Kizárások konfigurálása és ellenőrzése a fájlkiterjesztés és a mappa helye alapján

  • Cikk

Érintett szolgáltatás:

Platformok

  • A Windows

Definiálhat kizárásokat Microsoft Defender víruskeresőhöz, amelyek ütemezett vizsgálatokra, igény szerinti vizsgálatokra, valamint folyamatos, valós idejű védelemre és monitorozásra vonatkoznak. Általában nem kell kizárásokat alkalmaznia. Ha kizárásokat kell alkalmaznia, az alábbiak közül választhat:

Fontos

Microsoft Defender víruskereső kizárásai bizonyos Végponthoz készült Microsoft Defender képességekre, például a támadásifelület-csökkentési szabályokra vonatkoznak. Egyes Microsoft Defender víruskereső kizárások egyes ASR-szabályok kizárására vonatkoznak. Lásd: Támadásifelület-csökkentési szabályok referenciája – Microsoft Defender víruskereső kizárások és ASR-szabályok. A cikkben ismertetett módszerekkel kizárt fájlok továbbra is kiválthatják a végpontészlelés és -válasz (EDR) riasztásait és más észleléseket. A fájlok általános kizárásához adja hozzá őket az Végponthoz készült Microsoft Defender egyéni jelzőkhöz.

Az első lépések

A kizárási listák definiálása előtt tekintse meg a kizárások meghatározására vonatkozó javaslatokat .

Kizárási listák

Ha bizonyos fájlokat ki szeretne zárni Microsoft Defender víruskereső vizsgálatából, módosítsa a kizárási listákat. Microsoft Defender víruskereső számos automatikus kizárást tartalmaz az operációs rendszer ismert viselkedése és a tipikus felügyeleti fájlok alapján, például a vállalati felügyeletben, az adatbázis-kezelésben és más vállalati forgatókönyvekben és helyzetekben használtakon.

Megjegyzés:

A kizárások a potenciálisan nemkívánatos alkalmazások (PUA) észlelésére is vonatkoznak . Az automatikus kizárások csak Windows Server 2016 és újabb verziókra vonatkoznak. Ezek a kizárások nem láthatók a Windows biztonság alkalmazásban és a PowerShellben.

Az alábbi táblázat néhány példát sorol fel a fájlkiterjesztés és a mappa helye alapján történő kizárásokra.

Kizárási Példák Kizárási lista
Bármely fájl adott kiterjesztéssel A megadott kiterjesztésű összes fájl, bárhol a gépen.

Érvényes szintaxis: .test és test		 Bővítménykizárások
Bármely fájl egy adott mappában A mappában lévő c:\test\sample összes fájl Fájl- és mappakizárások
Adott fájl egy adott mappában Csak a fájl c:\sample\sample.test Fájl- és mappakizárások
Egy adott folyamat A végrehajtható fájl c:\test\process.exe Fájl- és mappakizárások

A kizárási listák jellemzői

  • A mappakizárások az adott mappában lévő összes fájlra és mappára vonatkoznak, kivéve, ha az almappák újraelemzési pontok. Az újraelemzési pont almappáit külön kell kizárni.
  • A fájlkiterjesztések a megadott kiterjesztésű fájlnevekre vonatkoznak, ha nincs meghatározva elérési út vagy mappa.

Fontos megjegyzések a fájlkiterjesztéseken és mappahelyeken alapuló kizárásokról

A kizárások listájának konfigurálása mappanév vagy fájlkiterjesztés alapján

A Microsoft Defender Víruskereső kizárásainak meghatározásához számos módszer közül választhat.

A Intune használata a fájlnév, mappa vagy fájlkiterjesztés kizárásának konfigurálásához

Tekintse meg a következő cikkeket:

A Configuration Manager használata a fájlnév, mappa vagy fájlkiterjesztés kizárásának konfigurálásához

A Microsoft Configuration Manager (aktuális ág) konfigurálásával kapcsolatos részletekért lásd: Kártevőirtó-házirendek létrehozása és telepítése: Kizárási beállítások.

A Csoportházirend használata a mappa- vagy fájlkiterjesztés kizárásának konfigurálásához

Megjegyzés:

Ha egy fájl teljes elérési útját adja meg, akkor csak az adott fájl lesz kizárva. Ha egy mappa definiálva van a kizárásban, akkor az adott mappában lévő összes fájl és alkönyvtár ki lesz zárva.

  1. A Csoportházirend felügyeleti számítógépen nyissa meg a Csoportházirend Felügyeleti konzolt, kattintson a jobb gombbal a konfigurálni kívánt Csoportházirend objektumra, majd válassza a Szerkesztés parancsot.

  2. A Csoportházirend Felügyeleti Szerkesztő lépjen a Számítógép konfigurációja elemre, és válassza a Felügyeleti sablonok lehetőséget.

  3. Bontsa ki a fát a Windows-összetevőkre>Microsoft Defender a víruskereső>kizárásai elemre.

  4. Nyissa meg az Elérésiút-kizárások beállítást szerkesztésre, és adja hozzá a kizárásokat.

    1. Állítsa a beállítást Engedélyezve értékre.
    2. A Beállítások szakaszban válassza a Megjelenítés lehetőséget.
    3. Adja meg az egyes mappákat a saját sorában az Érték neve oszlop alatt.
    4. Ha megad egy fájlt, győződjön meg arról, hogy megad egy teljes elérési utat a fájlhoz, beleértve a meghajtó betűjelét, a mappa elérési útját, a fájlnevet és a kiterjesztést.
    5. Írja be a 0 értéket az Érték oszlopba.

  5. Kattintson az OK gombra.

  6. Nyissa meg a Bővítménykizárások beállítást szerkesztéshez, és adja hozzá a kizárásokat.

    1. Állítsa a beállítást Engedélyezve értékre.
    2. A Beállítások szakaszban válassza a Megjelenítés lehetőséget.
    3. Adja meg az egyes fájlkiterjesztéseket a saját sorában az Érték neve oszlop alatt.
    4. Írja be a 0 értéket az Érték oszlopba.

  7. Kattintson az OK gombra.

PowerShell-parancsmagok használata a fájlnév, mappa vagy fájlkiterjesztés kizárásának konfigurálásához

Ha a Kiterjesztés, hely vagy fájlnév alapján szeretne kivételeket hozzáadni vagy eltávolítani a PowerShell használatával, három parancsmag és a megfelelő kizárásilista-paraméter kombinációját kell használnia. A parancsmagok mind a Defender modulban találhatók.

A parancsmagok formátuma a következő:

<cmdlet> -<exclusion list> "<item>"

Az alábbi táblázat a PowerShell-parancsmagok részében használható <cmdlet> parancsmagokat sorolja fel:

Konfigurációs művelet PowerShell-parancsmag
A lista Létrehozás vagy felülírása Set-MpPreference
Hozzáadás a listához Add-MpPreference
Elem eltávolítása a listából Remove-MpPreference

Az alábbi táblázat a PowerShell-parancsmagban használható <exclusion list> értékeket sorolja fel:

Kizárás típusa PowerShell-paraméter
A megadott kiterjesztésű összes fájl -ExclusionExtension
Egy mappában lévő összes fájl (beleértve az alkönyvtárakban lévő fájlokat) vagy egy adott fájl -ExclusionPath

Fontos

Ha vagy paranccsal Set-MpPreferenceAdd-MpPreferencehozott létre listát, a Set-MpPreference parancsmag használatával újra felülírja a meglévő listát.

Az alábbi kódrészlet például Microsoft Defender víruskereső vizsgálatokkal kizárja a .test fájlkiterjesztéssel rendelkező fájlokat:

Add-MpPreference -ExclusionExtension ".test"

Tipp

További információ: Microsoft Defender víruskereső és Defender víruskereső parancsmagokkonfigurálása és futtatása PowerShell-parancsmagokkal.

A Windows Management Instrumentation (WMI) használata a fájlnév, mappa vagy fájlkiterjesztés kizárásának konfigurálásához

A következő tulajdonságokhoz használja a MSFT_MpPreference osztály Set, Add és Remove metódusait :

ExclusionExtension
ExclusionPath

A Set, Add és Remove használata hasonló a PowerShellben használt megfelelőikhez: Set-MpPreference, Add-MpPreference, és Remove-MpPreference.

Tipp

További információ: WINDOWS DEFENDER WMIv2 API-k.

A Windows biztonság alkalmazás használata a fájlnév, mappa vagy fájlkiterjesztés kizárásának konfigurálásához

Útmutatásért lásd: Kizárások hozzáadása az Windows biztonság alkalmazásban.

Helyettesítő karakterek használata a fájlnévben és a mappa elérési útjában vagy a bővítménykizárási listákban

A csillag, kérdőjel *?vagy környezeti változók (például %ALLUSERSPROFILE%) helyettesítő karakterként használhatók a fájlnévben vagy a mappaelérési út kizárási listájában szereplő elemek definiálásakor. A helyettesítő karakterek értelmezése eltér a többi alkalmazásban és nyelven használttól. A konkrét korlátozások megismeréséhez olvassa el ezt a szakaszt.

Fontos

Ezekre a helyettesítő karakterekre fő korlátozások és használati forgatókönyvek vonatkoznak:

  • A környezeti változók használata gépi változókra és az NT AUTHORITY\SYSTEM fiókként futó folyamatokra korlátozódik.
  • Bejegyzésenként legfeljebb hat helyettesítő karakter használható.
  • Meghajtóbetűjel helyett nem használhat helyettesítő karaktert.
  • A mappakizárások csillaga * egyetlen mappa helyett áll. A több példányával \*\ több, meghatározatlan nevű beágyazott mappát jelölhet.

Az alábbi táblázat a helyettesítő karakterek használatát ismerteti, és példákat is tartalmaz.

Helyettesítő Példák
* (csillag)

A fájlnévben és a fájlkiterjesztésben a csillag tetszőleges számú karaktert felülír, és csak az argumentumban meghatározott utolsó mappában lévő fájlokra vonatkozik.

A mappakizárásokban a csillag egyetlen mappát cserél le. * Több egymásba ágyazott mappát jelölhet több perjellel\. A helyettesítő és elnevezett mappák számának egyeztetése után az összes almappát is tartalmazza.		 C:\MyData\*.txt Tartalmazza C:\MyData\notes.txt

C:\somepath\*\Data tartalmazza a C:\somepath\Archives\Data fájlokat és almappáit, valamint C:\somepath\Authorized\Data azok almappáit

C:\Serv\*\*\Backup tartalmazza a C:\Serv\Primary\Denied\Backup fájlokat és almappáit, valamint C:\Serv\Secondary\Allowed\Backup azok almappáit
? (kérdőjel)

A fájlnévben és a fájlkiterjesztésben a kérdőjel egyetlen karaktert vált fel, és csak az argumentumban definiált utolsó mappában lévő fájlokra vonatkozik.

Mappakizárások esetén a kérdőjel egyetlen karaktert helyettesít egy mappanévben. A helyettesítő és elnevezett mappák számának egyeztetése után az összes almappát is tartalmazza.		 C:\MyData\my?.zip Tartalmazza C:\MyData\my1.zip

C:\somepath\?\Data tartalmazza a fájlokat C:\somepath\P\Data és azok almappáit

C:\somepath\test0?\Data tartalmazza a fájlokat C:\somepath\test01\Data és annak almappáit
Környezeti változók

A definiált változó elérési útként lesz kitöltve a kizárás kiértékelésekor.		 %ALLUSERSPROFILE%\CustomLogFiles belefoglalná a következőket: C:\ProgramData\CustomLogFiles\Folder1\file1.txt

Fontos

Ha egy fájlkizárási argumentumot egy mappakizárási argumentummal kever, a szabályok a fájlargumentum egyezésénél állnak meg a egyeztetett mappában, és nem keresnek fájlegyezéseket egyetlen almappában sem. Kizárhatja például a mappákban c:\data\final\marked a "date" kezdetű összes fájlt, és c:\data\review\marked használhatja a szabályargumentumot c:\data\*\marked\date*. Ez az argumentum nem egyezik a vagy c:\data\review\markedalmappákban c:\data\final\marked lévő fájlokkal.

Rendszerkörnyezeti változók

Az alábbi táblázat a rendszerfiók környezeti változóit sorolja fel és ismerteti.

Ez a rendszerkörnyezeti változó... Átirányítás erre
%APPDATA% C:\Windows\system32\config\systemprofile\Appdata\Roaming
%APPDATA%\Microsoft\Internet Explorer\Quick Launch C:\Windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch
%APPDATA%\Microsoft\Windows\Start Menu C:\Windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Start Menu
%APPDATA%\Microsoft\Windows\Start Menu\Programs C:\Windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Start Menu\Programs
%LOCALAPPDATA% C:\WINDOWS\system32\config\systemprofile\AppData\Local
%ProgramData% C:\ProgramData
%ProgramFiles% C:\Program Files
%ProgramFiles%\Common Files C:\Program Files\Common Files
%ProgramFiles%\Windows Sidebar\Gadgets C:\Program Files\Windows Sidebar\Gadgets
%ProgramFiles%\Common Files C:\Program Files\Common Files
%ProgramFiles(x86)% C:\Program Files (x86)
%ProgramFiles(x86)%\Common Files C:\Program Files (x86)\Common Files
%SystemDrive% C:
%SystemDrive%\Program Files C:\Program Files
%SystemDrive%\Program Files (x86) C:\Program Files (x86)
%SystemDrive%\Users C:\Users
%SystemDrive%\Users\Public C:\Users\Public
%SystemRoot% C:\Windows
%windir% C:\Windows
%windir%\Fonts C:\Windows\Fonts
%windir%\Resources C:\Windows\Resources
%windir%\resources\0409 C:\Windows\resources\0409
%windir%\system32 C:\Windows\System32
%ALLUSERSPROFILE% C:\ProgramData
%ALLUSERSPROFILE%\Application Data C:\ProgramData\Application Data
%ALLUSERSPROFILE%\Documents C:\ProgramData\Documents
%ALLUSERSPROFILE%\Documents\My Music\Sample Music C:\ProgramData\Documents\My Music\Sample Music
%ALLUSERSPROFILE%\Documents\My Music C:\ProgramData\Documents\My Music
%ALLUSERSPROFILE%\Documents\My Pictures C:\ProgramData\Documents\My Pictures
%ALLUSERSPROFILE%\Documents\My Pictures\Sample Pictures C:\ProgramData\Documents\My Pictures\Sample Pictures
%ALLUSERSPROFILE%\Documents\My Videos C:\ProgramData\Documents\My Videos
%ALLUSERSPROFILE%\Microsoft\Windows\DeviceMetadataStore C:\ProgramData\Microsoft\Windows\DeviceMetadataStore
%ALLUSERSPROFILE%\Microsoft\Windows\GameExplorer C:\ProgramData\Microsoft\Windows\GameExplorer
%ALLUSERSPROFILE%\Microsoft\Windows\Ringtones C:\ProgramData\Microsoft\Windows\Ringtones
%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu C:\ProgramData\Microsoft\Windows\Start Menu
%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs C:\ProgramData\Microsoft\Windows\Start Menu\Programs
%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Administrative Tools C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Administrative Tools
%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\StartUp C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp
%ALLUSERSPROFILE%\Microsoft\Windows\Templates C:\ProgramData\Microsoft\Windows\Templates
%ALLUSERSPROFILE%\Start Menu C:\ProgramData\Start Menu
%ALLUSERSPROFILE%\Start Menu\Programs C:\ProgramData\Start Menu\Programs
%ALLUSERSPROFILE%\Start Menu\Programs\Administrative Tools C:\ProgramData\Start Menu\Programs\Administrative Tools
%ALLUSERSPROFILE%\Templates C:\ProgramData\Templates
%LOCALAPPDATA%\Microsoft\Windows\ConnectedSearch\Templates C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\ConnectedSearch\Templates
%LOCALAPPDATA%\Microsoft\Windows\History C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\History
%PUBLIC% C:\Users\Public
%PUBLIC%\AccountPictures C:\Users\Public\AccountPictures
%PUBLIC%\Desktop C:\Users\Public\Desktop
%PUBLIC%\Documents C:\Users\Public\Documents
%PUBLIC%\Downloads C:\Users\Public\Downloads
%PUBLIC%\Music\Sample Music C:\Users\Public\Music\Sample Music
%PUBLIC%\Music\Sample Playlists C:\Users\Public\Music\Sample Playlists
%PUBLIC%\Pictures\Sample Pictures C:\Users\Public\Pictures\Sample Pictures
%PUBLIC%\RecordedTV.library-ms C:\Users\Public\RecordedTV.library-ms
%PUBLIC%\Videos C:\Users\Public\Videos
%PUBLIC%\Videos\Sample Videos C:\Users\Public\Videos\Sample Videos
%USERPROFILE% C:\Windows\system32\config\systemprofile
%USERPROFILE%\AppData\Local C:\Windows\system32\config\systemprofile\AppData\Local
%USERPROFILE%\AppData\LocalLow C:\Windows\system32\config\systemprofile\AppData\LocalLow
%USERPROFILE%\AppData\Roaming C:\Windows\system32\config\systemprofile\AppData\Roaming

A kizárások listájának áttekintése

A kizárási listában szereplő elemeket az alábbi módszerek egyikével kérdezheti le:

Fontos

A kizárási lista Csoportházirend végrehajtott módosításai megjelennekWindows biztonság alkalmazás listáiban. A Windows biztonság alkalmazásban végzett módosítások nem jelennek meg a Csoportházirend listában.

A PowerShell használata esetén a listát az alábbi két módon kérdezheti le:

  • Kérje le az összes Microsoft Defender víruskereső beállítás állapotát. Minden lista külön sorokban jelenik meg, de az egyes listák elemei ugyanabban a sorban vannak egyesítve.
  • Írja az összes beállítás állapotát egy változóba, és ezzel a változóval csak a kívánt listát hívja meg. A minden használata Add-MpPreference egy új sorba lesz írva.

A kizárási lista ellenőrzése az MpCmdRun használatával

A kizárások ellenőrzéséhez a dedikált parancssori eszközzel mpcmdrun.exe, használja a következő parancsot:

Start, CMD (Run as admin)
cd "%programdata%\microsoft\windows defender\platform"
cd 4.18.2111-5.0 (Where 4.18.2111-5.0 is this month's Microsoft Defender Antivirus "Platform Update".)
MpCmdRun.exe -CheckExclusion -path <path>

Megjegyzés:

A kizárások MpCmdRun ellenőrzéséhez Microsoft Defender Víruskereső 4.18.2111-5.0-s (2021 decemberében kiadott) vagy újabb verziója szükséges.

Tekintse át a kizárások listáját az összes többi Microsoft Defender víruskereső beállítás mellett a PowerShell használatával

Használja a következő parancsmagot:

Get-MpPreference

Az alábbi példában ExclusionExtension a listában szereplő elemek vannak kiemelve:

A Get-MpPreference PowerShell-kimenete

További információ: Microsoft Defender víruskereső és Defender víruskereső parancsmagokkonfigurálása és futtatása PowerShell-parancsmagokkal.

Adott kizárási lista lekérése a PowerShell használatával

Használja a következő kódrészletet (minden sort külön parancsként írjon be); cserélje le a WDAVprefs elemet arra a címkére, amelynek el szeretné nevezni a változót:

$WDAVprefs = Get-MpPreference
$WDAVprefs.ExclusionExtension
$WDAVprefs.ExclusionPath

A következő példában a lista új sorokra van felosztva a Add-MpPreference parancsmag minden egyes használatához:

Csak a kizárási listában szereplő bejegyzéseket megjelenítő PowerShell-kimenet

További információ: Microsoft Defender víruskereső és Defender víruskereső parancsmagokkonfigurálása és futtatása PowerShell-parancsmagokkal.

Kizárási listák ellenőrzése az EICAR tesztfájllal

A kizárási listák működésének ellenőrzéséhez használja a PowerShellt a Invoke-WebRequest parancsmaggal vagy a .NET WebClient osztálysal egy tesztfájl letöltéséhez.

A következő PowerShell-kódrészletben cserélje le test.txt a elemet egy olyan fájlra, amely megfelel a kizárási szabályoknak. Ha például kizárta a bővítményt, cserélje le a .testing értéket a következőre test.txttest.testing: . Ha egy elérési utat tesztel, győződjön meg arról, hogy a parancsmagot az elérési úton belül futtatja.

Invoke-WebRequest "https://secure.eicar.org/eicar.com.txt" -OutFile "test.txt"

Ha Microsoft Defender víruskereső kártevőt jelent, akkor a szabály nem működik. Ha nincs kártevőről szóló jelentés, és a letöltött fájl létezik, akkor a kizárás működik. A fájlt megnyitva ellenőrizheti, hogy a tartalom megegyezik-e az EICAR-tesztfájl webhelyén ismertetett tartalommal.

Használhatja a következő PowerShell-kódot is, amely meghívja a .NET WebClient osztályt a tesztfájl letöltéséhez – a parancsmaghoz Invoke-WebRequest hasonlóan; cserélje le c:\test.txt a elemet egy olyan fájlra, amely megfelel az érvényesíteni kívánt szabálynak:

$client = new-object System.Net.WebClient
$client.DownloadFile("http://www.eicar.org/download/eicar.com.txt","c:\test.txt")

Ha nincs internetkapcsolata, létrehozhatja saját EICAR-tesztfájlját úgy, hogy az EICAR-sztringet egy új szövegfájlba írja a következő PowerShell-paranccsal:

[io.file]::WriteAllText("test.txt",'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*')

A sztringet egy üres szövegfájlba is másolhatja, és megpróbálhatja menteni a fájlnévvel vagy a kizárni kívánt mappában.

Tipp

Ha más platformokra vonatkozó, víruskeresővel kapcsolatos információkat keres, lásd:

Lásd még

Tipp

Szeretne többet megtudni? Engage a Microsoft biztonsági közösségével a technikai közösségünkben: Végponthoz készült Microsoft Defender Tech Community.