Microsoft Defender Considerações e melhores práticas de análise completas do Antivírus do Microsoft Defender

Este artigo explica as considerações e as melhores práticas para executar análises antivírus completas com Microsoft Defender para Endpoint. Este artigo descreve fatores que afetam o desempenho da análise e descreve cenários em que o aumento do consumo de recursos resulta numa maior eficácia da proteção.

Descrição geral

A proteção em tempo real no Defender para Endpoint é uma funcionalidade que analisa continuamente o seu computador para ajudar a detetar e parar infeções de software maligno em tempo real. Utiliza métodos de deteção heurísticos e baseados no comportamento para monitorizar a atividade no seu dispositivo e proteger contra ameaças à medida que acontecem. A nossa recomendação para análises agendadas é configurar a análise rápida juntamente com a proteção sempre ativa em tempo real e a proteção da cloud, uma vez que esta combinação fornece uma forte cobertura contra software maligno que começa com o sistema e software maligno ao nível do kernel. Esta configuração é a configuração predefinida. Em geral, não é necessário agendar uma análise completa e a maioria dos utilizadores nunca precisa de executar manualmente análises completas (consulte Comparar análise rápida, análise completa e análise personalizada).

No entanto, poderá ter de executar análises completas para cumprir os requisitos específicos da sua organização. Uma análise completa começa com uma análise rápida e, em seguida, continua com uma análise sequencial de ficheiros de todas as unidades de rede fixas e amovíveis que estão montadas. Uma análise completa pode durar de várias horas a vários dias, consoante o volume de conteúdo, o tipo de conteúdo e os recursos que Microsoft Defender foram alocados para efetuar a análise (consulte Acerca de análises agendadas rápidas ou completas Microsoft Defender Antivírus). O desempenho da análise não é apenas uma função do tamanho do ficheiro e é determinado principalmente pelo tipo e complexidade do conteúdo.

Pré-requisitos

Sistemas operativos suportados

• Windows

Impacto na eficiência e no desempenho da proteção

A proteção e a utilização de recursos do sistema implicam compromissos. O desempenho do dispositivo depende muito do seu ambiente. É natural que a execução de uma análise completa num dispositivo com muitos conteúdos complexos leve a um maior tempo de conclusão. A tabela seguinte resume os cenários em que tomámos decisões para utilizar mais recursos do sistema para aumentar a eficiência da nossa proteção.

Definições e comutadores de otimização do desempenho da análise completa

O desempenho do dispositivo é um fator importante na taxa de processamento de eventos de segurança e na velocidade das atividades de ficheiro, rede e análise. Uma taxa de processamento de eventos mais elevada é igual a um maior impacto no desempenho com o scanner AV. A configuração de software antivírus diferente pode afetar o desempenho e a proteção. Existem definições e comutadores disponíveis que pode configurar para ajustar o desempenho do Antivírus Microsoft Defender.

Para configurar opções de análise para Microsoft Defender Antivírus, pode utilizar várias ferramentas (consulte Configurar opções de análise para o Antivírus Microsoft Defender). Seguem-se algumas das definições e comutadores disponíveis que pode utilizar para configurar Microsoft Defender análises completas do Antivírus:

Melhores práticas e considerações

Seguem-se as recomendações da Microsoft:

Análises completas

• Executar uma análise completa uma vez depois de ter ativado ou instalado Microsoft Defender o Antivírus pode ser útil para analisar sistemas para detetar ameaças existentes.

• Recomendamos que configure políticas de análise com base no tipo e na função do dispositivo, por exemplo, SQL Server Coleção, Coleção de Servidores IIS, Coleção de Estação de Trabalho Restrita, Coleção de Estação de Trabalho Standard.

• Evite utilizar controladores de domínio numa função de servidor de ficheiros. Isto reduz as atividades de análise de antivírus em partilhas de ficheiros e minimiza a sobrecarga de desempenho.

• Microsoft Defender Antivírus tem a funcionalidade de computação hash de ficheiros que calcula os hashes de ficheiros para cada ficheiro executável que é analisado se não tiver sido calculado anteriormente. Isto tem um custo de desempenho especialmente ao copiar ficheiros grandes de uma partilha de rede. Veja Configurar a Computação hash de ficheiros para saber mais sobre o impacto nos indicadores.

• O desempenho completo da análise pode ser afetado pela limitação da CPU. A nossa recomendação é deixar as definições de limite da CPU na predefinição.

Análise e limitação da CPU

O limite de utilização da CPU, também conhecido como limitação da CPU, é utilizado para definir a utilização máxima da CPU para Microsoft Defender análises a pedido. A definição de limitação da CPU está ativada por predefinição e aplica-se apenas às análises agendadas e, opcionalmente, também às análises personalizadas. Recomenda-se que ajuste esta definição (veja a ScanAverageCPULoadFactor definição em Set-MpPreference (Defender)), consoante os valores reais de utilização da CPU obtidos no seu ambiente específico.

O fator de carga da CPU para Microsoft Defender Antivírus não é um limite rígido, mas sim uma orientação para que o motor de análise não exceda este máximo. Para esta definição de política de análise, pode especificar um valor como percentagem da utilização máxima da CPU durante a análise. O valor de 0 ou 100 indica que não há limitação. Por exemplo, se este valor for reduzido para 20, significa que o motor de análise tem como objetivo manter a carga média da CPU do sistema abaixo dos 20% durante a análise e demora mais tempo a ser concluída.

• Se definir o valor percentual como 0 ou 100, a limitação da CPU será desativada e o Windows Defender poderá utilizar até 100% da CPU durante as análises agendadas e personalizadas. Isto não é recomendado, uma vez que pode levar a aplicações sem resposta e até ao sobreaquecimento, por isso, proceda com extrema cautela.

• Alterar o valor tem prós e contras. Valores mais elevados significam que as análises têm um desempenho mais rápido; No entanto, pode abrandar o sistema durante a análise, enquanto os valores mais baixos significam que a análise demora mais tempo a ser concluída, mas tem mais recursos de CPU disponíveis para o seu sistema durante a análise. Por exemplo, se estiver a executar cargas de trabalho críticas num servidor, esta definição deve ser definida para um valor que não interfira com o funcionamento das cargas de trabalho.

• As análises manuais ignoram a definição de limitação da CPU e são executadas sem limites de CPU. No entanto, existe uma definição de política de análise (veja a ThrottleForScheduledScanOnly definição em Set-MpPreference (Defender)) que, se estiver desativada, as análises manuais cumprem os mesmos limites de CPU que uma análise agendada.

• A limitação da CPU em análises inativas controla se a CPU está limitada para análises agendadas enquanto o dispositivo está inativo. Esta definição está desativada por predefinição para garantir que a CPU não está limitada para análises agendadas quando o dispositivo está inativo, independentemente da limitação da CPU definida. Para obter mais informações, veja a DisableCpuThrottleOnIdleScans definição em Set-MpPreference (Defender).

  Nota

  Veja os critérios de estado inativo em Condições de inatividade da tarefa – aplicações Win32.

Análise e exclusões

Microsoft Defender Antivírus tem as seguintes funcionalidades que ajudam a melhorar o desempenho e a eficiência da análise:

• Os contentores/arquivos podem demorar muito tempo a analisar, uma vez que determinadas otimizações (por exemplo, análises paralelas) não são possíveis nestas situações. Sempre que possível, recomendamos a extração do conteúdo destes contentores que permita que a análise completa processe itens em paralelo.

• Analise exclusões em que pode excluir contentores da análise, se esta opção for permitida pelos seus requisitos de conformidade.

• A ferramenta analisador de desempenho para Microsoft Defender Antivírus pode ser utilizada para determinar exclusões que ajudam a otimizar o desempenho. Consulte Analisador de desempenho para o Antivírus do Microsoft Defender.

Microsoft Defender Antivírus tem uma otimização incorporada para conteúdo altamente respeitável (por exemplo, assinado por origens fidedignas). Quando encontra esses conteúdos, simplesmente afasta-se da análise do conteúdo para validar a assinatura para garantir que o ficheiro não foi adulterado.

Recomendações de exclusões de antivírus

Excluir determinadas localizações da análise pode encurtar o tempo de análise. Existem dois tipos de exclusões: exclusões de processos e exclusões de ficheiros/pastas. Apenas as exclusões de ficheiros/pastas se aplicam à análise completa. As exclusões de análise devem ser cuidadosamente desenvolvidas para reduzir o tempo de análise e minimizar o risco.

• Não exclua ficheiros comprimidos se não for permitido pelos seus requisitos de conformidade.

• Não exclua a pasta temp do Perfil de Utilizador ou a pasta Temp do sistema, normalmente utilizada por software maligno:

  • C:\Users<UserProfileName>\AppData\Local\Temp\
  • C:\Users<UserProfileName>\AppData\LocalLow\Temp\
  • C:\Users<UserProfileName>\AppData\Roaming\Temp\
  • %Windir%\Prefetch
  • %Windir%\System32\Spool
  • C:\Windows\System32\CatRoot2
  • %Windir%\Temp

• A utilização de variáveis de ambiente como caráter universal em listas de exclusão está limitada apenas a variáveis de sistema. Não utilize variáveis de ambiente com âmbito de utilizador ao adicionar Microsoft Defender pasta Antivírus e exclusões de processos.