Configurer et valider des exclusions en fonction de l’extension de fichier et de l’emplacement du dossier

S’applique à :

• Microsoft Defender pour point de terminaison Plan 1
• Microsoft Defender pour point de terminaison Plan 2
• Antivirus Microsoft Defender

Plateformes

• Windows

Vous pouvez définir des exclusions pour Microsoft Defender Antivirus qui s’appliquent aux analyses planifiées, aux analyses à la demande et à la protection et à la surveillance en temps réel toujours activées. En règle générale, vous n’avez pas besoin d’appliquer d’exclusions. Si vous avez besoin d’appliquer des exclusions, vous pouvez choisir parmi les types suivants :

• Exclusions basées sur les extensions de fichier et les emplacements de dossiers (décrites dans cet article)
• Exclusions pour les fichiers ouverts par des processus

Avant de commencer

Consultez Recommandations pour définir des exclusions avant de définir vos listes d’exclusions.

Listes d’exclusions

Pour exclure certains fichiers des analyses antivirus Microsoft Defender, modifiez vos listes d’exclusions. Microsoft Defender Antivirus inclut de nombreuses exclusions automatiques basées sur des comportements connus du système d’exploitation et des fichiers de gestion classiques, tels que ceux utilisés dans la gestion d’entreprise, la gestion de base de données et d’autres scénarios d’entreprise.

Le tableau suivant répertorie quelques exemples d’exclusions basées sur l’extension de fichier et l’emplacement du dossier.

Caractéristiques des listes d’exclusion

• Les exclusions de dossiers s’appliquent à tous les fichiers et dossiers de ce dossier, sauf si le sous-dossier est un point d’analyse. Les sous-dossiers de point d’analyse doivent être exclus séparément.
• Les extensions de fichier s’appliquent à n’importe quel nom de fichier avec l’extension définie si aucun chemin d’accès ou dossier n’est défini.

Remarques importantes sur les exclusions basées sur les extensions de fichiers et les emplacements des dossiers

• L’utilisation de caractères génériques tels que l’astérisque (*) modifie la façon dont les règles d’exclusion sont interprétées. Pour obtenir des informations importantes sur le fonctionnement des caractères génériques, consultez la section Utiliser des caractères génériques dans les listes de noms de fichier et de chemin d’accès de dossier ou d’extension .

• N’excluez pas les lecteurs réseau mappés. Spécifiez le chemin d’accès réseau réel.

• Les dossiers qui sont des points d’analyse sont créés après le démarrage du service antivirus Microsoft Defender, et ceux qui ont été ajoutés à la liste d’exclusion ne sont pas inclus. Redémarrez le service en redémarrant Windows pour que les nouveaux points d’analyse soient reconnus comme une cible d’exclusion valide.

• Les exclusions s’appliquent aux analyses planifiées, auxanalyses à la demande et à la protection en temps réel, mais pas à toutes les fonctionnalités de Defender pour point de terminaison. Pour définir des exclusions dans Defender pour point de terminaison, utilisez des indicateurs personnalisés.

• Par défaut, les modifications locales apportées aux listes (par les utilisateurs disposant de privilèges d’administrateur, y compris les modifications apportées avec PowerShell et WMI) sont fusionnées avec les listes telles que définies (et déployées) par stratégie de groupe, Configuration Manager ou Intune. Les listes stratégie de groupe sont prioritaires en cas de conflits. En outre, les modifications apportées à la liste d’exclusion avec stratégie de groupe sont visibles dans l’application Sécurité Windows.

• Pour autoriser les modifications locales à remplacer les paramètres de déploiement managé, configurez la façon dont les listes d’exclusions définies localement et globalement sont fusionnées.

Configurer la liste des exclusions en fonction du nom de dossier ou de l’extension de fichier

Vous pouvez choisir parmi plusieurs méthodes pour définir des exclusions pour Microsoft Defender Antivirus.

Utiliser Intune pour configurer des exclusions de nom de fichier, de dossier ou d’extension de fichier

Consultez les articles suivants :

• Configurer des paramètres de restriction d’appareils dans Microsoft Intune
• Paramètres de restriction d’appareil antivirus Microsoft Defender pour les Windows 10 dans Intune

Utiliser Configuration Manager pour configurer des exclusions de nom de fichier, de dossier ou d’extension de fichier

Pour plus d’informations sur la configuration des Microsoft Configuration Manager (Current Branch), consultez Comment créer et déployer des stratégies anti-programme malveillant : paramètres d’exclusion.

Utiliser stratégie de groupe pour configurer des exclusions d’extension de dossier ou de fichier

1. Sur votre ordinateur de gestion des stratégies de groupe, ouvrez la Console de gestion des stratégies de groupe, faites un clic droit sur l’objet de stratégie de groupe à configurer, puis sélectionnez Modifier.

2. Dans la Rédacteur Gestion des stratégie de groupe, accédez à Configuration de l’ordinateur, puis sélectionnez Modèles d’administration.

3. Développez l’arborescence composants> Windows Microsoft DefenderExclusions antivirus>.

4. Ouvrez le paramètre Exclusions de chemin d’accès à modifier, puis ajoutez vos exclusions.

   1. Définissez l’option sur Activé.

   2. Dans la section Options , sélectionnez Afficher.

   3. Spécifiez chaque dossier sur sa propre ligne sous la colonne Nom de la valeur .

   4. Si vous spécifiez un fichier, veillez à entrer un chemin d’accès complet au fichier, y compris la lettre de lecteur, le chemin du dossier, le nom de fichier et l’extension.

   5. Entrez 0 dans la colonne Valeur .

   6. Sélectionnez OK.

5. Ouvrez le paramètre Exclusions d’extension pour modifier et ajoutez vos exclusions.

   1. Définissez l’option sur Activé.

   2. Dans la section Options , sélectionnez Afficher.

   3. Entrez chaque extension de fichier sur sa propre ligne sous la colonne Nom de la valeur .

   4. Entrez 0 dans la colonne Valeur .

   5. Sélectionnez OK.

Utiliser les applets de commande PowerShell pour configurer des exclusions de nom de fichier, de dossier ou d’extension de fichier

L’utilisation de PowerShell pour ajouter ou supprimer des exclusions pour les fichiers en fonction de l’extension, de l’emplacement ou du nom de fichier nécessite l’utilisation d’une combinaison de trois applets de commande et du paramètre de liste d’exclusion approprié. Les applets de commande se trouvent toutes dans le module Defender.

Le format des applets de commande est le suivant :

<cmdlet> -<exclusion list> "<item>"

Le tableau suivant répertorie les applets de commande que vous pouvez utiliser dans la <cmdlet> partie de l’applet de commande PowerShell :

Le tableau suivant répertorie les valeurs que vous pouvez utiliser dans la <exclusion list> partie de l’applet de commande PowerShell :

Par exemple, l’extrait de code suivant entraîne Microsoft Defender’analyse antivirus d’exclure tout fichier avec l’extension de .test fichier :

Add-MpPreference -ExclusionExtension ".test"

Utiliser WMI (Windows Management Instrumentation) pour configurer des exclusions de nom de fichier, de dossier ou d’extension de fichier

Utilisez les méthodes Set, Add et Remove de la classe MSFT_MpPreference pour les propriétés suivantes :

ExclusionExtension
ExclusionPath

L’utilisation de Set, Add et Remove est analogue à leurs équivalents dans PowerShell : Set-MpPreference, Add-MpPreferenceet Remove-MpPreference.

Utiliser l’application Sécurité Windows pour configurer des exclusions de nom de fichier, de dossier ou d’extension de fichier

Pour obtenir des instructions, consultez Ajouter des exclusions dans l’application Sécurité Windows.

Utiliser des caractères génériques dans les listes d’exclusion de nom de fichier et de chemin d’accès au dossier ou d’extension

Vous pouvez utiliser l’astérisque *, le point ?d’interrogation ou les variables d’environnement (telles que %ALLUSERSPROFILE%) comme caractères génériques lors de la définition d’éléments dans la liste d’exclusion du nom de fichier ou du chemin d’accès au dossier. Vous pouvez combiner et mettre en correspondance * des variables d’environnement et ? et dans une seule exclusion. La façon dont ces caractères génériques sont interprétés diffère de leur utilisation habituelle dans d’autres applications et langages. Veillez à lire cette section pour comprendre leurs limitations spécifiques.

Le tableau suivant décrit comment les caractères génériques peuvent être utilisés et fournit quelques exemples.

Variables d’environnement système

Le tableau suivant répertorie et décrit les variables d’environnement du compte système.

Passer en revue la liste des exclusions

Vous pouvez récupérer les éléments de la liste d’exclusion à l’aide de l’une des méthodes suivantes :

• Intune
• Microsoft Configuration Manager
• MpCmdRun
• PowerShell
• Application Sécurité Windows

Si vous utilisez PowerShell, vous pouvez récupérer la liste des deux manières suivantes :

• Récupérez les status de toutes les préférences antivirus Microsoft Defender. Chaque liste est affichée sur des lignes distinctes, mais les éléments de chaque liste sont combinés dans la même ligne.
• Écrivez la status de toutes les préférences dans une variable et utilisez cette variable pour appeler uniquement la liste spécifique qui vous intéresse. Chaque utilisation de Add-MpPreference est écrite sur une nouvelle ligne.

Valider la liste d’exclusions à l’aide de MpCmdRun

Pour case activée des exclusions avec l’outil en ligne de commande dédié mpcmdrun.exe, utilisez la commande suivante :

Start, CMD (Run as admin)
cd "%programdata%\microsoft\windows defender\platform"
cd 4.18.2111-5.0 (Where 4.18.2111-5.0 is this month's Microsoft Defender Antivirus "Platform Update".)
MpCmdRun.exe -CheckExclusion -path <path>

Passez en revue la liste des exclusions avec toutes les autres préférences antivirus Microsoft Defender à l’aide de PowerShell

Utilisez l’applet de commande suivante :

Get-MpPreference

Dans l’exemple suivant, les éléments contenus dans la ExclusionExtension liste sont mis en surbrillance :

Pour plus d’informations, consultez Utiliser les applets de commande PowerShell pour configurer et exécuter l’antivirus Microsoft Defender et les Applets de commande de l’antivirus Defender.

Récupérer une liste d’exclusions spécifique à l’aide de PowerShell

Utilisez l’extrait de code suivant (entrez chaque ligne en tant que commande distincte) ; remplacez WDAVprefs par l’étiquette que vous souhaitez nommer la variable :

$WDAVprefs = Get-MpPreference
$WDAVprefs.ExclusionExtension
$WDAVprefs.ExclusionPath

Dans l’exemple suivant, la liste est divisée en nouvelles lignes pour chaque utilisation de l’applet Add-MpPreference de commande :

Pour plus d’informations, consultez Utiliser les applets de commande PowerShell pour configurer et exécuter l’antivirus Microsoft Defender et les Applets de commande de l’antivirus Defender.

Valider les listes d’exclusions avec le fichier de test EICAR

Vous pouvez vérifier que vos listes d’exclusions fonctionnent en utilisant PowerShell avec l’applet Invoke-WebRequest de commande ou la classe WebClient .NET pour télécharger un fichier de test.

Dans l’extrait de code PowerShell suivant, remplacez par test.txt un fichier conforme à vos règles d’exclusion. Par exemple, si vous excluez l’extension .testing , remplacez par test.txttest.testing. Si vous testez un chemin d’accès, veillez à exécuter l’applet de commande dans ce chemin.

Invoke-WebRequest "https://secure.eicar.org/eicar.com.txt" -OutFile "test.txt"

Si Microsoft Defender Antivirus signale des programmes malveillants, la règle ne fonctionne pas. S’il n’y a pas de rapport de programme malveillant et que le fichier téléchargé existe, l’exclusion fonctionne. Vous pouvez ouvrir le fichier pour confirmer que le contenu est identique à ce qui est décrit sur le site web du fichier de test EICAR.

Vous pouvez également utiliser le code PowerShell suivant, qui appelle la classe WebClient .NET pour télécharger le fichier de test, comme avec l’applet Invoke-WebRequest de commande ; remplacez par c:\test.txt un fichier conforme à la règle que vous validez :

$client = new-object System.Net.WebClient
$client.DownloadFile("http://www.eicar.org/download/eicar.com.txt","c:\test.txt")

Si vous n’avez pas accès à Internet, vous pouvez créer votre propre fichier de test EICAR en écrivant la chaîne EICAR dans un nouveau fichier texte avec la commande PowerShell suivante :

[io.file]::WriteAllText("test.txt",'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*')

Vous pouvez également copier la chaîne dans un fichier texte vide et tenter de l’enregistrer avec le nom de fichier ou dans le dossier que vous tentez d’exclure.

Voir aussi

• Configurer et valider des exclusions dans les analyses antivirus Microsoft Defender
• Configurer et valider des exclusions pour les fichiers ouverts par les processus
• Configurer Microsoft Defender exclusions antivirus sur Windows Server
• Erreurs courantes à éviter lors de la définition d’exclusions