Exclusions à éviter dans Microsoft Defender Antivirus et Defender pour point de terminaison

  • S’applique à: Microsoft Defender Antivirus, Microsoft Defender for Endpoint on macOS, Microsoft Defender for Endpoint on Linux

Important

Ajoutez des exclusions avec prudence. Les exclusions pour Microsoft Defender Antivirus et Defender for Endpoint réduisent la protection des appareils.

Vous pouvez définir des exclusions pour les éléments que vous ne souhaitez pas Microsoft Defender Antivirus ou Microsoft Defender for Endpoint sur macOS ou Linux à analyser. Toutefois, les éléments exclus peuvent contenir des menaces qui rendent votre appareil vulnérable. Les exclusions réduisent également la protection des fonctionnalités qui dépendent du moteur antivirus, telles que la protection contre les programmes malveillants et les indicateurs de certificat de compromission (IOC). Les exclusions de processus empêchent également la protection réseau de Microsoft Defender for Endpoint et les règles de réduction de la surface d’attaque (ASR) d’inspecter le trafic ou d’appliquer des règles aux processus exclus. Avant de créer des exclusions, passez en revue les points importants sur les exclusions et les conseils plus généraux dans Exclusions pour Microsoft Defender for Endpoint et Microsoft Defender Antivirus.

N’excluez pas les fichiers, types de fichiers, dossiers ou processus décrits dans cet article, même si vous approuvez que les éléments ne sont pas malveillants. Cette aide s’applique à Microsoft Defender Antivirus et Defender pour point de terminaison sur Windows, macOS et Linux.

Dossiers que vous ne devez pas exclure

Les attaquants peuvent abuser de certains dossiers. N’excluez donc pas les dossiers suivants des analyses :

  • Windows :

    • %systemdrive%

    • C:, C:\ ou C:\*

    • %ProgramFiles%\Java ou C:\Program Files\Java

    • Dossiers de programmes pour les applications installées. Par exemple, %ProgramFiles%\Contoso\, , C:\Program Files\Contoso\ou %ProgramFiles(x86)%\Contoso\C:\Program Files (x86)\Contoso\

    • C:\Temp, C:\Temp\ ou C:\Temp\*

    • C:\Users\ ou C:\Users\*

    • C:\Users\<UserProfileName>\AppData\Local\Temp\ ou C:\Users\<UserProfileName>\AppData\LocalLow\Temp\

      Note

      Vous devez exclure les dossiers suivants lorsque vous utilisez la protection antivirus au niveau du fichier dans SharePoint :

      C:\Users\ServiceAccount\AppData\Local\Temp ou C:\Users\Default\AppData\Local\Temp.

    • %Windir%\Prefetch, C:\Windows\Prefetch, C:\Windows\Prefetch\, ou C:\Windows\Prefetch\*

    • %Windir%\System32\Spool ou C:\Windows\System32\Spool

    • C:\Windows\System32\CatRoot2

    • %Windir%\Temp, C:\Windows\Temp, C:\Windows\Temp\, ou C:\Windows\Temp\*

  • Linux et macOS :

    • /
    • /bin ou /sbin
    • /usr/lib

Extensions de fichier que vous ne devez pas exclure

Les attaquants peuvent abuser de certains types de fichiers. N’excluez donc pas les extensions de fichier suivantes des analyses :

  • .7z
  • .bat
  • .bin
  • .cab
  • .cmd
  • .com
  • .cpl
  • .dll
  • .exe
  • .fla
  • .gif
  • .gz
  • .hta
  • .inf
  • .jar
  • .java
  • .job
  • .jpeg
  • .jpg
  • .js
  • .ko ou .ko.gz
  • .msi
  • .ocx
  • .png
  • .ps1
  • .py
  • .rar
  • .reg
  • .scr
  • .sys
  • .tar
  • .tmp
  • .url
  • .vbe
  • .vbs
  • .wsf
  • .zip

Note

Vous pouvez choisir d’exclure des types de fichiers (par exemple, .gif, , .jpg.jpegou .png) si votre organization utilise des logiciels modernes et à jour avec des stratégies de mise à jour strictes pour gérer les vulnérabilités.

Les processus que vous ne devez pas exclure

Les attaquants peuvent abuser de certains processus. N’excluez donc pas les processus suivants des analyses :

  • Windows :

    • AcroRd32.exe
    • addinprocess.exe
    • addinprocess32.exe
    • addinutil.exe
    • bash.exe
    • bginfo.exe
    • bitsadmin.exe
    • cdb.exe
    • cmd.exe
    • cscript.exe
    • csi.exe
    • dbghost.exe
    • dbgsvc.exe
    • dnx.exe
    • dotnet.exe
    • excel.exe
    • fsi.exe
    • fsiAnyCpu.exe
    • iexplore.exe
    • java.exe
    • kd.exe
    • lxssmanager.dll
    • msbuild.exe
    • mshta.exe
    • ntkd.exe
    • ntsd.exe
    • outlook.exe
    • powerpnt.exe
    • powershell.exe
    • psexec.exe
    • rcsi.exe
    • schtasks.exe
    • svchost.exe
    • system.management.automation.dll
    • windbg.exe
    • winword.exe
    • wmic.exe
    • wscript.exe
    • wuauclt.exe

  • Linux et macOS :

    • bash
    • java
    • python et python3
    • sh
    • zsh

N’excluez pas les noms de fichiers sans chemin d’accès complet

Lorsque vous excluez un fichier, spécifiez son chemin d’accès complet afin que vous excluiez uniquement le fichier que vous envisagez. Une exclusion de nom uniquement se comporte différemment en fonction de la plateforme, mais la spécification du chemin d’accès complet est le choix plus sûr dans tous les cas :

  • Microsoft Defender Antivirus sur Windows : une exclusion de fichier est interprétée comme un chemin d’accès. Un nom de fichier nu comme Filename.exe n’est pas une exclusion de fichier fiable et n’exclut pas de manière dépendante le fichier. Utilisez un chemin d'accès complet, tel que C:\Program Files\Contoso\Filename.exe. Pour exclure un fichier par nom dans plusieurs emplacements, utilisez plutôt un chemin d’accès générique. Pour plus d'informations, veuillez consulter les sections Exclusions de fichiers et de dossiers et Caractères génériques dans les exclusions de fichiers et de dossiers.
  • Microsoft Defender for Endpoint sur macOS et Linux : macOS et Linux fournissent une option d’exclusion de nom de fichier en plus des exclusions de chemin d’accès complet. Pour vous assurer de n’exclure que le fichier souhaité, et non un autre fichier portant le même nom, indiquez le chemin d’accès complet, par exemple /usr/local/bin/contoso-app.

N’utilisez pas une liste d’exclusions pour plusieurs charges de travail de serveur

N’utilisez pas une seule liste d’exclusions pour définir des exclusions pour plusieurs charges de travail de serveur. Au lieu de cela, divisez les exclusions en plusieurs listes pour différentes applications ou services.

Par exemple, utilisez une liste d’exclusion différente pour Internet Information Services (IIS) que la liste d’exclusions pour SQL Server.

Sur Windows Server, Microsoft Defender Antivirus applique automatiquement de nombreuses exclusions basées sur des rôles. Vérifiez donc quelles exclusions s’appliquent déjà avant de créer des listes personnalisées. Pour plus d’informations, consultez les exclusions de Microsoft Defender Antivirus sur Windows Server.

Sur les serveurs Linux, identifiez les processus et chemins spécifiques dont chaque charge de travail a besoin d’exclure au lieu de réutiliser une liste. Pour plus d’informations, consultez Configurer et valider des exclusions pour Microsoft Defender for Endpoint sur Linux et résoudre les problèmes de performances pour Microsoft Defender for Endpoint sur Linux.

N’utilisez pas de variables d’environnement qui pointent vers des emplacements du système inattendus

Étant donné que le service antivirus s’exécute dans le contexte système, Microsoft Defender Antivirus résout les variables d’environnement dans les exclusions à l’aide du compte système (LocalSystem). De nombreuses variables sont résolues sur le même chemin dans les deux contextes, mais certaines ne le sont pas. Par exemple, %TEMP% résout plutôt C:\Windows\TEMP que C:\Users\<username>\AppData\Local\Temp, donc une exclusion qui utilise %TEMP% n'inclut pas l'emplacement auquel vous pouvez vous attendre.

Avant d’utiliser une variable d’environnement dans une exclusion, confirmez l’emplacement dans lequel elle se résout sous le compte système. Pour plus d’informations, consultez Variables d’environnement système.

Voir aussi

  • Last updated on