Escludere cartelle, file o processi in Microsoft Defender può contribuire a migliorare le prestazioni del sistema quando si notano picchi di utilizzo della CPU o rallentamenti durante le scansioni. Se utilizzate correttamente, queste esclusioni impediscono scansioni non necessarie in posizioni note senza compromettere eccessivamente la protezione, ma è importante comprenderne i limiti e l'impatto sulla sicurezza.
Questa guida mostra come creare esclusioni di base e contestuali (con condizioni basate su tipo di scansione, trigger, processo o file/cartella), la sintassi esatta da utilizzare, i metodi per configurarle tramite l'app Sicurezza di Windows, Criteri di gruppo, PowerShell o WMI e come convalidarle con strumenti e il file di test EICAR.
Cosa sono le esclusioni di Microsoft Defender e quando utilizzarle?
Le esclusioni consentono a Microsoft Defender di saltare percorsi, estensioni o processi durante le scansioni. Sono pensate principalmente per mitigare l'impatto sulle prestazioni in scenari con frequenti accessi al disco o build, e comportano un costo: una riduzione del livello di protezione nell'area esclusa.
Le esclusioni contestuali aggiungono precisione imponendo restrizioni che ne limitano l'applicazione (ad esempio, solo nelle scansioni rapide o solo se un processo specifico accede al file). Tuttavia, non sono il metodo consigliato per risolvere in modo affidabile i falsi positivi : se si sospetta un falso positivo, inviare il file per l'analisi tramite il portale di Microsoft Defender (se si dispone di un abbonamento) o tramite il sito Web di Microsoft Security Intelligence; come misura temporanea , si consiglia di creare un flag "consenti" in Defender per Endpoint.
Importante: se non vengono specificate restrizioni aggiuntive, si applica un'esclusione di base a tutti i tipi di scansione e ai trigger , indipendentemente dal fatto che la destinazione sia un file o una cartella. Di seguito viene illustrato come personalizzare questo comportamento.
Tipi di restrizioni che puoi applicare
Defender consente quattro principali restrizioni per limitare l'applicabilità di un'esclusione. Tutte vengono aggiunte alla stringa di esclusione e distinguono tra maiuscole e minuscole (sia per i tipi che per i valori).
- Tipo di percorso (file o cartella): forza l'esclusione ad applicarsi solo se la destinazione è un filetto o un cartellaSe la destinazione non corrisponde, l'esclusione non si applica.
- ScanType (tipo di esame): limita l'esclusione agli esami veloce o pienoLa “risorsa” (esame diretto) viene trattata separatamente quando si utilizza ScanTrigger.
- ScanTrigger (trigger): definisce quando viene attivata l'esclusione: Su richiesta (azioni manuali e programmate, comprese quelle rapide e complete), OnAccess (protezione in tempo reale) o BM (supervisione comportamentale).
- Processo (processo): fa sì che l'esclusione si applichi solo se l'accesso proviene da un eseguibile specifico; supporta i caratteri jolly nel percorso o nel nome.
Per impostazione predefinita, le esclusioni classiche influiscono sulle scansioni delle risorse, rapide e complete , sia su richiesta che in tempo reale, nonché sulle scansioni in memoria (comportamentali). Con le restrizioni, è possibile limitare la finestra dell'applicazione solo a ciò che è strettamente necessario.
Sintassi delle esclusioni contestuali ed esempi
La stringa di esclusione inizia dal percorso base e aggiunge una sezione tipo:valore racchiusa tra parentesi graffe. Ricorda che tutti i valori TypeName e value fanno distinzione tra maiuscole e minuscole.
Formato generale: <PATH>\:{TypeName:value,TypeName:value}Ad esempio, per escludere un file specifico alloggi Se si tratta di un file e solo negli esami quando si accede:
c:\documents\design.doc\:{PathType:file,ScanTrigger:OnAccess}
Per escludere lo stesso file se viene modificato da un processo con un'immagine denominata winword.exe :
c:\documents\design.doc\:{Process:"winword.exe"}
I caratteri jolly sono accettati nei percorsi di file/cartelle, ad esempio:
Se aceptan caracteres comodín en percorsi di file/cartelle, come:
c:\*\*.doc\:{PathType:file,ScanTrigger:OnDemand}
Anche nel percorso dell'immagine del processo, ad esempio:
c:\documents\design.doc\:{Process:"C:\\Program Files*\\Microsoft Office\\root\\Office??\\winword.exe"}
Limita alla cartella: se si desidera applicare l'esclusione solo se la destinazione è una cartella (non un file), utilizzare:
C:\documents\*\:{PathType:folder}
Limita al file: per garantire che si tratti esclusivamente di un file (e non di una cartella con un nome simile):
C:\documents\*.mdb\:{PathType:file}
Limita per tipo di esame: escludi un percorso solo negli esami completi :
C:\documents\:{ScanType:full}
Limitatevi alle scansioni rapide e assicuratevi che si tratti di un file (ad esempio, C:\program.exe ):
C:\program.exe\:{ScanType:quick,PathType:file}
Si applica solo in tempo reale (OnAccess) per una cartella e il suo contenuto:
c:\documents\:{ScanTrigger:OnAccess}
Collegamento a processi specifici ( è possibile combinare più processi e utilizzare caratteri jolly):
c:\documents\design.doc\:{Process:"winword.exe", Process:"msaccess.exe", Process:"C:\\Program Files*\\Microsoft Office\\root\\Office??\\winword.exe"}
Metodi per configurare le esclusioni in Windows Defender
Innanzitutto, verifica di soddisfare i requisiti minimi per le esclusioni contestuali: Piattaforma 4.18.2205.7 o superiore e Motore 1.1.19300.2 o superiore. Mantieni Defender aggiornato per garantire la compatibilità.
Dall'applicazione Sicurezza di Windows
Questo è il metodo più diretto per escludere file, cartelle, estensioni o processi senza utilizzare script. Andate in Sicurezza di Windows, quindi in Protezione da virus e minacce e, nella sezione Esclusioni, aggiungete gli elementi desiderati. Microsoft indica che, in genere, non è necessario escludere nulla , ma se proprio dovete farlo, scegliete con attenzione il tipo di esclusione.
Elenchi di esclusione e tipi comuni
I tipi più comuni includono estensioni di file , percorsi (intere cartelle o file specifici) e processi . Alcuni esempi tipici, secondo la documentazione:
- Estensione: tutti i file con un'estensione in qualsiasi posizione (ad esempio, sintassi valida:
.testotest). - Raccoglitore: tutto ciò che è contenuto all'interno
c:\test\sample(file e sottocartelle). - File specifico: soltanto
c:\sample\sample.test. - Processo: l'eseguibile
c:\test\process.exe.
Tieni presente che le esclusioni delle cartelle si applicano a tutti gli elementi al loro interno, a meno che una sottocartella non sia un punto di rianalisi , nel qual caso devi escluderla separatamente. Inoltre, tieni presente che le estensioni dei file si applicano a qualsiasi nome file con quella terminazione se non specifichi un percorso.
Criteri di gruppo (GPO)
Negli ambienti gestiti, GPO consente di centralizzare le esclusioni di percorsi ed estensioni :
- Aprire la Console Gestione Criteri di gruppo e modificare l'oggetto Criteri di gruppo desiderato.
- Passare a Configurazione computer > Modelli amministrativi > Componenti di Windows > Microsoft Defender Antivirus > Esclusioni.
- En Esclusioni di percorso: Abilita, tocca Mostra, specifica ogni cartella/file con il percorso completo (unità, cartelle, nome ed estensione). Nella colonna Valore, inserisci 0.
- En Esclusioni di estensione: abilita, premi Mostra, aggiungi ogni estensione su una riga a parte e metti 0 in Valore.
Questo metodo è ideale per standardizzare le configurazioni su più dispositivi senza dover intervenire manualmente su ciascuno di essi.
PowerShell
Con PowerShell è possibile creare, aggiungere o rimuovere voci negli elenchi di esclusione utilizzando i cmdlet del modulo Defender . Lo schema generale è il seguente:
<cmdlet> -<exclusion list> "<item>"
- Crea o sovrascrivi elenco:
Set-MpPreference - Aggiungi alla lista:
Add-MpPreference - Rimuovi elemento:
Remove-MpPreference
Elenca i parametri disponibili per i più comuni:
- -EsclusioneEstensione per tutte le partite per estensione.
- -Percorso di esclusione per file o cartelle specifici (incluse le sottodirectory).
Esempio per escludere qualsiasi file con estensione .test:
Add-MpPreference -ExclusionExtension ".test"
È anche possibile combinarlo per percorsi specifici e mantenere il controllo delle versioni (Aggiungi per aggiungere, Rimuovi per rimuovere le voci senza eliminare il resto).
WMI
Se si automatizza con WMI, utilizzare i metodi Impostato, Aggiungi y Rimuovere della classe MSFT_MpPreference sulle proprietà di esclusione (equivalenti alle loro controparti PowerShell). È un modo utile per integrazione con strumenti di gestione esistente.
Raccomandazione pratica per ridurre l'utilizzo della CPU
Alcuni utenti segnalano che Defender consuma una quantità eccessiva di CPU dopo il riavvio e che il sistema smette di rispondere per un certo periodo. Una soluzione che hanno provato è quella di escludere queste cartelle specifiche:
C:\Program Files\Windows DefenderC:\Program Files\Windows Defender Advanced Threat ProtectionC:\Windows\SoftwareDistribution
In questi casi il rischio aggiuntivo è considerato basso (SoftwareDistribution memorizza i download di Windows Update e i percorsi di Defender contengono i propri file binari), ma rappresenta comunque una riduzione della copertura . Valutate questa opzione solo se ha un impatto reale sulle prestazioni e monitoratene il comportamento in seguito.
Caratteri jolly e variabili di ambiente supportati
Defender consente l'uso di asterischi (*) , punti interrogativi (?) e variabili d'ambiente nelle esclusioni basate su percorso e nome file. Si noti che la sua interpretazione differisce leggermente da quella di altri strumenti, quindi è importante comprenderne l'ambito di applicazione.
- * nei nomi/estensioni dei file: sostituisce un numero qualsiasi di caratteri e si applica solo ai file nell'ultima cartella nell'argomento.
- * nelle esclusioni delle cartelle: sostituisce una singola cartella. Usa più combinazioni
*\per indicare più livelli. Dopo aver abbinato tutte le cartelle (con caratteri jolly e con nome), vengono incluse anche le sottocartelle. - ? nei nomi/estensioni dei file: sostituisce un singolo carattere nell'ultima cartella dell'argomento.
- ? nelle cartelle: Sostituisce un singolo carattere all'interno del nome di una cartella; vengono incluse anche le relative sottocartelle.
- variabili ambientali: Si espandono al loro percorso efficace quando si valuta l'esclusione. Possono essere combinati con
*y?.
Esempi utili:
C:\MyData\*.txtinclude C:\MyData\notes.txt.C:\somepath\*\Datainclude C:\percorso\Archivi\Dati y C:\percorso\Autorizzato\Dati (e le sue sottocartelle).C:\Serv\*\*\Backupinclude C:\Serv\Primary\Denied\Backup y C:\Serv\Secondario\Consentito\Backup (e le sue sottocartelle).C:\MyData\my?.zipinclude C:\I miei dati\my1.zip.C:\somepath\?\Datainclude C:\percorso\P\Dati e sottocartelle.C:\somepath\test0?\Datainclude C:\percorso\test01\Dati e sottocartelle.%ALLUSERSPROFILE%\CustomLogFilescoperture C:\ProgramData\CustomLogFiles\Folder1\file1.txt.%PROGRAMFILES%\Contoso*\v?\bin\contoso.exeinclude C:\Programmi\Contoso Labs\v1\bin\contoso.exe.
Di seguito è riportato un elenco delle variabili d'ambiente di sistema più comuni e i relativi riferimenti una volta espanse (account di sistema):
| Variabile | Destino |
|---|---|
| %% APPDATA | C:\Windows\system32\config\systemprofile\Appdata\Roaming |
| %APPDATA%\Microsoft\Internet Explorer\Avvio rapido | C:\Windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch |
| %APPDATA%\Microsoft\Windows\Menu Start | C:\Windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Menu Start |
| %APPDATA%\Microsoft\Windows\Menu Start\Programmi | C:\Windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Menu Start\Programmi |
| %DATIAPP.LOCALE% | C:\WINDOWS\system32\config\systemprofile\AppData\Local |
| %Dati del programma% | C: \ ProgramData |
| % File di programma% | C: \ Program Files |
| %ProgramFiles%\File comuni | C:\Programmi\File comuni |
| %Programmi%\Windows Sidebar\Gadget | C:\Programmi\Windows Sidebar\Gadget |
| %ProgramFiles%\File comuni | C:\Programmi\File comuni |
| % ProgramFiles (x86)% | C: \ Program Files (x86) |
| %ProgramFiles(x86)%\File comuni | C:\Programmi (x86)\File comuni |
| %SystemDrive% | C: |
| %SystemDrive%\Programmi | C: \ Program Files |
| %SystemDrive%\Programmi (x86) | C: \ Program Files (x86) |
| %SystemDrive%\Utenti | C: \ Utenti |
| %SystemDrive%\Utenti\Pubblico | C: \ Users \ Public |
| % SystemRoot% | C: \ WINDOWS |
| % Windir% | C: \ WINDOWS |
| %windir%\Caratteri | C: \ Windows \ Fonts |
| %windir%\Risorse | C:\Windows\Risorse |
| %windir%\risorse\0409 | C:\Windows\risorse\0409 |
| % windir% \ system32 | C: \ Windows \ System32 |
| % ALLUSERSPROFILE% | C: \ ProgramData |
| %ALLUSERSPROFILE%\Dati applicazione | C:\ProgramData\Dati applicazioni |
| %ALLUSERSPROFILE%\Documenti | C:\ProgramData\Documenti |
| %ALLUSERSPROFILE%\Documenti\La mia musica\Musica di esempio | C:\ProgramData\Documents\My Music\Sample Music |
| %ALLUSERSPROFILE%\Documenti\La mia musica | C:\ProgramData\Documenti\La mia musica |
| %ALLUSERSPROFILE%\Documenti\Le mie immagini | C:\ProgramData\Documenti\Immagini |
| %ALLUSERSPROFILE%\Documenti\Le mie immagini\Immagini di esempio | C:\ProgramData\Documents\My Pictures\Sample Pictures |
| %ALLUSERSPROFILE%\Documenti\I miei video | C:\ProgramData\Documenti\I miei video |
| %ALLUSERSPROFILE%\Microsoft\Windows\DeviceMetadataStore | C:\ProgramData\Microsoft\Windows\DeviceMetadataStore |
| %ALLUSERSPROFILE%\Microsoft\Windows\GameExplorer | C:\Programmi\Microsoft\Windows\GameExplorer |
| %ALLUSERSPROFILE%\Microsoft\Windows\Suonerie | C:\ProgramData\Microsoft\Windows\Suonerie |
| %ALLUSERSPROFILE%\Microsoft\Windows\Menu Start | C:\ProgramData\Microsoft\Windows\Menu Start |
| %ALLUSERSPROFILE%\Microsoft\Windows\Menu Start\Programmi | C: \ ProgramData \ Microsoft \ Windows \ Start Menu \ Programs |
| %ALLUSERSPROFILE%\Microsoft\Windows\Menu Start\Programmi\Strumenti di amministrazione | C:\ProgramData\Microsoft\Windows\Start Menu\Programmi\Strumenti di amministrazione |
| %ALLUSERSPROFILE%\Microsoft\Windows\Menu Avvio\Programmi\Esecuzione automatica | C: \ ProgramData \ Microsoft \ Windows \ Menu Avvio \ Programmi \ Esecuzione automatica |
| %ALLUSERSPROFILE%\Microsoft\Windows\Modelli | C:\ProgramData\Microsoft\Windows\Modelli |
| %ALLUSERSPROFILE%\Menu Start | C:\ProgramData\Menu Avvio |
| %ALLUSERSPROFILE%\Menu Start\Programmi | C:\ProgramData\Menu Avvio\Programmi |
| %ALLUSERSPROFILE%\Menu Start\Programmi\Strumenti di amministrazione | C:\ProgramData\Menu Avvio\Programmi\Strumenti di amministrazione |
| %ALLUSERSPROFILE%\Modelli | C:\ProgramData\Modelli |
| %LOCALAPPDATA%\Microsoft\Windows\ConnectedSearch\Modelli | C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\ConnectedSearch\Templates |
| %LOCALAPPDATA%\Microsoft\Windows\Cronologia | C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\History |
| %PUBBLICO% | C: \ Users \ Public |
| %PUBLIC%\AccountPictures | C:\Utenti\Pubblico\AccountPictures |
| %PUBLIC%\Desktop | C:\Utenti\Pubblico\Desktop |
| %PUBLIC%\Documenti | C: \ Utenti \ Pubblico \ Documenti |
| %PUBLIC%\Download | C:\Utenti\Pubblico\Download |
| %PUBLIC%\Musica\Musica di esempio | C:\Utenti\Pubblico\Musica\Musica di esempio |
| %PUBLIC%\Musica\Playlist di esempio | C:\Utenti\Pubblico\Musica\Playlist di esempio |
| %PUBLIC%\Immagini\Immagini di esempio | C:\Utenti\Pubblico\Immagini\Immagini di esempio |
| %PUBLIC%\RecordedTV.library-ms | C:\Utenti\Pubblico\RecordedTV.library-ms |
| %PUBLIC%\Video | C:\Utenti\Pubblico\Video |
| %PUBLIC%\Video\Video di esempio | C:\Utenti\Pubblico\Video\Video di esempio |
| %PROFILO UTENTE% | C:\Windows\system32\config\profilosistema |
| %USERPROFILE%\AppData\Local | C:\Windows\system32\config\systemprofile\AppData\Local |
| %USERPROFILE%\AppData\LocalLow | C:\Windows\system32\config\systemprofile\AppData\LocalLow |
| %USERPROFILE%\AppData\Roaming | C:\Windows\system32\config\systemprofile\AppData\Roaming |
Convalida e rivedi i tuoi elenchi di esclusione
Ci sono diversi modi per farlo verifica che le tue esclusioni siano attiveCon l'utilità della riga di comando MpCmdRun.exe È possibile convalidare un percorso specifico e con PowerShell è possibile elencare tutte le preferenze del motore.
MpCmdRun.exe (controllo dedicato)
Apri un prompt dei comandi come amministratore e accedi alla cartella Defender Platform, il cui nome cambia a seconda dell'aggiornamento installato. Quindi, esegui il controllo del percorso:
Start, CMD (Run as admin)
cd "%programdata%\microsoft\windows defender\platform"
cd 4.18.2111-5.0
MpCmdRun.exe -CheckExclusion -path <path>
Dove <path> è il file o la cartella che si desidera controllare. Se risulta escluso, la regola funziona correttamente.
PowerShell (preferenze ed elenchi specifici)
Per rivedere tutte le tue preferenze di Defender a colpo d'occhio, usa:
Get-MpPreference
Se vuoi mantenere solo gli elenchi di esclusione e vedere ogni riga così come è stata aggiunta (utile quando hai usato Add-MpPreference più volte), eseguire:
$WDAVprefs = Get-MpPreference
$WDAVprefs.ExclusionExtension
$WDAVprefs.ExclusionPath
Questo ti permetterà di verificare le estensioni e i percorsi attualmente esclusi e di mantenere il controllo della tua configurazione.
Validazione con file di test EICAR
Per un controllo funzionale, utilizzare il test EICAR standard. Se il target è escluso correttamente, il file non verrà bloccato; se viene rilevato un malware, la regola non si applica al contesto:
Scarica con PowerShell utilizzando Invoke-WebRequest (adatta il nome e il percorso alla tua regola):
Invoke-WebRequest "https://secure.eicar.org/eicar.com.txt" -OutFile "test.txt"
Alternativa con .NET WebClient (modifica il percorso in una shell per l'esclusione):
$client = new-object System.Net.WebClient
$client.DownloadFile("http://www.eicar.org/download/eicar.com.txt","c:\\test.txt")
Se non si dispone di accesso a Internet, è possibile creare il contenuto EICAR localmente per testare la reazione del motore su strada:
[io.file]::WriteAllText("test.txt","X5O!P%@AP[4\\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*")
Quando l'esclusione è effettiva, vedrai che il file viene salvato nel percorso senza che Defender lo blocchi; altrimenti, il motore interverrà e invierà una notifica.
Queste tecniche sono progettate per bilanciare prestazioni e sicurezza . Danno priorità a esclusioni contestuali ben definite (per tipo di esame, trigger o processo) ed evitano di escludere ampie aree geografiche a meno che non sia necessario. In caso di falsi positivi persistenti, inviano campioni a Microsoft anziché ampliare le esclusioni.