Configurare e convalidare le esclusioni in base all'estensione del file e al percorso della cartella

Si applica a:

• Microsoft Defender per endpoint Piano 1
• Microsoft Defender per endpoint Piano 2
• Antivirus Microsoft Defender

Piattaforme

• Windows

È possibile definire esclusioni per Microsoft Defender Antivirus che si applicano alle analisi pianificate, alle analisi su richiesta e alla protezione e al monitoraggio sempre attiva e in tempo reale. In genere, non è necessario applicare esclusioni. Se è necessario applicare esclusioni, è possibile scegliere tra i tipi seguenti:

• Esclusioni basate su estensioni di file e percorsi di cartelle (descritto in questo articolo)
• Esclusioni per i file aperti dai processi

Prima di iniziare

Vedere Raccomandazioni per la definizione delle esclusioni prima di definire gli elenchi di esclusione.

Elenchi di esclusione

Per escludere determinati file dalle analisi antivirus Microsoft Defender, modificare gli elenchi di esclusione. Microsoft Defender Antivirus include molte esclusioni automatiche basate su comportamenti noti del sistema operativo e file di gestione tipici, ad esempio quelli usati nella gestione aziendale, nella gestione di database e in altri scenari aziendali.

Nella tabella seguente sono elencati alcuni esempi di esclusioni in base all'estensione del file e al percorso della cartella.

Caratteristiche degli elenchi di esclusione

• Le esclusioni di cartelle si applicano a tutti i file e le cartelle in tale cartella, a meno che la sottocartella non sia un punto di riparazione. Le sottocartelle di reparse point devono essere escluse separatamente.
• Le estensioni di file si applicano a qualsiasi nome file con estensione definita se non è definito un percorso o una cartella.

Note importanti sulle esclusioni in base alle estensioni di file e ai percorsi delle cartelle

• L'uso di caratteri jolly come l'asterisco (*) modifica il modo in cui vengono interpretate le regole di esclusione. Per informazioni importanti sul funzionamento dei caratteri jolly, vedere la sezione Usare i caratteri jolly negli elenchi di esclusione del nome file e della cartella o dell'estensione .

• Non escludere le unità di rete mappate. Specificare il percorso di rete effettivo.

• Le cartelle che sono punti di analisi vengono create dopo l'avvio del servizio antivirus Microsoft Defender e quelle aggiunte all'elenco di esclusione non sono incluse. Riavviare il servizio riavviando Windows per riconoscere nuovi punti di reparse come destinazione di esclusione valida.

• Le esclusioni si applicano alle analisi pianificate, alle analisi su richiesta e alla protezione in tempo reale, ma non in tutte le funzionalità di Defender per endpoint. Per definire esclusioni in Defender per endpoint, usare indicatori personalizzati.

• Per impostazione predefinita, le modifiche locali apportate agli elenchi (dagli utenti con privilegi di amministratore, incluse le modifiche apportate con PowerShell e WMI) vengono unite agli elenchi definiti (e distribuiti) da Criteri di gruppo, Configuration Manager o Intune. Gli elenchi Criteri di gruppo hanno la precedenza in caso di conflitti. Inoltre, le modifiche dell'elenco di esclusione apportate con Criteri di gruppo sono visibili nell'app Sicurezza di Windows.

• Per consentire alle modifiche locali di ignorare le impostazioni di distribuzione gestita, configurare la modalità di unione degli elenchi di esclusioni definiti a livello locale e globale.

Configurare l'elenco di esclusioni in base al nome della cartella o all'estensione del file

È possibile scegliere tra diversi metodi per definire le esclusioni per Microsoft Defender Antivirus.

Usare Intune per configurare le esclusioni di file, cartelle o estensioni di file

Fare inoltre riferimento ai seguenti articoli:

• Configurare le impostazioni di restrizione del dispositivo in Microsoft Intune
• Microsoft Defender impostazioni di restrizione dei dispositivi antivirus per Windows 10 in Intune

Usare Configuration Manager per configurare le esclusioni di nomi file, cartelle o estensioni di file

Vedere How to create and deploy antimalware policies: Exclusion settings (Come creare e distribuire criteri antimalware: impostazioni di esclusione) per informazioni dettagliate sulla configurazione di Microsoft Configuration Manager (current branch).

Usare Criteri di gruppo per configurare le esclusioni di estensione di cartelle o file

1. Nel computer di gestione dei Criteri di gruppo aprire la Console Gestione Criteri di gruppo, fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo da configurare e quindi scegliere Modifica.

2. Nella Editor Gestione Criteri di gruppo passare a Configurazione computer e selezionare Modelli amministrativi.

3. Espandere l'albero in Componenti >di WindowsMicrosoft Defender Esclusioni antivirus>.

4. Aprire l'impostazione Esclusioni percorso per la modifica e aggiungere le esclusioni.

   1. Impostare l'opzione su Abilitato.

   2. Nella sezione Opzioni selezionare Mostra.

   3. Specificare ogni cartella nella propria riga nella colonna Nome valore .

   4. Se si specifica un file, assicurarsi di immettere un percorso completo del file, inclusi la lettera di unità, il percorso della cartella, il nome del file e l'estensione.

   5. Immettere 0 nella colonna Valore .

   6. Scegliere OK.

5. Aprire l'impostazione Esclusioni di estensione per la modifica e aggiungere le esclusioni.

   1. Impostare l'opzione su Abilitato.

   2. Nella sezione Opzioni selezionare Mostra.

   3. Immettere ogni estensione di file nella propria riga nella colonna Nome valore .

   4. Immettere 0 nella colonna Valore .

   5. Scegliere OK.

Usare i cmdlet di PowerShell per configurare le esclusioni di nomi file, cartelle o estensioni di file

L'uso di PowerShell per aggiungere o rimuovere esclusioni per i file in base all'estensione, al percorso o al nome di file richiede l'uso di una combinazione di tre cmdlet e di un parametro appropriato per l'elenco di esclusione. I cmdlet sono tutti inclusi nel modulo Defender.

Il formato per i cmdlet è il seguente:

<cmdlet> -<exclusion list> "<item>"

Nella tabella seguente sono elencati i cmdlet che è possibile usare nella <cmdlet> parte del cmdlet di PowerShell:

Nella tabella seguente sono elencati i valori che è possibile usare nella <exclusion list> parte del cmdlet di PowerShell:

Ad esempio, il frammento di codice seguente causerebbe Microsoft Defender analisi antivirus per escludere qualsiasi file con l'estensione di .test file:

Add-MpPreference -ExclusionExtension ".test"

Usare Strumentazione gestione Windows (WMI) per configurare le esclusioni di file, cartelle o estensioni di file

Utilizzare i metodi Set, Add e Remove della classe MSFT_MpPreference per le proprietà seguenti:

ExclusionExtension
ExclusionPath

L'uso di Set, Add e Remove è analogo alle relative controparti in PowerShell: Set-MpPreference, Add-MpPreferencee Remove-MpPreference.

Usare l'app Sicurezza di Windows per configurare le esclusioni di file, cartelle o estensioni di file

Per istruzioni, vedere Aggiungere esclusioni nell'app Sicurezza di Windows.

Usare caratteri jolly negli elenchi di esclusione del nome file e del percorso della cartella o dell'estensione

È possibile usare l'asterisco *, il punto interrogativo ?o le variabili di ambiente , ad %ALLUSERSPROFILE%esempio , come caratteri jolly quando si definiscono elementi nell'elenco di esclusione del nome file o del percorso della cartella. È possibile combinare e associare * le variabili e ? e le variabili di ambiente in una singola esclusione. Il modo in cui questi caratteri jolly vengono interpretati differisce dal solito utilizzo in altre app e lingue. Assicurarsi di leggere questa sezione per comprendere le limitazioni specifiche.

Nella tabella seguente viene descritto come usare i caratteri jolly e vengono forniti alcuni esempi.

Variabili di ambiente di sistema

Nella tabella seguente vengono elencate e descritte le variabili di ambiente dell'account di sistema.

Esaminare l'elenco delle esclusioni

È possibile recuperare gli elementi nell'elenco di esclusione usando uno dei metodi seguenti:

• Intune
• Microsoft Configuration Manager
• MpCmdRun
• PowerShell
• App di sicurezza di Windows

Se si usa PowerShell, è possibile recuperare l'elenco nei due modi seguenti:

• Recuperare lo stato di tutte le preferenze di Microsoft Defender Antivirus. Ogni elenco viene visualizzato su righe separate, ma gli elementi all'interno di ogni elenco vengono combinati nella stessa riga.
• Scrivere lo stato di tutte le preferenze in una variabile e usare tale variabile per chiamare solo l'elenco specifico a cui si è interessati. Ogni uso di Add-MpPreference viene scritto in una nuova riga.

Convalidare l'elenco di esclusione usando MpCmdRun

Per controllare le esclusioni con lo strumento da riga di comando dedicato mpcmdrun.exe, usare il comando seguente:

Start, CMD (Run as admin)
cd "%programdata%\microsoft\windows defender\platform"
cd 4.18.2111-5.0 (Where 4.18.2111-5.0 is this month's Microsoft Defender Antivirus "Platform Update".)
MpCmdRun.exe -CheckExclusion -path <path>

Esaminare l'elenco delle esclusioni insieme a tutte le altre preferenze antivirus Microsoft Defender usando PowerShell

Usare il cmdlet seguente:

Get-MpPreference

Nell'esempio seguente vengono evidenziati gli elementi contenuti nell'elenco ExclusionExtension :

Per altre informazioni, vedi Usare i cmdlet di PowerShell per configurare ed eseguire i cmdlet di Antivirus Microsoft Defender e Antivirus Defender.

Recuperare un elenco di esclusioni specifico tramite PowerShell

Usare il frammento di codice seguente (immettere ogni riga come comando separato); sostituire WDAVprefs con l'etichetta che si vuole assegnare alla variabile:

$WDAVprefs = Get-MpPreference
$WDAVprefs.ExclusionExtension
$WDAVprefs.ExclusionPath

Nell'esempio seguente l'elenco viene suddiviso in nuove righe per ogni uso del Add-MpPreference cmdlet:

Per altre informazioni, vedi Usare i cmdlet di PowerShell per configurare ed eseguire i cmdlet di Antivirus Microsoft Defender e Antivirus Defender.

Convalidare gli elenchi di esclusioni con il file di test EICAR

È possibile verificare che gli elenchi di esclusione funzionino usando PowerShell con il Invoke-WebRequest cmdlet o la classe WebClient .NET per scaricare un file di test.

Nel frammento di powershell seguente sostituire test.txt con un file conforme alle regole di esclusione. Ad esempio, se si esclude l'estensione .testing , sostituire test.txt con test.testing. Se si sta testando un percorso, assicurarsi di eseguire il cmdlet all'interno di tale percorso.

Invoke-WebRequest "https://secure.eicar.org/eicar.com.txt" -OutFile "test.txt"

Se Microsoft Defender Antivirus segnala malware, la regola non funziona. Se non è presente alcun report di malware e il file scaricato esiste, l'esclusione funziona. È possibile aprire il file per verificare che il contenuto sia uguale a quello descritto nel sito Web del file di test EICAR.

È anche possibile usare il codice di PowerShell seguente, che chiama la classe WebClient .NET per scaricare il file di test, come con il Invoke-WebRequest cmdlet, sostituire c:\test.txt con un file conforme alla regola che si sta convalidando:

$client = new-object System.Net.WebClient
$client.DownloadFile("http://www.eicar.org/download/eicar.com.txt","c:\test.txt")

Se non si ha accesso a Internet, è possibile creare un file di test EICAR personalizzato scrivendo la stringa EICAR in un nuovo file di testo con il comando PowerShell seguente:

[io.file]::WriteAllText("test.txt",'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*')

È anche possibile copiare la stringa in un file di testo vuoto e tentare di salvarla con il nome del file o nella cartella che si sta tentando di escludere.

Vedere anche

• Configurare e convalidare le esclusioni nelle analisi antivirus Microsoft Defender
• Configurare e convalidare le esclusioni per i file aperti dai processi
• Configurare Microsoft Defender esclusioni antivirus in Windows Server
• Errori comuni da evitare quando si definiscono le esclusioni