• TOP > インフラストラクチャ
  • バックアップのいろいろ
  • ウィルススキャン

サーバへのウイルス対策ソフト導入時の注意点と、ミドルウェア毎のスキャン除外設定について纏めています。

移行メモ: 本ページは Windows Server 2008 〜 2016 世代の情報が中心。 製品名は現在「Microsoft Defender ウイルス対策」（旧 Windows Defender）に統一され、 Forefront 製品群は提供終了、FRS は Windows Server 2016 で削除されている。 除外設定の考え方自体は現在も有効。

• ウイルス対策ソフトウェアのサーバ版は、

  • よくメモリリークで他に影響を与える事例が報告されている。
  • ウイルススキャンはフィルタドライバ（カーネルモード）の仕組みを利用しているため、
    ここにバグが有った場合、ブルースクリーンで即システム停止になる可能性がある。

  ということで、

  ADなどの停止の影響が大きいサーバと一緒にした場合、
  システムの可用性に悪影響を与える可能性があります。

• また、
  全てのファイルをウイルススキャン対象にした方が
  ウイルス対策の観点からすれば安全ですが、

  • 一部のファイルはウイルススキャン対象から除かないと
    • 性能に影響が出る
    • または、機能に影響が出る

  可能性があるようです。

現在サポートされているバージョンの Windows を搭載しているエンタープライズ コンピューターでウイルス スキャンを行う場合の推奨事項（KB822158）

これらのファイルが除外されない場合、ウイルス対策ソフトウェアにより
これらのファイルへの適切なアクセスが妨害され、セキュリティ データベースが破損する可能性があります。
これらのファイルをスキャンすると、ファイルが使用できなくなったり、ファイルにセキュリティ ポリシーが適用されなくなる可能性があります。

以下のページには、ウイルススキャンの除外対象が纏められています。

• Microsoft 製品のウイルススキャンの除外対象について - SE の雑記

以下、上記ページの引用＋αです。

KB822158 より、

• Windows Update または自動更新の関連のファイルのスキャンを無効にする
• Windows セキュリティ ファイルのスキャンを無効にする
• グループ ポリシー関連のファイルのスキャンを無効にする
• ドメイン コントローラーの場合
  • Active Directory および Active Directory 関連のファイルのスキャンを無効にする
  • SYSVOL ファイルのスキャンを無効にする
  • DFS ファイルのスキャンを無効にする
  • DHCP ファイルのスキャンを無効にする
  • DNS ファイルのスキャンを無効にする
  • WINS ファイルのスキャンを無効にする
• Hyper-V ベース バージョンの Windows を搭載しているコンピューターの場合
  ウイルス対策ソフトウェア内のリアルタイム スキャン コンポーネントで、
  ファイルおよび全体のフォルダーが除外されるように構成することが必要な場合があります。
  • 仮想マシンを起動または作成しようとすると、仮想マシンが見つからないか、
    エラー 0x800704C8、0x80070037、または 0x800703E3 が表示される（KB961804）

• アンチウイルス スキャン対象から除外したいファイルやフォルダ
  • Windows 7 クライアント
  • Windows Server 2008 / 2008 R2 メンバー サーバー
  • Windows Server 2008 / 2008 R2 ドメイン コントローラー

ファイル レプリケーション サービスと互換性があるウイルス対策、バックアップ、およびディスク最適化プログラム（KB815263）

一部のディスク最適化プログラム、ファイル システム バックアップ プログラム、およびウイルス対策プログラムは、
ファイル システムのファイル、フォルダ、またはメタデータを変更します。これらの変更によって、
NTFS ファイル システムで FRS レプリケーションを開始する "closed file" イベントが発生する場合があります。

• ファイルの変更が行われていないにもかかわらず、Sysvol および DFS 共有のファイルがレプリケートされます。
• レプリケーション パートナー間のネットワーク トラフィックによって、
  ネットワーク帯域幅が大幅に消費されます。このとき、原因となるサービスは FRS です。

※ FRS は Windows Server 2016 で削除済み。現行は DFSR（DFS レプリケーション） が対象となる。

SQL Server を実行しているコンピュータ上で実行するウイルス対策ソフトウェアを選択するためのガイドライン（KB309422）

ウイルス対策ソフトウェアの設定を構成する場合、
次のファイルまたはディレクトリ (該当する場合) をスキャンリストから除外するかどうかを確認します。
これはパフォーマンスを向上し、SQL Serverサービスがそれらを
使用しなければならない場合にファイルがロックされないことを確かにすることを支援します。
ただし、これらのファイルに感染すると、ウイルス対策ソフトウェアは、感染を検出できません。

圧縮が有効になっている場合、IIS を実行しているサーバーが 0 バイトのファイルを返すことがある（KB817442）

ウイルス対策ソフトウェアを実行し、HTTP圧縮を有効にして対象のディレクトリを
スキャンすることによりHTTP要求から予測されるファイルではなく0バイトのファイルが返される。
対策として、ウイルス対策ソフトウェアのスキャンリストから、IIS の圧縮ディレクトリを除外する。

WSFC: クラスタ環境でのウィルス スキャンの除外設定について

• クラスタ環境においては、リソースの状態や、グループの構成などクラスタの構成情報に変更があった場合は、速やかにクラスタ内のノードに対して、情報の同期が行われます。
• しかしながら、情報の同期が行われる際に、ウイルス対策ソフトウェアによりクラスタの構成情報を保持しているフォルダー内でスキャンが行われていると、更新されるべきクラスタ関連のファイルがロックされ、クラスタサービスによるファイルへの適切なアクセスが妨害される場合があります。
• このような状況が発生した場合、ノード間の情報の同期が正常に行われないため、異常が検知され、フェイル・オーバーが発生したり、クラスタサービスの起動に失敗するなどの現象が発生いたします。
• そのため、ご利用されているクラスタ環境のクォーラム構成のタイプに応じて、クラスタの構成情報が保持されている以下のフォルダーに関しましては、ウィルス スキャンの対象から除外されることを推奨いたします。

以下はHyper-Vホスト上でスキャン対象外にする。

• 既定の仮想マシン構成ディレクトリ
  • C:\ProgramData\Microsoft\Windows\Hyper-V
• カスタムの仮想マシン構成ディレクトリ
• 既定の VHD ディレクトリ
  • C:\Users\Public\Documents\Hyper-V\Virtual hard disks
• カスタムの VHD ディレクトリ
• CSVパス
  • C:\ClusterStorage とその全てのサブ・ディレクトリ
• スナップショット・ディレクトリ（チェックポイント・ディレクトリ）
• Vmms.exe
  • VMのマネージメントサービス
• Vmwp.exe
  • VMのワーカプロセス

＃ VHD やパススルーディスクに対するセキュリティ対策はゲストOS側から行う。
＃ ただし、AV（AntiVirus）ストームの発生に注意すること。

上記の様に、
ミドルウェア等によってウィルス スキャンからの除外対象等があるので
ミドルウェア製品別の専用ソフトウェアもリリースされています。

• 以下はSharePoint用のウイルス対策ソフトウェアになります。
  • Symantec Protection for SharePoint Servers
  • McAfee Security for Microsoft SharePoint
  • Kaspersky Security for SharePoint Server
  • Forefront Security for SharePoint（提供終了）
• SharePointはSharePoint Services Virus Scan Engine APIというアーキテクチャを提供しており、
  ウイルス対策ソフトウェア開発ベンダはSharePointが提供するAntivirus Manager (AVM)から呼び出されるVirus Scan Engine (VSE)を
  実装することでVSEが直接データベースを読み込む必要が無くなります（VSEは、COMとして公開されるSP VS APIを実装する）。
  Exchangeでも同様のExchange VS APIというアーキテクチャが提供されているため、同様にExchange用ウイルス対策ソフトウェアが存在します。
  • 概要: ウイルス スキャン エンジン API の実装

補足: Forefront Security 製品群は 2012年以降提供終了。 現在は Microsoft Defender for Office 365 / Microsoft 365 の保護機能に統合されている。

ClamAV - 開発基盤部会 Wiki

• Windows 10では、Windows Defenderが既定で有効でオフにしてもオンになる。
• 参考
  • Microsoft Defender ウイルス対策に除外を追加する
  • Windows セキュリティ アプリの Microsoft Defender ウイルス対策
    • [リアルタイム保護] をオフに切り替えても、マルウェアや脅威から確実に保護するため、しばらくすると自動的にオンに戻る。
    • 他のウイルス対策製品がインストールされている場合、制限付きの定期的なスキャンを有効にする設定が表示される。

• Windows Server 2016 TP4以降、
  • 既定でGUIもインストールされる。
  • Automatic exclusions（自動例外）機能が追加されて、既定で有効。
• 参考
  • Windows Server の Microsoft Defender ウイルス対策
  • 意外と賢くなったWindows Server 2016のWindows Defender - ＠IT

• ファイル拡張子とフォルダーの場所に基づく除外の構成と検証
• プロセスによって開かれたファイルの除外の構成

誤検知の発生時の製品毎の対応例（基本的にベンダに連絡らしい）。

• Microsoft Defender ウイルス対策で誤検知/否定を行う場合の対処方法
• 誤検知の対応について | Norton Community
• McAfee KB - 正常なファイルがウイルスとして検知された場合（誤認）の対処方法 (TS101715)
• 安全なファイルがウイルスとして検知された【ウイルスセキュリティ】｜ソースネクスト

製品によっては、コード署名をすると、誤検知の可能性が減るらしい。

フィルタ・ドライバ処理のオーバーヘッドで、
特に大量データ処理（大量データの処理方式）やバックアップ処理（Windows Server のバックアップ）に影響を与える。

• フィルタ・ドライバ処理のバグはブルー・スクリーンになる。
• インターネット検索でもさまざまな情報を確認できる。

※ 2024年7月の CrowdStrike の事例は、まさにこのフィルタ・ドライバ（カーネルモード）の 不具合が世界規模の Windows 停止を招いたケースで、本ページ冒頭の指摘がそのまま該当する。

• 信頼されたウェブサイト用のURLをホワイトリストに載せる。
  (スクリプトを含むWebページ、Webアプリケーションの性能向上)

  • VirusScanエンタープライズ(VSE)がScriptScanコンポーネントでインストールされる場合、
    それは入って来るスクリプトとWindowsスクリプティング・ホストの間にプロキシを挿入します。
    これにより、スクリプトを含むWebページ、Webアプリケーションの性能が劣化する場合があります。
  • イントラネット内のサイト、頻繁に使用し、安全と知っているサイトのような
    信頼されたウェブサイトのURLをホワイトリストに載せることができます。

• ScriptScan とその動作（McAfee VirusScan）

  スクリプト スキャナは、正規の Windows Scripting Host コンポーネント
  に対するプロキシ コンポーネントとして機能します。
  スクリプトを停止して、スクリプトの実行前にスキャンします。

• Mozilla、McAfee ScriptScanアドオンをブロック対象に（スラッシュドット・ジャパン IT）

  同アドオンにより、Firefoxで大量のクラッシュが引き起こされていることが理由とされている。

---

Tags: セキュリティ