Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Se o seu sistema estiver a apresentar elevada utilização da CPU ou problemas de desempenho relacionados com o Microsoft Defender Antivirus (Anti-malware Service Executable, MsMpEng.exe, Microsoft Defender Antivirus).
Enquanto administrador, também pode resolver estes problemas por conta própria.
Primeiro, poderá querer verificar se outro software está a causar o problema. Leia Consulte o fornecedor sobre problemas conhecidos com exclusões do antivírus.
Pré-requisitos
Sistemas operativos suportados
- Windows
- Servidor Windows
Motivos comuns para uma maior utilização da CPU pelo Antivírus do Microsoft Defender
| Motivo | Solução |
|---|---|
1. Binários não assinados (.exe, .dll, etc.) Sempre que um binário (como .exe,.dll entre outros) for iniciado/iniciado, se não estiver assinado digitalmente, Microsoft Defender Antivírus inicia uma análise de proteção em tempo real ou quando está a executar uma análise agendada e/ou a pedido. |
Deverá considerar assinar digitalmente os binários utilizando uma infraestrutura de chave pública (PKI) interna. E/ou contactar o fornecedor para que este pudesse assinar o binário. E adicionar o certificado a Indicadores – Certificado – Permitir Recomendamos que os fornecedores de software sigam as várias diretrizes em Parceria com a indústria para minimizar os falsos positivos. O fornecedor de software ou programador de software pode submeter a aplicação, o serviço ou o script no portal Informações de Segurança da Microsoft. Como solução, pode seguir estes passos: 1. (Preferido) Para ficheiros .exe e .dll, utilize Indicadores – hash do ficheiro - permitir 2. (Em alternativa) Adicionar exclusões do antivírus (processo + caminho). |
| 2. Utilizar HTA's, CHMs e ficheiros diferentes como bases de dados. Sempre que Microsoft Defender Antivírus tiver de extrair e/ou analisar formatos de ficheiro complexos, pode ocorrer uma maior utilização da CPU. |
Considere mudar para a utilização de bases de dados reais se precisar de guardar informações e de as consultar. Como solução alternativa, adicione exclusões do antivírus (processo + caminho). |
| 3. Aplicar técnicas de ofuscação a scripts. Se ofuscar scripts, o Microsoft Defender Antivírus, para verificar se o script contém cargas maliciosas, pode utilizar mais CPU durante a análise. |
Utilize a ofuscação de scripts apenas quando necessário. Como solução alternativa, adicione exclusões do antivírus (processo + caminho). |
| 4. Não permitir que o Microsoft Defender cache antivírus termine antes de selar a imagem. | Se estiver a criar uma imagem VDI, como para uma imagem não persistente, certifique-se de que a manutenção da cache é concluída antes de a imagem ser selada. Para obter mais informações, veja Configure Microsoft Defender Antivirus on a remote desktop or virtual desktop infrastructure environment (Configurar o Antivírus do Microsoft Defender num ambiente de trabalho remoto ou num ambiente de infraestrutura de ambiente de trabalho virtual). |
| 5. Exclusões com erros ortográficos. |
Utilize MpCmdRun.exe -CheckExclusion -Path <PathAndFile or Path> para validar exclusões baseadas no caminho. Para mais informações, consulte Verificar se um ficheiro ou pasta está excluído usando o MpCmdRun. |
| 6. Quando é adicionada uma exclusão de caminho, funciona para a análise de fluxos. A Monitorização de Comportamento (BM) e a Inspeção em Tempo Real de Rede (NRI) ainda podem causar problemas de desempenho. |
Como solução, siga estes passos: 1. (Preferencialmente) Para ficheiros .exe e .dll, utilize Indicadores – Hash do ficheiro - permitir ou Indicadores – Certificado - permitir 2. (Alternativa) Adicionar exclusões antivírus (processo+caminho). |
| 7. Computação de hash de ficheiros. Se ativar o cálculo do hash de ficheiros, que é utilizado para indicadores de ficheiro, há uma maior sobrecarga no desempenho. Por exemplo, copiar ficheiros grandes de uma partilha de rede para o seu dispositivo local, especialmente através de uma ligação VPN, pode ter um efeito no desempenho do dispositivo. |
É aqui que você e a sua equipa de liderança terão de tomar uma decisão, de ter mais segurança ou menos utilização da CPU. Uma solução possível é desativar a funcionalidade de computação hash de ficheiros. Aceda a Configuração do Computador>Modelos Administrativos>Componentes do Windows>Antivírus do Microsoft Defender>MpEngine e, em seguida, ative as funcionalidades de cálculo de hash de ficheiros. Nota: para ativar Indicadores – funcionalidade hash de ficheiro, esta funcionalidade tem de ser ativada. |
Para ajudar a determinar que componente pode estar a contribuir para uma maior utilização da CPU
| Componente | Solução |
|---|---|
| Análise da proteção em tempo real (RTP) | Pode utilizar o Modo de resolução de problemas para desativar a Proteção contra Adulteração. Assim que a Proteção contra Adulteração estiver desativada, pode desativar temporariamente a "Proteção em tempo real" para a excluir. Veja a secção anterior, Motivos comuns para uma maior utilização da CPU por Microsoft Defender Antivírus. |
| Verificação programada | Verifique as definições predefinidas de análise agendada Definições gerais de análise agendada. - Configure a baixa prioridade da CPU para análises agendadas (Utilize baixa prioridade de CPU para análises agendadas). A prioridade do thread no Windows para análises normais tem dois valores: 8 (mais baixo) e 9 (superior). Ao defini-lo como enabled, está a reduzir a prioridade do thread de análise agendada de 9 para 8, o que permite que outros threads de aplicação sejam executados com uma prioridade mais alta, obtendo assim mais tempo de CPU do que Microsoft Defender Antivírus. - Especifique a percentagem máxima de utilização da CPU durante uma análise (limite de utilização da CPU por análise). 50 é a predefinição; pode reduzi-lo a 20 ou 30. Se tiver uma janela de controlo de alterações, modificar a quantidade de CPU que pode ser utilizada fará com que a análise demore mais tempo. - Inicie a análise agendada apenas quando o computador estiver ativado, mas não estiver a ser utilizado, definindo ScanOnlyIfIdle como Not configured (está ativado por predefinição). Requer que o computador esteja inativo, o que significa que a utilização da CPU no geral do dispositivo tem de ser inferior a 80%. Definições diárias de análise rápida - Definido Specify the interval to run quick scans per day como Not configured (Quantas horas decorreram, antes da próxima análise rápida ser executada - 0 a 24 horas)- Defina Specify the time for a daily quick scan (Run daily quick scan at) como 12 PM. Definições para executar uma análise agendada semanalmente (rápida ou completa) - Especifique o tipo de análise a utilizar para uma análise agendada (Definir Scan type como Not configured). - Especifique a hora do dia para executar uma análise agendada (Defina Day of week to run scheduled scan como Not configured). - Especifique o dia da semana para executar uma análise agendada (Defina Time of day to run a scheduled scan como Not configured). |
| Analise após uma atualização das informações de segurança. | Por predefinição, o Microsoft Defender Antivirus efetua análises após uma atualização da inteligência de segurança para garantir uma proteção ideal. Se as análises agendadas estiverem ativadas, poderá pensar que existem análises que são executadas fora da agenda. É aqui que você e a sua equipa de liderança terão de tomar uma decisão, de ter mais segurança ou menos utilização da CPU. Como solução alternativa, na Política de Grupo (ou noutra ferramenta de gestão, como a MDM), aceda a Configuração do Computador>Modelos Administrativos>Microsoft Defender Antivírus>Atualizações de Informações de Segurança e defina Ativar verificação após atualização das informações de segurança para Disabled. |
| Conflitos com outro software de segurança | Se tiver software de segurança não pertencente à Microsoft, como antivírus, EDR, DLP, gestão de privilégios de terminal, VPN, etc., adicione esse software às exclusões do Microsoft Defender Antivírus (caminhos + processos) e vice-versa. Para obter a lista dos binários do Antivírus do Microsoft Defender, veja Configurar o ambiente de rede para garantir a conectividade com o serviço Defender para Endpoint. |
| Analisar um grande número de ficheiros ou pastas | Se tiver um ficheiro grande, como um .iso, .vhdx, etc., sentado no seu perfil de utilizador (ambiente de trabalho, transferências, documentos, etc.) e esse perfil estiver a ser redirecionado para partilhas de rede, como Offline Files (CSC) ou OneDrive (ou produtos semelhantes), as análises podem demorar mais tempo a ser executadas. Isto deve-se ao facto de estar a analisar uma rede, onde existe mais latência em comparação com os ficheiros armazenados localmente num dispositivo. Se não precisar do ficheiro .iso/.vhd/.vhdx, etc., guardado no seu perfil, mova-o para outra pasta que não esteja numa partilha de rede (unidade mapeada, partilha UNC, partilha SMB). |
O que está a acionar e a causar uma maior utilização da CPU no Antivírus do Microsoft Defender
Depois de concluídos os passos proa\ctivos, pode identificar o que está a desencadear e a causar a utilização elevada da CPU:
| # | Ferramentas para ajudar a restringir o que está a acionar a utilização elevada da CPU | Comentários |
|---|---|---|
| 1 | Recolher dados de diagnóstico do Antivírus Microsoft Defender | dados de diagnóstico do Antivírus do Microsoft Defender que pretende incluir ao solucionar um problema com o Antivírus do Microsoft Defender. |
| 2 | Analisador de desempenho do Antivírus do Microsoft Defender | Para problemas específicos de desempenho relacionados com o Antivírus Microsoft Defender, veja Analisador de desempenho do Antivírus Microsoft Defender. Isto permite-lhe executar a recolha de dados e analisar os dados, onde é fácil de compreender. Nota: certifique-se de que o problema se reproduz ao recolher estes dados. |
| 3 | Resolver problemas de desempenho do Antivírus do Microsoft Defender com o Monitor de Processos | Se, por algum motivo, o analisador de desempenho do Antivírus do Microsoft Defender não fornecer os detalhes necessários para restringir o que está a acionar a utilização elevada da CPU, pode utilizar o Monitor de Processos (ProcMon). Dica: pode efetuar a recolha durante 5 a 10 minutos. Nota: certifique-se de que o problema se reproduz ao recolher estes dados. |
| 4 | Resolver problemas de desempenho do Antivírus do Microsoft Defender com o WPRUI | Para uma resolução avançada de problemas, pode utilizar a interface de utilizador do Windows Performance Recorder (WPRUI) ou o Windows Performance Recorder (WPR). Tenha em atenção que, devido à verbosidade deste rastreio, este deve ser limitado a um máximo de 3 a 5 minutos. Certifique-se de que o problema está a ocorrer ativamente quando recolhe estes dados. |
Contacte o fornecedor para ver se existem problemas conhecidos com produtos antivírus
Se conseguir identificar facilmente o software que afeta o desempenho do sistema, aceda ao centro de suporte ou base de dados de conhecimento do fornecedor de software. Verifique se existem problemas conhecidos com produtos antivírus. Se necessário, pode abrir um ticket de suporte junto deles e pedir que publiquem um.
Recomendamos que os fornecedores de software sigam as várias diretrizes em Parceria com a indústria para minimizar os falsos positivos. O fornecedor pode submeter o software através do portal Informações de Segurança da Microsoft.