注意
适用于：
Windows Server 2025，所有版本
Windows Server 2022，所有版本
Windows Server 2019（所有版本）
Windows Server 2016，所有版本
Windows Server 2012 R2 所有版本
Windows Server 2012 所有版本
Windows 11，所有版本
Windows 10，所有版本
简介
本文包含的建议可帮助管理员在下列情况中确定可能存在的不稳定问题的原因：
此问题发生在运行“适用于”部分中列出的 Windows 或 Windows Server 版本的计算机上。
本地系统与 Active Directory 域环境或托管业务环境中的防病毒软件一起使用。
如果使用 Microsoft Defender 防病毒，则本文中提到的部分或所有建议的排除项可能是内置或由自动排除项提供的。 有关详细信息，请参阅以下文章：
症状
你的运行 Windows 或 Windows Server 的计算机出现以下问题：
系统性能
高 CPU 使用率或 CPU 使用率增加
- 用户模式
- 内核模式
内核内存泄漏
- 非分页池
- 分页池
- 句柄泄漏
运行缓慢
使用 Windows 资源管理器时的文件复制
- 使用控制台应用程序时的文件复制（例如，cmd.exe）
备份操作
稳定性
应用程序运行缓慢
- 访问网络共享或映射驱动器
- Windows 资源管理器暂时没有响应
应用程序失败
- 访问冲突
应用程序停止响应
死锁
- 远程过程调用 (RPC)
- 命名管道
竞态条件
专用字节内存泄漏
虚拟字节内存泄漏
虚拟字节内存碎片
操作系统可靠性问题
系统停止响应（必须强制重启才能恢复）
- 死锁
- 竞态条件
- 句柄泄漏
- 非分页池泄漏
- 分页池泄漏
停止错误（也称为错误检查）
有关详细信息，请参阅以下文章：
解决方法
在添加防病毒排除项之前，请执行以下步骤：
更新第三方防病毒程序的定义。 如果问题仍然存在，请向第三方防病毒供应商支持提交误报 (FP) 。
确认没有将特定功能设置为会导致以下更多症状的强化或激进模式：
- 误报
- 应用程序兼容性列表
- 增加资源使用量（例如，高 CPU 使用率 （用户模式或内核模式）或高内存使用率（用户模式或内核模式）
- 速度减慢
- 应用程序停止响应
- 应用程序失败
- 无响应的系统
更新第三方防病毒程序的版本。 或者，有关测试，请参阅
如何在 Windows 中暂时停用内核模式筛选器驱动程序与第三方防病毒供应商合作以进一步执行排除故障。 你可能需要使用以下类型的高级数据来帮助缩小问题范围：
解决方法
重要 本文包含的信息演示如何帮助降低安全设置或如何暂时关闭计算机上的安全功能。 实施这些更改可以有助于了解特定问题的本质。 在实施这些更改之前，建议您对在特定环境中实施此解决方法可能带来的风险进行评估。 如果实施此解决方法，请采取任何适当的附加步骤来帮助保护计算机。
警告
- 不建议使用此解决方法。 但是，我们将提供此信息，以便你可以自行实施此解决方法。 请自行承担使用此解决方法带来的风险。
- 此解决方法可能使计算机或网络更容易受到恶意用户或病毒等恶意软件的攻击。
- 我们建议临时应用这些设置，以便对系统行为进行评估。
- 我们已发现在防病毒软件执行的扫描过程中排除本文所提到的特定文件或文件夹会遇到什么风险。 如果不从扫描中排除任何文件或文件夹，系统将更安全。
- 在扫描这些文件时，可能会由于文件锁定出现性能和操作系统可靠性问题。
- 不要根据文件扩展名排除其中任何一个文件。 例如，不要排除扩展名为 .dit 的所有文件。 因为可能会有其他文件使用相同的扩展名，对于这些文件，Microsoft 无法进行控制。
- 本文提供了可排除的文件名和文件夹。 本文介绍的所有文件和文件夹都受到默认权限的保护，只允许系统和管理员访问，并且只包含操作系统组件。 排除完整文件夹的操作可能会更简单，但此操作获得的安全可能不及基于文件名排除特定文件的操作所得到的保护。
- 如果没有其他选项可行，添加防病毒排除项应始终是最后的手段。
请关闭对 Windows 更新文件或自动更新文件的扫描
请关闭对 Windows 更新 或自动更新数据库文件 (Datastore.edb) 的扫描。 该文件位于以下文件夹中：
%windir%\SoftwareDistribution\Datastore请关闭对以下文件夹中日志文件的扫描：
%windir%\SoftwareDistribution\Datastore\Logs具体来说，要排除下列文件：
- Edb*.jrs
- Edb.chk
- Tmp.edb
通配符 (*) 表明可能包含多个文件。
请关闭对 Windows 安全文件的扫描
请添加排除列表的 %windir%\Security\Database 路径中的以下文件：
- *.edb
- *.sdb
- *.log
- *.chk
- *.jrs
- *.xml
- *.csv
- *.cmtx
注意 如果未排除这些文件，防病毒软件可能会阻止对这些文件的适当访问，并且安全数据库可能会损坏。 扫描这些文件可防止使用这些文件或防止这些文件应用安全策略。 不应对这些文件进行扫描，因为防病毒软件可能不会将它们当做专用的数据库文件来正确处理。
这些是建议的排除项。 也可能需要排除本文中没有的其他文件类型。
关闭对组策略相关文件的扫描
组策略用户注册表信息。 这些文件位于下面的文件夹中：
计算机： %allusersprofile%\
用户：%ProgramData%\Microsoft\GroupPolicy\Users\<User Sid>\具体来说，要排除下列文件：
NTUser.pol组策略客户端设置文件。 这些文件位于下面的文件夹中：
%SystemRoot%\System32\GroupPolicy\Machine\
%SystemRoot%\System32\GroupPolicy\User\具体来说，要排除下列文件：
Registry.pol
Registry.tmp
请关闭对用户配置文件的扫描
用户注册表信息和支持文件。 这些文件位于以下文件夹中：
%userprofile%\
具体来说，要排除下列文件：
NTUser.dat*
在域控制器上运行防病毒软件
因为域控制器要为客户端提供重要服务，因此必须将影响其活动的恶意代码、恶意软件或病毒导致的风险降至最低。 防病毒软件是一种广为接受的降低感染风险的方法。 安装和配置防病毒软件，可以最大程度地降低域控制器的风险，将病毒对性能所造成的影响降至最低。 下面的列表包含了一些有用的建议，可帮助您在 Windows Server 域控制器上配置和安装防病毒软件。
警告 建议将以下指定配置应用于测试系统，以确保在特定环境中，此配置不会引入意外因素或损害系统的稳定性。 过多扫描可能会使文件错误地标记为已更改， 从而导致 Active Directory 中产生过多复制。 如果经测试确认复制不会受下列建议的影响，则可以将防病毒软件应用到生产环境中。
注意 防病毒软件供应商提供的特定建议可能会取代本文中的建议。
- 企业中的所有域控制器上都必须安装防病毒软件。 理想情况下，应设法在必须与域控制器交互的所有其他服务器和客户端系统上安装这种软件。 最好在第一时间截杀恶意软件，例如在防火墙处或在恶意软件首先入侵的客户端系统上。 这样可以防止恶意软件到达客户端所依赖的基础结构系统。
- 使用旨在与 Active Directory 域控制器配合使用并使用正确的应用程序编程接口 (API) 访问服务器上的文件的防病毒软件版本。 大部分供应商所提供的旧版软件都会在扫描时错误更改文件的元数据，
- 请勿使用域控制器浏览 Internet 或执行可能引入恶意代码的其他活动。
- 我们建议您将域控制器上的工作量降到最低。 例如，如果可能，请避免在文件服务器角色中使用域控制器。 这种做法可减少文件共享上的病毒扫描活动，并最大程度地降低性能开销。
- 不要将 Active Directory 和日志文件放在 NTFS 文件系统压缩卷上。
关闭对 Active Directory 及其相关文件的扫描
排除主 NTDS 数据库文件。 这些文件的位置在下面的注册表子项中指定：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Database File默认位置为 %windir%\Ntds。 具体来说，要排除下列文件：
- Ntds.dit
- Ntds.pat
排除 Active Directory 事务日志文件。 这些文件的位置在下面的注册表子项中指定：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path默认位置为 %windir%\Ntds。 具体来说，要排除下列文件：
- EDB*.log
- Res*.log
- Edb*.jrs
- Ntds.pat
排除在以下注册表子项中指定的 NTDS 工作文件夹中的文件：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory具体来说，要排除下列文件：
- Temp.edb
- Edb.chk
关闭对 SYSVOL 文件的扫描
请关闭对 Sysvol\Sysvol 文件夹或者 SYSVOL_DFSR\Sysvol 文件夹中文件的扫描。
Sysvol\Sysvol or SYSVOL_DFSR\Sysvol 文件夹及所有子文件夹的当前位置是副本集根路径的文件系统重分析目标。 Sysvol\Sysvol 和 SYSVOL_DFSR\Sysvol 文件夹默认使用以下位置：
%systemroot%\Sysvol\Domain
%systemroot%\Sysvol_DFSR\Domain
当前活动 SYSVOL 的路径由 NETLOGON 共享引用，并且可由以下子项中的 SysVol 值名称确定：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters
从该文件夹及其所有子文件夹中排除下列文件：
- *.adm
- *.admx
- *.adml
- Registry.pol
- Registry.tmp
- *.aas
- *.inf
- Scripts.ini
- *.ins
- Oscfilter.ini
关闭对 DFSR 数据库和工作文件夹中的文件的扫描。 位置在以下注册表子项中指定：
HKEY_LOCAL_MACHINE\SYSTEM\Currentcontrolset\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File=Path在此注册表子项中，“路径”是包含复制组名称的 XML 文件的路径。 在该示例中，此路径包含“域系统卷”。
默认位置为以下隐藏文件夹：
%systemdrive%\System Volume Information\DFSR从该文件夹及其所有子文件夹中排除下列文件：
- $db_normal$
- FileIDTable_*
- SimilarityTable_*
- *.xml
- $db_dirty$
- $db_clean$
- $db_lost$
- Dfsr.db
- Fsr.chk
- *.frx
- *.log
- Fsr*.jrs
- Tmp.edb
注意 如果移动这些文件夹或文件中的任何一个或放入其他位置，请扫描或排除等效元素。
关闭对 DFS 文件的扫描
如果使用 DFSR 复制映射到Windows Server成员计算机或域控制器上的 DFS 根目标和链接目标的共享，则还必须排除为 SYSVOL 副本 (replica) 集排除的相同资源。
关闭对 DHCP 文件的扫描
默认情况下，应排除的 DHCP 文件显示在服务器的以下文件夹中：
%systemroot%\System32\DHCP
从该文件夹及其所有子文件夹中排除下列文件：
- *.mdb
- *.pat
- *.log
- *.chk
- *.edb
DHCP 文件的位置可以更改。 要确定服务器上 DHCP 文件的当前位置，请查看以下注册表子项中指定的 DatabasePath、DhcpLogFilePath 和 BackupDatabasePath 参数：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters
关闭对 DNS 文件的扫描
默认状态下，DNS 使用以下文件夹：
%systemroot%\System32\Dns 从该文件夹及其所有子文件夹中排除以下文件：
- *.log
- *.dns
- BOOT
关闭对 WINS 文件的扫描
默认状态下，WINS 使用以下文件夹：
%systemroot%\System32\Wins
从该文件夹及其所有子文件夹中排除下列文件：
- *.chk
- *.log
- *.mdb
对于在不同 Windows 版本上运行 Hyper-V 的计算机
在某些情况下，在安装了 Hyper-V 角色Windows Server计算机上，可能需要在防病毒软件中配置实时扫描组件以排除文件和整个文件夹。 有关更多信息，请参见以下知识库文章：
- 961804 虚拟机缺失，或者尝试启动或创建虚拟机时出现错误0x800704C8、0x80070037或0x800703E3
后续步骤
如果本文中的建议提高了系统性能或稳定性，请与防病毒软件供应商联系以获取说明或防病毒软件的更新版本或设置。
注意第三方防病毒供应商可以与 Microsoft 支持部门 团队合作，以商业上合理的努力。
参考资料
更改历史记录
下表汇总了对本主题最重要的更改。
| 日期 | 描述 |
|---|---|
| 2021 年 8 月 17 日 | 更新了“更多信息”部分中的备注：“Windows 10、Windows Server 2016及更高版本上的备注...” |
| 2021 年 11 月 2 日 | 更新了“详细信息”部分中的备注：“这也适用于 Windows Server 2012 R2...” |
| 2022 年 3 月 14 日 | 修订了整篇文章。 添加了“症状”和“解决方案”部分，并对剩余内容进行了重新组织。 |
| 2023 年 7 月 14 日 | 在“简介”部分添加了第三个项目符号项。 添加了“症状”部分标题。 删除了“详细信息”部分。 |
| 2023 年 8 月 7 日 | 修复了在排除列表中同时运行多行的布局问题。 |
| 2025 年 5 月 22 日 | 从“适用范围”中删除了 Windows Server 2008 和 Windows 7，并删除了所有相关内容。 向“适用范围”添加了 Windows Server 2025。更新了交叉引用链接。 |