überlegungen und bewährte Methoden zur vollständigen Überprüfung Microsoft Defender Antivirus

In diesem Artikel werden die Überlegungen und bewährten Methoden zum Ausführen vollständiger Antivirenscans mit Microsoft Defender for Endpoint erläutert. In diesem Artikel werden Faktoren beschrieben, die sich auf die Scanleistung auswirken, und Szenarien beschrieben, in denen ein erhöhter Ressourcenverbrauch zu einer höheren Schutzeffizienz führt.

Übersicht

Echtzeitschutz in Defender für Endpunkt ist ein Feature, das Ihren Computer kontinuierlich überprüft, um Malware-Infektionen in Echtzeit zu erkennen und zu stoppen. Es verwendet heuristische und verhaltensbasierte Erkennungsmethoden, um die Aktivität auf Ihrem Gerät zu überwachen und vor Bedrohungen zu schützen, wenn sie auftreten. Unsere Empfehlung für geplante Überprüfungen besteht darin, die Schnellüberprüfung zusammen mit Always-On-Echtzeitschutz und Cloudschutz zu konfigurieren, da diese Kombination eine starke Abdeckung gegen Schadsoftware bietet, die mit Schadsoftware auf System- und Kernelebene beginnt. Diese Konfiguration ist die Standardkonfiguration. Im Allgemeinen ist es nicht erforderlich, eine vollständige Überprüfung zu planen, und die meisten Benutzer müssen keine vollständigen Überprüfungen manuell ausführen (siehe Vergleich von Schnellüberprüfung, vollständiger Überprüfung und benutzerdefinierter Überprüfung).

Möglicherweise müssen Sie jedoch vollständige Überprüfungen ausführen, um die spezifischen Anforderungen Ihrer organization zu erfüllen. Eine vollständige Überprüfung beginnt mit einer Schnellüberprüfung und wird dann mit einer sequenziellen Dateiüberprüfung aller eingebundenen festen und Wechseldatenträger fortgesetzt. Eine vollständige Überprüfung kann mehrere Stunden bis mehrere Tage dauern, je nach Inhaltsvolumen, Inhaltstyp und den Ressourcen, die Microsoft Defender für die Durchführung der Überprüfung zugeordnet wurden (siehe Informationen zu geplanten schnellen oder vollständigen Microsoft Defender Antivirus-Überprüfungen). Die Scanleistung ist nicht nur eine Funktion der Dateigröße und wird hauptsächlich durch den Typ und die Komplexität des Inhalts bestimmt.

Voraussetzungen

Unterstützte Betriebssysteme

• Windows

Beeinträchtigung der Schutzeffizienz und Leistung

Schutz und Systemressourcennutzung bringen Kompromisse mit sich. Die Geräteleistung hängt stark von Ihrer Umgebung ab. Es ist natürlich, dass das Ausführen einer vollständigen Überprüfung auf einem Gerät mit vielen komplexen Inhalten zu einer längeren Zeit bis zum Abschluss führen würde. In der folgenden Tabelle sind Szenarien zusammengefasst, in denen wir entscheidungen haben, mehr Systemressourcen zu verwenden, um unsere Schutzeffizienz zu erhöhen.

Einstellungen und Schalter zur Leistungsoptimierung der vollständigen Überprüfung

Die Geräteleistung ist ein wichtiger Faktor bei der Verarbeitungsrate von Sicherheitsereignissen und der Geschwindigkeit von Datei-, Netzwerk- und Scanaktivitäten. Eine höhere Ereignisverarbeitungsrate entspricht einer höheren Leistungsbeeinträchtigung des AV-Scanners. Unterschiedliche Antivirus-Softwarekonfigurationen können sich auf Leistung und Schutz auswirken. Es sind Einstellungen und Schalter verfügbar, die Sie konfigurieren können, um die Leistung von Microsoft Defender Antivirus anzupassen.

Zum Konfigurieren von Überprüfungsoptionen für Microsoft Defender Antivirus können Sie verschiedene Tools verwenden (siehe Konfigurieren von Überprüfungsoptionen für Microsoft Defender Antivirus). Im Folgenden finden Sie einige der verfügbaren Einstellungen und Schalter, mit denen Sie Microsoft Defender antivirus full scans konfigurieren können:

Bewährte Methoden und Überlegungen

Im Folgenden finden Sie die Empfehlungen von Microsoft:

Vollständige Überprüfungen

• Das Ausführen einer vollständigen Überprüfung, nachdem Sie Microsoft Defender Antivirus aktiviert oder installiert haben, kann nützlich sein, um Systeme zu überprüfen, um vorhandene Bedrohungen zu erkennen.

• Es wird empfohlen, Überprüfungsrichtlinien basierend auf Gerätetyp und -rolle zu konfigurieren, z. B. SQL Server-Sammlung, IIS-Serversammlung, eingeschränkte Arbeitsstationssammlung Standard Arbeitsstationssammlung.

• Vermeiden Sie die Verwendung von Domänencontrollern in einer Dateiserverrolle. Dies verringert die Aktivitäten der Antivirenüberprüfung auf Dateifreigaben und minimiert den Leistungsaufwand.

• Microsoft Defender Antivirus verfügt über die Dateihashberechnungsfunktion, die Dateihashes für jede ausführbare Datei berechnet, die überprüft wird, wenn sie zuvor nicht berechnet wurde. Dies verursacht Leistungseinbußen, insbesondere beim Kopieren großer Dateien aus einer Netzwerkfreigabe. Weitere Informationen zu den Auswirkungen auf Indikatoren finden Sie unter Konfigurieren der Dateihashberechnung .

• Die vollständige Scanleistung kann durch eine CPU-Drosselung beeinträchtigt werden. Es wird empfohlen, die Einstellungen für das CPU-Limit auf der Standardeinstellung zu belassen.

Scannen und CPU-Drosselung

Die Einstellung CPU-Auslastungslimit, auch als CPU-Drosselung bezeichnet, wird verwendet, um die maximale CPU-Auslastung für Microsoft Defender bedarfsgesteuerten Scans festzulegen. Die CPU-Drosselungseinstellung ist standardmäßig aktiviert und gilt nur für geplante Überprüfungen und optional auch für benutzerdefinierte Überprüfungen. Es wird empfohlen, diese Einstellung zu optimieren (siehe Einstellung ScanAverageCPULoadFactor in Set-MpPreference (Defender)), abhängig von den tatsächlichen CPU-Auslastungswerten, die in Ihrer spezifischen Umgebung abgerufen wurden.

Der CPU-Auslastungsfaktor für Microsoft Defender Antivirus ist kein harter Grenzwert, sondern eine Anleitung für die Scan-Engine, dieses Maximum nicht zu überschreiten. Für diese Einstellung der Überprüfungsrichtlinie können Sie einen Wert als Prozentsatz der maximalen CPU-Auslastung während der Überprüfung angeben. Der Wert 0 oder 100 gibt an, dass keine Drosselung erfolgt. Wenn dieser Wert für instance auf 20 reduziert wird, bedeutet dies, dass die Scan-Engine darauf abzielt, die durchschnittliche CPU-Last des Systems während der Überprüfung unter 20 % zu halten, und es dauert länger, bis sie abgeschlossen ist.

• Wenn Sie den Prozentwert auf 0 oder 100 festlegen, ist die CPU-Drosselung deaktiviert, und Windows Defender kann während der geplanten und benutzerdefinierten Überprüfungen bis zu 100 % der CPU verbrauchen. Dies wird nicht empfohlen, da dies zu nicht reagierenden Apps und sogar zu einer Überhitzung führen kann. Gehen Sie daher mit äußerster Vorsicht vor.

• Das Ändern des Werts hat sowohl Vor- als auch Nachteile. Höhere Werte bedeuten, dass die Scans schneller ausgeführt werden; Während der Überprüfung kann es jedoch zu einer Verlangsamung des Systems kommen, während niedrigere Werte bedeuten, dass die Überprüfung länger dauert, aber Sie haben während der Überprüfung mehr CPU-Ressourcen für Ihr System zur Verfügung. Wenn Sie instance kritische Workloads auf einem Server ausführen, sollte diese Einstellung auf einen Wert festgelegt werden, der das Funktionieren der Workloads nicht beeinträchtigt.

• Manuelle Überprüfungen ignorieren die CPU-Drosselungseinstellung und werden ohne CPU-Grenzwerte ausgeführt. Es gibt jedoch eine Überprüfungsrichtlinieneinstellung (siehe Einstellung ThrottleForScheduledScanOnly in Set-MpPreference (Defender)), dass manuelle Überprüfungen dieselben CPU-Grenzwerte einhalten wie eine geplante Überprüfung, wenn sie deaktiviert ist.

• Die CPU-Drosselung bei Leerlaufüberprüfungen steuert, ob die CPU für geplante Scans gedrosselt wird, während sich das Gerät im Leerlauf befindet. Diese Einstellung ist standardmäßig deaktiviert, um sicherzustellen, dass die CPU bei geplanten Überprüfungen nicht gedrosselt wird, wenn sich das Gerät im Leerlauf befindet, unabhängig davon, auf welche CPU-Drosselung festgelegt ist. Weitere Informationen finden Sie in der Einstellung in Set-MpPreference (Defender).For more information, see the DisableCpuThrottleOnIdleScans setting in Set-MpPreference (Defender).

  Hinweis

  Weitere Informationen finden Sie unter Leerlaufbedingungen – Win32-Apps.

Überprüfungen und Ausschlüsse

Microsoft Defender Antivirus verfügt über die folgenden Features, die zur Verbesserung der Scanleistung und -effizienz beitragen:

• Die Überprüfung von Containern/Archiven kann sehr lange dauern, da bestimmte Optimierungen (z. B. parallele Scans) in diesen Situationen nicht möglich sind. Wenn möglich, wird empfohlen, den Inhalt dieser Container zu extrahieren, damit die vollständige Überprüfung Elemente parallel verarbeiten kann.

• Scanausschlüsse, bei denen Sie Container von der Überprüfung ausschließen können, wenn diese Option gemäß Ihren Complianceanforderungen zulässig ist.

• Das Leistungsanalysetool für Microsoft Defender Antivirus kann verwendet werden, um Ausschlüsse zu ermitteln, die zur Leistungsoptimierung beitragen. Weitere Informationen finden Sie unter Leistungsanalyse für Microsoft Defender Antivirus.

Microsoft Defender Antivirus verfügt über eine integrierte Optimierung für Inhalte, die hochseriös sind (z. B. von vertrauenswürdigen Quellen signiert). Wenn es auf solche Inhalte stößt, verschiebt es sich einfach vom Scannen des Inhalts zur Überprüfung der Signatur, um sicherzustellen, dass die Datei nicht manipuliert wurde.

Empfehlungen zu Antivirenausschlüssen

Das Ausschließen bestimmter Speicherorte vom Scannen kann die Überprüfungszeit verkürzen. Es gibt zwei Arten von Ausschlüssen: Prozessausschlüsse und Datei-/Ordnerausschlüsse. Nur Datei-/Ordnerausschlüsse gelten für die vollständige Überprüfung. Scanausschlüsse sollten sorgfältig entwickelt werden, um die Scanzeit zu verkürzen und gleichzeitig das Risiko zu minimieren.

• Schließen Sie komprimierte Dateien nicht aus, wenn dies durch Ihre Complianceanforderungen nicht zulässig ist.

• Schließen Sie nicht den temporären Benutzerprofilordner oder den temporären Systemordner aus, der häufig von Schadsoftware verwendet wird:

  • C:\Users<UserProfileName>\AppData\Local\Temp\
  • C:\Users<UserProfileName>\AppData\LocalLow\Temp\
  • C:\Users<UserProfileName>\AppData\Roaming\Temp\
  • %Windir%\Prefetch
  • %Windir%\System32\Spool
  • C:\Windows\System32\CatRoot2
  • %Windir%\Temp

• Die Verwendung von Umgebungsvariablen als Wildcard in Ausschlusslisten ist nur auf Systemvariablen beschränkt. Verwenden Sie keine benutzerbezogenen Umgebungsvariablen, wenn Sie Microsoft Defender Antivirus-Ordner und Prozessausschlüsse hinzufügen.