محتوای آموزشی وبلاگ نت‌آرام
روی سرور مجازی ایران پردازشی به نام
Antimalware Service Executable یا MsMpEng.exe بخش زیادی از CPU را می‌گیرد و برنامه‌ها کند شده‌اند. این پردازش به Microsoft Defender Antivirus مربوط است و هنگام بررسی فایل‌های زیاد یا اسکن برنامه‌ریزی‌شده ممکن است موقتاً فعال‌تر شود. مصرف بالا همیشه نشانه مشکل دائمی نیست؛ اما اگر با کار روزمره تکرار شود، باید منبع آن را پیدا کرد.خاموش‌کردن آنتی‌ویروس یا مستثناکردن کل درایو ممکن است فشار را کم کند، ولی یک سطح مهم محافظت را از بین می‌برد. در این راهنما با داده واقعی مشخص می‌کنیم کدام کار یا فایل باعث فشار شده و ابتدا راهکارهای کم‌خطرتر را امتحان می‌کنیم. اگر محصول امنیتی دیگری استفاده می‌کنید، ابزار و سیاست آن متفاوت است.
۱. مدت و زمان مصرف را بسنجید
روی سرور Task Manager را باز کنید، در تب Processes یا Details مصرف CPU پردازش
MsMpEng.exe را طی چند دقیقه ببینید و زمان را یادداشت کنید. یک اوج کوتاه بعد از آپدیت یا بازشدن تعداد زیادی فایل می‌تواند طبیعی باشد. اگر مصرف برای مدت طولانی بالا می‌ماند، آن را با زمان کندی برنامه، بکاپ، ساخت فایل یا اسکن زمان‌بندی‌شده تطبیق دهید.در PowerShell مدیر می‌توانید وضعیت Defender را بخوانید:
کد / دستورGet-MpComputerStatus | Select-Object AMRunningMode, AntivirusEnabled, RealTimeProtectionEnabled, AMProductVersion, AntivirusSignatureLastUpdated
Get-Process MsMpEng -ErrorAction SilentlyContinue | Select-Object Id, ProcessName, CPU, WorkingSet64
ستون
CPU در خروجی Get-Process مجموع زمان CPU از شروع پردازش است، نه درصد لحظه‌ای. برای درصد لحظه‌ای از Task Manager یا Performance Monitor استفاده کنید. در محیط دارای آنتی‌ویروس دیگر، Defender ممکن است در حالت متفاوتی اجرا شود و سیاست سازمان بر تنظیم‌های محلی مقدم باشد.۲. اسکن و بارهای هم‌زمان را بررسی کنید
در Task Scheduler، زیر
Task Scheduler Library سپس Microsoft، Windows و Windows Defender، زمان کارهای مرتبط با اسکن را ببینید. مسیر و نام وظایف بسته به نسخه و سیاست ممکن است فرق کند. در Event Viewer نیز مسیر Microsoft، Windows، Windows Defender و Operational رویدادهای اسکن یا خطا را نشان می‌دهد. زمان این رویدادها را با بکاپ، استخراج فایل یا job پایگاه داده مقایسه کنید.اگر اسکن کامل دقیقاً با بکاپ سنگین هم‌زمان است، مسئول امنیت می‌تواند زمان‌بندی آن را طبق سیاست سازمان به بازه خلوت منتقل کند؛ حذف دائمی اسکن یا خاموش‌کردن محافظت لحظه‌ای لازم نیست. پس از تغییر، مطمئن شوید اسکن در زمان جدید واقعاً کامل می‌شود و نتیجه آن ثبت شده است. اگر مصرف بالا خارج از اسکن زمان‌بندی‌شده رخ می‌دهد، مرحله بعد فایل‌های تحت بررسی را روشن‌تر می‌کند.
۳. از ابزار ثبت عملکرد Defender استفاده کنید
Microsoft برای نسخه‌های پشتیبان ابزار Performance Analyzer دارد. قبل از استفاده، در PowerShell مدیر وجود دستورها و پارامترها را بررسی کنید:
کد / دستورGet-Command New-MpPerformanceRecording, Get-MpPerformanceReport
Get-Command New-MpPerformanceRecording -Syntax
طبق مرجع Microsoft، این ابزار به نسخه مناسب پلتفرم Defender و دسترسی مدیر نیاز دارد. اگر دستور یا گزینه
-Seconds موجود نیست، دستور نمونه زیر را بی‌تغییر اجرا نکنید و راهنمای نسخه نصب‌شده را بخوانید. فایل گزارش ممکن است نام فایل‌ها و فرایندهای خصوصی را داشته باشد؛ در محل با دسترسی محدود نگه دارید.برای ثبت ۳۰ ثانیه در نسخه‌ای که
کد / دستور-Seconds دارد، در همان پنجره PowerShell اجرا کنید:$record = Join-Path $env:TEMP ('netaram-defender-' + [guid]::NewGuid().ToString('N') + '.etl')
New-MpPerformanceRecording -RecordTo $record -Seconds 30
Get-MpPerformanceReport -Path $record -TopFiles 10 -TopExtensions 10 -TopProcesses 10
خط اول نامی تازه در پوشه موقت حساب مدیر می‌سازد؛ مطمئن شوید این پوشه فضای کافی و دسترسی محدود دارد. خط دوم هنگام وقوع مشکل نمونه می‌گیرد و سوم فایل‌ها و فرایندهای پرهزینه را گزارش می‌کند. ثبت می‌تواند خود نیز بار و فایل ایجاد کند؛ مدت را کوتاه و با مجوز انتخاب کنید. بعد از پایان نیاز، فایل مشخص تولیدشده را طبق سیاست سازمان حذف کنید، نه تمام پوشه موقت را.
۴. نتیجه را به راهکار تبدیل کنید
اگر یک فرایند هر ثانیه همان مجموعه بزرگ فایل را بازنویسی می‌کند، بررسی کنید آیا می‌توان تولید تکراری را کم کرد، فایل‌های موقت را مدیریت کرد یا زمان job را تغییر داد. مثلاً یک ابزار گزارش‌گیری که هم‌زمان صدها خروجی غیرضروری تولید می‌کند ممکن است با کاهش تکرار یا زمان‌بندی بهتر، هم فشار برنامه و هم تعداد اسکن‌ها را کم کند. قبل و بعد، زمان پاسخ برنامه و مصرف CPU را در بار مشابه مقایسه کنید.
اگر گزارش به مسیر نرم‌افزار خاصی اشاره می‌کند، راهنمای رسمی همان سازنده درباره سازگاری و استثناهای مورد تأیید را بخوانید. نتیجه analyzer فقط نشان‌دهنده هزینه اسکن است و خودکار پیشنهاد استثنا یا اثبات امن‌بودن فایل نیست. استثناهای Defender سطح محافظت را کاهش می‌دهند؛ هر استثنای ضروری باید حداقل دامنه، تأیید مسئول امنیت، ثبت دلیل و آزمون بازگشت داشته باشد. از استثناکردن کل درایو، پوشه دانلود کاربران یا فرایند ناشناخته خودداری کنید.
۵. اگر ابزار داده کافی نداد
نسخه پلتفرم و اطلاعات امنیتی Defender، سلامت آپدیت و هم‌زمانی با نرم‌افزارهای امنیتی دیگر را با سیاست سازمان بررسی کنید. اگر مشکل دقیقاً پس از تغییر نسخه شروع شده، شماره نسخه و زمان آن را ثبت و راهنمای سازنده را برای آن نسخه ببینید؛ حذف تصادفی آپدیت امنیتی راه‌حل عمومی نیست. Microsoft در راهنمای عیب‌یابی کارایی Defender ابزارهای تکمیلی و ارجاع به پشتیبانی را توضیح می‌دهد.
اگر بار اصلی از برنامه دیگری است و Defender فقط هنگام دسترسی آن به فایل‌ها فعال می‌شود، برنامه و مسیر ذخیره‌سازی را نیز بررسی کنید. کاهش بار موقت با کم‌کردن هم‌زمانی jobها ممکن است مفید باشد، اما باید اثر آن بر زمان انجام کار را بسنجید.
۶. موفقیت را با حفظ محافظت تأیید کنید
در دوره‌ای مشابه زمان مشکل، مصرف CPU، زمان پاسخ برنامه و رویدادهای Defender را دوباره بخوانید.
Get-MpComputerStatus را بررسی کنید تا وضعیت محافظت با سیاست مورد انتظار سازگار باشد و اسکن برنامه‌ریزی‌شده در زمان جدید انجام شود. اگر تغییر باعث اختلال یا کاهش ناخواسته پوشش شد، تنظیم ثبت‌شده قبلی را از همان ابزار مدیریت برگردانید و با مسئول امنیت هماهنگ کنید. باقی‌ماندن مصرف کوتاه‌مدت هنگام اسکن لزوماً شکست نیست؛ مهم کاهش فشار پایدار و حفظ امنیت است.اشتراک‌گذاری:
لینکدینتلگرامایکس
مقاله قبلی
مقاله بعدی
دیدگاه‌ها (۰)
دیدگاه‌های تاییدشده و پاسخ‌های تیم نت‌آرام