tot systeem en beheerders. Controleer of de juiste beveiligingen van toepassing zijn. Deze mappen bevatten alleen werkbestanden voor onderdelen voor FRS en DFSR.

  • Edb*.log (als de registersleutel niet is ingesteld)

  • FRS Working Dir\Jet\Log\Edb*.jrs

• Het scannen van de map NTFRS-staging uitschakelen, zoals is opgegeven in de volgende register subsleutel:

  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\NtFrs\Parameters\Replica Sets\GUID\Replica Set Stage Bij fasering wordt standaard de volgende locatie gebruikt:

  %systemroot%\Sysvol\Staging areas

• Het scannen van de map DFSR-staging uitschakelen, zoals is opgegeven in het msDFSR-StagingPath-kenmerk van het object CN=SYSVOL Subscription,CN=Domain System Volume,CN=DFSR-LocalSettings,CN=DomainControllerName,OU=Domain Controllers,DC=DomainName in AD DS. Dit kenmerk bevat het pad naar de werkelijke locatie die door DFS-replicatie wordt gebruikt voor het stadium van bestanden. Sluit met name de volgende bestanden uit:

  • Ntfrs_cmp*.*

  • *.frx

• Schakel het scannen van bestanden in de map Sysvol\Sysvol of de map SYSVOL_DFSR\Sysvol uit.
  
  De huidige locatie van de map Sysvol\Sysvol of SYSVOL_DFSR\Sysvol en alle submappen is het bestandssysteem dat het doel van de replicasetmap reparseert. De mappen Sysvol\Sysvol en SYSVOL_DFSR\Sysvol gebruiken standaard de volgende locaties:

  %systemroot%\Sysvol\Domain
  %systemroot%\Sysvol_DFSR\Domain

  Het pad naar de momenteel actieve SYSVOL wordt verwezen door de NETLOGON-share en kan worden bepaald door de waardenaam SysVol in de volgende subsleutel:

  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters

• Sluit de volgende bestanden uit deze map en alle submappen:

  • *.adm

  • *.admx

  • *.adml

  • Register.pol

  • Registry.tmp

  • *.aas

  • *.inf

  • Scripts.ini

  • *.ins

  • Oscfilter.ini

• Het scannen van bestanden in de map FRS Preinstall uitschakelen op de volgende locatie:

  Replica_root\DO_NOT_REMOVE_NtFrs_PreInstall_Directory De map Vooraf installeren is altijd geopend wanneer FRS wordt uitgevoerd.
  
  Sluit de volgende bestanden uit deze map en alle submappen:

  • Ntfrs*.*

• Het scannen van bestanden in de DFSR-database en werkmappen uitschakelen. De locatie wordt opgegeven met de volgende register subsleutel:

  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path In deze register subsleutel is 'Pad' het pad van een XML-bestand waarin de naam van de replicatiegroep wordt vermeld. In dit voorbeeld bevat het pad 'Domain System Volume'.
  
  De standaardlocatie is de volgende verborgen map:

  %systemdrive%\System Volume Information\DFSR Sluit de volgende bestanden uit deze map en alle submappen uit:
  
  Als een van deze mappen of bestanden wordt verplaatst of op een andere locatie wordt geplaatst, scant of sluit u het equivalente element uit.

  • $db_normal$

  • FileIDTable_*

  • SimilarityTable_*

  • *.xml

  • $db_dirty$

  • $db_clean$

  • $db_lost$

  • Dfsr.db

  • Fsr.chk

  • *.frx

  • *.log

  • Fsr*.jrs

  • Tmp.edb

Het scannen van DFS-bestanden uitschakelen

Dezelfde resources die zijn uitgesloten voor een SYSVOL-replicaset, moeten ook worden uitgesloten wanneer FRS of DFSR wordt gebruikt om aandelen te repliceren die zijn gekoppeld aan de DFS-hoofd- en koppelingsdoelen op op Windows Server 2008 R2 gebaseerde of Windows Server 2008-gebaseerde ledencomputers of domeincontrollers.

Scannen van DHCP-bestanden uitschakelen

Standaard zijn DHCP-bestanden die moeten worden uitgesloten, aanwezig in de volgende map op de server:

%systemroot%\System32\DHCP Sluit de volgende bestanden uit deze map en alle submappen uit:

• *.mdb

• *.pat

• *.log

• *.chk

• *.edb

De locatie van DHCP-bestanden kan worden gewijzigd. Als u de huidige locatie van de DHCP-bestanden op de server wilt bepalen, controleert u de parameters DatabasePath, DhcpLogFilePath en BackupDatabasePath die zijn opgegeven in de volgende registersubsleutel:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

Het scannen van DNS-bestanden uitschakelen

Dns gebruikt standaard de volgende map:

%systemroot%\System32\Dns Sluit de volgende bestanden uit deze map en alle submappen uit:

• *.log

• *.dns

• OPSTARTEN

Het scannen van WINS-bestanden uitschakelen

In WINS wordt standaard de volgende map gebruikt:

%systemroot%\System32\Wins
  Sluit de volgende bestanden uit deze map en alle submappen:

• *.chk

• *.log

• *.mdb

Voor computers met Hyper-V-versies van Windows

In sommige scenario's is het mogelijk dat u op een computer met de Hyper-V-functie op een Windows Server 2008 of op een R2-computer op basis van Microsoft Hyper-V Server 2008 de functie Hyper-V hebt geïnstalleerd of op een Microsoft Hyper-V Server 2008 of op een R2-computer van Microsoft Hyper-V Server 2008, het realtime scanonderdeel in de antivirussoftware moet configureren om bestanden en hele mappen uit te sluiten. Raadpleeg het volgende artikel in de Microsoft Knowledge Base voor meer informatie:

• 961804Virtuele machines ontbreken of foutmeldingen 0x800704C8, 0x80070037 of 0x800703E3 gebeurt wanneer u een virtuele machine probeert te starten of te maken

Volgende stappen

Als de prestaties of stabiliteit van uw systeem worden verbeterd door de aanbevelingen die in dit artikel worden gedaan, neem dan contact op met de leverancier van de antivirussoftware voor instructies of voor een bijgewerkte versie of instellingen van de antivirussoftware.

Opmerking   Uw externe antivirusleverancier kan met het CSS-team (Microsoft Customer Service and Support) samenwerken aan een commercieel redelijke inspanning.

Geschiedenis wijzigen

 In de volgende tabel worden enkele van de belangrijkste wijzigingen in dit onderwerp samengevat.