คําแนะนําในการตรวจหาไวรัสสําหรับคอมพิวเตอร์องค์กรที่ใช้ Windows หรือ Windows Server (KB822158)

ปิดการสแกนไฟล์ Windows Update หรือการอัปเดตอัตโนมัติ

• ปิดการสแกนไฟล์ฐานข้อมูล Windows Update หรือการอัปเดตอัตโนมัติ (Datastore.edb) ไฟล์นี้จะอยู่ในโฟลเดอร์ต่อไปนี้:

       %windir%\SoftwareDistribution\Datastore

• ปิดการสแกนไฟล์บันทึกที่อยู่ในโฟลเดอร์ต่อไปนี้:

       %windir%\SoftwareDistribution\Datastore\Logs
  
  โดยเฉพาะอย่างยิ่ง ไม่รวมไฟล์ต่อไปนี้:

  • Edb*.jrs

  • Edb.chk

  • Tmp.edb

• อักขระตัวแทน (*) ระบุว่าอาจมีหลายไฟล์

ปิดการสแกนไฟล์ความปลอดภัยของ Windows

• เพิ่มแฟ้มต่อไปนี้ใน %windir%\Security\Database path of the exclusions list:

  • *.edb

  • *.sdb

  • * ซุง

  • *.chk

  • *.jrs

  • *.xml

  • *.csv

  • *.cmtx

  หมายเหตุ ถ้าไม่รวมไฟล์เหล่านี้ ซอฟต์แวร์ป้องกันไวรัสอาจป้องกันการเข้าถึงไฟล์เหล่านี้อย่างเหมาะสม และฐานข้อมูลความปลอดภัยอาจเสียหายได้ การสแกนแฟ้มเหล่านี้สามารถป้องกันไม่ให้มีการใช้แฟ้ม หรืออาจป้องกันไม่ให้มีการใช้นโยบายความปลอดภัยกับแฟ้ม ไม่ควรสแกนไฟล์เหล่านี้เนื่องจากซอฟต์แวร์ป้องกันไวรัสอาจถือว่าเป็นไฟล์ฐานข้อมูลที่เป็นกรรมสิทธิ์ไม่ถูกต้อง
  
  รายการเหล่านี้เป็นข้อยกเว้นที่แนะนํา อาจมีไฟล์ชนิดอื่นๆ ที่ไม่รวมอยู่ในบทความนี้ที่ไม่ควรถูกแยกออก

ปิดการสแกนไฟล์ที่เกี่ยวข้องกับนโยบายกลุ่ม

• นโยบายกลุ่มข้อมูลรีจิสทรีของผู้ใช้ ไฟล์เหล่านี้จะอยู่ในโฟลเดอร์ต่อไปนี้:

       คอมพิวเตอร์: %allusersprofile%\
       ผู้ใช้: %ProgramData%\Microsoft\GroupPolicy\Users\<User Sid>\
  
  โดยเฉพาะอย่างยิ่ง ไม่รวมไฟล์ต่อไปนี้:

       NTUser.pol

• นโยบายกลุ่มไฟล์การตั้งค่าไคลเอ็นต์ ไฟล์เหล่านี้จะอยู่ในโฟลเดอร์ต่อไปนี้:

       %SystemRoot%\System32\GroupPolicy\Machine\
       %SystemRoot%\System32\GroupPolicy\User\
  
  โดยเฉพาะอย่างยิ่ง ไม่รวมไฟล์ต่อไปนี้:

       Registry.pol
       Registry.tmp

ปิดการสแกนไฟล์โปรไฟล์ผู้ใช้

• ข้อมูลรีจิสทรีของผู้ใช้และไฟล์การสนับสนุน ไฟล์จะอยู่ในโฟลเดอร์ต่อไปนี้:
  
       %userprofile%\
  
  โดยเฉพาะอย่างยิ่ง ไม่รวมไฟล์ต่อไปนี้:
  
       NTUser.dat*

การเรียกใช้ซอฟต์แวร์ป้องกันไวรัสบนตัวควบคุมโดเมน

เนื่องจากตัวควบคุมโดเมนให้บริการที่สําคัญกับไคลเอ็นต์ จึงต้องลดความเสี่ยงในการหยุดชะงักของกิจกรรมจากรหัสที่เป็นอันตราย จากมัลแวร์ หรือจากไวรัสให้เหลือน้อยที่สุด ซอฟต์แวร์ป้องกันไวรัสเป็นวิธีที่ได้รับการยอมรับโดยทั่วไปเพื่อลดความเสี่ยงในการติดไวรัส ติดตั้งและกําหนดค่าซอฟต์แวร์ป้องกันไวรัสเพื่อให้ความเสี่ยงต่อตัวควบคุมโดเมนลดลงมากที่สุดเท่าที่จะเป็นไปได้ และประสิทธิภาพการทํางานจะได้รับผลกระทบน้อยที่สุดเท่าที่จะเป็นไปได้ รายการต่อไปนี้มีคําแนะนําเพื่อช่วยให้คุณกําหนดค่าและติดตั้งซอฟต์แวร์ป้องกันไวรัสบนตัวควบคุมโดเมน Windows Server

คำเตือน เราขอแนะนําให้คุณใช้การกําหนดค่าที่ระบุต่อไปนี้กับระบบทดสอบเพื่อให้แน่ใจว่า ในสภาพแวดล้อมเฉพาะของคุณ การกําหนดค่านี้ไม่ทําให้เกิดปัจจัยที่ไม่คาดคิดหรือทําให้ความเสถียรของระบบลดลง ความเสี่ยงจากการสแกนมากเกินไปคือไฟล์ถูกตั้งค่าสถานะอย่างไม่เหมาะสมเมื่อมีการเปลี่ยนแปลง ซึ่งทําให้เกิดการจําลองแบบมากเกินไปใน Active Directory ถ้าการทดสอบตรวจสอบว่าการจําลองแบบไม่ได้รับผลกระทบจากคําแนะนําต่อไปนี้ คุณสามารถใช้ซอฟต์แวร์ป้องกันไวรัสกับสภาพแวดล้อมการผลิตได้

โน้ต คําแนะนําเฉพาะจากผู้จําหน่ายซอฟต์แวร์ป้องกันไวรัสอาจใช้แทนคําแนะนําในบทความนี้

• ซอฟต์แวร์ป้องกันไวรัสต้องได้รับการติดตั้งบนตัวควบคุมโดเมนทั้งหมดในองค์กร ควรลองติดตั้งซอฟต์แวร์ดังกล่าวบนเซิร์ฟเวอร์อื่นและระบบไคลเอ็นต์ทั้งหมดที่ต้องโต้ตอบกับตัวควบคุมโดเมน การตรวจจับมัลแวร์ที่จุดแรกสุดเช่นที่ไฟร์วอลล์หรือที่ระบบไคลเอ็นต์ที่มีมัลแวร์นั้นเหมาะสมที่สุด วิธีนี้จะป้องกันไม่ให้มัลแวร์เข้าถึงระบบโครงสร้างพื้นฐานที่ไคลเอ็นต์ใช้

• ใช้เวอร์ชันของซอฟต์แวร์ป้องกันไวรัสที่ออกแบบมาเพื่อทํางานกับตัวควบคุมโดเมน Active Directory และใช้ Application Programming Interfaces (API) ที่ถูกต้องเพื่อเข้าถึงไฟล์บนเซิร์ฟเวอร์ ซอฟต์แวร์ของผู้จําหน่ายส่วนใหญ่เวอร์ชันเก่าจะเปลี่ยนแปลงเมตาดาต้าของไฟล์อย่างไม่เหมาะสมเมื่อมีการสแกนไฟล์

• อย่าใช้ตัวควบคุมโดเมนเพื่อเรียกดูอินเทอร์เน็ตหรือทํากิจกรรมอื่นๆ ที่อาจทําให้เกิดรหัสที่เป็นอันตราย

• เราขอแนะนําให้คุณลดปริมาณงานบนตัวควบคุมโดเมนให้เหลือน้อยที่สุด ตัวอย่างเช่น เมื่อเป็นไปได้ ให้หลีกเลี่ยงการใช้ตัวควบคุมโดเมนในบทบาทเซิร์ฟเวอร์ไฟล์ วิธีปฏิบัตินี้จะลดกิจกรรมการตรวจหาไวรัสในการแชร์ไฟล์ และลดค่าใช้จ่ายด้านประสิทธิภาพการทํางาน

• อย่าใส่ Active Directory และแฟ้มบันทึกในไดรฟ์ข้อมูลที่บีบอัดของระบบแฟ้ม NTFS

ปิดการสแกนของ Active Directory และไฟล์ที่เกี่ยวข้องกับ Active Directory

• ยกเว้นไฟล์ฐานข้อมูล NTDS หลัก ตําแหน่งที่ตั้งของแฟ้มเหล่านี้ระบุไว้ในคีย์ย่อยของรีจิสทรีต่อไปนี้:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Database File ตําแหน่งที่ตั้งเริ่มต้นคือ %windir%\Ntds โดยเฉพาะอย่างยิ่ง ไม่รวมไฟล์ต่อไปนี้:

  • Ntds.dit

  • Ntds.pat

• ไม่รวมไฟล์บันทึกทรานแซคชันของ Active Directory ตําแหน่งที่ตั้งของแฟ้มเหล่านี้ระบุไว้ในคีย์ย่อยของรีจิสทรีต่อไปนี้:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path ตําแหน่งที่ตั้งเริ่มต้นคือ %windir%\Ntds โดยเฉพาะอย่างยิ่ง ไม่รวมไฟล์ต่อไปนี้:

  • EDB*.log

  • Res*.log

  • Edb*.jrs

  • Ntds.pat

• แยกไฟล์ในโฟลเดอร์ NTDS Working ที่ระบุในคีย์ย่อยของรีจิสทรีต่อไปนี้:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory โดยเฉพาะอย่างยิ่ง ไม่รวมไฟล์ต่อไปนี้:

  • Temp.edb

  • Edb.chk

ปิดการสแกนไฟล์ SYSVOL

• ปิดการสแกนไฟล์ในโฟลเดอร์ Sysvol\Sysvol หรือโฟลเดอร์ SYSVOL_DFSR\Sysvol
  
  ตําแหน่งที่ตั้งปัจจุบันของโฟลเดอร์ Sysvol\Sysvol หรือ SYSVOL_DFSR\Sysvol และโฟลเดอร์ย่อยทั้งหมดคือเป้าหมายการแยกวิเคราะห์ระบบแฟ้มของรากชุดแบบจําลองใหม่ โฟลเดอร์ Sysvol\Sysvol และ SYSVOL_DFSR\Sysvol ใช้ตําแหน่งที่ตั้งต่อไปนี้ตามค่าเริ่มต้น:

  %systemroot%\Sysvol\Domain
  %systemroot%\Sysvol_DFSR\Domain

  เส้นทางไปยัง SYSVOL ที่ใช้งานอยู่ในปัจจุบันถูกอ้างอิงโดยการใช้ NETLOGON ร่วมกัน และสามารถกําหนดโดยชื่อค่า SysVol ในคีย์ย่อยต่อไปนี้:

  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters

• ไม่รวมไฟล์ต่อไปนี้จากโฟลเดอร์นี้และโฟลเดอร์ย่อยทั้งหมด:

  • *.adm

  • *.admx

  • *.adml

  • Registry.pol

  • Registry.tmp

  • *.aas

  • *.inf

  • Scripts.ini

  • * แฟชั่น

  • Oscfilter.ini

• ปิดการสแกนไฟล์ในฐานข้อมูล DFSR และโฟลเดอร์การทํางาน ระบุตําแหน่งที่ตั้งในคีย์ย่อยของรีจิสทรีต่อไปนี้:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path ในซับคีย์รีจิสทรีนี้ "Path" คือเส้นทางของไฟล์ XML ที่มีชื่อของกลุ่มการจําลองแบบ ในตัวอย่างนี้ เส้นทางจะมี "ไดรฟ์ข้อมูลระบบโดเมน"
  
  ตําแหน่งที่ตั้งเริ่มต้นคือโฟลเดอร์ที่ซ่อนไว้ต่อไปนี้:

       %systemdrive%\System Volume Information\DFSR
  
  ไม่รวมไฟล์ต่อไปนี้จากโฟลเดอร์นี้และโฟลเดอร์ย่อยทั้งหมด:

  • $db_normal$

  • FileIDTable_*

  • SimilarityTable_*

  • *.xml

  • $db_dirty$

  • $db_clean$

  • $db_lost$

  • Dfsr.db

  • Fsr.chk

  • *.frx

  • * ซุง

  • Fsr*.jrs

  • Tmp.edb

  หมายเหตุ หากโฟลเดอร์หรือไฟล์ใดไฟล์หนึ่งเหล่านี้ถูกย้ายหรือวางลงในตําแหน่งอื่น ให้สแกนหรือไม่รวมองค์ประกอบที่เทียบเท่ากัน

ปิดการสแกนไฟล์ DFS

ทรัพยากรเดียวกันที่ถูกแยกออกสําหรับชุดแบบจําลอง SYSVOL จะต้องถูกแยกออกถ้าใช้ DFSR เพื่อจําลองแบบการใช้ร่วมกันที่แมปไปยังราก DFS และเป้าหมายการเชื่อมโยงบนคอมพิวเตอร์สมาชิก Windows Server หรือตัวควบคุมโดเมน

ปิดการสแกนไฟล์ DHCP

ตามค่าเริ่มต้น ไฟล์ DHCP ที่ควรแยกออกจะมีอยู่ในโฟลเดอร์ต่อไปนี้บนเซิร์ฟเวอร์:

     %systemroot%\System32\DHCP

ไม่รวมไฟล์ต่อไปนี้จากโฟลเดอร์นี้และโฟลเดอร์ย่อยทั้งหมด:

• *.mdb

• * ตบ

• * ซุง

• *.chk

• *.edb

สามารถเปลี่ยนตําแหน่งที่ตั้งของไฟล์ DHCP ได้ เมื่อต้องการระบุตําแหน่งที่ตั้งปัจจุบันของไฟล์ DHCP บนเซิร์ฟเวอร์ ให้ตรวจสอบพารามิเตอร์ DatabasePath, DhcpLogFilePath และ BackupDatabasePath ที่ระบุในคีย์ย่อยของรีจิสทรีต่อไปนี้:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

ปิดการสแกนไฟล์ DNS

ตามค่าเริ่มต้น DNS จะใช้โฟลเดอร์ต่อไปนี้

%systemroot%\System32\Dns ไม่รวมแฟ้มต่อไปนี้จากโฟลเดอร์นี้และโฟลเดอร์ย่อยทั้งหมด:

• * ซุง

• *.dns

• บู๊ต

ปิดการสแกนไฟล์ WINS

ตามค่าเริ่มต้น WINS จะใช้โฟลเดอร์ต่อไปนี้:

     %systemroot%\System32\Wins

ไม่รวมไฟล์ต่อไปนี้จากโฟลเดอร์นี้และโฟลเดอร์ย่อยทั้งหมด:

• *.chk

• * ซุง

• *.mdb

สําหรับคอมพิวเตอร์ที่ใช้ Windows รุ่นที่ใช้ Hyper-V

ในบางสถานการณ์ บนคอมพิวเตอร์ Windows Server ที่ติดตั้งบทบาท Hyper-V อาจจําเป็นต้องกําหนดค่าคอมโพเนนต์การสแกนแบบเรียลไทม์ภายในซอฟต์แวร์ป้องกันไวรัสเพื่อแยกไฟล์และโฟลเดอร์ทั้งหมด สําหรับข้อมูลเพิ่มเติม ให้ดูบทความฐานความรู้ต่อไปนี้:

• 961804เครื่องเสมือนหายไป หรือเกิดข้อผิดพลาด 0x800704C8 0x80070037 หรือ 0x800703E3 เมื่อคุณพยายามเริ่มต้นหรือสร้างเครื่องเสมือน

ขั้นตอนต่อไป

ถ้าประสิทธิภาพหรือความเสถียรของระบบดีขึ้นตามคําแนะนําที่ให้ไว้ในบทความนี้ ให้ติดต่อผู้จําหน่ายซอฟต์แวร์ป้องกันไวรัสของคุณเพื่อขอคําแนะนําหรือสําหรับเวอร์ชันหรือการตั้งค่าที่อัปเดตสําหรับซอฟต์แวร์ป้องกันไวรัส

หมายเหตุ ผู้จําหน่ายโปรแกรมป้องกันไวรัสของบริษัทภายนอกของคุณสามารถทํางานร่วมกับทีมสนับสนุนของ Microsoft ด้วยความพยายามอย่างสมเหตุสมผลในเชิงพาณิชย์

การเปลี่ยนแปลงประวัติ

 ตารางต่อไปนี้สรุปการเปลี่ยนแปลงที่สําคัญที่สุดในหัวข้อนี้