Konfigurera och validera undantag baserat på filnamnstillägg och mappplats

Gäller för:

• Microsoft Defender för Endpoint Abonnemang 1
• Microsoft Defender för Endpoint Abonnemang 2
• Microsoft Defender Antivirus

Plattformar

• Windows

Du kan definiera undantag för Microsoft Defender Antivirus som gäller för schemalagda genomsökningar, genomsökningar på begäran och alltid på realtidsskydd och övervakning. I allmänhet behöver du inte tillämpa undantag. Om du behöver tillämpa undantag kan du välja mellan följande typer:

• Undantag baserat på filnamnstillägg och mappplatser (beskrivs i den här artikeln)
• Undantag för filer som öppnas av processer

Innan du börjar

Se Rekommendationer för att definiera undantag innan du definierar dina undantagslistor.

Undantagslistor

Om du vill undanta vissa filer från Microsoft Defender Antivirus-genomsökningar ändrar du dina undantagslistor. Microsoft Defender Antivirus innehåller många automatiska undantag baserat på kända operativsystemsbeteenden och vanliga hanteringsfiler, till exempel de som används i företagshantering, databashantering och andra företagsscenarier.

I följande tabell visas några exempel på undantag baserat på filnamnstillägg och mappplats.

Egenskaper för undantagslistor

• Mappundantag gäller för alla filer och mappar under den mappen, såvida inte undermappen är en referenspunkt. Undermappar för referenspunkter måste undantas separat.
• Filnamnstillägg gäller för alla filnamn med det definierade tillägget om en sökväg eller mapp inte har definierats.

Viktig information om undantag baserat på filnamnstillägg och mappplatser

• Om du använder jokertecken som asterisken (*) ändras hur undantagsregler tolkas. Se avsnittet Använd jokertecken i filnamn och mappsökväg eller undantagslistor för tillägg för viktig information om hur jokertecken fungerar.

• Exkludera inte mappade nätverksenheter. Ange den faktiska nätverkssökvägen.

• Mappar som är referenspunkter skapas när Microsoft Defender Antivirus-tjänsten startar och de som har lagts till i undantagslistan ingår inte. Starta om tjänsten genom att starta om Windows för att nya referenspunkter ska identifieras som ett giltigt undantagsmål.

• Undantag gäller för schemalagda genomsökningar, genomsökningar på begäran och realtidsskydd, men inte för alla Defender för Endpoint-funktioner. Om du vill definiera undantag i Defender för Endpoint använder du anpassade indikatorer.

• Som standard sammanfogas lokala ändringar som gjorts i listorna (av användare med administratörsbehörighet, inklusive ändringar som gjorts med PowerShell och WMI) med de listor som definierats (och distribuerats) av grupprincip, Configuration Manager eller Intune. De grupprincip-listorna har företräde när det finns konflikter. Dessutom visas ändringar i undantagslistan som görs med grupprincip i Windows-säkerhet-appen.

• Om du vill tillåta att lokala ändringar åsidosätter inställningar för hanterad distribution konfigurerar du hur lokala och globalt definierade undantagslistor slås samman.

Konfigurera listan över undantag baserat på mappnamn eller filnamnstillägg

Du kan välja mellan flera metoder för att definiera undantag för Microsoft Defender Antivirus.

Använd Intune för att konfigurera undantag för filnamn, mapp eller filnamnstillägg

Se följande artiklar:

• Konfigurera inställningar för enhetsbegränsningar i Microsoft Intune
• Microsoft Defender Inställningar för begränsning av antivirusenheter för Windows 10 i Intune

Använd Configuration Manager för att konfigurera undantag för filnamn, mapp eller filnamnstillägg

Mer information om hur du konfigurerar Microsoft Configuration Manager (aktuell gren) finns i Skapa och distribuera principer för program mot skadlig kod: Undantagsinställningar.

Använd grupprincip för att konfigurera undantag för mappar eller filnamnstillägg

1. På datorn för hantering av grupprinciper öppnar du konsolen Grupprinciphantering, högerklickar på det grupprincipobjekt som du vill konfigurera och väljer Redigera.

2. I grupprincip Management Editor gå till Datorkonfiguration och välj Administrativa mallar.

3. Expandera trädet till Windows-komponenter>Microsoft DefenderAntivirusundantag>.

4. Öppna inställningen Sökvägsundantag för redigering och lägg till dina undantag.

   1. Ange alternativet till Aktiverad.

   2. Under avsnittet Alternativ väljer du Visa.

   3. Ange varje mapp på sin egen rad under kolumnen Värdenamn .

   4. Om du anger en fil kontrollerar du att du anger en fullständigt kvalificerad sökväg till filen, inklusive enhetsbeteckning, mappsökväg, filnamn och filnamnstillägg.

   5. Ange 0 i kolumnen Värde .

   6. Välj OK.

5. Öppna inställningen Tilläggsundantag för redigering och lägg till dina undantag.

   1. Ange alternativet till Aktiverad.

   2. Under avsnittet Alternativ väljer du Visa.

   3. Ange varje filnamnstillägg på sin egen rad under kolumnen Värdenamn .

   4. Ange 0 i kolumnen Värde .

   5. Välj OK.

Använd PowerShell-cmdletar för att konfigurera filnamns-, mapp- eller filnamnstilläggsundantag

Användning av PowerShell för att lägga till eller ta bort undantag för filer baserat på tillägget, platsen eller filnamnet kräver att du använder en kombination av tre cmdletar och lämplig parameter för undantagslistan. Alla cmdletar finns i Defender-modulen.

Formatet för cmdletarna är följande:

<cmdlet> -<exclusion list> "<item>"

I följande tabell visas cmdletar som du kan använda i <cmdlet> delen av PowerShell-cmdleten:

I följande tabell visas värden som du kan använda i <exclusion list> delen av PowerShell-cmdleten:

Följande kodfragment skulle till exempel göra att Microsoft Defender Antivirus-genomsökningar utesluter alla filer med filnamnstillägget.test:

Add-MpPreference -ExclusionExtension ".test"

Använd Windows Management Instrumentation (WMI) för att konfigurera undantag för filnamn, mapp eller filnamnstillägg

Använd metoderna Set, Add och Remove i klassen MSFT_MpPreference för följande egenskaper:

ExclusionExtension
ExclusionPath

Användning av Set, Add och Remove motsvarar deras motsvarigheter i PowerShell: Set-MpPreference, Add-MpPreferenceoch Remove-MpPreference.

Använd Windows-säkerhet-appen för att konfigurera filnamns-, mapp- eller filnamnstilläggsundantag

Instruktioner finns i Lägga till undantag i Windows-säkerhet-appen.

Använd jokertecken i filnamns- och mappsökvägen eller undantagslistorna för tillägg

Du kan använda miljövariablerna asterisk *, frågetecken ?eller miljö (till exempel %ALLUSERSPROFILE%) som jokertecken när du definierar objekt i listan med undantag för filnamn eller mappsökväg. Du kan blanda och matcha *? och miljövariabler i ett enda undantag. Hur dessa jokertecken tolkas skiljer sig från den vanliga användningen i andra appar och språk. Läs det här avsnittet för att förstå deras specifika begränsningar.

I följande tabell beskrivs hur jokertecken kan användas och innehåller några exempel.

Systemmiljövariabler

I följande tabell visas och beskrivs miljövariablerna för systemkontot.

Granska listan över undantag

Du kan hämta objekten i undantagslistan med någon av följande metoder:

• Intune
• Microsoft Configuration Manager
• MpCmdRun
• PowerShell
• Windows-säkerhet app

Om du använder PowerShell kan du hämta listan på följande två sätt:

• Hämta status för alla Microsoft Defender Antivirus-inställningar. Varje lista visas på separata rader, men objekten i varje lista kombineras till samma rad.
• Skriv status för alla inställningar till en variabel och använd variabeln för att bara anropa den specifika lista som du är intresserad av. Varje användning av Add-MpPreference skrivs till en ny rad.

Verifiera undantagslistan med hjälp av MpCmdRun

Om du vill kontrollera undantag med det dedikerade kommandoradsverktyget mpcmdrun.exeanvänder du följande kommando:

Start, CMD (Run as admin)
cd "%programdata%\microsoft\windows defender\platform"
cd 4.18.2111-5.0 (Where 4.18.2111-5.0 is this month's Microsoft Defender Antivirus "Platform Update".)
MpCmdRun.exe -CheckExclusion -path <path>

Granska listan över undantag tillsammans med alla andra Microsoft Defender Antivirus-inställningar med hjälp av PowerShell

Använd följande cmdlet:

Get-MpPreference

I följande exempel är objekten ExclusionExtension i listan markerade:

Mer information finns i Hur du använder PowerShell-cmdlets för att konfigurera och köra Microsoft Defender Antivirus och Defender Antivirus-cmdlets.

Hämta en specifik undantagslista med hjälp av PowerShell

Använd följande kodfragment (ange varje rad som ett separat kommando); ersätt WDAVprefs med den etikett som du vill namnge variabeln:

$WDAVprefs = Get-MpPreference
$WDAVprefs.ExclusionExtension
$WDAVprefs.ExclusionPath

I följande exempel delas listan upp i nya rader för varje användning av cmdleten Add-MpPreference :

Mer information finns i Hur du använder PowerShell-cmdlets för att konfigurera och köra Microsoft Defender Antivirus och Defender Antivirus-cmdlets.

Verifiera undantagslistor med EICAR-testfilen

Du kan kontrollera att dina undantagslistor fungerar med hjälp av PowerShell med antingen cmdleten Invoke-WebRequest eller .NET WebClient-klassen för att ladda ned en testfil.

I följande PowerShell-kodfragment ersätter test.txt du med en fil som följer dina undantagsregler. Om du till exempel exkludering av .testing tillägget ersätter test.txt du med test.testing. Om du testar en sökväg kontrollerar du att du kör cmdleten inom den sökvägen.

Invoke-WebRequest "https://secure.eicar.org/eicar.com.txt" -OutFile "test.txt"

Om Microsoft Defender Antivirus rapporterar skadlig kod fungerar inte regeln. Om det inte finns någon rapport om skadlig kod och den nedladdade filen finns fungerar undantaget. Du kan öppna filen för att bekräfta att innehållet är detsamma som det som beskrivs på EICAR-testfilens webbplats.

Du kan också använda följande PowerShell-kod, som anropar .NET WebClient-klassen för att ladda ned testfilen – som med cmdleten Invoke-WebRequest ; ersätt c:\test.txt med en fil som överensstämmer med den regel som du validerar:

$client = new-object System.Net.WebClient
$client.DownloadFile("http://www.eicar.org/download/eicar.com.txt","c:\test.txt")

Om du inte har Internetåtkomst kan du skapa en egen EICAR-testfil genom att skriva EICAR-strängen till en ny textfil med följande PowerShell-kommando:

[io.file]::WriteAllText("test.txt",'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*')

Du kan också kopiera strängen till en tom textfil och försöka spara den med filnamnet eller i mappen som du försöker exkludera.

Se även

• Konfigurera och validera undantag i Microsoft Defender Antivirus-genomsökningar
• Konfigurera och validera undantag för filer som öppnas av processer
• Konfigurera Microsoft Defender antivirusundantag på Windows Server
• Vanliga misstag att undvika när man definierar undantag