החרגות ב-Defender for Endpoint: מה לא לעשות
פורסם ב-4 במאי 2025
מבוא: בחודשים האחרונים סקרנו עשרות הגדרות של Microsoft Defender, ויש נושא שחוזר שוב ושוב: שימוש יתר בהחרגות (exclusions), של תיקיות, סוגי קבצים ואפילו תהליכים שאסור לעולם להחריג.
כן, יש סיבות לגיטימיות להגדיר החרגות (ביצועים, false positives, תאימות), אבל צריך לטפל בהן בזהירות. כל החרגה = פחות נראות. כל החרגה = יותר סיכון.
Microsoft פרסמה עכשיו עדכון שימושי מאוד:
“Common mistakes to avoid when defining exclusions”, וזה חובת קריאה.
הנה סיכום מעשי + כמה תובנות מהשטח:
1. החרגת פריטים “מהימנים”
העובדה שקובץ או תיקייה נראים בטוחים לא אומרת שצריך להחריג אותם. malware מסתתר לא פעם במקומות מוכרים, ומחקה שמות לגיטימיים.
הימנעו מהחרגת התיקיות האלה (Windows):
- %systemdrive%, C:, C:\Temp, %Windir%\Temp
- %ProgramFiles%\Java, %ProgramFiles%\Contoso\
- C:\Users, C:\Users<User>\AppData\Local\Temp\
- C:\Windows\Prefetch, C:\Windows\System32\Spool, CatRoot2
הימנעו מהחרגת התיקיות האלה (macOS/Linux):
- /, /bin, /sbin, /usr/lib
חשוב:
SharePoint הוא יוצא דופן: כשמשתמשים ב-AV ברמת קובץ, כן צריך להחריג:
- C:\Users\ServiceAccount\AppData\Local\Temp
- C:\Users\Default\AppData\Local\Temp
2. סיומות קבצים שאסור להחריג
תוקפים מנצלים סיומות מוכרות כדי להפיל payloads או להריץ סקריפטים.
ובכל זאת אנחנו מוצאים לא פעם החרגות של סוגי קבצים שלמים כמו .exe או .dll.
אל תחריגו את הסיומות הבאות:
.7z, .bat, .bin, .cab, .cmd, .com, .cpl, .dll, .exe, .fla, .gif, .gz, .hta, .inf, .java, .jar, .job, .jpeg, .jpg, .js, .ko, .msi, .ocx, .png, .ps1, .py, .rar, .reg, .scr, .sys, .tar, .tmp, .url, .vbe, .vbs, .wsf, .zip
אם אתם חייבים להחריג משהו כמו .gif או .jpg, ודאו ש:
- בסביבה שלכם נאכפת מדיניות patch/עדכון קפדנית.
- ההחרגה מוגבלת למיקום או לתהליך ספציפי, ולא חלה על כל המערכת.
3. תהליכים בסיכון גבוה שאסור להחריג לעולם
החרגת תהליכים היא עסק מסוכן. התהליכים האלה מנוצלים לא פעם בתקיפות, ואסור להחריג אותם בשום מקרה.
תהליכים שאסור להחריג (Windows):
powershell.exe, cmd.exe, cscript.exe, wscript.exe, java.exe, mshta.exe, dotnet.exe, outlook.exe, excel.exe, winword.exe, schtasks.exe, svchost.exe, psexec.exe, wmic.exe, dbgsvc.exe, msbuild.exe, AcroRd32.exe, וכו’.
🛑 מקבילים ב-macOS/Linux:
bash, sh, zsh, python, python3, java
גם תהליכים כמו iexplore.exe או fsi.exe יכולים לשמש כנשק.
4. שימוש בשם קובץ בלבד (בלי נתיב מלא)
ראינו סביבות שבהן קבצים מוחרגים לפי שם בלבד, כמו scan.exe.
רעיון רע.
למה?
כי malware יכול לזייף את שם הקובץ הזה ולנחות במיקום אחר.
שיטה מומלצת: השתמשו תמיד בנתיב מלא, למשל:
C:\Program Files\Contoso\scan.exe, ולא רק scan.exe.
5. שימוש חוזר ברשימה אחת לכל עומסי העבודה
לא הייתם מחילים את אותה מדיניות אבטחה על domain controller ועל שרת קבצים, אז אל תשתמשו גם ברשימת החרגות ענקית אחת.
פצלו את ההחרגות לפי תפקיד השרת:
- IIS לעומת SQL Server לעומת SharePoint לעומת RDS: החרגות שונות, צרכים שונים.
6. שימוש לא נכון במשתני סביבה כ-wildcards
זו טעות קלאסית. Defender Antivirus רץ ב-system context, כלומר הוא יכול לפתור רק משתנים ברמת המערכת, לא משתני משתמש.
❌ %UserProfile% לא יעבוד
✅ %ProgramFiles%, %SystemRoot% בסדר
הימנעו משימוש במשתני סביבה של משתמש בהחרגות, אלא אם אתם באמת מבינים את הקשר הריצה.
🔚 מחשבות אחרונות
החרגות יכולות להיות הכרחיות, אבל הן גם מסוכנות.
בכל פעם שאתם מחריגים תיקייה, תהליך או סוג קובץ, אתם עלולים לתת לתוקפים אזור בטוח.
לפני שמוסיפים החרגה, שאלו:
- האם ההחרגה הזו באמת נחוצה?
- האם אפשר להגביל אותה בצורה צרה יותר?
- האם יש פתרון עוקף אחר שלא מפחית את ההגנה?
📎 המאמר המלא של Microsoft (מומלץ בחום):
Common mistakes to avoid when defining exclusions