按需扫描的最佳实践

技术文章 ID: KB74059
上次修改时间: 2022/03/31

环境

Endpoint Security (ENS) 威胁防护 10.x
VirusScan Enterprise (VSE) 8.8

摘要

本文提供了配置计划任务按需扫描最佳实践。

计划时可使用两种不同的方法 -基于策略和自定义按需扫描客户端任务。最佳方法：

使用基于策略以配置每周和每日的常规扫描任务。
使用自定义当需要补充扫描时进行扫描，并配置有扫描位置目标或计划。

以下是有关每种扫描类型的详细信息：

基于策略的扫描任务- 使用签入 ENS/VSE ePO 扩展时提供的"按需扫描 - 完全扫描"和"按需扫描 - 快速扫描"默认客户端任务计划此类扫描。这些客户端任务允许配置计划参数，例如时间和随机选择。但是，扫描行为本身从按需扫描端点的策略定义。要更改此类任务的扫描位置配置，请修改以下位置的策略：策略目录,Endpoint Security 威胁防护，按需扫描. 然后，在计划任务时，会遵守端点的策略及其设置。客户端任务决定用于计划扫描的每个策略选项卡（快速扫描/完全扫描）上的设置。策略更改可实时反映在端点上，供扫描配置使用。
自定义扫描任务- 与基于策略的扫描任务不同，自定义扫描在执行扫描时不会引用为端点分配的策略。相反，所有扫描参数（例如，扫描位置和性能配置）、计划和随机选择都完全包含在任务配置中。在下次计划运行任务之前，扫描行为更改不会在端点上反映。自定义扫描不要ePO 产品属性页面的报告信息，包括"最后一次完全扫描日期"和"最近快速扫描"等值。通过配置自定义扫描，客户端任务,Endpoint Security 威胁防护,新建任务,自定义按需扫描工作流。

注意：例如自定义扫描任务，如果在系统启动后重新启动按需扫描，扫描不会在引导系统后恢复。

按需扫描配置是一个两阶段过程：配置要扫描的位置和计划扫描时间. 要决定如何配置按需扫描程序，请断开扫描目标以最大程度减少扫描的数据：

将每日内存按需扫描配置为必要保护的一部分 - 每日扫描内存（对于 Rootkit）和正在运行的进程快速完成，几乎不会影响用户。如果存在可疑行为，此为提前警告。在具有此每日扫描按需扫描的系统中立即执行完全扫描。
配置活动用户按需扫描，并包括以下扫描位置 - 这些扫描位置是恶意软件攻击的常见目标。至少每周或甚至每日扫描以下位置：
- 用户配置文件文件夹
- Temp 文件夹
- 注册表
- 已注册文件
- Windows 文件夹
配置定期的完全按需扫描作为必要保护的一部分 - 至少包括以下常规按需扫描设置：
- 默认位置：
  - 内存 (在其中查找 Rootkit)
  - 正在运行的进程
  - 所有本地驱动器
  - 注册表
- 扫描选项：
  - 扫描子文件夹
  - Boot sectors
- McAfee Enterprise 强烈建议您按以下时间间隔计划按需扫描：
  - 日常 - 在主要恶意软件爆发期间
  - 每周 - 提供良好保护
  - 每月 - 次等保护，有风险

此外，请根据需求按需扫描以下策略设置：

启用扫描缓存- 扫描程序会保留先前扫描文件的缓存，即使重新启动计算机后所扫描的文件也一样。此设置通过使用现有扫描结果来确定是否需要扫描文件来提高性能。清理文件即被添加到清理文件扫描缓存中。下次访问文件时，如果文件在缓存中或自上次扫描后未更改，则不扫描这些文件。通过以下选项配置扫描缓存：
- ENS：配置选项使用扫描缓存在策略按需扫描中。
- VSE：配置以下全局扫描设置：启用在重新启动时保存扫描数据和允许按需扫描 to utilize扫描缓存.

配置系统 utilization - 系统utilization设置映射到 Windows优先级控制。此设置允许操作系统控制扫描程序CPU扫描程序所接收时间的时间量。如果其他较高优先级的任务CPU，则操作系统会CPU与系统按需扫描（scan32.exe并将其分配给其他任务。当其他任务不再需要在CPU任务时，操作系统CPU返回scan32.exe. 配置系统utilization使用下列选项：

ENS：配置选项系统utilization 在策略按需扫描中。
VSE：配置选项系统utilization 在任务"性能"按需扫描选项卡中。

配置系统utilization具体取决于系统中正常执行的活动类型。有关此功能工作原理的信息，请参阅：KB55145 - 按需扫描性能设置.

注意：设置系统 utilization如果太小，可能会导致扫描最多需要两次。

Utilization	优先
低	对于平均操作系统用户活动。改进其他正在运行的应用程序的性能。
低于正常水平	对于具有典型用户活动（例如个人计算机或笔记本电脑）的系统。
常规	对于系统很少或无用户活动，也无法提供用户服务的应用程序。换言之，扫描会以扫描使用系统时的时间运行。

仅在系统空闲时扫描- ENS 可以检测用户在系统中存在且处于活动状态时。 ENS 可以相应地暂停扫描，以避免资源使用冲突。此选项使用多个注意事项来确定系统是否得到主动使用，例如鼠标/键盘输入、磁盘 I/O 等。不建议对服务器使用此功能，因为它们可能拥有自然较高的后台资源 usuage。但是，此选项在用户正常工作时间外具有可靠的停机时间的端点上很有用。此选项不会在运行扫描时限制资源消耗。此选项遵循系统功能任务或用于运行扫描按需扫描策略提供的"系统利用率"选项。
限制最大CPU使用率- 此选项允许管理员定义一个阈值，CPU ENS 扫描运行时超过该阈值的 usuage%。例如，如果您限制最大CPU使用率至 25%，ENS 尝试保留mcshield.exe进程处理达到该值上限的扫描，但输入关键操作（如扫描存档内部）时除外。此选项在 ENS 中可用10.7.0，且可在选择"随时扫描"选项时选中。不能将该选项与"仅在系统空闲时扫描"一起使用。此外，按需扫描策略中的排除项也具有注意事项，因为此功能在CPU时不会执行进一步CPU。

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

Best Practices
Configuration
Endpoint Security Threat Prevention 10.7.x
Endpoint Security Threat Prevention 10.6.x
VirusScan Enterprise 8.8 (EOL)

语言:

此文章有以下语言版本：

German
English United States
Spanish Spain
French
Italian
Japanese
Korean
Dutch
Portuguese Brasileiro
Chinese Simplified
Chinese Traditional

Knowledge Center

按需扫描的最佳实践

环境

摘要

相关信息

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

按需扫描的最佳实践

环境

摘要

相关信息

免责声明

受影响的产品

语言:

选择您的区域

Title

Title