Microsoft Defender 防毒軟體與 Defender for Endpoint 中應避免的排除事項

Important

新增排除項目時請謹慎 Microsoft Defender 防毒軟體與 Defender for Endpoint 的排除條款降低了對裝置的保護。

您可以為不想讓 Microsoft Defender 防毒軟體或適用於端點的 Microsoft Defender (在 macOS 或 Linux 上) 掃描的項目定義排除項目。 然而，被排除的項目可能包含威脅，使你的裝置變得脆弱。 排除條款也會降低依賴防毒引擎的功能保護，例如惡意軟體防護以及檔案與憑證入侵指標（IOC）。 處理程序排除也會使 適用於端點的 Microsoft Defender 網路保護 和 攻擊面縮減（ASR）規則 無法檢查流量，或對遭排除的處理程序強制執行規則。 在建立任何排除項目前，請先閱讀關於排除的重要事項以及《適用於端點的 Microsoft Defender 和 Microsoft Defender 防毒軟體排除項目》中的更廣泛指引。

即使你相信這些項目不是惡意的，也不要排除本文描述的檔案、檔案類型、資料夾或程序。 此指引適用於 Windows、macOS 及 Linux 上的 Microsoft Defender 防毒軟體及 Defender for Endpoint。

不應該排除的資料夾

攻擊者可能會濫用某些資料夾，因此請勿排除以下資料夾進行掃描：

• Windows：

  • %systemdrive%

  • C:、 C:\或 C:\*

  • %ProgramFiles%\Java 或 C:\Program Files\Java

  • 已安裝應用程式的程式資料夾。 例如， %ProgramFiles%\Contoso\， C:\Program Files\Contoso\， %ProgramFiles(x86)%\Contoso\， ， C:\Program Files (x86)\Contoso\

  • C:\Temp、 C:\Temp\或 C:\Temp\*

  • C:\Users\ 或 C:\Users\*

  • C:\Users\<UserProfileName>\AppData\Local\Temp\ 或 C:\Users\<UserProfileName>\AppData\LocalLow\Temp\

    Note

    在使用 SharePoint 的檔案層級防毒保護時，應排除以下資料夾：

    C:\Users\ServiceAccount\AppData\Local\Temp 或 C:\Users\Default\AppData\Local\Temp。

  • %Windir%\Prefetch、C:\Windows\Prefetch、C:\Windows\Prefetch\或 C:\Windows\Prefetch\*

  • %Windir%\System32\Spool 或 C:\Windows\System32\Spool

  • C:\Windows\System32\CatRoot2

  • %Windir%\Temp、C:\Windows\Temp、C:\Windows\Temp\或 C:\Windows\Temp\*

• Linux 與 macOS：

  • /
  • /bin 或 /sbin
  • /usr/lib

不應該排除的檔案副檔名

攻擊者可能濫用某些檔案類型，因此請勿將下列檔案副檔名排除在掃描之外：

• .7z
• .bat
• .bin
• .cab
• .cmd
• .com
• .cpl
• .dll
• .exe
• .fla
• .gif
• .gz
• .hta
• .inf
• .jar
• .java
• .job
• .jpeg
• .jpg
• .js
• .ko 或 .ko.gz
• .msi
• .ocx
• .png
• .ps1
• .py
• .rar
• .reg
• .scr
• .sys
• .tar
• .tmp
• .url
• .vbe
• .vbs
• .wsf
• .zip

Note

如果您的組織使用現代且最新的軟體，並有嚴格的更新政策來處理漏洞，您可以選擇排除檔案類型 (.gif、 .jpg、 .jpeg.png 或) 。

不應排除的程序

攻擊者可能會濫用某些處理程序，因此請勿將下列處理程序排除在掃描之外：

• Windows：

  • AcroRd32.exe
  • addinprocess.exe
  • addinprocess32.exe
  • addinutil.exe
  • bash.exe
  • bginfo.exe
  • bitsadmin.exe
  • cdb.exe
  • cmd.exe
  • cscript.exe
  • csi.exe
  • dbghost.exe
  • dbgsvc.exe
  • dnx.exe
  • dotnet.exe
  • excel.exe
  • fsi.exe
  • fsiAnyCpu.exe
  • iexplore.exe
  • java.exe
  • kd.exe
  • lxssmanager.dll
  • msbuild.exe
  • mshta.exe
  • ntkd.exe
  • ntsd.exe
  • outlook.exe
  • powerpnt.exe
  • powershell.exe
  • psexec.exe
  • rcsi.exe
  • schtasks.exe
  • svchost.exe
  • system.management.automation.dll
  • windbg.exe
  • winword.exe
  • wmic.exe
  • wscript.exe
  • wuauclt.exe

• Linux 與 macOS：

  • bash
  • java
  • python 與 python3
  • sh
  • zsh

不要排除沒有完整路徑的檔案名稱

排除檔案時，請指定其完全限定路徑，只排除你想排除的檔案。 僅名排除的行為會因平台而異，但在每種情況下，指定完整路徑是較安全的選擇：

• Windows 上的 Microsoft Defender 防毒：檔案排除會以路徑方式比對。 像 Filename.exe 這樣僅有檔名的寫法，不能作為可靠的檔案排除條件，也無法穩定地排除該檔案。 使用完全限定的路徑，例如 C:\Program Files\Contoso\Filename.exe。 若要在多個地點以名稱排除檔案，請改用通配碼路徑。 如需詳細資訊，請參閱檔案及資料夾排除項目和檔案及資料夾排除項目中的萬用字元。
• 適用於端點的 Microsoft Defender 在 macOS 與 Linux 上：macOS 與 Linux 除了全路徑排除外，還提供檔案名稱排除選項。 為了確保只排除你想排除的檔案，而非其他恰巧共用名稱的檔案，請指定完整路徑，例如 /usr/local/bin/contoso-app。

不要用同一個排除清單來管理多個伺服器工作負載

請勿使用單一排除清單來為多個伺服器工作負載設定排除項目。 相反地，將排除事項拆分成多個不同應用程式或服務的清單。

例如，Internet Information Services（IIS）的排除清單與 SQL Server 的排除清單不同。

在 Windows Server 上，Microsoft Defender 防毒軟體會自動套用許多基於角色的排除，因此在建立自訂清單前，請先確認哪些排除已經適用。 欲了解更多資訊，請參閱 Windows Server 上的 Microsoft Defender 防毒排除條款。

在 Linux 伺服器上，辨識每個工作負載需要排除的特定程序和路徑，而不是重複使用同一份清單。 欲了解更多資訊，請參閱「配置與驗證 Linux 版 適用於端點的 Microsoft Defender 的排除事項」及「適用於端點的 Microsoft Defender on Linux 的效能問題故障排除」。

不要使用會解析到系統意想不到位置的環境變數

由於防毒服務是在系統上下文中執行，Microsoft Defender 防毒軟體會透過系統（LocalSystem）帳號來解決排除中的環境變數。 許多變數在兩種情境下都會解析到相同的路徑，但有些則不會。 例如， %TEMP% 會解析為 C:\Windows\TEMPC:\Users\<username>\AppData\Local\Temp而不是 ，所以使用 的 %TEMP% 排除選項不會包含你可能預期的位置。

在排除項目中使用環境變數前，先確認系統帳號下該變數解析到的位置。 欲了解更多資訊，請參閱 系統環境變數。

參見

• 適用於端點的 Microsoft Defender 和 Microsoft Defender 防毒軟體的排除項目
• 設定 Microsoft Defender 防毒軟體的自訂排除項目
• 在 Linux 上配置並驗證 適用於端點的 Microsoft Defender 的排除事項
• 在 macOS 上設定並驗證 適用於端點的 Microsoft Defender 的排除事項