Pour une mémoire tampon donnée, AMSI peut fournir un nom de fichier de sauvegarde correspondant. ENS peut utiliser le nom du fichier pour déterminer si un fichier ou un script donné doit être exclu de l’analyse.
Les attributs de mémoire tampon fournis par AMSI sont très application spécifiques. Par exemple, les moteurs JavaScript et VBScript ont tendance à fournir systématiquement un nom de fichier et, par conséquent, ENS peut souvent honorer les exclusions. Toutefois, les attributs AMSI fournis pour un tampon PowerShell ne sont pas cohérents de la même manière. Il arrive parfois qu’un nom de fichier soit renvoyé sous la forme d’un
AMSI_ATTRIBUTE , alors que ce n’est pas le cas. De même si un script PowerShell n’est pas choisi pour être analysé à l’aide d’un analyseur à l’accès exclusion, ENS reçoit une deuxième demande d’analyse qui ne contient pas de nom de fichier.
Lorsque la mémoire tampon est destinée à être analysée, l'
AMSI_ATTRIBUTE_CONTENT_NAME attribut qui est fourni avec la mémoire tampon ne fournit pas toujours un nom de fichier correspondant. Parfois, le nom de fichier correspond à un nom de script interne (par exemple,
Microsoft.PowerShell.Utility.psd1 ). Par conséquent, il n’est pas possible d’établir une corrélation fiable entre le tampon et le nom du fichier. Microsoft considère ce comportement par la conception, car sa documentation pour l’énumération indique que la valeur du nom de contenu peut contenir plusieurs identificateurs différents, parmi lesquels le nom de
AMSI_ATTRIBUTE fichier est juste une option.
PowerShell n’effectue pas le suivi de la source d’origine de tous les blocs script qui s’exécutent. Par exemple, un fichier script qui contient des scripts de texte soumet les blocs de script de texte à AMSI. Toutefois, PowerShell ne contient pas le nom de fichier du fichier script dans lequel les blocs de script de texte sont définis.
Ce comportement est prévu en fonction de la conception d’Microsoft de AMSI. Il n’est pas possible pour les exclusions ENS de corréler de manière fiable la mémoire tampon avec un nom de fichier.
