Windows Server でのMicrosoft Defenderウイルス対策の除外

  • 適用対象: Microsoft Defender Antivirus

Windows Serverでは、Microsoft Defender ウイルス対策は、インストールされているサーバーの役割とオペレーティング システムにとって重要なファイルやプロセスをスキャンしないように、除外を自動的に適用します。 これらの定義済みの除外は、手動で構成しなくても、パフォーマンスまたは安定性の問題のリスクを軽減します。

Microsoft Defenderウイルス対策では、Windows Serverで次の種類の除外が自動的に構成されます。

  • サポートされているすべてのバージョンのWindowsのオペレーティング システム ファイルの組み込み除外。
  • Windows Server 2016以降のサーバー ロールの自動除外。

組み込みおよび自動除外は、 セキュリティ インテリジェンス更新プログラムを通じて配信され、最新の状態に保たれるので、手動で構成しなくても適用されます。 Windows セキュリティ アプリの標準除外リストには表示されません。

組み込み除外と自動除外は、定義したカスタム除外とは別です。 カスタム除外が 優先されます。組み込みまたは自動除外を複製するパスにカスタム除外を設定すると、カスタム除外が常に適用されます。

さまざまな除外の種類のしくみについては、「Microsoft Defender ウイルス対策の除外」を参照してください。

この記事では、Microsoft Defenderウイルス対策がWindows Serverに適用される組み込みおよび自動除外の一覧を示し、フル コントロールが必要な場合に自動除外を無効にする方法について説明します。

前提条件

サポートされるオペレーティング システム

Microsoft Defenderウイルス対策はWindows Server 2016以降に組み込まれており、HCI OS バージョン 23H2 以降Azure Stackされているため、この記事の組み込みおよび自動除外が既定で適用されます。

Windows Server 2012 R2 では、Microsoft Defender ウイルス対策は組み込まれません。 最新の統合ソリューションでMicrosoft Defender for Endpointするためにサーバーをオンボードするときにインストールされ、サーバーロールの自動除外は適用されません。

組み込みの除外項目

Microsoft Defenderウイルス対策は、サポートされているすべてのバージョンのWindowsでオペレーティング システム ファイルに組み込みの除外を適用します。 クライアントとサーバーのバージョンに同様に適用される除外 (Windows Update、Windows セキュリティ、グループ ポリシー ファイルなど) は、組み込みの除外に一覧表示されます。

このセクションでは、Windowsのクライアント バージョンに存在しないサーバー機能の組み込み除外の一覧を示します。

Tip

  • この記事で説明する既定の場所は、サーバー上の場所とは異なる場合があります。
  • Microsoft Defender ウイルス対策によって適用される組み込みの除外の一覧は、脅威の状況が変化すると更新されます。

Windows インターネット ネーム サービス (WINS) の除外

Windows インターネット ネーム サービス (WINS) サーバー機能がインストールされている場合は、次の除外が適用されます。

  • %systemroot%\System32\Wins\*\*.chk
  • %systemroot%\System32\Wins\*\*.log
  • %systemroot%\System32\Wins\*\*.mdb
  • %systemroot%\System32\LogFiles\
  • %systemroot%\SysWow64\LogFiles\

ファイル レプリケーション サービス (FRS) の除外

次の FRS 除外が自動的に構成されます。

  • FRS 作業フォルダー内のFiles: レジストリ キー HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NtFrs\Parameters\Working Directoryは場所を指定します。

    • %windir%\Ntfrs\jet\sys\*\edb.chk
    • %windir%\Ntfrs\jet\*\Ntfrs.jdb
    • %windir%\Ntfrs\jet\log\*\*.log

  • FRS データベース ログ ファイル: レジストリ キー HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Ntfrs\Parameters\DB Log File Directory 場所を指定します。

    • %windir%\Ntfrs\*\Edb\*.log

  • FRS ステージング フォルダー: レジストリ キー HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NtFrs\Parameters\Replica Sets\GUID\Replica Set Stage 場所を指定します。

    • %systemroot%\Sysvol\*\Ntfrs_cmp*\

  • FRS プレインストール フォルダー: 非表示のプレインストール フォルダー Replica_root\DO_NOT_REMOVE_NtFrs_PreInstall_Directory は、このフォルダーを識別します。

    • %systemroot%\SYSVOL\domain\DO_NOT_REMOVE_NtFrs_PreInstall_Directory\*\Ntfrs*\

  • 分散ファイル システム レプリケーション (DFSR) データベースと作業フォルダー: レジストリ キー HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DFSR\Parameters\Replication Groups\GUID\Replica Set Configuration File は場所を指定します。

    • %systemdrive%\System Volume Information\DFSR\$db_normal$
    • %systemdrive%\System Volume Information\DFSR\FileIDTable_*
    • %systemdrive%\System Volume Information\DFSR\SimilarityTable_*
    • %systemdrive%\System Volume Information\DFSR\*.XML
    • %systemdrive%\System Volume Information\DFSR\$db_dirty$
    • %systemdrive%\System Volume Information\DFSR\$db_clean$
    • %systemdrive%\System Volume Information\DFSR\$db_lostl$
    • %systemdrive%\System Volume Information\DFSR\Dfsr.db
    • %systemdrive%\System Volume Information\DFSR\*.frx
    • %systemdrive%\System Volume Information\DFSR\*.log
    • %systemdrive%\System Volume Information\DFSR\Fsr*.jrs
    • %systemdrive%\System Volume Information\DFSR\Tmp.edb

    Note

    カスタムの場所については、「Windows Serverの自動除外を無効にする」セクションを参照してください。

組み込みのオペレーティング システム ファイルのプロセス除外

  • %systemroot%\System32\dfsr.exe
  • %systemroot%\System32\dfsrs.exe

サーバー ロールの自動除外

自動サーバー ロールの除外では、サーバーにインストールされているロールに基づいてパスとプロセスの除外が追加されます。

Windows Server 2016以降では、サーバー ロールの除外を定義する必要はありません。 ロールをインストールすると、Microsoft Defenderウイルス対策によって、インストール中に追加されたファイルを含め、ロールのファイルとプロセスが自動的に除外されます。

Windows Server 2012 R2 では、自動サーバー ロールの除外はサポートされていません。 これらのサーバーをエンドポイントのDefenderにオンボードする場合、オペレーティング システム ファイルの組み込みの除外のみが適用されます。 同等のカバレッジを得るには、ロールの除外を カスタム除外 として再作成してください。 詳細については、「Windows サーバーを Microsoft Defender for Endpoint サービスにオンボードする」を参照してください。

Note

  • 自動除外は 、リアルタイム保護 (RTP) にのみ適用されます。 その他のスキャン アクティビティ ( ネットワーク検査 や 動作監視など) は除外されません。 これらのスキャンの種類を除外するには、カスタム除外を使用します。
  • クイック スキャン、フル スキャン、またはカスタム スキャンでは、自動除外は適用されません。 これらのスキャンからファイルを除外するには、カスタム除外を使用します。
  • Microsoft Defenderウイルス対策では、展開イメージのサービスと管理 (DISM) ツールを使用して、コンピューターにインストールされている役割を決定します。
  • この記事で説明する既定の場所は、サーバー上の場所とは異なる場合があります。
  • Windows 機能またはサーバーロールとして含まれていないソフトウェアの除外を設定するには、ソフトウェアのドキュメントを参照してください。

Active Directory の除外

Active Directory Domain Services (AD DS) ロールをインストールすると、次の除外が自動的に構成されます。

  • NTDS データベース ファイル: レジストリ キー HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters\DSA Database File 場所を指定します。
    • %windir%\Ntds\ntds.dit
    • %windir%\Ntds\ntds.pat
  • AD DS トランザクション ログ ファイル: レジストリ キー HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters\Database Log Files Path 場所を指定します。
    • %windir%\Ntds\EDB*.log
    • %windir%\Ntds\Res*.log
    • %windir%\Ntds\Edb*.jrs
    • %windir%\Ntds\Ntds*.pat
    • %windir%\Ntds\TEMP.edb
  • NTDS 作業フォルダー: レジストリ キー HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters\DSA Working Directory 場所を指定します。
    • %windir%\Ntds\Temp.edb
    • %windir%\Ntds\Edb.chk
  • AD DS および AD DS 関連のサポート ファイルのプロセス除外:
    • %systemroot%\System32\ntfrs.exe
    • %systemroot%\System32\lsass.exe

DHCP サーバーの除外

DHCP サーバー ロールをインストールすると、次の除外が自動的に構成されます。

  • %systemroot%\System32\DHCP\*\*.mdb
  • %systemroot%\System32\DHCP\*\*.pat
  • %systemroot%\System32\DHCP\*\*.log
  • %systemroot%\System32\DHCP\*\*.chk
  • %systemroot%\System32\DHCP\*\*.edb

次のレジストリ キーは、ファイルの場所を指定します。

  • HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters\DatabasePath
  • HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters\DhcpLogFilePath
  • HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DHCPServer\Parameters\BackupDatabasePath

DNS サーバーの除外

DNS サーバーロールをインストールすると、次の除外が自動的に構成されます。

  • ファイルとフォルダー:
    • %systemroot%\System32\Dns\*\*.log
    • %systemroot%\System32\Dns\*\*.dns
    • %systemroot%\System32\Dns\*\*.scc
    • %systemroot%\System32\Dns\*\BOOT
  • プロセス:
    • %systemroot%\System32\dns.exe

ファイル サービスとストレージ サービスの除外

File and Storage Services ロールをインストールすると、次の除外が自動的に構成されます。

  • %SystemDrive%\ClusterStorage
  • %clusterserviceaccount%\Local Settings\Temp
  • %SystemDrive%\mscs

Tip

上記のファイル サービスとストレージ サービスの除外には、クラスタリング ロールの除外は含まれません。

Hyper-V の除外

Hyper-V ロールをインストールすると、次の除外が自動的に構成されます。

  • Files:
    • *.avhd
    • *.avhdx
    • *.iso
    • *.rct
    • *.vhd
    • *.vhdx
    • *.vmcx
    • *.vmrs
    • *.vsv
  • フォルダー:
    • %ProgramData%\Microsoft\Windows\Hyper-V
    • %ProgramFiles%\Hyper-V
    • %SystemDrive%\ProgramData\Microsoft\Windows\Hyper-V\Snapshots
    • %Public%\Documents\Hyper-V\Virtual Hard Disks
  • プロセス:
    • %systemroot%\System32\Vmms.exe
    • %systemroot%\System32\Vmwp.exe

プリント サーバーロールをインストールすると、次の除外が自動的に構成されます。

  • ファイルの除外:
    • *.shd
    • *.spl
  • フォルダーの除外: レジストリ キー HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print\Printers\DefaultSpoolDirectory 場所を指定します。
    • %systemroot%\system32\spool\printers\*
  • プロセスの除外:
    • spoolsv.exe

SYSVOL フォルダーの除外

SYSVOL フォルダー内のファイルに対して、次の除外が自動的に構成されます。

  • %systemroot%\Sysvol\Domain\*.adm
  • %systemroot%\Sysvol\Domain\*.admx
  • %systemroot%\Sysvol\Domain\*.adml
  • %systemroot%\Sysvol\Domain\Registry.pol
  • %systemroot%\Sysvol\Domain\*.aas
  • %systemroot%\Sysvol\Domain\*.inf
  • %systemroot%\Sysvol\Domain\*Scripts.ini
  • %systemroot%\Sysvol\Domain\*.ins
  • %systemroot%\Sysvol\Domain\Oscfilter.ini

Sysvol\Sysvol フォルダーまたは SYSVOL_DFSR\Sysvol フォルダー内のファイルを手動で除外する

Note

%SystemRoot%\SYSVOL (DFSR 関連のパスを含む) の下にあるファイルとフォルダーを手動で除外するこのガイダンスは、次のシナリオでのみ関連します。

  • 自動除外を明示的に無効にしました。
  • パフォーマンスまたは安定性の問題のトラブルシューティングを行っており、ウイルス対策の相互作用を一時的に検証する必要があります。

Sysvol\Sysvol または SYSVOL_DFSR\Sysvol フォルダーとすべてのサブフォルダーは、レプリカ セット ルートのファイル システムの再解析ターゲットです。 既定では、これらのフォルダーは次の場所を使用します。

  • %systemroot%\Sysvol\Domain
  • %systemroot%\Sysvol_DFSR\Domain

NETLOGON 共有は、現在アクティブな SYSVOL の場所を参照します。 レジストリ キー HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Netlogon\Parameters の SysVol 値は、場所を識別します。 この場所とすべてのサブフォルダーで、次のファイルを除外します。

  • *.adm
  • *.admx
  • *.adml
  • Registry.pol
  • Registry.tmp
  • *.aas
  • *.inf
  • Scripts.ini
  • *.ins
  • Oscfilter.ini

これらの除外を追加する手順については、「Microsoft Defender ウイルス対策のカスタム除外を構成する」を参照してください。

除外が追加された後に構成されていることを確認するには、管理者特権の PowerShell セッション ([ 管理者として実行] を選択して開いた PowerShell ウィンドウ) で次のコマンドを実行します。

$p = Get-MpPreference; 'ExclusionExtension','ExclusionPath','ExclusionProcess' | ForEach-Object { $t = $_; $p.$t | ForEach-Object {[pscustomobject]@{Type=$t; Value=$_}} } | Format-Table -AutoSize

このコマンドでは 、Get-MpPreference コマンドレットを使用して、拡張機能、パス、およびプロセスの種類別に構成された除外を表示します。

Web サーバーの除外

Web サーバー ロールをインストールすると、次の除外が自動的に構成されます。

  • フォルダーの除外:
    • %SystemRoot%\IIS Temporary Compressed Files
    • %SystemDrive%\inetpub\temp\IIS Temporary Compressed Files
    • %SystemDrive%\inetpub\temp\ASP Compiled Templates
    • %systemDrive%\inetpub\logs
    • %systemDrive%\inetpub\wwwroot
  • プロセスの除外:
    • %SystemRoot%\system32\inetsrv\w3wp.exe
    • %SystemRoot%\SysWOW64\inetsrv\w3wp.exe
    • %SystemDrive%\PHP5433\php-cgi.exe

Windows Server Update Services の除外項目

Windows Server Update Services (WSUS) ロールをインストールすると、次の除外が自動的に構成されます。

  • %systemroot%\WSUS\WSUSContent
  • %systemroot%\WSUS\UpdateServicesDBFiles
  • %systemroot%\SoftwareDistribution\Datastore
  • %systemroot%\SoftwareDistribution\Download

レジストリ キー HKEY_LOCAL_MACHINE\Software\Microsoft\Update Services\Server\Setup は、場所を指定します。

Windows Serverで自動除外を無効にする

Windows Server 2016 以降および HCI OS バージョン 23H2 以降Azure Stack自動除外では、ロールまたは機能の既定のパスのみが使用されます。

既定のパスが環境と一致しない場合は、自動除外を無効にする必要がある場合があります。 たとえば、NTDS フォルダーと SYSVOL フォルダーをカスタム ドライブまたはカスタム パスに移動した場合、自動除外はそれらをカバーしなくなります。 このような場合は、自動除外を無効にし、[ 自動サーバー ロールの除外 ] セクションを確認してロールに必要な除外を特定し、同等の カスタム除外を追加します。

Warning

Windows Server 2016 以降および HCI OS バージョン 23H2 以降Azure Stackで自動除外を無効にすると、パフォーマンスが低下したり、データが破損したりする可能性があります。

次のサブセクションでは、自動除外を無効にする方法について説明します。

グループ ポリシーで自動除外を無効にする

グループ ポリシーを使用して自動除外リストを無効にするには、次の手順に従います。

  1. 一元化されたグループ ポリシーで、グループ ポリシー管理コンピューターでグループ ポリシー管理コンソール (GPMC) を開きます。

  2. GPMC コンソール ツリーで、編集する GPO を含むフォレストとドメイン内の [グループ ポリシー オブジェクト] を展開します。

  3. GPO を右クリックし、[編集] を選択 します。

  4. グループ ポリシー管理エディターで、コンピューターの構成>管理者テンプレート>Windowsコンポーネント>> に移動します。

    Note

    Windows 10 バージョン 2004（2020 年 5 月）より前のグループ ポリシー パスでは、Windows Defender Antivirus ではなく、Microsoft Defender Antivirus が使用される場合があります。 どちらの名前も同じポリシーの保存場所を指します。

  5. 除外の詳細ウィンドウで、[自動除外をオフにする] 設定を開きます。 設定を開くには、次のいずれかの方法を使用します。

    • 設定をダブルクリックします。
    • 設定を右クリックし、[編集] を選択 します。
    • 設定を選択し、[ アクション>編集] を選択します。

  6. 開いた設定ウィンドウで、[ 有効] を選択し、[ OK] を選択します。

Tip

ローカル グループ ポリシー エディター (gpedit.msc) を使用して、個々のデバイスでローカルにグループ ポリシーを構成することもできます。 次の同じパスに移動します: コンピューターの構成>管理用テンプレート>Windows コンポーネント>Microsoft Defender ウイルス対策>除外。

PowerShell で自動除外を無効にする

PowerShell を使用して自動除外を無効にするには、管理者特権の PowerShell セッション ([ 管理者として実行] を選択して開いた PowerShell ウィンドウ) で次のコマンドを実行します。

Set-MpPreference -DisableAutoExclusions $true

詳細については、以下の記事を参照してください。

WMI で自動除外を無効にする

Windows Management Instrumentation (WMI) を使用して、MSFT_MpPreference クラスの Set メソッドを呼び出して プロパティを構成することで、自動除外を無効にします。

詳細と許可されるパラメーターについては、WMIv2 API のWindows Defenderに関するページを参照してください。

Exchange サーバー上の Microsoft Defender Antivirus の除外項目

Microsoft Exchange Server 2016 以降では、マルウェア対策スキャン インターフェイス (AMSI) との統合がサポートされています。 詳細については、「Exchange Server AMSI 統合」を参照してください。

多くの組織では、パフォーマンス上の理由からExchange Server フォルダーをウイルス対策スキャンから除外しています。 Microsoft では、Exchange サーバー Microsoft Defenderウイルス対策の除外を監査し、パフォーマンスに影響を与えずに除外を削除できるかどうかを評価することをお勧めします。 除外を追加、変更、または削除するには、「Microsoft Defender ウイルス対策のカスタム除外を構成する」を参照してください。

Exchange Serverで現在構成されている拡張機能の除外、ファイルとフォルダーの除外、プロセスの除外を一覧表示するには、管理者特権の PowerShell セッション ([管理者として実行] を選択して開いた PowerShell ウィンドウ) で次のコマンドを実行します。

$p = Get-MpPreference; 'ExclusionExtension','ExclusionPath','ExclusionProcess' | ForEach-Object { $t = $_; $p.$t | ForEach-Object {[pscustomobject]@{Type=$t; Value=$_}} } | Format-Table -AutoSize

カスタム除外は、すべてのスキャンの種類で適用されます。 自動除外はリアルタイム保護にのみ適用され、クイック スキャン、フル スキャン、カスタム スキャン中は無視されるため、クイック スキャンでは自動除外の対象となるExchangeディレクトリがスキャンされます。

関連するコンテンツ

  • 最終更新: