Programa prašo išjungti antivirusinę apsaugą. Ar tikrai reikia?
Plati antivirusinės išimtis gali paslėpti ir programos failus, kurių niekas neketino leisti. Prieš keičiant apsaugos nustatymus, verta išsiaiškinti, kas tiksliai blokuojama ir kokia siauriausia išimtis padėtų.
Greitas sprendimas, kuris lieka ilgam
Darbuotojas įdiegia verslo programą, bet ji stringa paleidžiant vieną konkrečią funkciją. Tiekėjo pagalba pasiūlo įtraukti visą programos katalogą į antivirusinės išimtis. Programa vėl veikia, todėl nustatymas paliekamas neribotam laikui, niekur neužrašytas ir netaikant vienodai visiems kompiuteriams.
Tai iliustracinė situacija, o ne konkretaus incidento pranešimas. Kartais tikslinė išimtis yra pagrįsta, tačiau visos apsaugos išjungimas arba platus katalogo išskyrimas gali apimti daugiau failų ir procesų, nei reikalinga. Pirmiausia reikėtų suprasti, ką tiksliai blokuoja saugos priemonė.
Ką reiškia Microsoft Defender išimtis?
„Microsoft Defender Antivirus“ leidžia iš skenavimo išskirti konkrečius failus, katalogus, plėtinius arba failus, kuriuos atveria nurodytas procesas. Šie nustatymai gali veikti tiek planinius ar rankinius skenavimus, tiek nuolatinę apsaugą. Proceso išimtys turi atskirą elgseną: jos taikomos tik nuolatinei apsaugai ir stebėsenai, o planinių bei rankinių patikrų nekeičia.
Todėl svarbu atskirti programos procesą nuo failų, su kuriais jis dirba. Išskyrus procesą, Defender gali nebetikrinti jo atveriamų failų realiuoju laiku. „Microsoft“ pažymi, kad dažniausiai išimčių nustatyti nereikia. Galimus tipus ir jų veikimą aprašo oficialus Microsoft Defender išimčių konfigūravimo vadovas.
Pirmiausia raskite priežastį
INsec siūlome užfiksuoti blokuojamo failo kelią, proceso pavadinimą, aptikimo ar įvykio informaciją, programos versiją ir laiką. Patikrinkite, ar diegimo failas gautas iš oficialaus tiekėjo šaltinio ir ar tiekėjas pateikė tikslų techninį paaiškinimą. Vien pranešimas „antivirusas trukdo“ neparodo, ar aptikimas klaidingas.
Jei saugos įrankis nurodo grėsmę, jos nereikėtų iš karto išjungti vien tam, kad programa pasileistų. Pirmiausia patikrinkite informaciją per įmonės incidentų nagrinėjimo tvarką ir su programos tiekėju. Jei kyla abejonių, išmėginkite patikrintą diegimo paketą izoliuotoje bandomojoje darbo vietoje.
Jei išimtis būtina, apribokite jos apimtį
Prašykite tiekėjo nurodyti konkretų failą ar procesą ir pagrįsti, kodėl reikia būtent tokios išimties. Įvertinkite, ar problema išsprendžiama atnaujinus programą arba pakeitus jos konfigūraciją. Jei išimtis patvirtinama, apibrėžkite tik reikiamą įrenginių grupę, kelią ir naudojimo laikotarpį.
Plėtinio išimtis gali paveikti failus nepriklausomai nuo jų saugojimo vietos, o plataus katalogo išimtis – visą jo turinį. Venkite bendrų naudotojo profilio, atsisiuntimų ar laikinųjų failų katalogų išskyrimo. Užrašykite išimties savininką, priežastį, patvirtinimo datą ir peržiūros terminą. Tai leidžia vėliau nustatyti, ar programa vis dar naudojama.
Tvarkykite pakeitimus centralizuotai
„Microsoft“ geriausiai rekomenduoja Defender išimtis valdyti įmonės lygmens įrankiais, pavyzdžiui, Intune arba Configuration Manager, jei jie naudojami organizacijoje. Tokia tvarka padeda priskirti išimtį tik reikiamiems įrenginiams ir pamatyti, ar politika pritaikyta. Mažesnėje aplinkoje pakeitimus vis tiek reikėtų registruoti ir reguliariai peržiūrėti, kad neliktų nežinomų vietinių nustatymų.
Po pakeitimo patikrinkite programos funkciją ir įsitikinkite, kad kitų apsaugos valdiklių būsena nepasikeitė. Jei saugos priemonė palaiko apsaugą nuo nustatymų klastojimo, įvertinkite jos naudojimą – tačiau laikykitės jūsų Windows leidimo ir valdymo aplinkos dokumentacijos.
Peržiūrėkite senas išimtis
INsec rekomenduojame bent kartą per sutartą laikotarpį palyginti išimčių sąrašą su įdiegtomis programomis. Pašalinkite tuos įrašus, kurių paskirties ar savininko niekas nebegali paaiškinti. Pasikeitus tiekėjui, programos versijai ar darbo eigai, iš naujo įvertinkite, ar išimtis dar reikalinga.
Pradėkite nuo vieno įrašo: pasirinkite plačiausią arba seniausią Defender išimtį, nustatykite, kokią programą ji aptarnauja, ir su atsakingu žmogumi patikrinkite, ar galima ją susiaurinti.
INsec padeda prižiūrėti Windows darbo vietas ir peržiūrėti jų saugos politiką. Aptarkime jūsų įmonės įrenginių apsaugą.
Šaltinis
Microsoft Learn: Configure custom exclusions for Microsoft Defender Antivirus. Techniniai išimčių tipai ir veikimas paremti dokumentacija; peržiūros procesas – INsec praktinė rekomendacija.