คําแนะนําในการตรวจหาไวรัสสําหรับคอมพิวเตอร์องค์กรที่ใช้ Windows หรือ Windows Server (KB822158)

ปิดการสแกนของ Windows Update หรือไฟล์การอัปเดตอัตโนมัติ

• ปิดการสแกนของไฟล์ฐานข้อมูล Windows Update หรือการอัปเดตอัตโนมัติ (Datastore.edb) ไฟล์นี้จะอยู่ในโฟลเดอร์ต่อไปนี้:

       %windir%\SoftwareDistribution\Datastore

• ปิดการสแกนไฟล์บันทึกที่อยู่ในโฟลเดอร์ต่อไปนี้:

       %windir%\SoftwareDistribution\Datastore\Logs
  
  โดยเฉพาะอย่างยิ่ง ไม่รวมไฟล์ต่อไปนี้:

  • Edb*.jrs

  • Edb.chk

  • Tmp.edb

• อักขระตัวแทน (*) ระบุว่าอาจมีหลายไฟล์

ปิดการสแกนไฟล์การรักษาความปลอดภัยของ Windows

• เพิ่มแฟ้มต่อไปนี้ใน %windir%\Security\Database path of the exclusions list:

  • *.edb

  • *.sdb

  • * บันทึก

  • *.chk

  • *.jrs

  • *.xml

  • *.csv

  • *.cmtx

  หมายเหตุ ถ้าไม่รวมไฟล์เหล่านี้ ซอฟต์แวร์ป้องกันไวรัสอาจป้องกันการเข้าถึงไฟล์เหล่านี้อย่างเหมาะสม และฐานข้อมูลความปลอดภัยอาจเสียหายได้ การสแกนแฟ้มเหล่านี้สามารถป้องกันไม่ให้มีการใช้แฟ้ม หรืออาจป้องกันไม่ให้มีการใช้นโยบายความปลอดภัยกับแฟ้ม ไม่ควรสแกนไฟล์เหล่านี้เนื่องจากซอฟต์แวร์ป้องกันไวรัสอาจถือว่าเป็นไฟล์ฐานข้อมูลที่เป็นกรรมสิทธิ์ไม่ถูกต้อง
  
  รายการเหล่านี้เป็นข้อยกเว้นที่แนะนํา อาจมีไฟล์ชนิดอื่นๆ ที่ไม่รวมอยู่ในบทความนี้ที่ไม่ควรถูกแยกออก

ปิดการสแกนไฟล์ที่เกี่ยวข้องกับนโยบายกลุ่ม

• นโยบายกลุ่มข้อมูลรีจิสทรีของผู้ใช้ ไฟล์เหล่านี้จะอยู่ในโฟลเดอร์ต่อไปนี้:

       %allusersprofile%\
  
  โดยเฉพาะอย่างยิ่ง ไม่รวมไฟล์ต่อไปนี้:

       NTUser.pol

• นโยบายกลุ่มไฟล์การตั้งค่าไคลเอ็นต์ ไฟล์เหล่านี้จะอยู่ในโฟลเดอร์ต่อไปนี้:

       %SystemRoot%\System32\GroupPolicy\Machine\
       %SystemRoot%\System32\GroupPolicy\User\
  
  โดยเฉพาะอย่างยิ่ง ไม่รวมไฟล์ต่อไปนี้:

       Registry.pol
       Registry.tmp

ปิดการสแกนไฟล์โปรไฟล์ผู้ใช้

• ข้อมูลรีจิสทรีของผู้ใช้และไฟล์การสนับสนุน ไฟล์จะอยู่ในโฟลเดอร์ต่อไปนี้:
  
       userprofile%\
  
  โดยเฉพาะอย่างยิ่ง ไม่รวมไฟล์ต่อไปนี้:
  
       Ntuser.dat*

การเรียกใช้ซอฟต์แวร์ป้องกันไวรัสบนตัวควบคุมโดเมน

เนื่องจากตัวควบคุมโดเมนให้บริการที่สําคัญกับไคลเอ็นต์ จึงต้องลดความเสี่ยงในการหยุดชะงักของกิจกรรมจากรหัสที่เป็นอันตราย จากมัลแวร์ หรือจากไวรัสให้เหลือน้อยที่สุด ซอฟต์แวร์ป้องกันไวรัสเป็นวิธีที่ได้รับการยอมรับโดยทั่วไปเพื่อลดความเสี่ยงในการติดไวรัส ติดตั้งและกําหนดค่าซอฟต์แวร์ป้องกันไวรัสเพื่อให้ความเสี่ยงต่อตัวควบคุมโดเมนลดลงมากที่สุดเท่าที่จะเป็นไปได้ และประสิทธิภาพการทํางานจะได้รับผลกระทบน้อยที่สุดเท่าที่จะเป็นไปได้ รายการต่อไปนี้มีคําแนะนําเพื่อช่วยให้คุณกําหนดค่าและติดตั้งซอฟต์แวร์ป้องกันไวรัสบนตัวควบคุมโดเมน Windows Server

คำ เตือน เราขอแนะนําให้คุณใช้การกําหนดค่าที่ระบุต่อไปนี้กับระบบทดสอบ เพื่อให้แน่ใจว่าระบบของคุณจะไม่ทําให้เกิดปัจจัยที่ไม่คาดคิดหรือทําให้ความเสถียรของระบบลดลง ความเสี่ยงจากการสแกนมากเกินไปคือไฟล์ถูกตั้งค่าสถานะอย่างไม่เหมาะสมเมื่อมีการเปลี่ยนแปลง ซึ่งทําให้เกิดการจําลองแบบมากเกินไปใน Active Directory ถ้าการทดสอบตรวจสอบว่าการจําลองแบบไม่ได้รับผลกระทบจากคําแนะนําต่อไปนี้ คุณสามารถใช้ซอฟต์แวร์ป้องกันไวรัสกับสภาพแวดล้อมการผลิตได้

หมาย เหตุ คําแนะนําเฉพาะจากผู้จําหน่ายซอฟต์แวร์ป้องกันไวรัสอาจใช้แทนคําแนะนําในบทความนี้

• ซอฟต์แวร์ป้องกันไวรัสต้องได้รับการติดตั้งบนตัวควบคุมโดเมนทั้งหมดในองค์กร ควรลองติดตั้งซอฟต์แวร์ดังกล่าวบนเซิร์ฟเวอร์อื่นและระบบไคลเอ็นต์ทั้งหมดที่ต้องโต้ตอบกับตัวควบคุมโดเมน การตรวจจับมัลแวร์ที่จุดแรกสุดเช่นที่ไฟร์วอลล์หรือที่ระบบไคลเอ็นต์ที่มีมัลแวร์นั้นเหมาะสมที่สุด วิธีนี้จะป้องกันไม่ให้มัลแวร์เข้าถึงระบบโครงสร้างพื้นฐานที่ไคลเอ็นต์ใช้

• ใช้ซอฟต์แวร์ป้องกันไวรัสเวอร์ชันที่ออกแบบมาเพื่อทํางานกับตัวควบคุมโดเมน Active Directory และใช้ Application Programming Interfaces (API) ที่ถูกต้องเพื่อเข้าถึงไฟล์บนเซิร์ฟเวอร์ ซอฟต์แวร์ของผู้จําหน่ายส่วนใหญ่เวอร์ชันเก่าจะเปลี่ยนแปลงเมตาดาต้าของไฟล์อย่างไม่เหมาะสมเมื่อมีการสแกนไฟล์ ซึ่งทําให้กลไกจัดการ File Replication Service จดจําการเปลี่ยนแปลงไฟล์ ดังนั้นจึงจัดกําหนดการไฟล์สําหรับการจําลองแบบ เวอร์ชันที่ใหม่กว่าป้องกันปัญหานี้ได้
  สําหรับข้อมูลเพิ่มเติม โปรดดูบทความต่อไปนี้ใน Microsoft Knowledge Base:

  815263โปรแกรมป้องกันไวรัส การสํารองข้อมูล และการปรับดิสก์ให้เหมาะสมซึ่งเข้ากันได้กับบริการการจําลองแบบไฟล์

• อย่าใช้ตัวควบคุมโดเมนเพื่อเรียกดูอินเทอร์เน็ตหรือทํากิจกรรมอื่นๆ ที่อาจทําให้เกิดรหัสที่เป็นอันตราย

• เราขอแนะนําให้คุณลดปริมาณงานบนตัวควบคุมโดเมนให้เหลือน้อยที่สุด เมื่อเป็นไปได้ ให้หลีกเลี่ยงการใช้ตัวควบคุมโดเมนในบทบาทเซิร์ฟเวอร์ไฟล์ ซึ่งจะช่วยลดกิจกรรมการสแกนไวรัสในการแชร์ไฟล์และลดค่าใช้จ่ายด้านประสิทธิภาพ

• อย่าวางฐานข้อมูล Active Directory หรือ FRS และบันทึกไฟล์ในไดรฟ์ข้อมูลบีบอัดของระบบไฟล์ NTFS

ปิดการสแกนของ Active Directory และไฟล์ที่เกี่ยวข้องกับ Active Directory

• ยกเว้นไฟล์ฐานข้อมูล NTDS หลัก ตําแหน่งที่ตั้งของแฟ้มเหล่านี้ระบุไว้ในคีย์ย่อยของรีจิสทรีต่อไปนี้:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Database File ตําแหน่งที่ตั้งเริ่มต้นคือ %windir%\Ntds โดยเฉพาะอย่างยิ่ง ไม่รวมไฟล์ต่อไปนี้:

  • Ntds.dit

  • Ntds.pat

• ไม่รวมไฟล์บันทึกทรานแซคชันของ Active Directory ตําแหน่งที่ตั้งของแฟ้มเหล่านี้ระบุไว้ในคีย์ย่อยของรีจิสทรีต่อไปนี้:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path ตําแหน่งที่ตั้งเริ่มต้นคือ %windir%\Ntds โดยเฉพาะอย่างยิ่ง ไม่รวมไฟล์ต่อไปนี้:

  • EDB*.log

  • Res*.log

  • Edb*.jrs

  • Ntds.pat

• แยกไฟล์ในโฟลเดอร์ NTDS Working ที่ระบุในคีย์ย่อยของรีจิสทรีต่อไปนี้:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory โดยเฉพาะอย่างยิ่ง ไม่รวมไฟล์ต่อไปนี้:

  • Temp.edb

  • Edb.chk

ปิดการสแกนไฟล์ SYSVOL

• ปิดการสแกนไฟล์ในโฟลเดอร์การทํางานของ File Replication Service (FRS) ที่ระบุในคีย์ย่อยของรีจิสทรีต่อไปนี้:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Working Directory ตําแหน่งที่ตั้งเริ่มต้นคือ %windir%\Ntfrs ไม่รวมไฟล์ต่อไปนี้ที่มีอยู่ในโฟลเดอร์:

  • edb.chk ในโฟลเดอร์ %windir%\Ntfrs\jet\sys

  • Ntfrs.jdb ในโฟลเดอร์ %windir%\Ntfrs\jet

  • *.log ในโฟลเดอร์ %windir%\Ntfrs\jet\log

• ปิดการสแกนไฟล์ในไฟล์บันทึกของฐานข้อมูล FRS ที่ระบุในคีย์ย่อยของรีจิสทรีต่อไปนี้:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\Ntfrs\Parameters\DB Log File Directory ตําแหน่งที่ตั้งเริ่มต้นคือ %windir%\Ntfrs ไม่รวมไฟล์ต่อไปนี้:

  • Edb*.log (หากไม่ได้ตั้งค่ารีจิสทรีคีย์)

  • FRS Working Dir\Jet\Log\Edb*.jrs

• หมาย เหตุการตั้งค่าสําหรับการยกเว้นไฟล์ที่ระบุจะแสดงไว้ที่นี่เพื่อความสมบูรณ์ ตามค่าเริ่มต้น โฟลเดอร์เหล่านี้อนุญาตให้เข้าถึงได้เฉพาะผู้ดูแลระบบและผู้ดูแลระบบเท่านั้น โปรดตรวจสอบว่าการป้องกันที่ถูกต้องมีผลใช้งาน โฟลเดอร์เหล่านี้มีเฉพาะไฟล์การทํางานคอมโพเนนต์สําหรับ FRS และ DFSR เท่านั้น

• ปิดการสแกนโฟลเดอร์การจัดเตรียม NTFRS ตามที่ระบุไว้ในคีย์ย่อยของรีจิสทรีต่อไปนี้:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\NtFrs\Parameters\Replica Sets\GUID\Replica Set Stage ตามค่าเริ่มต้น การจัดเตรียมจะใช้ตําแหน่งที่ตั้งต่อไปนี้:

  %systemroot%\Sysvol\Staging areas

• ปิดการสแกนโฟลเดอร์การจัดเตรียม DFSR ตามที่ระบุไว้ในแอตทริบิวต์ msDFSR-StagingPath ของวัตถุ CN=การสมัครใช้งาน SYSVOL,CN=Domain System Volume,CN=DFSR-LocalSettings,CN=DomainControllerName,OU=Domain Controllers,DC=DomainName ใน AD DS แอตทริบิวต์นี้มีเส้นทางไปยังตําแหน่งที่ตั้งจริงที่การจําลองแบบ DFS ใช้เพื่อจัดลําดับขั้นไฟล์ โดยเฉพาะอย่างยิ่ง ไม่รวมไฟล์ต่อไปนี้:

  • Ntfrs_cmp*.*

  • * Frx

• ปิดการสแกนไฟล์ในโฟลเดอร์ Sysvol\Sysvol หรือโฟลเดอร์ SYSVOL_DFSR\Sysvol
  
  ตําแหน่งที่ตั้งปัจจุบันของโฟลเดอร์ Sysvol\Sysvol หรือ SYSVOL_DFSR\Sysvol และโฟลเดอร์ย่อยทั้งหมดคือเป้าหมายการแยกวิเคราะห์ระบบแฟ้มของรากชุดแบบจําลองใหม่ โฟลเดอร์ Sysvol\Sysvol และ SYSVOL_DFSR\Sysvol ใช้ตําแหน่งที่ตั้งต่อไปนี้ตามค่าเริ่มต้น:

  %systemroot%\Sysvol\Domain
  %systemroot%\Sysvol_DFSR\Domain

  เส้นทางไปยัง SYSVOL ที่ใช้งานอยู่ในปัจจุบันถูกอ้างอิงโดยการใช้ NETLOGON ร่วมกัน และสามารถกําหนดโดยชื่อค่า SysVol ในคีย์ย่อยต่อไปนี้:

  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters

• ไม่รวมไฟล์ต่อไปนี้จากโฟลเดอร์นี้และโฟลเดอร์ย่อยทั้งหมด:

  • * Adm

  • *.admx

  • *.adml

  • Registry.pol

  • Registry.tmp

  • *.aas

  • * Inf

  • Scripts.ini

  • * แฟชั่น

  • Oscfilter.ini

• ปิดการสแกนไฟล์ในโฟลเดอร์ FRS Preinstall ที่อยู่ในตําแหน่งที่ตั้งต่อไปนี้:

  Replica_root\DO_NOT_REMOVE_NtFrs_PreInstall_Directory
  
  โฟลเดอร์ติดตั้งล่วงหน้าจะเปิดเสมอเมื่อ FRS กําลังทํางานอยู่
  
  ไม่รวมไฟล์ต่อไปนี้จากโฟลเดอร์นี้และโฟลเดอร์ย่อยทั้งหมด:

  • Ntfrs* *

• ปิดการสแกนไฟล์ในฐานข้อมูล DFSR และโฟลเดอร์การทํางาน ตําแหน่งที่ตั้งจะถูกระบุโดยซับคีย์รีจิสทรีต่อไปนี้:

  
  
  HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path ในซับคีย์รีจิสทรีนี้ "เส้นทาง" คือเส้นทางของไฟล์ XML ที่ระบุชื่อของกลุ่มการจําลองแบบ ในตัวอย่างนี้ เส้นทางจะมี "ไดรฟ์ข้อมูลระบบโดเมน"
  
  ตําแหน่งที่ตั้งเริ่มต้นคือโฟลเดอร์ที่ซ่อนไว้ต่อไปนี้:

       %systemdrive%\System Volume Information\DFSR
  
  ไม่รวมไฟล์ต่อไปนี้จากโฟลเดอร์นี้และโฟลเดอร์ย่อยทั้งหมด:

  • $db_normal$

  • FileIDTable_*

  • SimilarityTable_*

  • *.xml

  • $db_dirty$

  • $db_clean$

  • $db_lost$

  • Dfsr.db

  • Fsr.chk

  • * Frx

  • * บันทึก

  • Fsr*.jrs

  • Tmp.edb

• หมายเหตุ หากโฟลเดอร์หรือไฟล์ใดไฟล์หนึ่งเหล่านี้ถูกย้ายหรือวางลงในตําแหน่งอื่น ให้สแกนหรือไม่รวมองค์ประกอบที่เทียบเท่ากัน

ปิดการสแกนไฟล์ DFS

ทรัพยากรเดียวกันที่ถูกแยกออกสําหรับชุดแบบจําลอง SYSVOL จะต้องถูกแยกออกเมื่อใช้ FRS หรือ DFSR เพื่อจําลองแบบการใช้ร่วมกันที่แมปไปยังราก DFS และเป้าหมายการเชื่อมโยงบน Windows Server 2008 R2 หรือคอมพิวเตอร์สมาชิกที่ใช้ Windows Server 2008 หรือตัวควบคุมโดเมน

ปิดการสแกนไฟล์ DHCP

ตามค่าเริ่มต้น ไฟล์ DHCP ที่ควรแยกออกจะมีอยู่ในโฟลเดอร์ต่อไปนี้บนเซิร์ฟเวอร์:

%systemroot%\System32\DHCP ไม่รวมแฟ้มต่อไปนี้จากโฟลเดอร์นี้และโฟลเดอร์ย่อยทั้งหมด:

• * Mdb

• * Pat

• * บันทึก

• *.chk

• *.edb

สามารถเปลี่ยนตําแหน่งที่ตั้งของไฟล์ DHCP ได้ เมื่อต้องการระบุตําแหน่งที่ตั้งปัจจุบันของไฟล์ DHCP บนเซิร์ฟเวอร์ ให้ตรวจสอบพารามิเตอร์ DatabasePath, DhcpLogFilePath และ BackupDatabasePath ที่ระบุในคีย์ย่อยของรีจิสทรีต่อไปนี้:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters

ปิดการสแกนไฟล์ DNS

ตามค่าเริ่มต้น DNS จะใช้โฟลเดอร์ต่อไปนี้

%systemroot%\System32\Dns ไม่รวมแฟ้มต่อไปนี้จากโฟลเดอร์นี้และโฟลเดอร์ย่อยทั้งหมด:

• * บันทึก

• * Dns

• บูต

ปิดการสแกนไฟล์ WINS

ตามค่าเริ่มต้น WINS จะใช้โฟลเดอร์ต่อไปนี้:

     %systemroot%\System32\Wins
ไม่รวมไฟล์ต่อไปนี้จากโฟลเดอร์นี้และโฟลเดอร์ย่อยทั้งหมด:

• *.chk

• * บันทึก

• * Mdb

สําหรับคอมพิวเตอร์ที่ใช้ Windows รุ่นที่ใช้ Hyper-V

ในบางสถานการณ์ บนคอมพิวเตอร์ที่ใช้ Windows Server 2008 ที่ติดตั้งบทบาท Hyper-V หรือบน Microsoft Hyper-V Server 2008 หรือในคอมพิวเตอร์ที่ใช้ Microsoft Hyper-V Server 2008 R2 คุณอาจจําเป็นต้องกําหนดค่าคอมโพเนนต์การสแกนแบบเรียลไทม์ภายในซอฟต์แวร์ป้องกันไวรัสเพื่อแยกไฟล์และโฟลเดอร์ทั้งหมด สําหรับข้อมูลเพิ่มเติม โปรดดูบทความต่อไปนี้ใน Microsoft Knowledge Base:

• 961804เครื่องเสมือนหายไป หรือเกิดข้อผิดพลาด 0x800704C8 0x80070037 หรือ 0x800703E3 เมื่อคุณพยายามเริ่มต้นหรือสร้างเครื่องเสมือน

ขั้นตอนต่อไป

หากประสิทธิภาพหรือความเสถียรของระบบดีขึ้นตามคําแนะนําที่ให้ไว้ในบทความนี้ ให้ติดต่อผู้จําหน่ายซอฟต์แวร์ป้องกันไวรัสของคุณเพื่อขอคําแนะนําหรือสําหรับเวอร์ชันหรือการตั้งค่าซอฟต์แวร์ป้องกันไวรัสที่อัปเดตแล้ว

หมายเหตุ ผู้จําหน่ายโปรแกรมป้องกันไวรัสของบริษัทภายนอกของคุณสามารถทํางานร่วมกับทีมสนับสนุนของ Microsoft ด้วยความพยายามที่สมเหตุสมผลในเชิงพาณิชย์

การเปลี่ยนแปลงประวัติ

 ตารางต่อไปนี้สรุปการเปลี่ยนแปลงที่สําคัญที่สุดบางรายการในหัวข้อนี้