Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Se o seu sistema estiver com alto uso de CPU ou problemas de desempenho relacionados ao Antivírus do Microsoft Defender (Anti-malware Service Executable, MsMpEng.exe, Antivírus do Microsoft Defender).
Enquanto administrador, também pode resolver estes problemas por conta própria.
Primeiro, talvez você queira verificar se algum outro software está causando o problema. Leia Consulte o fornecedor sobre problemas conhecidos com exclusões do antivírus.
Pré-requisitos
Sistemas operacionais com suporte
- Windows
- Servidor Windows
Motivos comuns para uma maior utilização da CPU pelo Antivírus do Microsoft Defender
| Motivo | Solução |
|---|---|
1. Binários não assinados (.exe, .dll, etc.) Sempre que um binário (como .exe,.dll entre outros) for iniciado/iniciado, se não estiver assinado digitalmente, Microsoft Defender Antivírus inicia uma análise de proteção em tempo real ou quando está a executar uma análise agendada e/ou a pedido. |
Você deve considerar assinar os binários com uma PKI interna. E/ou contatando o fornecedor para que ele possa assinar o binário. E adicionando o certificado aos Indicadores — Certificado — permitir Recomendamos que os fornecedores de software sigam as várias diretrizes em Parceria com a indústria para minimizar os falsos positivos. O fornecedor de software ou programador de software pode submeter a aplicação, o serviço ou o script no portal Inteligência de Segurança da Microsoft. Como solução, pode seguir estes passos: 1. (Preferencialmente) Para arquivos .exe e .dll, use Indicadores – Hash de arquivo - permitir 2. (Alternativo) Adicionar exclusões do antivírus (processo+caminho). |
| 2. Utilizar HTA's, CHMs e ficheiros diferentes como bases de dados. Sempre que Microsoft Defender Antivírus tiver de extrair e/ou analisar formatos de ficheiro complexos, pode ocorrer uma maior utilização da CPU. |
Considere mudar para a utilização de bases de dados reais se precisar de guardar informações e de as consultar. Como alternativa, adicione exclusões no antivírus (processos e caminhos). |
| 3. Usar técnicas de ofuscação em scripts. Se você ofuscar scripts, o Microsoft Defender Antivírus poderá usar mais CPU durante a verificação para determinar se o script contém cargas maliciosas. |
Use ofuscação de script somente quando necessário. Como alternativa, adicione exclusões no antivírus (processos e caminhos). |
| 4. Não deixar que o cache do antivírus Microsoft Defender seja concluído antes de selar a imagem. | Se estiver a criar uma imagem VDI, como para uma imagem não persistente, certifique-se de que a manutenção da cache é concluída antes de a imagem ser selada. Para obter mais informações, veja Configure Microsoft Defender Antivirus on a remote desktop or virtual desktop infrastructure environment (Configurar o Antivírus do Microsoft Defender num ambiente de trabalho remoto ou num ambiente de infraestrutura de ambiente de trabalho virtual). |
| 5. Exclusões com erros ortográficos. |
Utilize MpCmdRun.exe -CheckExclusion -Path <PathAndFile or Path> para validar exclusões baseadas no caminho. Para obter mais informações, consulte Verificar se um arquivo ou pasta é excluído usando MpCmdRun. |
| 6. Quando é adicionada uma exclusão de caminho, funciona para a análise de fluxos. A Monitorização de Comportamento (BM) e a Inspeção em Tempo Real de Rede (NRI) ainda podem causar problemas de desempenho. |
Como solução, siga estes passos: 1. (Preferencialmente) Para arquivos .exe e .dll, use Indicadores – Hash de arquivo – permitir ou Indicadores – Certificado – permitir 2. (Alternativa) Adicionar exclusões antivírus (processo+caminho). |
| 7. Computação de hash de ficheiros. Se você habilitar o cálculo de hash de arquivos, usado para indicadores de arquivo, haverá mais sobrecarga de desempenho. Por exemplo, copiar ficheiros grandes de uma partilha de rede para o seu dispositivo local, especialmente através de uma ligação VPN, pode ter um efeito no desempenho do dispositivo. |
É aqui que você e a sua equipa de liderança terão de tomar uma decisão, de ter mais segurança ou menos utilização da CPU. Uma solução possível é desativar a funcionalidade de computação hash de ficheiros. Vá para Configuração do Computador>Modelos Administrativos>Componentes do Windows>Antivírus Microsoft Defender>MpEngine e, em seguida, habilite os recursos de computação de hash de arquivos. Nota: para ativar Indicadores – funcionalidade hash de ficheiro, esta funcionalidade tem de ser ativada. |
Para ajudar a determinar que componente pode estar a contribuir para uma maior utilização da CPU
| Componente | Solução |
|---|---|
| Análise da proteção em tempo real (RTP) | Pode utilizar o Modo de resolução de problemas para desativar a Proteção contra Adulteração. Assim que a Proteção contra Adulteração estiver desativada, pode desativar temporariamente a "Proteção em tempo real" para a excluir. Veja a secção anterior, Motivos comuns para uma maior utilização da CPU por Microsoft Defender Antivírus. |
| Verificação agendada | Verifique as configurações padrão da verificação agendada Definições gerais de análise agendada. - Configure a baixa prioridade da CPU para análises agendadas (Utilize baixa prioridade de CPU para análises agendadas). A prioridade do thread no Windows para análises normais tem dois valores: 8 (mais baixo) e 9 (superior). Ao defini-lo como enabled, está a reduzir a prioridade do thread de análise agendada de 9 para 8, o que permite que outros threads de aplicação sejam executados com uma prioridade mais alta, obtendo assim mais tempo de CPU do que Microsoft Defender Antivírus. - Especifique a percentagem máxima de utilização da CPU durante uma análise (limite de utilização da CPU por análise). 50 é a predefinição; pode reduzi-lo a 20 ou 30. Se você tiver uma janela de controle de alterações, modificar a quantidade de CPU que pode ser usada fará com que a varredura demore mais. - Inicie a análise agendada apenas quando o computador estiver ativado, mas não estiver a ser utilizado, definindo ScanOnlyIfIdle como Not configured (está ativado por predefinição). Requer que o computador esteja inativo, o que significa que a utilização da CPU no geral do dispositivo tem de ser inferior a 80%. Definições diárias de análise rápida - Definido Specify the interval to run quick scans per day como Not configured (Quantas horas decorreram, antes da próxima análise rápida ser executada - 0 a 24 horas)- Defina Specify the time for a daily quick scan (Run daily quick scan at) como 12 PM. Execute uma verificação agendada semanalmente (rápida ou completa) - Especifique o tipo de análise a utilizar para uma análise agendada (Definir Scan type como Not configured). - Especifique a hora do dia para executar uma análise agendada (Defina Day of week to run scheduled scan como Not configured). - Especifique o dia da semana para executar uma análise agendada (Defina Time of day to run a scheduled scan como Not configured). |
| Verificação após uma atualização da inteligência de segurança. | Por padrão, o Microsoft Defender Antivirus faz uma verificação após uma atualização de inteligência de segurança para garantir proteção ideal. Se as análises agendadas estiverem ativadas, poderá pensar que existem análises que são executadas fora da agenda. É aqui que você e a sua equipa de liderança terão de tomar uma decisão, de ter mais segurança ou menos utilização da CPU. Como solução alternativa, na Política de Grupo (ou em outra ferramenta de gerenciamento, como a MDM), vá para Configuração do Computador>Modelos Administrativos>Microsoft Defender Antivirus>Atualizações de Inteligência de Segurança e defina Ativar verificação após atualização de inteligência de segurança como Disabled. |
| Conflitos com outro software de segurança | Se você tiver software de segurança que não seja da Microsoft, como antivírus, EDR, DLP, gerenciamento de privilégios de endpoint, VPN etc., adicione esse software às exclusões do Microsoft Defender Antivirus (caminhos + processos) e vice-versa. Para obter a lista dos binários do Antivírus do Microsoft Defender, veja Configurar o ambiente de rede para garantir a conectividade com o serviço Defender para Endpoint. |
| Analisar um grande número de ficheiros ou pastas | Se tiver um ficheiro grande, como um .iso, .vhdx, etc., sentado no seu perfil de utilizador (ambiente de trabalho, transferências, documentos, etc.) e esse perfil estiver a ser redirecionado para partilhas de rede, como Offline Files (CSC) ou OneDrive (ou produtos semelhantes), as análises podem demorar mais tempo a ser executadas. Isto deve-se ao facto de estar a analisar uma rede, onde existe mais latência em comparação com os ficheiros armazenados localmente num dispositivo. Se você não precisar do arquivo .iso/.vhd/.vhdx etc. armazenado no seu perfil, mova esse arquivo para uma pasta diferente que não esteja em um compartilhamento de rede (unidade mapeada, compartilhamento UNC, compartilhamento SMB). |
O que está a acionar e a causar uma maior utilização da CPU no Antivírus do Microsoft Defender
Após a conclusão das etapas proativas, você pode identificar o que está desencadeando e causando a maior utilização da CPU:
| # | Ferramentas para ajudar a restringir o que está a acionar a utilização elevada da CPU | Comentários |
|---|---|---|
| 1 | Coletar dados de diagnóstico do Antivírus do Microsoft Defender | dados de diagnóstico do Antivírus Microsoft Defender que você deseja incluir ao solucionar um problema com o Antivírus Microsoft Defender. |
| 2 | Analisador de desempenho do Antivírus do Microsoft Defender | Para problemas específicos de desempenho relacionados com o Antivírus Microsoft Defender, veja Analisador de desempenho do Antivírus Microsoft Defender. Isto permite-lhe executar a recolha de dados e analisar os dados, onde é fácil de compreender. Nota: certifique-se de que o problema esteja se reproduzindo ao coletar esses dados. |
| 3 | Resolver problemas de desempenho do Antivírus do Microsoft Defender com o Monitor de Processos | Se, por algum motivo, o analisador de desempenho do Antivírus do Microsoft Defender não fornecer os detalhes necessários para restringir o que está a acionar a utilização elevada da CPU, pode utilizar o Monitor de Processos (ProcMon). Dica: você pode coletar de 5 a 10 minutos. Nota: certifique-se de que o problema esteja se reproduzindo ao coletar esses dados. |
| 4 | Resolver problemas de desempenho do Antivírus do Microsoft Defender com o WPRUI | Para solução de problemas mais avançada, você pode utilizar a interface do usuário do Gravador de Desempenho do Windows (WPRUI) ou o Gravador de Desempenho do Windows (WPR). Lembre-se de que, devido à verbosidade deste rastreamento, ele deve ser limitado a um máximo de 3 a 5 minutos. Certifique-se de que o problema está a ocorrer ativamente quando recolhe estes dados. |
Contacte o fornecedor para ver se existem problemas conhecidos com produtos antivírus
Se conseguir identificar facilmente o software que afeta o desempenho do sistema, aceda ao centro de suporte ou base de dados de conhecimento do fornecedor de software. Verifique se existem problemas conhecidos com produtos antivírus. Se necessário, você pode abrir um ticket de suporte junto a eles e pedir que publiquem um.
Recomendamos que os fornecedores de software sigam as várias diretrizes em Parceria com a indústria para minimizar os falsos positivos. O fornecedor pode submeter o software através do portal Inteligência de Segurança da Microsoft.