Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Si el sistema tiene problemas elevados de uso de CPU o rendimiento relacionados con el antivirus de Microsoft Defender (ejecutable del servicio antimalware, MsMpEng.exe, Microsoft Defender Antivirus).
Como administrador, también puede solucionar estos problemas por su cuenta.
En primer lugar, es posible que quiera comprobar si otro software está causando el problema. Lea Comprobar con el proveedor si hay problemas conocidos con las exclusiones de antivirus.
Requisitos previos
Sistemas operativos admitidos
- Windows
- Servidor de Windows
Motivos comunes para un mayor uso de la CPU por Microsoft Defender Antivirus
| Motivo | Solución |
|---|---|
1. Archivos binarios no firmados (.exe, .dll, etc.) Cada vez que se inicia o inicia un archivo binario (como .exe,.dll etc.), si no está firmado digitalmente, Microsoft Defender Antivirus inicia un examen de protección en tiempo real o cuando ejecuta un examen programado o un examen a petición. |
Considere la posibilidad de firmar los archivos binarios mediante una PKI interna. Y/o ponerse en contacto con el proveedor para que firme el binario. Y añadir el certificado a Indicadores – Certificado – permitir Se recomienda que los proveedores de software sigan las distintas directrices de Asociación con el sector para minimizar los falsos positivos. El proveedor de software o el desarrollador de software pueden enviar la aplicación, el servicio o el script en el portal de Inteligencia de seguridad de Microsoft. Como solución alternativa, puede seguir estos pasos: 1. (Preferido) Para archivos .exe y .dll, use Indicadores – Hash de archivo - permitir 2. (Alternativa) Agregar exclusiones antivirus (proceso+ruta de acceso).. |
| 2. Usar HTA, CHM y diferentes archivos como bases de datos. Cada vez que Microsoft Defender Antivirus debe extraer o examinar formatos de archivo complejos, puede producirse un mayor uso de la CPU. |
Considere la posibilidad de cambiar al uso de bases de datos reales si necesita guardar información y consultarla. Como solución alternativa, agregue exclusiones antivirus (proceso y ruta de acceso). |
| 3. Uso de ofuscación en scripts. Si ofuscas los scripts, Microsoft Defender Antivirus puede consumir más CPU durante el análisis para comprobar si el script contiene cargas útiles malintencionadas. |
Utilice la ofuscación de secuencias de comandos solo cuando sea necesario. Como solución alternativa, agregue exclusiones antivirus (proceso y ruta de acceso). |
| 4. No dejar que la memoria caché Microsoft Defender Antivirus finalice antes de sellar la imagen. | Si va a crear una imagen VDI, como para una imagen no persistente, asegúrese de que el mantenimiento de la memoria caché se complete antes de que se cierre la imagen. Para obtener más información, consulte Configuración de Microsoft Defender Antivirus en un entorno de infraestructura de escritorio remoto o de escritorio virtual. |
| 5. Exclusiones con errores ortográficos. |
Utilice MpCmdRun.exe -CheckExclusion -Path <PathAndFile or Path> para validar exclusiones basadas en rutas. Para obtener más información, vea Comprobar si se excluye un archivo o una carpeta mediante MpCmdRun. |
| 6. Cuando se añade una exclusión de ruta, funciona para los flujos de análisis. La supervisión del comportamiento (BM) y la inspección en tiempo real de red (NRI) todavía pueden causar problemas de rendimiento. |
Como solución alternativa, siga estos pasos: 1. (Preferible) Para archivos .exe y .dll, use Indicadores – hash de archivo - permitir o Indicadores – certificado - permitir 2. (Alternativa) Agregar exclusiones antivirus (proceso+ruta de acceso).. |
| 7. Cálculo de hash de archivos. Si habilita el cálculo de hash de archivos, que se usa para los indicadores de archivo, hay más sobrecarga de rendimiento. Por ejemplo, la copia de archivos grandes de un recurso compartido de red en el dispositivo local, especialmente a través de una conexión VPN, podría tener un efecto en el rendimiento del dispositivo. |
Aquí es donde usted y su equipo directivo tendrán que tomar una decisión de tener más seguridad o menos uso de CPU. Una posible solución es deshabilitar la característica de cálculo hash de archivos. Vaya a Configuración> del equipoPlantillas> administrativasComponentes> de Windows Microsoft Defender Antivirus>MpEngine y, a continuación, habilite las características de cálculo de hash de archivos. Nota: Para habilitar indicadores : funcionalidad hash de archivos, esta característica debe activarse. |
Para ayudar a determinar qué componente podría contribuir a un mayor uso de la CPU
| Componente | Solución |
|---|---|
| Análisis de protección en tiempo real (RTP) | Puede usar el modo de solución de problemas para desactivar la protección contra alteraciones. Una vez desactivada la protección contra alteraciones, puede desactivar temporalmente la "Protección en tiempo real" para descartarla. Consulte la sección anterior, Common reasons for higher CPU utilization by Microsoft Defender Antivirus (Motivos comunes para un mayor uso de la CPU por Microsoft Defender Antivirus). |
| Análisis programado | Compruebe la configuración predeterminada del análisis programado Configuración general del análisis programado. - Configurar la prioridad baja de CPU para los análisis programados (Usar prioridad baja de CPU para los análisis programados). La prioridad del subproceso en Windows para exámenes normales tiene dos valores: 8 (inferior) y 9 (superior). Al establecer esta opción en enabled, se reduce la prioridad del subproceso de examen programado de 9 a 8, lo que permite que otros subprocesos de aplicación se ejecuten con una prioridad más alta, lo que aumenta el tiempo de CPU que Microsoft Defender Antivirus. : especifique el porcentaje máximo de uso de CPU durante un examen (límite de uso de CPU por examen). 50 es la configuración predeterminada; puede reducirlo a 20 o 30. Si tiene una ventana de control de cambios, modificar la cantidad de CPU que se puede usar hace que el análisis tarde más. - Inicie el examen programado solo cuando el equipo está encendido pero no en uso; para ello, establezca ScanOnlyIfIdleNot configured en (está habilitado de forma predeterminada). Requiere que la máquina esté inactiva, lo que significa que el uso de CPU general del dispositivo debe ser inferior al 80 %. Configuración del análisis rápido diario - Establecer Specify the interval to run quick scans per day en Not configured (Cuántas horas deben transcurrir antes de que se ejecute el siguiente análisis rápido: de 0 a 24 horas)- Establezca Specify the time for a daily quick scan (Run daily quick scan at) en 12 PM. Configuración de Ejecutar un análisis programado semanal (rápido o completo) : especifique el tipo de examen que se va a usar para un examen programado (establecer Scan type en Not configured). - Especifique la hora del día para ejecutar un análisis programado (Establezca Day of week to run scheduled scan en Not configured). - Especifique el día de la semana para ejecutar un análisis programado (Establezca Time of day to run a scheduled scan en Not configured). |
| Examine después de una actualización de inteligencia de seguridad. | De forma predeterminada, Microsoft Defender Antivirus realiza un análisis tras una actualización de inteligencia de seguridad para garantizar una protección óptima. Si los análisis programados están activados, podría pensar que hay análisis que se ejecutan fuera de lo programado. Aquí es donde usted y su equipo directivo tendrán que tomar una decisión de tener más seguridad o menos uso de CPU. Como solución alternativa, en la Directiva de grupo (u otra herramienta de administración, como MDM), vaya a Configuración del equipo>Plantillas administrativas>Microsoft Defender Antivirus>Actualizaciones de inteligencia de seguridad, y establezca Activar el examen después de una actualización de inteligencia de seguridad en Disabled. |
| Conflictos con otro software de seguridad | Si tiene software de seguridad que no es de Microsoft, como antivirus, EDR, DLP, administración de privilegios de punto de conexión, VPN, etc., agregue ese software a las exclusiones de antivirus de Microsoft Defender (ruta de acceso y procesos) y viceversa. Para obtener la lista de los archivos binarios Microsoft Defender Antivirus, consulte Configuración del entorno de red para garantizar la conectividad con el servicio Defender para punto de conexión. |
| Examen de un gran número de archivos o carpetas | Si tiene un archivo grande, como un .iso, un .vhdx, etc., almacenado en su perfil de usuario (Escritorio, Descargas, Documentos, etc.) y ese perfil se redirige a recursos compartidos de red, como Archivos sin conexión (CSC) o OneDrive (o productos similares), los análisis pueden tardar más en ejecutarse. Esto se debe a que está examinando una red, donde hay más latencia en comparación con los archivos almacenados localmente en un dispositivo. Si no necesitas el archivo .iso/.vhd/.vhdx, etc. almacenado en tu perfil, muévelo a otra carpeta que no esté en un recurso compartido de red (unidad asignada, recurso compartido UNC, recurso compartido SMB). |
¿Qué desencadena y provoca un mayor uso de CPU en Microsoft Defender Antivirus?
Una vez completados los pasos de proa\ctive, puede identificar lo que desencadena y provoca un mayor uso de la CPU:
| # | Herramientas para ayudar a reducir lo que desencadena un uso elevado de la CPU | Comentarios |
|---|---|---|
| 1 | Recopilación de datos de diagnóstico Microsoft Defender Antivirus | Datos de diagnóstico de Microsoft Defender Antivirus que desea incluir al solucionar un problema con Microsoft Defender Antivirus. |
| 2 | Analizador de rendimiento para Microsoft Defender Antivirus | Para ver problemas específicos del rendimiento relacionados con Microsoft Defender Antivirus, consulte Analizador de rendimiento para Microsoft Defender Antivirus. Esto le permite ejecutar la recopilación de datos y analizar los datos, donde es fácil de entender. Nota: Asegúrate de que el problema se reproduce cuando recopiles estos datos. |
| 3 | Solución de problemas de rendimiento de Microsoft Defender Antivirus con Process Monitor | Si por alguna razón el analizador de rendimiento de Microsoft Defender Antivirus no proporciona los detalles que necesita para restringir lo que desencadena el uso elevado de CPU, puede usar El Monitor de procesos (ProcMon). Sugerencia: Puede recopilar datos durante 5-10 minutos. Nota: Asegúrate de que el problema se reproduce cuando recopiles estos datos. |
| 4 | Solución de problemas de rendimiento de Microsoft Defender Antivirus con WPRUI | Para solucionar problemas más complejos, puedes usar la interfaz de usuario de la Grabadora de rendimiento de Windows (WPRUI) o la Grabadora de rendimiento de Windows (WPR). Tenga en cuenta que, debido a la verbosidad de esta traza, debe limitar su duración a entre 3 y 5 minutos como máximo. Asegúrese de que el problema se produce activamente al recopilar estos datos. |
Consulte con el proveedor si hay problemas conocidos con los productos antivirus.
Si puede identificar fácilmente el software que afecta al rendimiento del sistema, vaya al centro de soporte técnico o knowledge base del proveedor de software. Compruebe si hay problemas conocidos con los productos antivirus. Si es necesario, puede abrir un ticket de soporte con ellos y pedirles que publiquen uno.
Se recomienda que los proveedores de software sigan las distintas directrices de Asociación con el sector para minimizar los falsos positivos. El proveedor puede enviar su software a través del portal de Inteligencia de seguridad de Microsoft.