exclusions antivirus Microsoft Defender sur Windows Server

  • S’applique à: Microsoft Defender Antivirus

Sur Windows Server, Microsoft Defender Antivirus applique automatiquement des exclusions afin qu'il n'analyse pas les fichiers et les processus critiques pour les rôles serveur installés et le système d'exploitation. Ces exclusions prédéfinies réduisent le risque de problèmes de performances ou de stabilité sans configuration manuelle.

Microsoft Defender Antivirus configure automatiquement les types d’exclusions suivants sur Windows Server :

  • Exclusions intégrées pour les fichiers du système d’exploitation sur toutes les versions prises en charge de Windows.
  • Exclusions automatiques pour les rôles serveur sur Windows Server 2016 et versions ultérieures.

Les exclusions intégrées et automatiques sont fournies et mises à jour via les mises à jour du renseignement de sécurité. Elles s’appliquent donc sans configuration manuelle. Ils n'apparaissent pas dans les listes d'exclusion standard dans l'application Sécurité Windows.

Les exclusions intégrées et automatiques sont séparées des exclusions personnalisées que vous définissez. Les exclusions personnalisées sont prioritaires : lorsque vous définissez une exclusion personnalisée pour un chemin d’accès qui duplique une exclusion intégrée ou automatique, l’exclusion personnalisée s’applique toujours.

Pour savoir comment fonctionnent les différents types d’exclusions, consultez Exclusions dans Microsoft Defender Antivirus.

Cet article répertorie les exclusions intégrées et automatiques qui s’appliquent Microsoft Defender Antivirus sur Windows Server et explique comment désactiver les exclusions automatiques lorsque vous avez besoin d’un contrôle total.

Prerequisites

Systèmes d'exploitation pris en charge

Microsoft Defender Antivirus est intégré à Windows Server 2016 et versions ultérieures, et Azure Stack système d’exploitation HCI version 23H2 et ultérieure, de sorte que les exclusions intégrées et automatiques de cet article s’appliquent par défaut.

Sur Windows Server 2012 R2, Microsoft Defender Antivirus n'est pas intégré. Il est installé lorsque vous intégrez le serveur à Microsoft Defender for Endpoint avec la solution unifiée moderne, et les exclusions de rôle de serveur automatique ne s'appliquent pas.

Exclusions intégrées

Microsoft Defender Antivirus applique des exclusions intégrées pour les fichiers du système d’exploitation sur toutes les versions prises en charge de Windows. Les exclusions qui s’appliquent aux versions client et serveur (telles que Windows Update, Sécurité Windows et les fichiers de stratégie de groupe) sont répertoriées dans les exclusions intégrées.

Cette section répertorie les exclusions intégrées pour les fonctionnalités serveur qui ne sont pas présentes sur les versions clientes de Windows.

Tip

  • Les emplacements par défaut décrits dans cet article peuvent être différents des emplacements sur vos serveurs.
  • La liste des exclusions intégrées appliquées par Microsoft Defender Antivirus est mise à jour à mesure que le paysage des menaces change.

exclusions du service Windows Internet Name Service (WINS)

Les exclusions suivantes s’appliquent lorsque la fonctionnalité de serveur wins (Internet Name Service) Windows est installée :

  • %systemroot%\System32\Wins\*\*.chk
  • %systemroot%\System32\Wins\*\*.log
  • %systemroot%\System32\Wins\*\*.mdb
  • %systemroot%\System32\LogFiles\
  • %systemroot%\SysWow64\LogFiles\

Exclusions du service de réplication de fichiers (FRS)

Les exclusions FRS suivantes sont configurées automatiquement :

  • Files dans le dossier de travail FRS : la clé HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NtFrs\Parameters\Working Directory de Registre spécifie l’emplacement.

    • %windir%\Ntfrs\jet\sys\*\edb.chk
    • %windir%\Ntfrs\jet\*\Ntfrs.jdb
    • %windir%\Ntfrs\jet\log\*\*.log

  • Fichiers journaux de la base de données FRS : la clé HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Ntfrs\Parameters\DB Log File Directory de Registre spécifie l’emplacement.

    • %windir%\Ntfrs\*\Edb\*.log

  • Dossier intermédiaire FRS : la clé HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NtFrs\Parameters\Replica Sets\GUID\Replica Set Stage de Registre spécifie l’emplacement.

    • %systemroot%\Sysvol\*\Ntfrs_cmp*\

  • Dossier de préinstallation FRS : le dossier Replica_root\DO_NOT_REMOVE_NtFrs_PreInstall_Directory de préinstallation masqué identifie ce dossier.

    • %systemroot%\SYSVOL\domain\DO_NOT_REMOVE_NtFrs_PreInstall_Directory\*\Ntfrs*\

  • Base de données et dossiers de travail de la réplication DFSR (Distributed File System Replication) : la clé de registre HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File spécifie l’emplacement.

    • %systemdrive%\System Volume Information\DFSR\$db_normal$
    • %systemdrive%\System Volume Information\DFSR\FileIDTable_*
    • %systemdrive%\System Volume Information\DFSR\SimilarityTable_*
    • %systemdrive%\System Volume Information\DFSR\*.XML
    • %systemdrive%\System Volume Information\DFSR\$db_dirty$
    • %systemdrive%\System Volume Information\DFSR\$db_clean$
    • %systemdrive%\System Volume Information\DFSR\$db_lostl$
    • %systemdrive%\System Volume Information\DFSR\Dfsr.db
    • %systemdrive%\System Volume Information\DFSR\*.frx
    • %systemdrive%\System Volume Information\DFSR\*.log
    • %systemdrive%\System Volume Information\DFSR\Fsr*.jrs
    • %systemdrive%\System Volume Information\DFSR\Tmp.edb

    Note

    Pour connaître les emplacements personnalisés, consultez la section Désactiver les exclusions automatiques dans Windows Server section.

Exclusions de processus pour les fichiers de système d’exploitation intégrés

  • %systemroot%\System32\dfsr.exe
  • %systemroot%\System32\dfsrs.exe

Exclusions automatiques de rôles serveur

Les exclusions de rôles serveur automatiques ajoutent des exclusions de chemin d’accès et de processus en fonction des rôles installés sur le serveur.

Sur Windows Server 2016 et versions ultérieures, vous n'avez pas besoin de définir des exclusions pour les rôles serveur. Lorsque vous installez un rôle, Microsoft Defender Antivirus exclut automatiquement les fichiers et processus du rôle, y compris les fichiers ajoutés lors de l'installation.

Les exclusions de rôle de serveur automatique ne sont pas prises en charge sur Windows Server 2012 R2. Lorsque vous intégrez ces serveurs à Defender pour point de terminaison, seules les exclusions intégrées pour les fichiers du système d’exploitation s’appliquent. Pour obtenir une couverture équivalente, recréez les exclusions de rôle en tant qu’exclusions personnalisées. Pour plus d’informations, consultez Intégrer des serveurs Windows au service Microsoft Defender for Endpoint.

Note

  • Les exclusions automatiques s’appliquent uniquement à la protection en temps réel (RTP). Les autres activités d’analyse (par exemple, inspection réseau et surveillance du comportement) ne sont pas exclues. Pour exclure ces types d’analyse, utilisez des exclusions personnalisées.
  • Les exclusions automatiques ne sont pas respectées lors des analyses rapides, complètes ou personnalisées. Pour exclure des fichiers de ces analyses, utilisez des exclusions personnalisées.
  • Microsoft Defender Antivirus utilise les outils de gestion et de maintenance des images de déploiement (DISM) pour déterminer les rôles installés sur votre ordinateur.
  • Les emplacements par défaut décrits dans cet article peuvent être différents des emplacements sur vos serveurs.
  • Pour définir des exclusions pour les logiciels qui ne sont pas inclus en tant que fonctionnalité Windows ou rôle serveur, reportez-vous à la documentation du logiciel.

Exclusions d’Active Directory

Les exclusions suivantes sont automatiquement configurées lorsque vous installez le rôle services de domaine Active Directory (AD DS) :

  • Fichiers de base de données NTDS : la clé HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters\DSA Database File de Registre spécifie l’emplacement.
    • %windir%\Ntds\ntds.dit
    • %windir%\Ntds\ntds.pat
  • Fichiers journaux des transactions AD DS : la clé HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path de Registre spécifie l’emplacement.
    • %windir%\Ntds\EDB*.log
    • %windir%\Ntds\Res*.log
    • %windir%\Ntds\Edb*.jrs
    • %windir%\Ntds\Ntds*.pat
    • %windir%\Ntds\TEMP.edb
  • Dossier de travail NTDS : la clé HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory de Registre spécifie l’emplacement.
    • %windir%\Ntds\Temp.edb
    • %windir%\Ntds\Edb.chk
  • Exclusions de processus pour AD DS et les fichiers de support associés à AD DS :
    • %systemroot%\System32\ntfrs.exe
    • %systemroot%\System32\lsass.exe

Exclusions de serveur DHCP

Les exclusions suivantes sont automatiquement configurées lorsque vous installez le rôle Serveur DHCP :

  • %systemroot%\System32\DHCP\*\*.mdb
  • %systemroot%\System32\DHCP\*\*.pat
  • %systemroot%\System32\DHCP\*\*.log
  • %systemroot%\System32\DHCP\*\*.chk
  • %systemroot%\System32\DHCP\*\*.edb

Les clés de Registre suivantes spécifient les emplacements des fichiers :

  • HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters\DatabasePath
  • HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters\DhcpLogFilePath
  • HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters\BackupDatabasePath

Exclusions de serveur DNS

Les exclusions suivantes sont automatiquement configurées lorsque vous installez le rôle serveur DNS :

  • Files et dossiers :
    • %systemroot%\System32\Dns\*\*.log
    • %systemroot%\System32\Dns\*\*.dns
    • %systemroot%\System32\Dns\*\*.scc
    • %systemroot%\System32\Dns\*\BOOT
  • Processus :
    • %systemroot%\System32\dns.exe

Exclusions des services de fichiers et de stockage

Les exclusions suivantes sont automatiquement configurées lorsque vous installez le rôle Services de fichiers et de stockage :

  • %SystemDrive%\ClusterStorage
  • %clusterserviceaccount%\Local Settings\Temp
  • %SystemDrive%\mscs

Tip

Les exclusions des services de fichiers et de stockage précédents n’incluent pas d’exclusions pour le rôle de clustering.

Exclusions pour Hyper-V

Les exclusions suivantes sont configurées automatiquement lorsque vous installez le rôle Hyper-V :

  • Files :
    • *.avhd
    • *.avhdx
    • *.iso
    • *.rct
    • *.vhd
    • *.vhdx
    • *.vmcx
    • *.vmrs
    • *.vsv
  • Dossiers :
    • %ProgramData%\Microsoft\Windows\Hyper-V
    • %ProgramFiles%\Hyper-V
    • %SystemDrive%\ProgramData\Microsoft\Windows\Hyper-V\Snapshots
    • %Public%\Documents\Hyper-V\Virtual Hard Disks
  • Processus :
    • %systemroot%\System32\Vmms.exe
    • %systemroot%\System32\Vmwp.exe

Les exclusions suivantes sont automatiquement configurées lorsque vous installez le rôle Serveur d’impression :

  • Exclusions de fichiers :
    • *.shd
    • *.spl
  • Exclusions de dossiers : la clé HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print\Printers\DefaultSpoolDirectory de Registre spécifie l’emplacement.
    • %systemroot%\system32\spool\printers\*
  • Exclusions de processus :
    • spoolsv.exe

Exclusions de dossiers SYSVOL

Les exclusions suivantes sont automatiquement configurées pour les fichiers du dossier SYSVOL :

  • %systemroot%\Sysvol\Domain\*.adm
  • %systemroot%\Sysvol\Domain\*.admx
  • %systemroot%\Sysvol\Domain\*.adml
  • %systemroot%\Sysvol\Domain\Registry.pol
  • %systemroot%\Sysvol\Domain\*.aas
  • %systemroot%\Sysvol\Domain\*.inf
  • %systemroot%\Sysvol\Domain\*Scripts.ini
  • %systemroot%\Sysvol\Domain\*.ins
  • %systemroot%\Sysvol\Domain\Oscfilter.ini

Exclure manuellement des fichiers dans le dossier Sysvol\Sysvol ou SYSVOL_DFSR\Sysvol

Note

Cette aide pour exclure manuellement les fichiers et les dossiers sous %SystemRoot%\SYSVOL (y compris les chemins liés à DFSR) est pertinente uniquement dans les scénarios suivants :

  • Vous avez explicitement désactivé les exclusions automatiques.
  • Vous résolvez les problèmes de performances ou de stabilité et devez valider temporairement l’interaction antivirus.

Le dossier Sysvol\Sysvol ou SYSVOL_DFSR\Sysvol et tous ses sous-dossiers constituent la cible de réanalyse du système de fichiers de la racine du jeu de réplicas. Par défaut, ces dossiers utilisent les emplacements suivants :

  • %systemroot%\Sysvol\Domain
  • %systemroot%\Sysvol_DFSR\Domain

Le partage NETLOGON fait référence à l’emplacement actif SYSVOL . La valeur SysVol dans la clé HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters de Registre identifie l’emplacement. Dans cet emplacement et tous les sous-dossiers, excluez les fichiers suivants :

  • *.adm
  • *.admx
  • *.adml
  • Registry.pol
  • Registry.tmp
  • *.aas
  • *.inf
  • Scripts.ini
  • *.ins
  • Oscfilter.ini

Pour connaître les étapes d’ajout de ces exclusions, consultez Configurer des exclusions personnalisées pour Microsoft Defender Antivirus.

Pour confirmer que les exclusions sont configurées après leur ajout, exécutez la commande suivante dans une session PowerShell avec élévation de privilèges (une fenêtre PowerShell que vous avez ouverte en sélectionnant Exécuter en tant qu’administrateur) :

$p = Get-MpPreference; 'ExclusionExtension','ExclusionPath','ExclusionProcess' | ForEach-Object { $t = $_; $p.$t | ForEach-Object {[pscustomobject]@{Type=$t; Value=$_}} } | Format-Table -AutoSize

La commande utilise l’applet de commande Get-MpPreference pour afficher les exclusions configurées par type : extension, chemin d’accès et processus.

Exclusions du serveur Web

Les exclusions suivantes sont automatiquement configurées lorsque vous installez le rôle Serveur web :

  • Exclusions de dossiers:
    • %SystemRoot%\IIS Temporary Compressed Files
    • %SystemDrive%\inetpub\temp\IIS Temporary Compressed Files
    • %SystemDrive%\inetpub\temp\ASP Compiled Templates
    • %systemDrive%\inetpub\logs
    • %systemDrive%\inetpub\wwwroot
  • Exclusions de processus :
    • %SystemRoot%\system32\inetsrv\w3wp.exe
    • %SystemRoot%\SysWOW64\inetsrv\w3wp.exe
    • %SystemDrive%\PHP5433\php-cgi.exe

Exclusions de Windows Server Update Services

Les exclusions suivantes sont automatiquement configurées lorsque vous installez le rôle Windows Server Update Services (WSUS) :

  • %systemroot%\WSUS\WSUSContent
  • %systemroot%\WSUS\UpdateServicesDBFiles
  • %systemroot%\SoftwareDistribution\Datastore
  • %systemroot%\SoftwareDistribution\Download

La clé HKEY_LOCAL_MACHINE\Software\Microsoft\Update Services\Server\Setup de Registre spécifie l’emplacement.

Désactiver les exclusions automatiques sur Windows Server

Les exclusions automatiques dans Windows Server 2016 ou version ultérieure et Azure Stack système d’exploitation HCI version 23H2 ou ultérieure utilisent uniquement les chemins d’accès par défaut pour un rôle ou une fonctionnalité.

Vous devrez peut-être désactiver les exclusions automatiques lorsque les chemins d’accès par défaut ne correspondent pas à votre environnement. Par exemple, si vous avez déplacé les dossiers NTDS et SYSVOL vers un lecteur ou un chemin personnalisé, les exclusions automatiques ne les couvrent plus. Dans les cas suivants, désactivez les exclusions automatiques, passez en revue la section Exclusions de rôle de serveur automatique pour identifier les exclusions dont vos rôles ont besoin, puis ajoutez les exclusions personnalisées équivalentes.

Avertissement

La désactivation des exclusions automatiques dans Windows Server 2016 ou version ultérieure et Azure Stack système d’exploitation HCI version 23H2 ou ultérieure peut affecter les performances ou entraîner une altération des données.

Les sous-sections suivantes décrivent comment désactiver les exclusions automatiques.

Désactiver les exclusions automatiques dans la stratégie de groupe

Pour désactiver la liste des exclusions automatiques à l’aide de la stratégie de groupe, procédez comme suit :

  1. Dans stratégie de groupe centralisée, ouvrez la console de gestion stratégie de groupe (GPMC) sur votre ordinateur de gestion stratégie de groupe.

  2. Dans l’arborescence de la console GPMC, développez le nœud Objets de stratégie de groupe dans la forêt et le domaine qui contiennent l’objet de stratégie de groupe (GPO) que vous souhaitez modifier.

  3. Cliquez avec le bouton droit sur l’objet de stratégie de groupe, puis sélectionnez Modifier.

  4. Dans l’Éditeur de gestion des stratégies de groupe, accédez à Configuration ordinateur>Modèles d’administration>Composants Windows>Microsoft Defender Antivirus>Exclusions.

    Note

    Les chemins de stratégie de groupe avant Windows 10, version 2004 (mai 2020) peuvent utiliser Windows antivirus Defender au lieu de Microsoft antivirus Defender. Les deux noms font référence au même emplacement de stratégie.

  5. Dans le volet d’informations des exclusions, ouvrez le paramètre Désactiver les exclusions automatiques . Pour ouvrir le paramètre, utilisez l’une des méthodes suivantes :

    • Double-cliquez sur le paramètre.
    • Cliquez avec le bouton droit sur le paramètre, puis sélectionnez Modifier.
    • Sélectionnez le paramètre, puis sélectionnez Action>Modifier.

  6. Dans la fenêtre de paramètre qui s’ouvre, sélectionnez Activé, puis OK.

Tip

Vous pouvez également configurer stratégie de groupe localement sur des appareils individuels à l’aide de l’éditeur de stratégie de groupe local (gpedit.msc). Accédez au même chemin : Configuration ordinateur>Modèles d’administration>Composants Windows>Microsoft Defender Antivirus>Exclusions.

Désactiver les exclusions automatiques dans PowerShell

Pour désactiver les exclusions automatiques à l’aide de PowerShell, exécutez la commande suivante dans une session PowerShell avec élévation de privilèges (une fenêtre PowerShell que vous avez ouverte en sélectionnant Exécuter en tant qu’administrateur) :

Set-MpPreference -DisableAutoExclusions $true

Si vous souhaitez en savoir plus, consultez les articles suivants :

Désactiver les exclusions automatiques dans WMI

Utilisez Windows Management Instrumentation (WMI) pour désactiver les exclusions automatiques en appelant la méthode Set de la classe MSFT_MpPreference pour configurer la DisableAutoExclusions propriété.

Pour plus d’informations et les paramètres autorisés, consultez Windows Defender API WMIv2

exclusions antivirus Microsoft Defender sur les serveurs Exchange

Microsoft Exchange Server 2016 ou version ultérieure prend en charge l’intégration à l’interface AMSI (Antimalware Scan Interface). Pour plus d’informations, consultez l’intégration d’AMSI dans Exchange Server.

De nombreuses organisations excluent les dossiers Exchange Server des analyses antivirus pour des raisons de performances. Microsoft recommande d’auditer Microsoft Defender exclusions antivirus sur les serveurs Exchange et d’évaluer si vous pouvez supprimer les exclusions sans affecter les performances. Pour ajouter, modifier ou supprimer des exclusions, consultez Configurer des exclusions personnalisées pour Microsoft Defender Antivirus.

Pour répertorier les exclusions d’extension, les exclusions de fichiers et de dossiers et les exclusions de processus actuellement configurées sur un Exchange Server, exécutez la commande suivante dans une session PowerShell avec élévation de privilèges (fenêtre PowerShell que vous avez ouverte en sélectionnant Exécuter en tant qu’administrateur) :

$p = Get-MpPreference; 'ExclusionExtension','ExclusionPath','ExclusionProcess' | ForEach-Object { $t = $_; $p.$t | ForEach-Object {[pscustomobject]@{Type=$t; Value=$_}} } | Format-Table -AutoSize

Les exclusions personnalisées sont respectées pendant tous les types d’analyse. Les exclusions automatiques s’appliquent uniquement à la protection en temps réel et sont ignorées pendant les analyses rapides, complètes et personnalisées. Par conséquent, une analyse rapide analyse toujours les répertoires Exchange couverts par des exclusions automatiques.

Contenu connexe

  • Dernière mise à jour :