Configurar e validar exclusões com base na extensão de ficheiro e na localização da pasta

Aplica-se a:

• API do Microsoft Defender para Endpoint 1
• Microsoft Defender para Endpoint Plano 2
• Antivírus do Microsoft Defender

Plataformas

• Windows

Pode definir exclusões para Microsoft Defender Antivírus que se aplicam a análises agendadas, análises a pedido e proteção e monitorização sempre ativas e em tempo real. Geralmente, não precisa de aplicar exclusões. Se precisar de aplicar exclusões, pode escolher entre os seguintes tipos:

• Exclusões baseadas em extensões de ficheiros e localizações de pastas (descrito neste artigo)
• Exclusões de ficheiros abertos por processos

Antes de começar

Veja Recomendações para definir exclusões antes de definir as listas de exclusão.

Listas de exclusão

Para excluir determinados ficheiros de Microsoft Defender análises antivírus, modifique as listas de exclusão. Microsoft Defender Antivírus inclui muitas exclusões automáticas com base em comportamentos conhecidos do sistema operativo e ficheiros de gestão típicos, como os utilizados na gestão empresarial, na gestão de bases de dados e noutros cenários empresariais.

A tabela seguinte lista alguns exemplos de exclusões com base na extensão de ficheiro e na localização da pasta.

Características das listas de exclusão

• As exclusões de pastas aplicam-se a todos os ficheiros e pastas nessa pasta, a menos que a subpasta seja um ponto de reação. As subpastas de ponto de nova análise têm de ser excluídas separadamente.
• As extensões de ficheiro aplicam-se a qualquer nome de ficheiro com a extensão definida se um caminho ou pasta não estiver definido.

Notas importantes sobre exclusões baseadas em extensões de ficheiros e localizações de pastas

• A utilização de carateres universais, como o asterisco (*), altera a forma como as regras de exclusão são interpretadas. Consulte a secção Utilizar carateres universais nas listas de exclusão de nome de ficheiro e de pasta ou extensão para obter informações importantes sobre como funcionam os carateres universais.

• Não exclua unidades de rede mapeadas. Especifique o caminho de rede real.

• As pastas que são pontos de reanálise são criadas após o início do serviço Antivírus Microsoft Defender e as que foram adicionadas à lista de exclusão não são incluídas. Reinicie o serviço reiniciando o Windows para que os novos pontos de reanálise sejam reconhecidos como um destino de exclusão válido.

• As exclusões aplicam-se a análises agendadas, análises a pedido e proteção em tempo real, mas não em todas as capacidades do Defender para Endpoint. Para definir exclusões no Defender para Endpoint, utilize indicadores personalizados.

• Por predefinição, as alterações locais efetuadas às listas (por utilizadores com privilégios de administrador, incluindo alterações efetuadas com o PowerShell e o WMI) são intercaladas com as listas definidas (e implementadas) por Política de Grupo, Configuration Manager ou Intune. As listas de Política de Grupo têm precedência quando existem conflitos. Além disso, as alterações à lista de exclusão efetuadas com Política de Grupo são visíveis na aplicação Segurança do Windows.

• Para permitir que as alterações locais substituam as definições de implementação gerida, configure a forma como as listas de exclusões definidas localmente e globalmente são intercaladas.

Configurar a lista de exclusões com base no nome da pasta ou na extensão de ficheiro

Pode escolher entre vários métodos para definir exclusões para Microsoft Defender Antivírus.

Utilizar Intune para configurar exclusões de nome de ficheiro, pasta ou extensão de ficheiro

Veja os seguintes artigos:

• Configurar definições de restrição de dispositivos no Microsoft Intune
• Microsoft Defender definições de restrição de dispositivos antivírus para Windows 10 no Intune

Utilizar Configuration Manager para configurar exclusões de nome de ficheiro, pasta ou extensão de ficheiro

Veja Como criar e implementar políticas antimalware: Definições de exclusão para obter detalhes sobre como configurar Microsoft Configuration Manager (ramo atual).

Utilizar Política de Grupo para configurar exclusões de extensões de ficheiros ou pastas

1. No seu computador de gestão de Política de Grupo, abra a Consola de Gestão do Política de Grupo, clique com o botão direito do rato no Objeto de Política de Grupo que pretende configurar e, em seguida, selecione Editar.

2. No Política de Grupo Management Revisor aceda a Configuração do computador e selecione Modelos administrativos.

3. Expanda a árvore para componentes> do Windows Microsoft DefenderExclusões>de Antivírus.

4. Abra a definição Exclusões de Caminho para edição e adicione as exclusões.

   1. Defina a opção como Ativado.

   2. Na secção Opções , selecione Mostrar.

   3. Especifique cada pasta na sua própria linha na coluna Nome do valor .

   4. Se estiver a especificar um ficheiro, certifique-se de que introduz um caminho completamente qualificado para o ficheiro, incluindo a letra de unidade, o caminho da pasta, o nome do ficheiro e a extensão.

   5. Introduza 0 na coluna Valor .

   6. Selecione OK.

5. Abra a definição Exclusões de Extensão para editar e adicionar as exclusões.

   1. Defina a opção como Ativado.

   2. Na secção Opções , selecione Mostrar.

   3. Introduza cada extensão de ficheiro na sua própria linha na coluna Nome do valor .

   4. Introduza 0 na coluna Valor .

   5. Selecione OK.

Utilizar cmdlets do PowerShell para configurar exclusões de nome de ficheiro, pasta ou extensão de ficheiro

A utilização do PowerShell para adicionar ou remover exclusões de ficheiros com base na extensão, localização ou nome de ficheiro requer a utilização de uma combinação de três cmdlets e o parâmetro de lista de exclusão adequado. Os cmdlets estão todos no módulo do Defender.

O formato dos cmdlets é o seguinte:

<cmdlet> -<exclusion list> "<item>"

A tabela seguinte lista os cmdlets que pode utilizar na <cmdlet> parte do cmdlet do PowerShell:

A tabela seguinte lista os valores que pode utilizar na <exclusion list> parte do cmdlet do PowerShell:

Por exemplo, o fragmento de código seguinte faria com que Microsoft Defender análises antivírus excluíssem qualquer ficheiro com a extensão de .test ficheiro:

Add-MpPreference -ExclusionExtension ".test"

Utilizar o Windows Management Instrumentation (WMI) para configurar exclusões de nome de ficheiro, pasta ou extensão de ficheiro

Utilize os métodos Definir, Adicionar e Remover da classe MSFT_MpPreference para as seguintes propriedades:

ExclusionExtension
ExclusionPath

Utilizar Definir, Adicionar e Remover é análogo aos seus homólogos no PowerShell: Set-MpPreference, Add-MpPreferencee Remove-MpPreference.

Utilizar a aplicação Segurança do Windows para configurar exclusões de nome de ficheiro, pasta ou extensão de ficheiro

Veja Adicionar exclusões na aplicação Segurança do Windows para obter instruções.

Utilizar carateres universais nas listas de exclusão de ficheiros e caminhos de pastas ou extensões

Pode utilizar o asterisco *, o ponto de interrogação ?ou as variáveis de ambiente (como %ALLUSERSPROFILE%) como carateres universais ao definir itens na lista de exclusão do nome do ficheiro ou do caminho da pasta. Pode combinar variáveis * de ambiente e ? numa única exclusão. A forma como estes carateres universais são interpretados difere da utilização habitual noutras aplicações e idiomas. Certifique-se de que lê esta secção para compreender as limitações específicas.

A tabela seguinte descreve como os carateres universais podem ser utilizados e fornece alguns exemplos.

Variáveis de ambiente do sistema

A tabela seguinte lista e descreve as variáveis de ambiente da conta de sistema.

Rever a lista de exclusões

Pode obter os itens na lista de exclusão com um dos seguintes métodos:

• Intune
• Microsoft Configuration Manager
• MpCmdRun
• PowerShell
• Aplicação Segurança do Windows

Se utilizar o PowerShell, pode obter a lista das duas formas seguintes:

• Obtenha o estado de todas as preferências do Antivírus Microsoft Defender. Cada lista é apresentada em linhas separadas, mas os itens dentro de cada lista são combinados na mesma linha.
• Escreva o estado de todas as preferências numa variável e utilize essa variável para chamar apenas a lista específica na qual está interessado. Cada utilização de Add-MpPreference é escrita numa nova linha.

Validar a lista de exclusão com MpCmdRun

Para verificar as exclusões com a ferramenta de linha de comandos dedicada mpcmdrun.exe, utilize o seguinte comando:

Start, CMD (Run as admin)
cd "%programdata%\microsoft\windows defender\platform"
cd 4.18.2111-5.0 (Where 4.18.2111-5.0 is this month's Microsoft Defender Antivirus "Platform Update".)
MpCmdRun.exe -CheckExclusion -path <path>

Reveja a lista de exclusões juntamente com todas as outras preferências do Antivírus Microsoft Defender com o PowerShell

Utilize o seguinte cmdlet:

Get-MpPreference

No exemplo seguinte, os itens contidos na ExclusionExtension lista estão realçados:

Para obter mais informações, consulte Utilizar cmdlets do PowerShell para configurar e executar o Antivírus do Microsoft Defender e cmdlets do Antivírus do Defender.

Obter uma lista de exclusões específica com o PowerShell

Utilize o seguinte fragmento de código (introduza cada linha como um comando separado); substitua WDAVprefs por qualquer etiqueta que pretenda atribuir à variável:

$WDAVprefs = Get-MpPreference
$WDAVprefs.ExclusionExtension
$WDAVprefs.ExclusionPath

No exemplo seguinte, a lista é dividida em novas linhas para cada utilização do Add-MpPreference cmdlet:

Para obter mais informações, consulte Utilizar cmdlets do PowerShell para configurar e executar o Antivírus do Microsoft Defender e cmdlets do Antivírus do Defender.

Validar listas de exclusões com o ficheiro de teste EICAR

Pode validar que as suas listas de exclusão estão a funcionar com o PowerShell com o Invoke-WebRequest cmdlet ou a classe WebClient .NET para transferir um ficheiro de teste.

No fragmento do PowerShell seguinte, substitua por test.txt um ficheiro em conformidade com as regras de exclusão. Por exemplo, se estiver a excluir a .testing extensão, substitua por test.testingtest.txt . Se estiver a testar um caminho, certifique-se de que executa o cmdlet nesse caminho.

Invoke-WebRequest "https://secure.eicar.org/eicar.com.txt" -OutFile "test.txt"

Se Microsoft Defender Antivírus comunica software maligno, a regra não está a funcionar. Se não existir nenhum relatório de software maligno e o ficheiro transferido existir, significa que a exclusão está a funcionar. Pode abrir o ficheiro para confirmar que os conteúdos são os mesmos que são descritos no site do ficheiro de teste EICAR.

Também pode utilizar o seguinte código do PowerShell, que chama a classe WebClient .NET para transferir o ficheiro de teste , tal como acontece com o Invoke-WebRequest cmdlet; substitua por c:\test.txt um ficheiro em conformidade com a regra que está a validar:

$client = new-object System.Net.WebClient
$client.DownloadFile("http://www.eicar.org/download/eicar.com.txt","c:\test.txt")

Se não tiver acesso à Internet, pode criar o seu próprio ficheiro de teste EICAR ao escrever a cadeia EICAR num novo ficheiro de texto com o seguinte comando do PowerShell:

[io.file]::WriteAllText("test.txt",'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*')

Também pode copiar a cadeia para um ficheiro de texto em branco e tentar guardá-la com o nome do ficheiro ou na pasta que está a tentar excluir.

Consulte também

• Configurar e validar exclusões nas análises do Antivírus do Microsoft Defender
• Configurar e validar exclusões para ficheiros abertos por processos
• Configurar exclusões do Antivírus do Microsoft Defender no Windows Server
• Erros comuns a evitar ao definir exclusões