مشاركة عبر

نظرة عامة على الاستثناءات

يتضمن Microsoft Defender لنقطة النهايةDefender for Business مجموعة واسعة من القدرات لمنع التهديدات الإلكترونية المتقدمة واكتشافها والتحقيق فيها والاستجابة لها. تقوم Microsoft مسبقا بتجهيز المنتج لأداء جيد على نظام التشغيل المثبت عليه. لا ينبغي أن تكون هناك حاجة إلى تغييرات أخرى. على الرغم من الإعدادات التي تم تكوينها مسبقا، تحدث أحيانا سلوكيات غير متوقعة. فيما يلي بعض الأمثلة:

  • الإيجابيات الخاطئة: يمكن الكشف عن الملفات أو المجلدات أو العمليات التي ليست في الواقع تهديدا ضارا بواسطة Defender لنقطة النهاية أو برنامج الحماية من الفيروسات Microsoft Defender. يمكن حظر هذه الكيانات أو إرسالها إلى العزل، على الرغم من أنها ليست تهديدا.
  • مشكلات الأداء: تواجه الأنظمة تأثيرا غير متوقع على الأداء عند التشغيل باستخدام Defender لنقطة النهاية
  • مشكلات توافق التطبيق: تواجه التطبيقات سلوكا غير متوقع عند التشغيل باستخدام Defender لنقطة النهاية

يعد إنشاء استثناء أحد النهج الممكنة لمعالجة هذه الأنواع من المشكلات. ولكن في كثير من الأحيان هناك خطوات أخرى يمكنك اتخاذها. بالإضافة إلى تقديم نظرة عامة على المؤشرات والاستثناءات، تتضمن هذه المقالة بدائل لإنشاء استثناءات والسماح بالمؤشرات.

ملاحظة

يجب النظر في إنشاء مؤشر أو استبعاد فقط بعد فهم السبب الجذري للسلوك غير المتوقع بدقة.

أمثلة على المشكلات والخطوات التي يجب مراعاتها

مثال على السيناريو الخطوات التي يجب مراعاتها
إيجابي خاطئ: تم الكشف عن كيان، مثل ملف أو عملية، وتم تعريفه على أنه ضار، على الرغم من أن الكيان ليس تهديدا. 1. مراجعة وتصنيف التنبيهات التي تم إنشاؤها نتيجة للكيان المكتشف.
2. منع تنبيه لكيان معروف.
3. مراجعة إجراءات المعالجة التي تم اتخاذها للكيان المكتشف.
4. إرسال الإيجابي الخاطئ إلى Microsoft للتحليل.
5. تحديد مؤشر أو استثناء للكيان (فقط إذا لزم الأمر).
مشكلات الأداء مثل إحدى المشكلات التالية:
- النظام لديه استخدام عال لوحدة المعالجة المركزية أو مشكلات الأداء الأخرى.
- النظام لديه مشكلات في تسرب الذاكرة.
- التطبيق بطيء التحميل على الأجهزة.
- التطبيق بطيئ في فتح ملف على الأجهزة.		 1. جمع البيانات التشخيصية لبرنامج مكافحة الفيروسات Microsoft Defender.
2. إذا كنت تستخدم حلا غير تابع لبرنامج الحماية من الفيروسات من Microsoft، فتحقق من المورد لمعرفة المشكلات المعروفة في منتجات مكافحة الفيروسات.
3. مراجعة سجلات الأداء (راجع استكشاف مشكلات أداء برنامج الحماية من الفيروسات Microsoft Defender وإصلاحها باستخدام WPRUI) لتحديد تأثير الأداء المقدر. بالنسبة للمشكلات الخاصة بالأداء المتعلقة ببرنامج الحماية من الفيروسات Microsoft Defender، استخدم محلل الأداء Microsoft Defender مكافحة الفيروسات.
4. تحديد استثناء Microsoft Defender مكافحة الفيروسات (إذا لزم الأمر).
5. إنشاء مؤشر ل Defender لنقطة النهاية (فقط إذا لزم الأمر).
مشاكل التوافق مع منتجات مكافحة الفيروسات غير التابعة ل Microsoft.
مثال: يعتمد Defender لنقطة النهاية على تحديثات التحليل الذكي للأمان للأجهزة، سواء كانت تعمل Microsoft Defender مكافحة الفيروسات أو حل مكافحة الفيروسات غير التابع ل Microsoft.		 1. إذا كنت تستخدم منتجا غير تابع لبرنامج الحماية من الفيروسات من Microsoft كحل أساسي للحماية من الفيروسات/البرامج الضارة، فقم بتعيين Microsoft Defender Antivirus إلى الوضع السلبي.
2. إذا كنت تقوم بالتبديل من حل مكافحة الفيروسات/الحماية من البرامج الضارة غير التابع ل Microsoft إلى Defender لنقطة النهاية، فشاهد التبديل إلى Defender لنقطة النهاية. يتضمن هذا التوجيه الاستثناءات التي قد تحتاج إلى تعريفها Microsoft Defender معلومات مكافحة الفيروساتواستكشاف الأخطاء وإصلاحها (فقط في حالة حدوث خطأ ما أثناء الترحيل).
التوافق مع التطبيقات.
مثال: تتعطل التطبيقات أو تواجه سلوكيات غير متوقعة بعد إلحاق الجهاز Microsoft Defender لنقطة النهاية.		 راجع معالجة السلوكيات غير المرغوب فيها في Microsoft Defender لنقطة النهاية مع الاستثناءات والمؤشرات والتقنيات الأخرى.

بدائل لإنشاء استثناءات والسماح بالمؤشرات

يؤدي إنشاء استثناء أو مؤشر السماح إلى إنشاء فجوة في الحماية. يجب استخدام هذه التقنيات فقط بعد تحديد السبب الجذري للمشكلة. وإلى أن يتم اتخاذ هذا القرار، ضع في اعتبارك هذه البدائل:

  • إرسال ملف إلى Microsoft للتحليل
  • منع تنبيه

إرسال الملفات للتحليل

إذا كان لديك ملف تعتقد أنه تم اكتشافه بشكل خاطئ على أنه برنامج ضار (إيجابي خاطئ)، أو ملف تشك في أنه قد يكون برامج ضارة على الرغم من أنه لم يتم اكتشافه (سلبي خاطئ)، يمكنك إرسال الملف إلى Microsoft للتحليل. يتم فحص عمليات الإرسال الخاصة بك على الفور، ثم ستتم مراجعتها من قبل محللي أمان Microsoft. يمكنك التحقق من حالة الإرسال في صفحة محفوظات الإرسال.

يساعد إرسال الملفات للتحليل على تقليل الإيجابيات الخاطئة والسلبيات الكاذبة لجميع العملاء. لمعرفة المزيد، راجع المقالات التالية:

منع التنبيهات

إذا كنت تتلقى تنبيهات في مدخل Microsoft Defender للأدوات أو العمليات التي تعرف أنها ليست في الواقع تهديدا، يمكنك منع هذه التنبيهات. لمنع تنبيه، يمكنك إنشاء قاعدة منع، وتحديد الإجراءات التي يجب اتخاذها لذلك على تنبيهات أخرى متطابقة. يمكنك إنشاء قواعد منع لتنبيه معين على جهاز واحد، أو لجميع التنبيهات التي لها نفس العنوان عبر مؤسستك.

لمعرفة المزيد، راجع المقالات التالية:

أنواع الاستثناءات

هناك عدة أنواع مختلفة من الاستثناءات التي يجب مراعاتها. تؤثر بعض أنواع الاستثناءات على قدرات متعددة في Defender لنقطة النهاية، في حين أن الأنواع الأخرى خاصة Microsoft Defender مكافحة الفيروسات.

للحصول على معلومات حول المؤشرات، راجع نظرة عامة على المؤشرات في Microsoft Defender لنقطة النهاية.

الاستثناءات المخصصة

يسمح لك Microsoft Defender لنقطة النهاية بتكوين استثناءات مخصصة لتحسين الأداء وتجنب الإيجابيات الخاطئة. تختلف أنواع الاستثناءات التي يمكنك تعيينها حسب إمكانات Defender لنقطة النهاية وأنظمة التشغيل.

يلخص الجدول التالي أنواع الاستثناءات المخصصة التي يمكنك تعريفها. لاحظ النطاق لكل نوع استبعاد.

أنواع الاستبعاد نطاق حالات الاستخدام
استثناءات Defender المخصصة لنقطة النهاية مكافحه الفيروسات
قواعد تقليل الأجزاء المعرضة للهجوم
Defender لنقطة النهاية
حماية الشبكة		 يتم تعريف ملف أو مجلد أو عملية على أنها ضارة، على الرغم من أنها ليست تهديدا.

يواجه التطبيق مشكلة غير متوقعة في الأداء أو توافق التطبيق عند التشغيل مع Defender لنقطة النهاية
استثناءات تقليل سطح هجوم Defender لنقطة النهاية قواعد تقليل الأجزاء المعرضة للهجوم تتسبب قاعدة تقليل الأجزاء المعرضة للهجوم في سلوك غير متوقع.
استثناءات مجلد أتمتة Defender لنقطة النهاية التحقيق التلقائي والاستجابة (AIR) يتخذ التحقيق والمعالجة التلقائيان إجراء على ملف أو ملحق أو دليل يجب القيام به يدويا.
استثناءات الوصول إلى مجلد Defender for Endpoint التي يتم التحكم فيها الوصول إلى المجلدات الخاضعة للتحكم يمنع الوصول المتحكم به إلى المجلد أحد التطبيقات من الوصول إلى مجلد محمي.
Defender لملف نقطة النهاية ومؤشرات السماح بالشهادة مكافحه الفيروسات
قواعد تقليل الأجزاء المعرضة للهجوم
الوصول إلى المجلدات الخاضعة للتحكم		 يتم تعريف الملف أو العملية الموقعة بواسطة شهادة على أنها ضارة حتى من خلالها ليست كذلك.
Defender for Endpoint Domain/URL ومؤشرات عنوان IP حماية الشبكة
SmartScreen
تصفية محتوى الويب		 تبلغ SmartScreen عن إيجابية خاطئة.

تريد تجاوز كتلة تصفية محتوى ويب على موقع معين.

ملاحظة

تتأثر حماية الشبكة مباشرة باستبعادات العمليات على جميع الأنظمة الأساسية. يؤدي استبعاد العملية على أي نظام تشغيل (Windows وMacOS وLinux) إلى منع Network Protection من فحص نسبة استخدام الشبكة أو فرض القواعد لتلك العملية المحددة.

الاستثناءات على Mac

بالنسبة لنظام التشغيل macOS، يمكنك تحديد الاستثناءات التي تنطبق على عمليات الفحص عند الطلب والحماية في الوقت الحقيقي والمراقبة. تتضمن أنواع الاستبعاد المدعومة ما يلي:

  • ملحق الملف: استبعاد جميع الملفات ذات ملحق معين.
  • الملف: استبعاد ملف معين تم تحديده بواسطة مساره الكامل.
  • المجلد: استبعاد كافة الملفات ضمن مجلد محدد بشكل متكرر.
  • العملية: استبعاد عملية معينة وجميع الملفات التي تم فتحها بواسطةها.

لمزيد من المعلومات، راجع تكوين الاستثناءات والتحقق من صحتها Microsoft Defender لنقطة النهاية على macOS.

الاستثناءات على Linux

على Linux، يمكنك تكوين كل من الحماية من الفيروسات والاستثناءات العالمية.

  • استثناءات مكافحة الفيروسات: تنطبق على عمليات الفحص عند الطلب والحماية في الوقت الحقيقي (RTP) ومراقبة السلوك (BM).
  • الاستثناءات العمومية: تنطبق على الحماية في الوقت الحقيقي (RTP) ومراقبة السلوك (BM) واكتشاف نقطة النهاية والاستجابة لها (EDR)، وإيقاف جميع عمليات الكشف عن الفيروسات المرتبطة وتنبيهات EDR.

للمزيد من المعلومات، راجع تكوين الاستثناءات والتحقق من صحتها في Microsoft Defender لنقطة النهاية على Linux.

الاستثناءات على Windows

يمكن تكوين برنامج الحماية من الفيروسات Microsoft Defender لاستبعاد مجموعات من العمليات والملفات والملحقات من عمليات الفحص المجدولة وعمليات الفحص عند الطلب والحماية في الوقت الحقيقي. راجع تكوين الاستثناءات المخصصة Microsoft Defender مكافحة الفيروسات.

لمزيد من التحكم الدقيق الذي يساعد على تقليل فجوات الحماية، ضع في اعتبارك استخدام استثناءات الملفات والعملية السياقية.

استثناءات تم تكوينها مسبقا لمكافحة الفيروسات

تم تكوين أنواع الاستبعاد هذه مسبقا في Microsoft Defender لنقطة النهاية لبرنامج الحماية من الفيروسات Microsoft Defender.

أنواع الاستبعاد التكوين الوصف
استثناءات الحماية التلقائية من الفيروسات Microsoft Defender تلقائي الاستثناءات التلقائية لأدوار الخادم وميزاته في Windows Server. عند تثبيت دور على Windows Server 2016 أو إصدار أحدث، يتضمن برنامج الحماية من الفيروسات Microsoft Defender استثناءات تلقائية لدور الخادم وأي ملفات تتم إضافتها أثناء تثبيت الدور.
هذه الاستثناءات مخصصة فقط للأدوار النشطة في Windows Server 2016 والإصدارات الأحدث.
استثناءات مكافحة الفيروسات Microsoft Defender المضمنة تلقائي يتضمن برنامج الحماية من الفيروسات Microsoft Defender استثناءات مضمنة لملفات نظام التشغيل على جميع إصدارات Windows.

استثناءات دور الخادم التلقائية

تتضمن استثناءات دور الخادم التلقائي استثناءات لأدوار الخادم وميزاته في Windows Server 2016 والإصدارات الأحدث. لا يتم مسح هذه الاستثناءات ضوئيا بواسطة الحماية في الوقت الحقيقي ولكنها لا تزال خاضعة لعمليات فحص سريعة أو كاملة أو عند الطلب.

ومن الأمثلة على ذلك ما يلي:

  • خدمة النسخ المتماثل للملفات (FRS)
  • Hyper-V
  • SYSVOL
  • Active Directory
  • خادم DNS
  • خادم الطباعة
  • خادم ويب
  • خادم Windows Server Update Services
  • ... والمزيد.

ملاحظة

الاستثناءات التلقائية لأدوار الخادم غير مدعومة في Windows Server 2012 R2. بالنسبة للخوادم التي تعمل Windows Server 2012 R2 مع تثبيت دور خادم خدمات مجال Active Directory (AD DS)، يجب تحديد الاستثناءات لوحدات التحكم بالمجال يدويا. راجع استثناءات Active Directory.

لمزيد من المعلومات، راجع استثناءات دور الخادم التلقائي.

استثناءات مكافحة الفيروسات المضمنة

تتضمن استثناءات مكافحة الفيروسات المضمنة بعض ملفات نظام التشغيل التي يتم استبعادها بواسطة برنامج الحماية من الفيروسات Microsoft Defender على جميع إصدارات Windows (بما في ذلك Windows 10 Windows 11 Windows Server).

ومن الأمثلة على ذلك ما يلي:

  • %windir%\SoftwareDistribution\Datastore\*\Datastore.edb
  • %allusersprofile%\NTUser.pol
  • Windows Update الملفات
  • أمن Windows الملفات
  • ... والمزيد.

يتم تحديث قائمة الاستثناءات المضمنة في Windows مع تغير مشهد التهديد. لمعرفة المزيد حول هذه الاستثناءات، راجع Microsoft Defender استثناءات مكافحة الفيروسات على Windows Server: الاستثناءات المضمنة.

استثناءات تقليل الأجزاء المعرضة للهجوم

تستهدف قواعد تقليل الأجزاء المعرضة للهجوم (المعروفة أيضا باسم قواعد ASR) بعض سلوكيات البرامج، مثل:

  • بدء تشغيل الملفات والبرامج النصية القابلة للتنفيذ التي تحاول تنزيل الملفات أو تشغيلها
  • تشغيل البرامج النصية التي تبدو مشوشة أو مريبة بطريقة أخرى
  • تنفيذ السلوكيات التي لا تبدأها التطبيقات عادة أثناء العمل اليومي العادي

في بعض الأحيان، تعرض التطبيقات المشروعة سلوكيات البرامج التي يمكن حظرها بواسطة قواعد تقليل الأجزاء المعرضة للهجوم. إذا كان هذا يحدث في مؤسستك، يمكنك تحديد استثناءات لملفات ومجلدات معينة. يتم تطبيق هذه الاستثناءات على جميع قواعد تقليل الأجزاء المعرضة للهجوم. راجع تمكين قواعد تقليل الأجزاء المعرضة للهجوم.

ملاحظة

قواعد تقليل الأجزاء المعرضة للهجوم تحترم استثناءات العملية، ولكن ليس جميع قواعد تقليل الأجزاء المعرضة للهجوم تحترم Microsoft Defender استثناءات مكافحة الفيروسات. راجع مرجع قواعد تقليل الأجزاء المعرضة للهجوم - Microsoft Defender استثناءات مكافحة الفيروسات وقواعد ASR.

استثناءات مجلد التنفيذ التلقائي

تنطبق استثناءات مجلد التنفيذ التلقائي على التحقيق والمعالجة التلقائية في Defender لنقطة النهاية، والتي تم تصميمها لفحص التنبيهات واتخاذ إجراء فوري لحل الانتهاكات المكتشفة. عند تشغيل التنبيهات، وتشغيل تحقيق تلقائي، يتم الوصول إلى حكم (ضار أو مريب أو لم يتم العثور على تهديدات) لكل دليل تم التحقيق فيه. اعتمادا على مستوى التنفيذ التلقائي وإعدادات الأمان الأخرى، يمكن أن تحدث إجراءات المعالجة تلقائيا أو فقط بناء على موافقة فريق عمليات الأمان.

يمكنك تحديد المجلدات وملحقات الملفات في دليل معين وأسماء الملفات التي سيتم استبعادها من إمكانات التحقيق والمعالجة التلقائية. تنطبق استثناءات مجلد التنفيذ التلقائي هذه على جميع الأجهزة المإلحاقة ب Defender لنقطة النهاية. لا تزال هذه الاستثناءات خاضعة لعمليات فحص مكافحة الفيروسات.

لمزيد من المعلومات، راجع إدارة استثناءات مجلد التنفيذ التلقائي.

استثناءات الوصول إلى المجلدات الخاضعة للرقابة

يراقب الوصول المتحكم به إلى المجلدات التطبيقات للأنشطة التي يتم اكتشافها على أنها ضارة ويحمي محتويات مجلدات معينة (محمية) على أجهزة Windows. يسمح الوصول المتحكم به إلى المجلدات فقط للتطبيقات الموثوق بها بالوصول إلى المجلدات المحمية، مثل مجلدات النظام الشائعة (بما في ذلك قطاعات التمهيد) والمجلدات الأخرى التي تحددها. يمكنك السماح لتطبيقات معينة أو الملفات التنفيذية الموقعة بالوصول إلى المجلدات المحمية عن طريق تحديد الاستثناءات.

لمزيد من المعلومات، راجع تخصيص الوصول المتحكم به إلى المجلدات.

إجراءات المعالجة المخصصة

عندما يكتشف برنامج الحماية من الفيروسات Microsoft Defender تهديدا محتملا أثناء تشغيل الفحص، فإنه يحاول معالجة التهديد المكتشف أو إزالته. يمكنك تحديد إجراءات المعالجة المخصصة لتكوين كيفية معالجة Microsoft Defender Antivirus لتهديدات معينة، وما إذا كان يجب إنشاء نقطة استعادة قبل المعالجة، ومتى يجب إزالة التهديدات.

لمزيد من المعلومات، راجع تكوين إجراءات المعالجة لاكتشافات مكافحة الفيروسات Microsoft Defender.

كيفية تقييم الاستثناءات والمؤشرات

لدى معظم المؤسسات عدة أنواع مختلفة من الاستثناءات والمؤشرات لتحديد ما إذا كان يجب أن يكون المستخدمون قادرين على الوصول إلى ملف أو عملية واستخدامها. وتعالج الاستثناءات والمؤشرات بترتيب معين بحيث تعالج التعارضات في السياسات بصورة منهجية.

إليك كيفية عملها:

  1. إذا لم يسمح التحكم في تطبيق Windows Defender وAppLocker بملف/عملية تم اكتشافها، يتم حظرها. وإلا، فإنه ينتقل إلى Microsoft Defender مكافحة الفيروسات.

  2. إذا لم يكن الملف/العملية المكتشفة جزءا من استبعاد برنامج الحماية من الفيروسات Microsoft Defender، يتم حظره. وإلا، يتحقق Defender لنقطة النهاية من وجود مؤشر مخصص للملف/العملية.

  3. إذا كان الملف/العملية المكتشفة تحتوي على مؤشر حظر أو تحذير، يتم اتخاذ هذا الإجراء. وإلا، يسمح بالملف/العملية، وينتقل إلى التقييم حسب قواعد تقليل الأجزاء المعرضة للهجوم، والوصول إلى المجلدات الخاضعة للرقابة، وحماية SmartScreen.

  4. إذا لم يتم حظر الملف/العملية المكتشفة بواسطة قواعد تقليل الأجزاء المعرضة للهجوم أو الوصول إلى المجلدات الخاضعة للرقابة أو حماية SmartScreen، فإنها تنتقل إلى Microsoft Defender مكافحة الفيروسات.

  5. إذا لم يسمح برنامج الحماية من الفيروسات Microsoft Defender بالملف/العملية المكتشفة، يتم التحقق من وجود إجراء بناء على معرف التهديد الخاص به.

كيفية معالجة تعارضات النهج

في الحالات التي تتعارض فيها مؤشرات Defender لنقطة النهاية، إليك ما يمكن توقعه:

  • إذا كانت هناك مؤشرات ملفات متعارضة، يتم تطبيق المؤشر الذي يستخدم التجزئة الأكثر أمانا. على سبيل المثال، يكون ل SHA256 الأسبقية على SHA-1، والذي له الأسبقية على MD5.

  • إذا كانت هناك مؤشرات URL متعارضة، يتم استخدام المؤشر الأكثر صرامة. بالنسبة Microsoft Defender SmartScreen، يتم تطبيق مؤشر يستخدم أطول مسار URL. على سبيل المثال، www.dom.ain/admin/ له الأسبقية على www.dom.ain. (تنطبق حماية الشبكة على المجالات، بدلا من الصفحات الفرعية داخل المجال.)

  • إذا كانت هناك مؤشرات مشابهة لملف أو عملية لها إجراءات مختلفة، فإن المؤشر الذي يتم تحديد نطاقه لمجموعة أجهزة معينة له الأسبقية على مؤشر يستهدف جميع الأجهزة.

كيفية عمل التحقيق والمعالجة التلقائية مع المؤشرات

تحدد قدرات التحقيق والمعالجة التلقائية في Defender لنقطة النهاية أولا حكما لكل جزء من الأدلة، ثم اتخذ إجراء اعتمادا على مؤشرات Defender لنقطة النهاية. وبالتالي، يمكن أن يحصل الملف/العملية على حكم "جيد" (مما يعني أنه لم يتم العثور على تهديدات) ولا يزال يتم حظره إذا كان هناك مؤشر مع هذا الإجراء. وبالمثل، يمكن للكيان الحصول على حكم "سيئ" (مما يعني أنه مصمم على أنه ضار) ولا يزال مسموحا به إذا كان هناك مؤشر مع هذا الإجراء.

لمزيد من المعلومات، راجع التحقيق والمعالجة والمؤشرات التلقائية.

أحمال العمل والاستثناءات الأخرى للخادم

إذا كانت مؤسستك تستخدم أحمال عمل خادم أخرى، مثل Exchange Server أو SharePoint Server أو SQL Server، فضع في اعتبارك أن أدوار الخادم المضمنة فقط (التي قد تكون متطلبات أساسية للبرامج التي تقوم بتثبيتها لاحقا) على Windows Server يتم استبعادها بواسطة ميزة استبعاد دور الخادم التلقائي (وفقط عند استخدام موقع التثبيت الافتراضي). ستحتاج على الأرجح إلى تحديد استثناءات مكافحة الفيروسات لأحمال العمل الأخرى هذه، أو لجميع أحمال العمل إذا قمت بتعطيل الاستثناءات التلقائية.

فيما يلي بعض الأمثلة على الوثائق التقنية لتحديد الاستثناءات التي تحتاج إليها وتنفيذها:

اعتمادا على ما تستخدمه، قد تحتاج إلى الرجوع إلى وثائق حمل عمل الخادم هذا.

راجع أيضًا

تلميح

هل تريد معرفة المزيد؟ Engage مع مجتمع أمان Microsoft في مجتمعنا التقني: Microsoft Defender لنقطة النهاية Tech Community.