Exclusions dans Microsoft Defender Antivirus

  • S’applique à: Microsoft Defender Antivirus

Les exclusions indiquent Microsoft Defender Antivirus d’ignorer des fichiers, dossiers ou processus spécifiques lorsqu’il analyse. Chaque exclusion est un écart de protection qui réduit vos défenses, donc utilisez des exclusions avec parcimonie. Définissez une exclusion uniquement pour résoudre un problème spécifique, tel qu’un problème de compatibilité des performances ou des applications, et envisagez d’abord des alternatives comme des indicateurs personnalisés . N’excluez pas quelque chose simplement parce que vous pensez que cela pourrait être un problème plus tard. Pour plus d’éléments que vous ne devez jamais exclure, consultez Exclusions pour éviter dans Microsoft Defender Antivirus et Defender pour point de terminaison. Pour plus d’informations sur les compromis, consultez Vue d’ensemble des exclusions et des indicateurs dans Microsoft Defender for Endpoint.

Microsoft Defender Antivirus prend en charge les types d’exclusions suivants :

  • Exclusions intégrées : exclusions prédéfinies pour les fichiers du système d’exploitation qui Microsoft Defender Antivirus s’appliquent automatiquement, sans configuration de votre part. Pour plus d’informations, consultez exclusions intégrées.
  • Exclusions personnalisées : Exclusions que vous définissez vous-même :
    • Exclusions de fichiers et de dossiers : exclure un fichier spécifique ou tout ce qui se trouve dans un dossier. Aussi connues sous le nom de exclusions de chemin.
    • Exclusions d’extension de fichier : excluez tout fichier qui a une extension spécifique, quel que soit l’emplacement.
    • Exclusions de processus : excluez tous les fichiers qu’un processus spécifique ouvre.
    • Exclusions contextuelles : limitez une exclusion de chemin afin qu’elle s’applique uniquement dans un contexte spécifique, par exemple lorsqu’un processus spécifique ouvre le fichier.

Pour configurer l’un des types d’exclusion personnalisés, consultez Configurer des exclusions personnalisées pour Microsoft Defender Antivirus.

Points importants sur les exclusions

Gardez à l’esprit les points suivants lorsque vous définissez des exclusions :

  • Les exclusions peuvent avoir une incidence directe sur le fait que Microsoft Defender Antivirus bloque, corrige ou inspecte les événements liés aux fichiers, dossiers ou processus exclus. Ils affectent également les fonctionnalités qui dépendent du moteur antivirus, telles que la protection contre les programmes malveillants, les indicateurs de compromission des fichiers (IOC) et les E/S par certificat. Les exclusions de processus sur n’importe quelle plateforme empêchent également les règles de protection réseau et de réduction de la surface d’attaque (ASR) d’inspecter le trafic ou d’appliquer des règles pour les processus exclus.

  • Même avec des exclusions configurées, Microsoft Defender Antivirus effectue une évaluation minimale pour déterminer si une exclusion s’applique. Cette évaluation n’implique pas d’analyse complète du contenu. Lorsque les critères d’exclusion sont remplis, Microsoft Defender Antivirus ignore l’analyse du fichier, du dossier ou du processus spécifié.

  • Sur Windows Server, Microsoft Defender Antivirus applique également des exclusions automatiques prédéfinies pour les rôles serveur installés et des exclusions intégrées pour les fichiers du système d’exploitation. Ces exclusions prédéfinies sont séparées des exclusions personnalisées que vous définissez. Pour plus d’informations, consultez les exclusions de Microsoft Defender Antivirus sur Windows Server.

  • Les exclusions s’appliquent aux analyses planifiées, aux analyses à la demande, à la protection en temps réel et aux détections d’application potentiellement indésirables (PUA), mais pas à toutes les Defender pour les fonctionnalités de point de terminaison. Pour exclure des fichiers pour l’ensemble de Defender for Endpoint, utilisez des indicateurs personnalisés.

  • Les exclusions de Microsoft Defender Antivirus s’appliquent à certaines règles ASR. Pour plus d’informations, consultez Exclusions de fichiers et de dossiers pour les règles ASR.

  • Les fichiers que vous excluez peuvent toujours déclencher des alertes EDR (Endpoint Detection and Response), et ils peuvent toujours générer des détections comportementales ou heuristiques antivirus dans le portail Microsoft Defender. Pour exclure les fichiers plus largement, ajoutez-les à Microsoft Defender for Endpoint indicateurs personnalisés.

  • N’excluez pas les lecteurs réseau mappés. Spécifiez plutôt le chemin d’accès réseau réel.

  • Les caractères génériques (par exemple) *changent la façon dont les règles d’exclusion sont interprétées. Pour plus d'informations, veuillez consulter la section Caractères génériques dans les exclusions de Microsoft Defender Antivirus.

  • Par défaut, les modifications locales apportées aux exclusions par les administrateurs (y compris les modifications apportées avec PowerShell et Windows Management Instrumentation ou WMI) sont fusionnées avec des exclusions déployées par la stratégie de groupe, Configuration Manager ou Microsoft Intune. Les exclusions déployées par la stratégie de groupe sont prioritaires lorsqu'il existe un conflit et qu'elles sont visibles dans l'application Sécurité Windows. Pour laisser les modifications locales remplacer les paramètres managés, consultez Configurer la fusion des listes d’exclusion locales et définies globalement.

  • Passez régulièrement en revue et auditez vos exclusions. Vérifiez et appliquez à nouveau les atténuations dans le cadre de votre révision et conservez le contexte pour la raison pour laquelle chaque exclusion a été requise.

Exclusions intégrées

Microsoft Defender Antivirus inclut des exclusions intégrées pour les fichiers du système d’exploitation sur toutes les versions client et serveur prises en charge de Windows. Ces exclusions sont fournies et tenues à jour grâce aux mises à jour des renseignements de sécurité, à mesure que le paysage des menaces évolue, de sorte qu’elles s’appliquent sans configuration manuelle. Ils n'apparaissent pas dans les listes d'exclusion standard dans l'application Sécurité Windows.

Tip

Les emplacements par défaut décrits dans cet article peuvent être différents des emplacements sur vos appareils.

  • fichiers temp.edb de Windows :

    • %windir%\SoftwareDistribution\Datastore\*\tmp.edb
    • %ProgramData%\Microsoft\Search\Data\Applications\Windows\windows.edb

  • fichiers Windows Update ou fichiers de mise à jour automatique :

    • %windir%\SoftwareDistribution\Datastore\Datastore.edb
    • %windir%\SoftwareDistribution\Datastore\*\edb.chk
    • %windir%\SoftwareDistribution\Datastore\*\edb\*.log
    • %windir%\SoftwareDistribution\Datastore\*\Edb\*.jrs
    • %windir%\SoftwareDistribution\Datastore\*\Res\*.log

  • fichiers Sécurité Windows :

    • %windir%\Security\database\*.chk
    • %windir%\Security\database\*.edb
    • %windir%\Security\database\*.jrs
    • %windir%\Security\database\*.log
    • %windir%\Security\database\*.sdb

  • Fichiers de stratégie de groupe :

    • %allusersprofile%\NTUser.pol
    • %SystemRoot%\System32\GroupPolicy\Machine\registry.pol
    • %SystemRoot%\System32\GroupPolicy\User\registry.pol

Sur les versions prises en charge de Windows Server, Microsoft Defender Antivirus applique des exclusions intégrées pour les fonctionnalités du serveur (telles que Windows Service de noms Internet et service de réplication de fichiers) et des exclusions automatiques pour les rôles serveur installés. Pour plus d’informations, consultez les exclusions de Microsoft Defender Antivirus sur Windows Server.

Exclusions de fichiers et de dossiers

Les exclusions de fichiers et de dossiers sont disponibles pour les fichiers individuels et les dossiers entiers, qui sont stockés ensemble dans une liste d’exclusions de chemin d’accès unique. Une exclusion de fichier et de dossier s’applique toujours à un emplacement spécifique (chemin d’accès). Pour exclure tous les fichiers qui ont une extension spécifique indépendamment de l’emplacement, utilisez plutôt une exclusion d’extension de fichier distincte.

  • Fichiers : Les types d’exclusions suivants sont disponibles :

    • Fichier individuel spécifié par son chemin d’accès complet, tel que c:\sample\sample.test. Seul ce fichier dans cet emplacement est exclu.
    • Fichier de programme exécutable spécifié par son chemin complet, tel que c:\test\process.exe. L’exclusion d’un fichier exécutable arrête Microsoft Defender Antivirus d’analyser le fichier lui-même, et non les fichiers que le programme ouvre. Pour ignorer les fichiers qu’un processus ouvre, utilisez plutôt une exclusion de processus .

    Note

    Une valeur contenant uniquement un nom de fichier, comme sample.test, ne permet pas d’exclure le fichier de manière fiable. Spécifiez le chemin d’accès complet du fichier à la place. Les caractères génériques correspondent chacun à un seul dossier, de sorte que c:\*\sample.test ne correspond au fichier que dans les dossiers situés un niveau sous c:\, et non à la racine ni dans des dossiers imbriqués plus profondément.

  • Dossiers : excluez tout sous un dossier, tel que tous les fichiers et sous-dossiers sous c:\test\sample. Les conditions suivantes s’appliquent :

    • L’exclusion couvre chaque fichier et sous-dossier du dossier, à l’exception des sous-dossiers de point d’analyse . Ajoutez une entrée d’exclusion de dossier distincte pour chaque sous-dossier de point d’analyse que vous souhaitez exclure.
    • Un dossier de point de réanalyse créé après le démarrage du service antivirus Microsoft Defender n'est pas reconnu comme cible d'exclusion valide jusqu’à ce que vous redémarriez Windows.

Exclusions d’extensions de fichier

Les exclusions d’extension de fichier sont stockées dans une liste d’exclusions d’extensions distinctes, distinctes des exclusions de fichiers et de dossiers. Une valeur comme test celle-ci est traitée comme une extension uniquement parce qu’elle se trouve dans la liste d’extensions, et non dans la liste de chemins d’accès au fichier et au dossier.

  • Une exclusion d’extension, telle que .test (le point de début est facultatif), s’applique à n’importe quel fichier avec cette extension, n’importe où sur l’appareil.
  • Pour limiter une extension à un emplacement précis, utilisez à la place une exclusion de fichiers et de dossiers à l’aide d’un caractère générique, comme c:\example\*.test.

Exclusions de processus

Une exclusion de processus demande à Microsoft Defender Antivirus d’ignorer les fichiers que le processus ouvre. Les exclusions des fichiers ouverts par les processus exclus s’appliquent aux analyses planifiées et à la protection et à la surveillance en temps réel actives en permanence.

Pour exclure le fichier exécutable du processus lui-même, ajoutez un fichier et une exclusion de dossier distincts pour celui-ci.

Utilisez les méthodes suivantes pour exclure un processus :

  • Exclusions de noms d’image : le nom de fichier du processus sans chemin d’accès, par exemple MyProcess.exe. Exclut les fichiers ouverts par n’importe quel processus portant ce nom, quel que soit l’endroit où il s’exécute, y compris les supports amovibles.
  • Exclusions de chemin d’accès complet : le nom de fichier et le chemin d’accès du processus, comme C:\MyFolder\MyProcess.exe. Exclut les fichiers ouverts par ce processus spécifique uniquement. Dans la mesure du possible, utilisez le chemin d’accès complet.

Voici quelques exemples d’exclusion de processus :

  • test.exe exclut tout fichier ouvert par n’importe quel processus portant ce nom, qui inclut les fichiers ouverts par les processus suivants :
    • c:\sample\test.exe
    • d:\internal\files\test.exe
  • c:\test\test.exe exclut les fichiers ouverts par ce processus uniquement.
  • c:\test\sample\* exclut tout fichier ouvert par n’importe quel processus sous ce chemin d’accès de dossier spécifique. Par exemple :
    • c:\test\sample\test.exe
    • c:\test\sample\test2.exe
    • c:\test\sample\utility.exe

Exclusions contextuelles

Une exclusion contextuelle limite une exclusion de fichier et de dossier afin que Microsoft Defender Antivirus ignore le fichier ou le dossier uniquement dans un contexte spécifique. Par exemple, vous pouvez exclure un fichier uniquement lorsqu’un processus ou un type d’analyse spécifique l’ouvre. Étant donné que chaque exclusion améliore les performances, mais réduit la protection, les restrictions contextuelles limitent ce compromis en contrôlant lorsqu’une exclusion s’applique.

Les exclusions de fichiers et de dossiers contextuels nécessitent Microsoft Defender Antivirus en tant qu’application antivirus principale sur les appareils Windows :

  • Version de la plateforme : 4.18.2205.7 (mai 2022) ou ultérieure.
  • Version du moteur : 1.1.19300.2 (mai 2022) ou ultérieure.

Les exclusions de fichiers et de dossiers contextuels sont une fonctionnalité Windows uniquement. Ils ne sont pas disponibles sur des appareils Linux ou macOS, même ceux intégrés à Microsoft Defender for Endpoint.

Vous créez une exclusion contextuelle en ajoutant des restrictions contextuelles à une exclusion de fichiers et de dossiers standard, puis appliquez-la de la même façon que toute autre exclusion. Pour connaître les méthodes de configuration, consultez Configurer des exclusions personnalisées pour Microsoft Defender Antivirus.

Note

L'application Sécurité Windows ne prend pas en charge les exclusions contextuelles.

Les exclusions de fichiers et de dossiers contextuels utilisent la syntaxe suivante :

<RegularFileOrFolderExclusion>\:{ContextualRestrictionKeyword1:value1,ContextualRestrictionKeyword2:value2,...ContextualRestrictionKeywordN:valueN}

La <RegularFileOrFolderExclusion> partie correspond à une exclusion de fichier ou de dossier standard ; elle prend donc en charge les mêmes jokers (*, ? et les variables d’environnement) et suit les mêmes règles de correspondance des chemins d’accès. Pour plus d’informations, consultez Caractères génériques dans les exclusions de fichiers et de dossiers. Dans les exclusions contextuelles, une barre oblique inverse (\) doit toujours être placée immédiatement avant les deux-points (:) qui séparent le chemin d’accès des restrictions {}, comme dans l’exemple ...\:{...}.

Vous ajoutez les restrictions contextuelles dans la {} partie. Chaque restriction contextuelle a un mot clé et une valeur, comme indiqué dans le tableau suivant :

Type de restriction contextuelle Mot clé Valeur
Restriction de fichier et de dossier PathType file

folder
Restriction du type de numérisation ScanType quick

full
Restriction du déclencheur d’analyse ScanTrigger OnDemand

OnAccess

BM (Surveillance du comportement)
Restriction de processus Process <path>

Important

Les restrictions contextuelles de mots-clés (telles que PathType) et leurs valeurs (telles que file, OnAccess et BM) sont sensibles à la casse, comme le montre le tableau et les exemples ci-dessous. Les chemins d’accès des fichiers, des dossiers et des processus suivent les règles habituelles des chemins d’accès Windows et ne sont pas sensibles à la casse.

Note

Plusieurs paires ScanType, ScanTrigger ou PathType mot-clé-valeur dans la même exclusion contextuelle utilisent la logique AND. Par exemple, {ScanTrigger:OnAccess,ScanTrigger:OnDemand} ne peut jamais être vrai et l’exclusion ne s’applique jamais, car un seul événement d’analyse n’a qu’un seul déclencheur d’analyse. Pour exclure plusieurs valeurs ScanType, ScanTrigger ou PathType, créez plusieurs exclusions contextuelles.

Plusieurs Process paires mot clé-valeur dans la même exclusion contextuelle utilisent la logique OR. Vous pouvez donc exclure plusieurs Process valeurs dans une exclusion. Pour plus d’informations, consultez Restrictions contextuelles de processus.

Vous pouvez combiner différents types de mots clés dans une exclusion contextuelle, comme indiqué dans les sous-sections suivantes.

Les exclusions contextuelles ne sont pas un moyen fiable de traiter les faux positifs (fichiers légitimes ou processus détectés incorrectement comme malveillants). Si vous rencontrez un faux positif, vous pouvez envoyer le fichier à Microsoft à des fins d’analyse à Sécurité Microsoft Intelligence. Avec Microsoft Defender for Endpoint Plan 2 ou Microsoft Defender XDR, vous pouvez envoyer des fichiers à partir du portail Microsoft Defender. Si vous avez Microsoft Defender for Endpoint, vous pouvez également créer un indicateur d’autorisation personnalisé comme méthode de suppression temporaire. Pour plus d’informations, consultez Créer des indicateurs pour les fichiers.

Restrictions contextuelles du chemin d’accès au fichier ou au dossier

Utilisez le PathType mot clé de restriction contextuelle pour identifier l’exclusion en tant que fichier uniquement ou dossier uniquement.

  • Permet PathType:folder d’appliquer l’exclusion uniquement lorsque l’élément exclu est un dossier, et non un fichier. Par exemple:

    C:\documents\*\:{PathType:folder}

  • Permet PathType:file d’appliquer l’exclusion uniquement lorsque l’élément exclu est un fichier, et non un dossier. Par exemple:

    C:\documents\*.mdb\:{PathType:file}

  • Si la PathType restriction ne correspond pas au type d’élément exclu, l’exclusion ne s’applique pas :

    • La restriction contextuelle identifie l’exclusion en tant que dossier, mais l’élément analysé est un fichier.
    • La restriction contextuelle identifie l’exclusion en tant que fichier, mais l’élément analysé est un dossier.

  • Cet exemple exclut les fichiers .docx dans tout dossier de premier niveau du lecteur C: des analyses à la demande :

    c:\*\*.docx\:{PathType:file,ScanTrigger:OnDemand}

    Si vous n’incluez PathType:file pas dans l’exclusion, tous les dossiers dont les noms se terminent .docx dans ces mêmes dossiers de premier niveau sont également exclus des analyses à la demande.

Restrictions contextuelles du type d’analyse

Utilisez le ScanType mot clé de restriction contextuelle pour appliquer l’exclusion uniquement pendant un type d’analyse spécifique :

  • Analyses rapides (quick) : emplacements de démarrage courants utilisés par les programmes malveillants, la mémoire et certaines clés de Registre.
  • Analyses complètes (full) : emplacements d’analyse rapide ainsi que le système de fichiers complet (tous les fichiers et dossiers).

Pour plus d’informations sur chaque type d’analyse, consultez Comparaison de l’analyse rapide, de l’analyse complète et de l’analyse personnalisée.

Cet exemple exclut le dossier spécifié uniquement pendant une analyse complète :

C:\documents\:{ScanType:full}

Cet exemple exclut le fichier spécifié uniquement pendant une analyse rapide :

C:\program.exe\:{ScanType:quick}

Pour vous assurer que l’exclusion s’applique uniquement aux fichiers, et non aux dossiers (c:\program.exe il peut s’agir d’un dossier), utilisez également la PathType restriction contextuelle, comme illustré dans l’exemple suivant :

C:\program.exe\:{ScanType:quick,PathType:file}

Restrictions contextuelles du déclencheur d’analyse

Utilisez le ScanTrigger mot clé de restriction contextuelle pour appliquer l’exclusion uniquement lorsqu’une analyse est lancée par un événement spécifique :

Cet exemple exclut le dossier spécifié uniquement lorsqu’il est analysé après y avoir accédé :

c:\documents\:{ScanTrigger:OnAccess}

Cet exemple exclut le fichier spécifié (et non un dossier) uniquement lorsqu’il est analysé par une commande ou une action d’administrateur :

c:\documents\design.docx\:{PathType:file,ScanTrigger:OnDemand}

Restrictions contextuelles du processus

Utilisez le Process mot clé de restriction contextuelle pour appliquer l’exclusion uniquement lorsqu’un processus spécifique accède au fichier ou au dossier.

  • Évitez d’exclure le processus lui-même, car l’exclusion du processus entraîne Microsoft Defender Antivirus d’ignorer toutes les autres opérations effectuées par ce processus.

  • Les caractères génériques sont pris en charge dans le nom et le chemin du processus.

  • Vous pouvez répertorier plusieurs processus dans une seule exclusion contextuelle à l’aide de la syntaxe suivante :

    <RegularFileOrFolderExclusion>\:{Process1:value1,Process2:value2,...ProcessN:valueN}

    Contrairement à d’autres types de restriction contextuelle, plusieurs Process restrictions sont mises en correspondance avec la logique OR : l’exclusion s’applique si l’un des processus répertoriés accède au fichier ou au dossier.

  • L’utilisation de nombreuses restrictions de processus sur un appareil peut dégrader les performances.

  • Si une exclusion est limitée à un processus spécifique, d’autres processus actifs (tels que l’indexation, la sauvegarde ou les mises à jour) peuvent toujours déclencher des analyses de fichiers.

Cet exemple exclut le fichier spécifié uniquement lorsque le processus spécifié y accède :

c:\documents\design.docx\:{Process:"winword.exe"}

Cet exemple exclut le fichier spécifié (et non un dossier) uniquement lorsque les processus spécifiés y accèdent :

c:\documents\design.docx\:{PathType:file,Process:"winword.exe",Process:"msaccess.exe",Process:"C:\Program Files*\Microsoft Office\root\Office??\winword.exe"}

Caractères génériques dans les exclusions de l’antivirus Microsoft Defender

Vous pouvez utiliser l’astérisque *, le point d’interrogation ?ou les variables d’environnement comme caractères génériques dans les exclusions de fichier, de dossier et de processus. Vous pouvez combiner librement *, ? et des variables d’environnement dans une même exclusion.

La façon dont Microsoft Defender Antivirus interprète les caractères génériques diffère de leur utilisation habituelle dans d’autres applications et langues :

  • Le service antivirus Microsoft Defender s’exécute dans le contexte système à l’aide du compte LocalSystem. Le service obtient des informations à partir de variables d’environnement système , et non de variables d’environnement utilisateur . Utilisez uniquement les types de variables d’environnement suivants comme caractères génériques :
  • Vous pouvez utiliser un maximum de six caractères génériques par entrée.
  • Vous ne pouvez pas utiliser de caractère générique à la place d’une lettre de lecteur.

Caractères génériques dans les exclusions de fichiers et de dossiers

Le comportement générique pour les exclusions de fichiers et de dossiers est décrit dans la liste suivante. Comme il s’agit d’entrées d’exclusion, excludes signifie que l’entrée correspond et ignore l’élément indiqué.

  • * (astérisque) :
    • Dans un nom de fichier ou une extension : correspond à un nombre quelconque de caractères, mais s’applique uniquement aux fichiers du dernier dossier nommé dans l’entrée (et non aux sous-dossiers). Par exemple, C:\MyData\*.txt exclut C:\MyData\notes.txt.
    • Dans un chemin d’accès au dossier : correspond à un dossier unique. Utilisez plusieurs \*\ instances pour les dossiers imbriqués, sans nom. Une fois que les dossiers nommés et ceux avec caractères génériques ont été mis en correspondance, tous les sous-dossiers sont également inclus. Par exemple :
      • C:\somepath\*\Data exclut tout fichier dans C:\somepath\Archives\Data et ses sous-dossiers, et dans C:\somepath\Authorized\Data et ses sous-dossiers.
      • C:\Serv\*\*\Backup exclut tout fichier dans C:\Serv\Primary\Denied\Backup et ses sous-dossiers, et dans C:\Serv\Secondary\Allowed\Backup et ses sous-dossiers.
  • ? (point d’interrogation) :
    • Dans un nom de fichier ou une extension : correspond à un caractère unique, mais s’applique uniquement aux fichiers du dernier dossier nommé dans l’entrée (et non aux sous-dossiers). Par exemple, C:\MyData\my?.zip exclut C:\MyData\my1.zip.
    • Dans un chemin d’accès au dossier : correspond à un caractère unique dans un nom de dossier. Une fois que les dossiers nommés et ceux avec caractères génériques ont été mis en correspondance, tous les sous-dossiers sont également inclus. Par exemple, C:\somepath\?\Data exclut tout fichier dans C:\somepath\P\Data et ses sous-dossiers, et C:\somepath\test0?\Data exclut tout fichier dans C:\somepath\test01\Data et ses sous-dossiers.
  • Variables d’environnement : étendue à un chemin d’accès lorsque l’exclusion est évaluée. Par exemple, %ALLUSERSPROFILE%\CustomLogFiles exclut C:\ProgramData\CustomLogFiles\Folder1\file1.txt.
  • Combinaison et correspondance : combiner des variables d’environnement, *et ? dans une seule entrée. Par exemple, %PROGRAMFILES%\Contoso*\v?\bin\contoso.exe exclut C:\Program Files\Contoso Labs\v1\bin\contoso.exe.

Important

Si vous combinez une exclusion de fichier avec une exclusion de dossier, les règles s’arrêtent à la correspondance d’exclusion de fichier dans le dossier correspondant et ne recherchent pas de correspondances de fichiers dans les sous-dossiers.

Par exemple, c:\data\*\marked\date* exclut tous les fichiers qui commencent par « date » dans les dossiers c:\data\final\marked et c:\data\review\marked, mais pas dans les sous-dossiers de ces dossiers.

Caractères génériques dans les exclusions de processus

Les caractères génériques sont disponibles dans les exclusions de processus, mais leur utilisation est légèrement différente :

Le comportement générique pour les exclusions de processus de chemin d’accès complet est décrit dans la liste suivante. Étant donné qu’il s’agit d’entrées d’exclusion, excludes signifie que l’entrée correspondante ignore les fichiers ouverts par le processus répertorié.

  • * (astérisque) : correspond à n’importe quel nombre de caractères. Par exemple :
    • C:\MyFolder\* exclut tout fichier ouvert par C:\MyFolder\MyProcess.exe ou C:\MyFolder\AnotherProcess.exe.
    • C:\*\*\MyProcess.exe exclut tout fichier ouvert par C:\MyFolder1\MyFolder2\MyProcess.exe ou C:\MyFolder3\MyFolder4\MyProcess.exe.
    • C:\*\MyFolder\My*.exe exclut tout fichier ouvert par C:\MyOtherFolder\MyFolder\MyProcess.exe ou C:\AnotherFolder\MyFolder\MyOtherProcess.exe.
  • ? (point d’interrogation) : correspond à un caractère unique. Par exemple, C:\MyFolder\MyProcess??.exe exclut tout fichier ouvert par C:\MyFolder\MyProcess42.exe, C:\MyFolder\MyProcessAA.exeou C:\MyFolder\MyProcessF5.exe.
  • Variables d’environnement : étendue à un chemin d’accès lorsque l’exclusion est évaluée. Par exemple, %ALLUSERSPROFILE%\MyFolder\MyProcess.exe exclut tout fichier ouvert par C:\ProgramData\MyFolder\MyProcess.exe.

Variables d’environnement système

Étant donné que le service antivirus Microsoft Defender s’exécute en tant que compte LocalSystem, une variable d’environnement dans une exclusion se résout à son emplacement de compte système, ce qui est souvent différent de l’emplacement du compte d’utilisateur que vous pouvez attendre. Le tableau suivant répertorie les variables d’environnement système les plus couramment utilisées et les emplacements par défaut auxquels elles correspondent. La colonne Identique à l’emplacement de l’utilisateur ? indique si la variable pointe vers le même chemin d’accès dans un contexte utilisateur normal (Non signifie qu’elle se résout quelque part différemment sous LocalSystem). Pour plus d’informations générales sur les variables d’environnement Windows, consultez Variables d’environnement reconnues.

Variable système Est résolu en Identique à
emplacement de l’utilisateur ?		 Examples
%ALLUSERSPROFILE% C:\ProgramData Oui %ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs

%ALLUSERSPROFILE%\Microsoft\Windows\DeviceMetadataStore

%ALLUSERSPROFILE%\Microsoft\Windows\Templates
%APPDATA% C:\Windows\System32\config\systemprofile\AppData\Roaming Non %APPDATA%\Microsoft\Windows\Start Menu

%APPDATA%\Microsoft\Windows\Start Menu\Programs
%CommonProgramFiles% C:\Program Files\Common Files Oui
%CommonProgramFiles(x86)% C:\Program Files (x86)\Common Files Oui
%LOCALAPPDATA% C:\Windows\System32\config\systemprofile\AppData\Local Non %LOCALAPPDATA%\Microsoft\Windows\History
%ProgramData% C:\ProgramData Oui
%ProgramFiles% C:\Program Files Oui %ProgramFiles%\Common Files
%ProgramFiles(x86)% C:\Program Files (x86) Oui %ProgramFiles(x86)%\Common Files
%PUBLIC% C:\Users\Public Oui %PUBLIC%\Desktop

%PUBLIC%\Documents

%PUBLIC%\Pictures
%SystemDrive% C: Oui %SystemDrive%\Program Files

%SystemDrive%\Program Files (x86)

%SystemDrive%\Users
%SystemRoot% C:\Windows Oui
%TEMP% C:\Windows\TEMP Non
%TMP% C:\Windows\TEMP Non
%USERPROFILE% C:\Windows\System32\config\systemprofile Non %USERPROFILE%\AppData\Local

%USERPROFILE%\AppData\LocalLow

%USERPROFILE%\AppData\Roaming
%windir% C:\Windows Oui %windir%\Fonts

%windir%\System32

%windir%\Resources

Voir aussi

  • Dernière mise à jour :