Exclusões a evitar no Antivírus do Microsoft Defender e no Microsoft Defender para Endpoint

  • Aplica-se a: Microsoft Defender Antivirus, Microsoft Defender for Endpoint on macOS, Microsoft Defender for Endpoint on Linux

Importante

Adicione exclusões com cuidado. Exclusões para o Microsoft Defender Antivirus e o Defender para Endpoint reduzem a proteção dos dispositivos.

Você pode definir exclusões para itens que não quer que o Microsoft Defender Antivirus ou o Microsoft Defender para Ponto de Extremidade no macOS ou no Linux examinem. No entanto, os itens excluídos podem conter ameaças que tornam o seu dispositivo vulnerável. As exclusões também reduzem a proteção para recursos que dependem do mecanismo antivírus, como proteção contra malware e IOCs (indicadores de comprometimento) de arquivos e certificados. As exclusões de processo também impedem a proteção de rede do Microsoft Defender para Ponto de Extremidade e as regras de redução da superfície de ataque (ASR) de inspecionar o tráfego ou aplicar regras aos processos excluídos. Antes de criar exclusões, examine os pontos importantes sobre exclusões e as diretrizes mais amplas em Exclusões para Microsoft Defender para Ponto de Extremidade e Microsoft Defender Antivírus.

Não exclua os arquivos, tipos de arquivo, pastas ou processos descritos neste artigo, mesmo se você confiar que os itens não são mal-intencionados. Esta orientação se aplica ao Microsoft Defender Antivirus e ao Defender for Endpoint no Windows, macOS e Linux.

Pastas que você não deve excluir

Os invasores podem abusar de algumas pastas, portanto, não exclua as seguintes pastas de verificações:

  • Windows:

    • %systemdrive%

    • C:, C:\ ou C:\*

    • %ProgramFiles%\Java ou C:\Program Files\Java

    • Pastas de programas para aplicativos instalados. Por exemplo, %ProgramFiles%\Contoso\, C:\Program Files\Contoso\, %ProgramFiles(x86)%\Contoso\ou C:\Program Files (x86)\Contoso\

    • C:\Temp, C:\Temp\ ou C:\Temp\*

    • C:\Users\ ou C:\Users\*

    • C:\Users\<UserProfileName>\AppData\Local\Temp\ ou C:\Users\<UserProfileName>\AppData\LocalLow\Temp\

      Note

      Deve excluir as seguintes pastas quando utilizar a proteção antivírus ao nível do ficheiro no SharePoint:

      C:\Users\ServiceAccount\AppData\Local\Temp ou C:\Users\Default\AppData\Local\Temp.

    • %Windir%\Prefetch, C:\Windows\Prefetch, C:\Windows\Prefetch\ou C:\Windows\Prefetch\*

    • %Windir%\System32\Spool ou C:\Windows\System32\Spool

    • C:\Windows\System32\CatRoot2

    • %Windir%\Temp, C:\Windows\Temp, C:\Windows\Temp\ou C:\Windows\Temp\*

  • Linux e macOS:

    • /
    • /bin ou /sbin
    • /usr/lib

Extensões de arquivo que você não deve excluir

Os invasores podem explorar alguns tipos de arquivo, portanto, não exclua as seguintes extensões de arquivo das verificações:

  • .7z
  • .bat
  • .bin
  • .cab
  • .cmd
  • .com
  • .cpl
  • .dll
  • .exe
  • .fla
  • .gif
  • .gz
  • .hta
  • .inf
  • .jar
  • .java
  • .job
  • .jpeg
  • .jpg
  • .js
  • .ko ou .ko.gz
  • .msi
  • .ocx
  • .png
  • .ps1
  • .py
  • .rar
  • .reg
  • .scr
  • .sys
  • .tar
  • .tmp
  • .url
  • .vbe
  • .vbs
  • .wsf
  • .zip

Note

Pode optar por excluir tipos de ficheiro (por exemplo, .gif, .jpg, .jpegou .png) se a sua organização utilizar software moderno e atualizado com políticas de atualização rigorosas para lidar com vulnerabilidades.

Processos que você não deve excluir

Atacantes podem explorar alguns processos indevidamente, portanto não exclua os seguintes processos das varreduras:

  • Windows:

    • AcroRd32.exe
    • addinprocess.exe
    • addinprocess32.exe
    • addinutil.exe
    • bash.exe
    • bginfo.exe
    • bitsadmin.exe
    • cdb.exe
    • cmd.exe
    • cscript.exe
    • csi.exe
    • dbghost.exe
    • dbgsvc.exe
    • dnx.exe
    • dotnet.exe
    • excel.exe
    • fsi.exe
    • fsiAnyCpu.exe
    • iexplore.exe
    • java.exe
    • kd.exe
    • lxssmanager.dll
    • msbuild.exe
    • mshta.exe
    • ntkd.exe
    • ntsd.exe
    • outlook.exe
    • powerpnt.exe
    • powershell.exe
    • psexec.exe
    • rcsi.exe
    • schtasks.exe
    • svchost.exe
    • system.management.automation.dll
    • windbg.exe
    • winword.exe
    • wmic.exe
    • wscript.exe
    • wuauclt.exe

  • Linux e macOS:

    • bash
    • java
    • python e python3
    • sh
    • zsh

Não exclua nomes de arquivo sem um caminho completo

Quando você excluir um arquivo, especifique seu caminho totalmente qualificado para excluir apenas o arquivo que você pretende. Uma exclusão somente nome se comporta de forma diferente dependendo da plataforma, mas especificar o caminho completo é a opção mais segura em todos os casos:

  • Microsoft Defender Antivírus no Windows: uma exclusão de arquivo é considerada como um caminho. Um nome de arquivo nu como Filename.exe não é uma exclusão de arquivo confiável e não exclui o arquivo de forma confiável. Use um caminho totalmente qualificado, como C:\Program Files\Contoso\Filename.exe. Para excluir um arquivo por nome em mais de um local, use um caminho com caractere curinga. Para obter mais informações, consulte Exclusões de arquivos e pastas e Caracteres curinga em exclusões de arquivos e pastas.
  • Microsoft Defender para Ponto de Extremidade no macOS e linux: macOS e Linux fornecem uma opção de exclusão de nome de arquivo, além de exclusões de caminho completo. Para garantir que você exclua apenas o arquivo que você pretende e não outro arquivo que compartilhe o nome, especifique o caminho completo, como /usr/local/bin/contoso-app.

Não use uma lista de exclusão para várias cargas de trabalho de servidor

Não use uma única lista de exclusão para definir exclusões para várias cargas de trabalho de servidor. Em vez disso, divida as exclusões em múltiplas listas para diferentes aplicações ou serviços.

Por exemplo, use uma lista de exclusão diferente para Serviços de Informações da Internet (IIS) do que a lista de exclusão para SQL Server.

No Windows Server, Microsoft Defender Antivírus aplica automaticamente muitas exclusões baseadas em função, portanto, verifique quais exclusões já se aplicam antes de criar listas personalizadas. Para obter mais informações, consulte exclusões do antivírus Microsoft Defender no Windows Server.

Em servidores Linux, identifique os processos e caminhos específicos que cada carga de trabalho precisa excluir em vez de reutilização de uma lista. Para obter mais informações, consulte Configurar e validar exclusões para Microsoft Defender para Ponto de Extremidade no Linux e solucionar problemas de desempenho para Microsoft Defender para Ponto de Extremidade no Linux.

Não use variáveis de ambiente que resultem em locais do sistema não esperados

Como o serviço antivírus é executado no contexto do sistema, Microsoft Defender Antivírus resolve variáveis de ambiente em exclusões usando a conta do sistema (LocalSystem). Muitas variáveis resolvem para o mesmo caminho em ambos os contextos, mas outras não. Por exemplo, %TEMP% é resolvido como C:\Windows\TEMP em vez de C:\Users\<username>\AppData\Local\Temp, portanto uma exclusão que usa %TEMP% não inclui o local que você poderia esperar.

Antes de usar uma variável de ambiente em uma exclusão, confirme o local para o qual ela é resolvida na conta do sistema. Para obter mais informações, veja Variáveis de ambiente do sistema.

Consulte também

  • Última atualização em