نظرة عامة على الاستثناءات والمؤشرات في Microsoft Defender لنقطة النهاية

تتضمن Microsoft Defender لنقطة النهايةDefender for Business مجموعة واسعة من القدرات لمنع التهديدات الإلكترونية المتقدمة واكتشافها والتحقيق فيها والاستجابة لها. Microsoft تكوين المنتج مسبقا لأداء جيد على نظام التشغيل حيث تم تثبيته. في معظم الحالات، لا يلزم إجراء أي تغييرات أخرى.

على الرغم من الإعدادات التي تم تكوينها مسبقا، يحدث سلوك غير متوقع في بعض الأحيان. على سبيل المثال:

• الإيجابيات الخاطئة: يتم الكشف عن الملفات أو المجلدات أو العمليات التي ليست تهديدات ضارة بواسطة Defender لنقطة النهاية أو Microsoft Defender مكافحة الفيروسات. يتم حظر هذه الكيانات أو إرسالها إلى العزل، على الرغم من أنها ليست تهديدا.
• مشكلات الأداء: تواجه الأنظمة مشكلات أداء غير متوقعة عند التشغيل مع Defender لنقطة النهاية أو Microsoft Defender مكافحة الفيروسات.
• مشكلات توافق التطبيقات: تواجه التطبيقات سلوكا غير متوقع عند التشغيل مع Defender لنقطة النهاية أو Microsoft Defender مكافحة الفيروسات.

تصف الأقسام التالية أنواع الاستثناءات المتوفرة في Defender لنقطة النهاية Microsoft Defender Antivirus، بالإضافة إلى وقت استخدام كل منها. للحصول على ملخص لأدوات الإدارة التي يمكنك استخدامها لتكوين كل نوع استثناء، راجع مرجع الاستثناءات Microsoft Defender لنقطة النهاية.

ملحوظة

يعد إنشاء استثناءات أو مؤشرات أحد النهج الممكنة لمعالجة المشكلات المتعلقة Defender لنقطة النهاية أو Microsoft Defender مكافحة الفيروسات، ولكن غالبا ما تكون هناك خطوات أخرى يمكنك اتخاذها أولا.

أنواع الاستثناءات

هناك عدة أنواع من الاستثناءات التي يجب مراعاتها. تؤثر بعض أنواع الاستثناءات على قدرات متعددة في Defender لنقطة النهاية، في حين أن الأنواع الأخرى خاصة Microsoft Defender مكافحة الفيروسات.

للحصول على معلومات حول المؤشرات، وهي آلية مرتبطة ولكنها منفصلة للسماح أو حظر ملفات معينة وعناوين IP وعناوين URL والشهادات، راجع نظرة عامة على المؤشرات في Microsoft Defender لنقطة النهاية.

تلخص الجداول التالية أنواع الاستثناءات التي يمكنك تعريفها، مجمعة حسب ما إذا كانت متوفرة على جميع الأنظمة الأساسية أو على Windows فقط. لاحظ النطاق لكل نوع استبعاد.

• الاستثناءات عبر الأنظمة الأساسية: تتوفر هذه الاستثناءات على أجهزة Windows وmacOS وLinux.

  نوع الاستبعاد	النطاق	حالات الاستخدام
  الاستثناءات المخصصة	مكافحه الفيروسات قواعد تقليل الأجزاء المعرضة للهجوم حماية الشبكة	يتم تعريف ملف أو مجلد أو عملية على أنها ضارة، على الرغم من أنها ليست تهديدا. يواجه التطبيق مشكلات غير متوقعة في الأداء أو توافق التطبيق عند التشغيل مع Defender لنقطة النهاية. في Windows، تحترم بعض قواعد ASR استثناءات ملف ومجلد (مسار) مكافحة الفيروسات Microsoft Defender.
  مؤشرات السماح بالملفات والشهادات	مكافحه الفيروسات قواعد ASR الوصول المتحكم به إلى المجلدات (CFA)	يتم تعريف الملف أو العملية الموقعة من قبل شهادة على أنها ضارة على الرغم من أنها ليست كذلك.
  مؤشرات المجال/عنوان URL وعنوان IP	حماية الشبكة Smartscreen تصفية محتوى الويب	تبلغ SmartScreen عن إيجابية خاطئة. تريد تجاوز كتلة تصفية محتوى ويب على موقع معين.

• استثناءات Windows فقط: تتوفر هذه الاستثناءات على الأجهزة Windows فقط.

  نوع الاستبعاد	النطاق	حالات الاستخدام
  استثناءات مكافحة الفيروسات المكونة مسبقا	مكافحه الفيروسات	Microsoft Defender برنامج الحماية من الفيروسات يستبعد تلقائيا بعض ملفات نظام التشغيل والأدوار Windows Server، لذلك لا يتعين عليك تحديد هذه الاستثناءات بنفسك.
  استثناءات قاعدة ASR	قواعد ASR	تتسبب قاعدة ASR في سلوك غير متوقع.
  استثناءات مجلد التنفيذ التلقائي	التحقيق التلقائي والاستجابة (AIR)	يتخذ التحقيق والمعالجة التلقائيان إجراء على ملف أو ملحق أو دليل يجب معالجته يدويا.
  استثناءات CFA	فرنك	يمنع CFA تطبيقا من الوصول إلى مجلد محمي.

ملحوظة

تؤثر استثناءات العملية بشكل مباشر على حماية الشبكة على جميع الأنظمة الأساسية وقواعد ASR في Windows. يمنع استبعاد العملية على أي نظام تشغيل (Windows أو macOS أو Linux) حماية الشبكة من فحص حركة المرور أو فرض قواعد لتلك العملية المحددة.

استثناءات مكافحة الفيروسات المكونة مسبقا

ليس عليك تحديد أنواع الاستبعاد هذه، ولكن من المفيد معرفة ماهيتها وكيفية عملها. Microsoft Defender برنامج الحماية من الفيروسات تكوين أنواع الاستبعاد التالية مسبقا:

• استثناءات برنامج الحماية من الفيروسات Microsoft Defender المضمنة:
  • يتضمن برنامج الحماية من الفيروسات Microsoft Defender استثناءات مضمنة لملفات نظام التشغيل على جميع إصدارات العميل والخادم المدعومة من Windows. يتم تحديث القائمة مع تغير مشهد التهديد. لمزيد من المعلومات، راجع الاستثناءات المضمنة.
  • في الإصدارات المدعومة من Windows Server، يتم تطبيق المزيد من الاستثناءات المضمنة على ميزات الخادم مثل Windows خدمة اسم الإنترنت (WINS) وخدمة النسخ المتماثل للملفات (FRS). لمزيد من المعلومات، راجع الاستثناءات المضمنة على Windows Server.

• استثناءات الحماية التلقائية من الفيروسات Microsoft Defender: الاستثناءات التلقائية لأدوار الخادم وميزاته في Windows Server 2016 أو أحدث (على سبيل المثال، خدمة النسخ المتماثل للملفات Hyper-V وSYSVOL Active Directory وDNS Server). عند تثبيت دور، يتضمن برنامج الحماية من الفيروسات Microsoft Defender استثناءات تلقائية لدور الخادم وأي ملفات تتم إضافتها أثناء تثبيت الدور.

  لا يتم مسح هذه الاستثناءات ضوئيا بواسطة الحماية في الوقت الحقيقي ولكنها لا تزال عرضة لعمليات فحص سريعة أو كاملة أو مخصصة للحماية من الفيروسات.

  لمزيد من المعلومات، راجع استثناءات دور الخادم التلقائي.

  تنطبق الاستثناءات التلقائية فقط على الأدوار Windows Server المضمنة. إذا قمت بتشغيل أحمال عمل أخرى للخادم، مثل Exchange Server أو SharePoint Server أو SQL Server، فستحتاج على الأرجح إلى تحديد استثناءات مكافحة الفيروسات المخصصة لهم. لمزيد من المعلومات، راجع المقالات التالية:

  • تشغيل برنامج الحماية من الفيروسات Windows على Exchange Server
  • المجلدات التي يجب استبعادها من عمليات فحص مكافحة الفيروسات على SharePoint Server
  • تكوين برنامج مكافحة الفيروسات للعمل مع SQL Server

  يمكنك أيضا الرجوع إلى وثائق ناشر البرنامج.

الاستثناءات المخصصة

يتيح لك Microsoft Defender لنقطة النهاية و Microsoft Defender Antivirus تكوين الاستثناءات المخصصة لتحسين الأداء وتجنب الإيجابيات الخاطئة. تختلف الاستثناءات المخصصة التي يمكنك تعريفها حسب نظام التشغيل.

• macOS: يمكنك تحديد الاستثناءات التي تنطبق على فحص مكافحة الفيروسات فقط (عمليات الفحص عند الطلب والحماية في الوقت الحقيقي والمراقبة). لا تنطبق هذه الاستثناءات على اكتشاف نقطة النهاية والاستجابة لها (EDR)، لذلك لا يزال بإمكان الملفات المستبعدة تشغيل تنبيهات EDR والكشفات الأخرى. تتضمن أنواع الاستبعاد المدعومة ما يلي:

  • استثناءات ملحق الملف: استبعاد كافة الملفات ذات ملحق معين.
  • استثناءات الملف: استبعاد ملف معين تم تعريفه بواسطة مساره الكامل.
  • استثناءات المجلد: استبعاد كافة الملفات ضمن مجلد محدد بشكل متكرر.
  • استثناءات العملية: استبعاد عملية معينة وجميع الملفات التي تفتحها.

  لمزيد من المعلومات، راجع تكوين الاستثناءات والتحقق من صحتها Microsoft Defender لنقطة النهاية على macOS.

• Linux: يمكنك تكوين الاستثناءات كاستثناءات للحماية من الفيروسات (يتم تطبيقها على الحماية في الوقت الحقيقي، والمسح الضوئي عند الطلب، ومراقبة السلوك، مع الحفاظ على رؤية EDR) أو كاستثناءات عمومية (يتم تطبيقها على مستوى المستشعر، وكتم كل من عمليات الكشف عن مكافحة الفيروسات وتنبيهات EDR). تتضمن أنواع الاستبعاد المدعومة ما يلي:

  • استثناءات ملحق الملف: استبعاد كافة الملفات ذات ملحق معين (غير متوفرة للاستبعادات العمومية).
  • استثناءات الملف: استبعاد ملف معين تم تعريفه بواسطة مساره الكامل.
  • استثناءات المجلد: استبعاد كافة الملفات ضمن مجلد محدد بشكل متكرر.
  • استثناءات العملية: استبعاد عملية معينة (حسب المسار الكامل أو اسم الملف) وجميع الملفات التي تفتحها.

  للمزيد من المعلومات، راجع تكوين الاستثناءات والتحقق من صحتها في Microsoft Defender لنقطة النهاية على Linux.

• Windows: يمكنك تكوين برنامج الحماية من الفيروسات Microsoft Defender لاستبعاد مجموعات من العمليات والملفات والمجلدات (المسارات) والملحقات من عمليات الفحص المجدولة وعمليات الفحص عند الطلب والحماية في الوقت الحقيقي واكتشافات التطبيقات غير المرغوب فيها (PUA). تنطبق هذه الاستثناءات على فحص مكافحة الفيروسات فقط. لا تنطبق على EDR، لذلك لا يزال بإمكان الملفات المستبعدة تشغيل تنبيهات EDR. لاستبعاد الملفات لكافة Defender لإمكانيات نقطة النهاية، استخدم مؤشرات مخصصة. تتضمن أنواع الاستبعاد المدعومة ما يلي:

  • استثناءات الملفات والمجلدات: استبعاد ملف معين أو كل شيء في مجلد. تعرف أيضا باسم استثناءات المسار.
  • استثناءات ملحق الملف: استبعاد أي ملف يحتوي على ملحق معين، بغض النظر عن الموقع.
  • استثناءات العملية: استبعاد كافة الملفات التي تفتحها عملية معينة.
  • الاستثناءات السياقية: تضييق نطاق استبعاد مسار بحيث يتم تطبيقه فقط في سياق معين، على سبيل المثال فقط عندما تفتح عملية معينة الملف.

  لمزيد من المعلومات، راجع الاستثناءات في برنامج الحماية من الفيروسات Microsoft Defender.

استثناءات قاعدة تقليل الأجزاء المعرضة للهجوم

تحظر قواعد تقليل الأجزاء المعرضة للهجوم (ASR) سلوك البرامج الخطرة، ولكن بعض التطبيقات المشروعة تشترك في هذا السلوك المحفيف بالمخاطر (على سبيل المثال، تشغيل الملفات القابلة للتنفيذ التي تقوم بتنزيل ملفات أخرى وتشغيلها). تحترم بعض قواعد ASR استثناءات برنامج الحماية من الفيروسات Microsoft Defender. تدعم قواعد ASR أيضا استثناءات قاعدة ASR العمومية واستبعادات قاعدة كل ASR.

لمزيد من المعلومات، راجع استثناءات الملفات والمجلدات لقواعد ASR.

استثناءات مجلد التنفيذ التلقائي

تنطبق استثناءات مجلد التنفيذ التلقائي على التحقيق التلقائي والمعالجة في Microsoft Defender لنقطة النهاية الخطة 2، التي تفحص التنبيهات وتتخذ إجراءات فورية لحل الانتهاكات المكتشفة. عندما يقوم التنبيه بتشغيل تحقيق تلقائي، يصل التحقيق إلى حكم (ضار أو مريب أو لم يتم العثور على تهديدات) لكل دليل. اعتمادا على مستوى الأتمتة وإعدادات الأمان الأخرى، تحدث إجراءات المعالجة تلقائيا أو بعد موافقة فريق عمليات الأمان عليها.

لمزيد من المعلومات، راجع إدارة استثناءات مجلد التنفيذ التلقائي.

استثناءات الوصول إلى المجلدات الخاضعة للرقابة

يحمي الوصول المتحكم به إلى المجلدات (CFA) بياناتك عن طريق حظر التطبيقات غير الموثوق بها من تغيير الملفات في المجلدات المحمية على أجهزة Windows. بشكل افتراضي، يحمي CFA مجلدات النظام الشائعة، ويمكنك إضافة مجلدات أخرى. إذا حظرت CFA تطبيقا تثق به، يمكنك تحديد استثناء للسماح للتطبيق بتعديل الملفات في المجلدات المحمية.

لمزيد من المعلومات، راجع تكوين الوصول المتحكم به إلى المجلدات.

إجراءات المعالجة المخصصة

عندما يكتشف برنامج الحماية من الفيروسات Microsoft Defender تهديدا محتملا أثناء تشغيل الفحص، فإنه يحاول معالجة التهديد المكتشف أو إزالته. يمكنك تحديد إجراءات المعالجة المخصصة لتكوين كيفية معالجة Microsoft Defender Antivirus لتهديدات معينة، وما إذا كان يجب إنشاء نقطة استعادة قبل المعالجة، ومتى يجب إزالة التهديدات.

لمزيد من المعلومات، راجع تكوين إجراءات المعالجة لاكتشافات مكافحة الفيروسات Microsoft Defender.

كيفية تقييم الاستثناءات والمؤشرات

لدى معظم المؤسسات عدة أنواع من الاستثناءات والمؤشرات لتحديد ما إذا كان يجب أن يكون المستخدمون قادرين على الوصول إلى ملف أو عملية واستخدامها. على الأجهزة Windows، تتم معالجة هذه الاستثناءات والمؤشرات بترتيب معين بحيث يتم التعامل مع تعارضات السياسة بشكل منهجي.

إليك كيفية عملها. يتوقف التقييم عند الشرط الأول الذي ينطبق:

1. إذا لم يسمح Windows Defender Application Control وAppLocker بفرض نهج الوضع، يتم حظره.
2. وإلا، إذا كان الملف مسموحا به بواسطة استثناء برنامج الحماية من الفيروسات Microsoft Defender، فإنه مسموح به.
3. وإلا، إذا كان الملف يحتوي على مؤشر ملف كتلة أو تحذير، يتم حظره أو تحذيره.
4. وإلا، إذا تم حظر الملف بواسطة SmartScreen، يتم حظره.
5. وإلا، إذا كان الملف مسموحا به بواسطة مؤشر ملف السماح، فإنه مسموح به.
6. وإلا، إذا تم حظر الملف بواسطة قواعد تقليل الأجزاء المعرضة للهجوم أو الوصول المتحكم به إلى المجلدات أو الحماية من الفيروسات، يتم حظره.
7. وإلا، يسمح بالملف.

كيفية معالجة تعارضات النهج

في الحالات التي تتعارض فيها مؤشرات Defender لنقطة النهاية، إليك ما يمكن توقعه:

• إذا كانت هناك مؤشرات ملفات متعارضة، يتم تطبيق المؤشر الذي يستخدم التجزئة الأكثر أمانا. على سبيل المثال، يكون ل SHA256 الأسبقية على SHA-1، والذي له الأسبقية على MD5.

• إذا كانت هناك مؤشرات URL متعارضة، يتم استخدام المؤشر الأكثر تحديدا.

  • بالنسبة Microsoft Defender SmartScreen، يتم تطبيق مؤشر يستخدم أطول مسار URL. على سبيل المثال، www.contoso.com/admin/ له الأسبقية على www.contoso.com.
  • يتم فرض حماية الشبكة بشكل أساسي على مستوى المجال، على الرغم من أنه يمكن حظر مسارات محددة ل URL في بعض السيناريوهات.

• إذا كانت هناك مؤشرات مشابهة لملف أو عملية لها إجراءات مختلفة، فإن المؤشر الذي يتم تحديد نطاقه لمجموعة أجهزة معينة له الأسبقية على مؤشر يستهدف جميع الأجهزة.

كيفية عمل التحقيق والمعالجة التلقائيين

تحدد قدرات التحقيق والمعالجة التلقائية في Defender لنقطة النهاية أولا حكما لكل جزء من الأدلة، ثم اتخذ إجراء اعتمادا على مؤشرات Defender لنقطة النهاية. ونتيجة لذلك، يمكن أن يحصل الملف أو العملية على حكم "جيد" (مما يعني أنه لم يتم العثور على تهديدات) ولا يزال يتم حظره إذا كان هناك مؤشر مع هذا الإجراء. وبالمثل، يمكن للكيان الحصول على حكم "سيئ" (مما يعني أنه مصمم على أنه ضار) ولا يزال مسموحا به إذا كان هناك مؤشر مع هذا الإجراء.

لمزيد من المعلومات، راجع محرك التحقيق والمعالجة التلقائي.

البدائل والخطوات التي يجب مراعاتها قبل إنشاء استثناء

يؤدي إنشاء استثناء أو مؤشر السماح إلى إنشاء فجوة في الحماية. استخدم هذه التقنيات فقط بعد تحديد السبب الجذري للمشكلة. حتى ذلك الحين، ضع في اعتبارك بدائل مثل إرسال ملف إلى Microsoft لتحليلتنبيه أو منعه.

تصف القائمة التالية السيناريوهات الشائعة والخطوات التي يجب مراعاتها قبل إنشاء مؤشر استثناء أو السماح.

• إيجابي خاطئ: تم الكشف عن كيان، مثل ملف أو عملية، وتم تعريفه على أنه ضار، على الرغم من أن الكيان ليس تهديدا. الخطوات التي يجب مراعاتها:

  1. مراجعة وتصنيف التنبيهات التي تم إنشاؤها نتيجة للكيان المكتشف.
  2. منع تنبيه كيان معروف.
  3. راجع إجراءات المعالجة التي تم اتخاذها للكيان المكتشف.
  4. أرسل الإيجابي الزائف إلى Microsoft للتحليل.
  5. حدد مؤشرا أو استثناء للكيان (فقط إذا لزم الأمر).

• مشكلات الأداء. على سبيل المثال:

  • يحتوي النظام على استخدام عال لوحدة المعالجة المركزية أو مشكلات أداء أخرى.
  • يحتوي النظام على مشكلات في تسرب الذاكرة.
  • يكون تحميل التطبيق بطيئا على الأجهزة.
  • يكون التطبيق بطيئا في فتح ملف على الأجهزة.

  الخطوات التي يجب مراعاتها:

  1. جمع البيانات التشخيصية لبرنامج الحماية من الفيروسات Microsoft Defender.
  2. إذا كنت تستخدم حلا غير Microsoft للحماية من الفيروسات، فتحقق مع المورد من المشكلات المعروفة في منتجات مكافحة الفيروسات.
  3. راجع سجلات الأداء (راجع استكشاف مشكلات أداء برنامج الحماية من الفيروسات Microsoft Defender وإصلاحها باستخدام WPRUI) لتحديد تأثير الأداء المقدر. بالنسبة للمشكلات الخاصة بالأداء المتعلقة ببرنامج الحماية من الفيروسات Microsoft Defender، استخدم محلل الأداء Microsoft Defender مكافحة الفيروسات.
  4. حدد استثناء برنامج الحماية من الفيروسات Microsoft Defender (إذا لزم الأمر).
  5. إنشاء مؤشر Defender لنقطة النهاية (فقط إذا لزم الأمر).

• مشاكل التوافق مع منتجات مكافحة الفيروسات غير Microsoft. على سبيل المثال، تعتمد Defender لنقطة النهاية على تحديثات التحليل الذكي للأمان للأجهزة، سواء كانت تعمل Microsoft Defender مكافحة الفيروسات أو حل مكافحة الفيروسات غير Microsoft. الخطوات التي يجب مراعاتها:

  1. إذا كنت تستخدم منتجا غير Microsoft للحماية من الفيروسات كحل أساسي للحماية من الفيروسات/البرامج الضارة، فقم بتعيين برنامج الحماية من الفيروسات Microsoft Defender إلى الوضع السلبي.
  2. إذا كنت تقوم بالتبديل من حل مكافحة الفيروسات/الحماية من البرامج الضارة غير Microsoft إلى Defender لنقطة النهاية، فشاهد التبديل إلى Defender لنقطة النهاية. يتضمن هذا التوجيه الاستثناءات التي قد تحتاج إلى تعريفها Microsoft Defender معلومات مكافحة الفيروساتواستكشاف الأخطاء وإصلاحها (فقط في حالة حدوث خطأ ما أثناء الترحيل).

• التوافق مع التطبيقات. على سبيل المثال، تتعطل التطبيقات أو تواجه سلوكيات غير متوقعة بعد إلحاق الجهاز Microsoft Defender لنقطة النهاية. راجع معالجة السلوكيات غير المرغوب فيها في Microsoft Defender لنقطة النهاية مع الاستثناءات والمؤشرات والتقنيات الأخرى.

إرسال الملفات لتحليلها

إذا كان لديك ملف تعتقد أنه تم اكتشافه بشكل خاطئ على أنه برنامج ضار (إيجابي خاطئ)، أو ملف تشك في أنه قد يكون برامج ضارة على الرغم من أنه لم يتم اكتشافه (سلبي خاطئ)، يمكنك إرسال الملف إلى Microsoft للتحليل. يتم فحص عمليات الإرسال الخاصة بك على الفور ثم مراجعتها من قبل محللي الأمان Microsoft. يمكنك التحقق من حالة الإرسال في صفحة محفوظات الإرسال.

يساعد إرسال الملفات للتحليل على تقليل الإيجابيات الخاطئة والسلبيات الكاذبة لجميع العملاء. لمزيد من المعلومات، راجع المقالات التالية:

• إرسال الملفات لتحليلها
• إرسال الملفات في مدخل Microsoft Defender (Defender لخطة نقطة النهاية 2 أو Microsoft Defender XDR فقط)

منع التنبيهات

إذا كنت تتلقى تنبيهات في مدخل Microsoft Defender للأدوات أو العمليات التي تعرف أنها ليست في الواقع تهديدا، يمكنك منع هذه التنبيهات.

لمنع تنبيه، يمكنك إنشاء قاعدة منع وتحديد الإجراءات التي يجب اتخاذها لهذا التنبيه على تنبيهات متطابقة أخرى. يمكنك إنشاء قواعد منع لتنبيه معين على جهاز واحد، أو لجميع التنبيهات التي لها نفس العنوان في مؤسستك.

لمزيد من المعلومات، راجع المقالات التالية:

• منع التنبيهات
• مدونة مجتمع التكنولوجيا: تقديم تجربة منع التنبيه الجديدة (ل Defender لنقطة النهاية)

(راجع أيضًا)

• معالجة السيناريوهات الإيجابية الخاطئة الشائعة مع الاستثناءات
• تكوين استثناءات برنامج الحماية من الفيروسات Microsoft Defender
• الاستثناءات التي يجب تجنبها في برنامج الحماية من الفيروسات Microsoft Defender Defender لنقطة النهاية
• نظرة عامة على المؤشرات في Microsoft Defender لنقطة النهاية