Para um determinado buffer, o AMSI pode fornecer um nome de arquivo de backup correspondente. ENS pode usar o nome arquivo para decidir se um determinado arquivo ou script deve ser excluído da varredura.

Os atributos de buffer fornecidos pelo AMSI são bastante específicos do aplicativo. Por exemplo, os mecanismos JavaScript e VBScript tendem a fornecer consistentemente um nome de arquivo e, como resultado, o ENS pode, freqüentemente, honrar exclusões. No entanto, os atributos AMSI fornecidos para uma buffer do PowerShell não são consistentes da mesma maneira. Às vezes, um nome de arquivo é retornado como um AMSI_ATTRIBUTE , enquanto às vezes ele não é. Mesmo se um script do PowerShell não for eleito para ser varrido por meio de uma exclusão de mecanismo de varredura ao acessar, o ENS receberá uma segunda solicitação de varredura que não contenha um nome de arquivo.

Quando o buffer é fornecido para varredura, o AMSI_ATTRIBUTE_CONTENT_NAME atributo que vem com o buffer nem sempre fornece um nome de arquivo correspondente. Às vezes, o nome do arquivo corresponde a um nome de script interno (por exemplo, Microsoft.PowerShell.Utility.psd1 ). Como resultado, não é possível correlacionar de maneira confiável o buffer com o nome do arquivo. Microsoft considera esse comportamento por design, uma vez que a documentação da AMSI_ATTRIBUTE Enumeração afirma que o valor do nome do conteúdo pode conter vários identificadores diferentes, entre os quais o nome do arquivo é apenas uma opção.

O PowerShell não rastreia a origem original de todos os bloqueios de script que são executados. Por exemplo, um script arquivo que contém scripts de texto envia esses textos script blocos para o AMSI. No entanto, o PowerShell não contém o arquivo nome do script arquivo onde os blocos de script de texto estão definidos.

Esse comportamento é esperado de acordo com o design de AMSI do Microsoft. Não é possível que as exclusões do ENS correlacionem de forma confiável a buffer com um nome de arquivo.