No se analiza un archivo excluido o un archivo de una carpeta excluida.
Para determinar si un archivo está excluido, el
MCSHIELD.EXE proceso recibe información sobre el archivo desde el controlador del filtro Av.
Presencia de una exclusión
el nombre de archivo del archivo de registro no indica necesariamente que se haya producido un análisis o que el producto gestionado ha intentado analizar el archivo. En este ejemplo, el archivo excluido es
nHTTP.exe .
Not scanned (scan timed out) NT AUTHORITY\SYSTEM G:\Lotus\Domino\nHTTP.EXE F:\Lotus\Domino\Data\keyfile2010.sth
NOTAS:
- El McShield.exe procesa todas las exclusiones. McShield realiza todos los análisis, pero también realiza todas las exclusiones.
- McShield tiene un mecanismo de tiempo de espera.
En el ejemplo anterior,
McShield se agota el tiempo de
nHTTP.EXE espera cuando se intenta determinar si se excluye o no el archivo. El archivo de registro no indica que el archivo excluido se está analizando en realidad.
Procmon Análisis de datos
En una captura que utilice la
Procmon herramienta, verá que el
McShield proceso está trabajando con un archivo que está excluido. No obstante, no podrá ver
McShield realizar una acción de lectura en el archivo.
Desde la supervisión
Procmon , puede ver las acciones
McShield abrir,
consultar,
definiry
cerrar . No obstante, estas acciones no indican un análisis porque no se realiza ninguna
IRP_MJ_READ acción. Puede ver algunas
FASTIO_READ acciones, pero tampoco indica un análisis. Por lo tanto, para determinar si se realiza un análisis, ejecute
Procmon el modo de
salida avanzado , ya que no todas las acciones de
lectura indicadas indican un análisis.
Una vez
McShield que determina el archivo que se debe excluir, se informa al controlador del filtro AV y el controlador del filtro registra el nombre del archivo (incluida la ruta). Se asegura de que
McShield no procese el mismo archivo de nuevo a menos que se modifique el archivo.
- Excluir por antigüedad del archivo
Puede utilizar este potente mecanismo para aumentar el rendimiento, especialmente en el caso de análisis bajo demanda, con poco riesgo.
Ejemplo
Para establecer una línea de base de fecha, realice un análisis completo. Configure una tarea para analizar todos los archivos, pero excluya los archivos modificados hace x días o más, y planifique el análisis para que se ejecute cada x días. Por ejemplo, si x = 2, solo se analizan los archivos modificados en los últimos dos días.
- Exclusiones solo para los procesos seleccionados
- Es posible que tenga que excluir una carpeta que obtenga más tráfico de entrada/salida (e/s) de archivos. No obstante, se considera que el riesgo de exponer esta carpeta para todos los procesos es demasiado alto.
- Disminuya el riesgo mediante el uso de varios perfiles de análisis, procesos predeterminados, procesos de alto riesgoy procesos de bajo riesgo.
- Agregue el proceso a un perfil específico (alto riesgo o bajo riesgo) y configure la exclusión para ese perfil. Solo los procesos incluidos en ese perfil excluyen el archivo o la carpeta especificados.
