Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Se o sistema estiver tendo problemas de alto uso de CPU ou de desempenho relacionados ao Microsoft Defender Antivírus (Antimalware Service Executable, MsMpEng.exe Microsoft Defender Antivirus).
Como administrador, você também pode solucionar esses problemas por conta própria.
Primeiro, talvez você queira verificar se outros softwares estão causando o problema. Leia Verifique com o fornecedor se há problemas conhecidos relacionados a exclusões do antivírus.
Pré-requisitos
Sistemas operacionais com suporte
- Windows
- Servidor Windows
Motivos comuns para maior utilização da CPU pelo Microsoft Defender Antivírus
| Motivo | Solução |
|---|---|
1. Binários não assinados (.exe, .dll, e assim por diante) Sempre que um binário (como .exe,.dll, e assim por diante) é iniciado/iniciado, se ele não for assinado digitalmente, o Microsoft Defender Antivírus iniciará uma verificação de proteção em tempo real ou quando você estiver executando uma verificação agendada e/ou sob demanda. |
Você deve considerar assinar os binários usando uma PKI interna. E/ou entrar em contato com o fornecedor para que ele possa assinar o binário. E adicionando o certificado aos Indicadores — Certificado — permitir Recomendamos que os fornecedores de software sigam as várias diretrizes descritas em Parceria com o setor para minimizar falsos positivos. O fornecedor ou desenvolvedor de software pode enviar o aplicativo, serviço ou script no portal de Inteligência de Segurança da Microsoft. Como alternativa, você pode seguir estas etapas: 1. (Preferencial) Para uso de .exe e dll Indicadores – Hash de arquivo – permitir 2. (Alternativa) Adicionar exclusões de antivírus (processo + caminho). |
| 2. Usando HTA's, CHM's e diferentes arquivos como bancos de dados. Sempre que o Microsoft Defender Antivírus precisar extrair e/ou examinar formatos de arquivo complexos, poderá ocorrer maior utilização da CPU. |
Considere mudar para o uso de bancos de dados reais se precisar salvar informações e consultá-las. Como solução alternativa, adicione exclusões de antivírus (processo + caminho). |
| 3. Usando ofuscações em scripts. Se você ofuscar scripts, o Microsoft Defender Antivirus, para verificar se o script contém carga maliciosa, poderá usar mais CPU durante a verificação. |
Use a ofuscação de script somente quando necessário. Como solução alternativa, adicione exclusões de antivírus (processo+caminho). |
| 4. Não permitir que o cache do Microsoft Defender Antivírus termine antes de lacrar a imagem. | Se você estiver criando uma imagem VDI, como para uma imagem não persistente, verifique se a manutenção do cache é concluída antes que a imagem seja selada. Para obter mais informações, consulte Configurar o Microsoft Defender Antivírus em uma área de trabalho remota ou ambiente de infraestrutura de área de trabalho virtual. |
| 5. Exclusões com erro ortográfico. |
Use MpCmdRun.exe -CheckExclusion -Path <PathAndFile or Path> para validar exclusões baseadas em caminho. Para obter mais informações, consulte Verificar se um arquivo ou pasta é excluído usando MpCmdRun. |
| 6. Quando uma exclusão de caminho é adicionada, ela se aplica aos fluxos de varredura. O BM (Monitoramento de Comportamento) e a NRI (Inspeção em Tempo Real da Rede) ainda podem causar problemas de desempenho. |
Como alternativa, execute estas etapas: 1. (Preferencialmente) Para arquivos .exe e .dll, use Indicadores – Hash de arquivo – permitir ou Indicadores – Certificado – permitir 2. (Alternativa) Adicionar exclusões de antivírus (processo + caminho). |
| 7. Computação de hash de arquivo. Se você habilitar a computação de hash de arquivo, que é usada para indicadores de arquivo, haverá mais sobrecarga de desempenho. Por exemplo, copiar arquivos grandes de um compartilhamento de rede para seu dispositivo local, especialmente em uma conexão VPN, pode afetar o desempenho do dispositivo. |
É aqui que você e sua equipe de liderança terão que tomar uma decisão de ter mais segurança ou menos utilização da CPU. Uma solução possível é desabilitar o recurso de computação de hash de arquivo. Vá para Configuração> do Computador,Modelos> Administrativos, Componentes >do Windows, Microsoft Defender Antivírus>,MpEngine e habilite os recursos de computação de hash de arquivo. Observação: para habilitar a funcionalidade Indicadores - Hash de arquivo, esse recurso deve ser ativado. |
Para ajudar a determinar qual componente pode estar contribuindo para o aumento da utilização da CPU
| Componente | Solução |
|---|---|
| Verificação da proteção em tempo real (RTP) | Você pode usar o modo de Solução de Problemas para desativar a Proteção contra Adulterações. Depois que a Proteção contra Adulterações estiver desativada, você poderá desativar a "Proteção em tempo real" temporariamente para descartá-la. Consulte a seção anterior, Motivos comuns para maior utilização da CPU pelo Microsoft Defender Antivírus. |
| Verificação agendada | Verifique as configurações padrão da verificação agendada Configurações gerais de verificação agendada. - Configure baixa prioridade de CPU para verificações agendadas (Use baixa prioridade de CPU para verificações agendadas). A prioridade de thread no Windows para verificações normais tem dois valores: 8 (menor) e 9 (maior). Ao defini-la como enabled, você está reduzindo a prioridade da thread da verificação agendada de 8 para 9, o que permite que outros threads de aplicativo sejam executados com uma prioridade mais alta e, assim, obtenham mais tempo de CPU do que o Microsoft Defender Antivírus. - Especifique a porcentagem máxima de utilização da CPU durante uma verificação (limite de uso da CPU por verificação). 50 é a configuração padrão; Você pode reduzi-lo para 20 ou 30. Se você tiver uma janela de controle de alterações, modificar a quantidade de CPU que pode ser usada fará com que a verificação demore mais. - Inicie a verificação agendada somente quando o computador estiver ligado, mas não em uso, configurando ScanOnlyIfIdle como Not configured (está ativado por padrão). Ele exige que a máquina esteja ociosa, o que significa que o uso geral da CPU do dispositivo deve ser inferior a 80%. Configurações de verificação rápida diária - Defina Specify the interval to run quick scans per day como Not configured (Quantas horas se passaram, antes da próxima verificação rápida ser executada - 0 a 24 horas)- Defina Specify the time for a daily quick scan (Run daily quick scan at) como 12 PM. Configurações para executar uma verificação agendada semanalmente (rápida ou completa) - Especifique o tipo de verificação a ser usado para uma verificação agendada (Defina Scan type como Not configured). - Especifique a hora do dia para executar uma verificação agendada (Defina Day of week to run scheduled scan como Not configured). - Especifique o dia da semana para executar uma verificação agendada (Defina Time of day to run a scheduled scan como Not configured). |
| Verificação após uma atualização da inteligência de segurança. | Por padrão, o Microsoft Defender Antivírus verifica após uma atualização de inteligência de segurança para fins de proteção ideal. Se as verificações programadas estiverem habilitadas, você pode pensar que há verificações executadas fora da agenda. É aqui que você e sua equipe de liderança terão que tomar uma decisão de ter mais segurança ou menos utilização da CPU. Como solução alternativa, na Política de Grupo (ou em outra ferramenta de gerenciamento, como MDM), vá para Configuração do Computador>Modelos Administrativos>Antivírus Microsoft Defender> e defina Ativar verificação após atualização de inteligência de segurança como Disabled. |
| Conflitos com outro software de segurança | Se você tiver um software de segurança que não seja da Microsoft, como antivírus, EDR, DLP, gerenciamento de privilégios de endpoint, VPN e assim por diante, adicione esse software à lista de exclusões do Antivírus do Microsoft Defender (caminhos + processos) e vice-versa. Para obter a lista dos binários do Antivírus do Microsoft Defender, consulte Configurar seu ambiente de rede para garantir a conexão com o serviço Defender para Endpoint. |
| Verificando um grande número de arquivos ou pastas | Se você tiver um arquivo grande, como um .iso, .vhdx e assim por diante, em seu perfil de usuário (área de trabalho, downloads, documentos e assim por diante) e esse perfil estiver sendo redirecionado para compartilhamentos de rede, como Files Offline (CSC) ou OneDrive (ou produtos semelhantes), as verificações poderão levar mais tempo para serem executadas. Isso ocorre porque você está verificando uma rede, onde há mais latência em comparação com arquivos armazenados localmente em um dispositivo. Se você não precisar do arquivo .iso/.vhd/.vhdx etc. armazenado no seu perfil, mova-o para uma pasta diferente que não esteja em um compartilhamento de rede (unidade mapeada, compartilhamento UNC, compartilhamento SMB). |
O que está disparando e causando maior utilização da CPU no Microsoft Defender Antivírus
Após concluir as etapas proativas, você poderá identificar o que está provocando o maior uso da CPU:
| # | Ferramentas para ajudar a restringir o que está causando o alto uso da CPU | Comentários |
|---|---|---|
| 1 | Coletar dados de diagnóstico do Microsoft Defender Antivírus | Dados de diagnóstico do Microsoft Defender Antivírus que você deseja incluir sempre que solucionar um problema com o Microsoft Defender Antivírus. |
| 2 | Analisador de desempenho do Microsoft Defender Antivírus | Para problemas específicos de desempenho relacionados ao Microsoft Defender Antivírus, consulte Analisador de desempenho do Microsoft Defender Antivírus. Isso permite que você execute a coleta de dados e analise-os, em que é fácil de entender. Observação: Verifique se o problema ocorre ao coletar esses dados. |
| 3 | Solucionar problemas de desempenho do Microsoft Defender Antivírus com o Monitor de Processo | Se, por algum motivo, o analisador de desempenho do Microsoft Defender Antivírus não fornecer os detalhes necessários para restringir o que está causando a alta utilização da CPU, você poderá usar o Monitor de Processo (ProcMon). Dica: Você pode coletar por 5 a 10 minutos. Observação: Verifique se o problema ocorre ao coletar esses dados. |
| 4 | Solucionar problemas de desempenho do Microsoft Defender Antivírus com WPRUI | Para uma solução de problemas mais avançada, você pode utilizar a WPRUI (interface do usuário do Gravador de Desempenho do Windows) ou o WPR (Gravador de Desempenho do Windows). Lembre-se de que, devido à verbosidade desse traço, ele deve ser limitado a um máximo de 3 a 5 minutos. Certifique-se de que o problema esteja ocorrendo ativamente quando você coletar esses dados. |
Verifique com o fornecedor se há problemas conhecidos com produtos antivírus
Se você puder identificar prontamente o software que está afetando o desempenho do sistema, acesse a base de dados de conhecimento ou o centro de suporte do fornecedor do software. Verifique se há algum problema conhecido com produtos antivírus. Se necessário, você pode abrir um chamado de suporte junto a eles e solicitar que publiquem um.
Recomendamos que os fornecedores de software sigam as várias diretrizes descritas em Parceria com o setor para minimizar falsos positivos. O fornecedor pode enviar seu software por meio do portal de Inteligência de Segurança da Microsoft.