检查 Exchange 防病毒排除项

如何测试 Exchange Server 排除项是否已从防病毒软件中正确排除？我们已经展示了如何运行 PowerShell 脚本并获取 Exchange Server 2013/2016/2019 的防病毒排除项。该脚本在 Exchange Server 上运行，Exchange Server 的所有排除项将作为结果显示在三个文本文件中。之后，您需要将其从安全产品中排除。这可以是 Microsoft Defender 防病毒软件或在 Exchange Server 上运行的任何第三方安全产品。

如果您想仔细检查防病毒排除设置是否正确该怎么办？在本文中，我们将了解如何使用 PowerShell 脚本检查 Exchange 防病毒排除项。

介绍

大多数时候，您为 Exchange Server 设置防病毒排除项时，都不会回头。但仔细检查并验证排除设置是否正确不是更好吗？也许您不管理安全产品并将排除项发送给安全团队。您如何确认团队确实排除了正确的排除项？

让我们查看 PowerShell 脚本并检查 Exchange Server 上的防病毒排除设置是否正确。

测试 Exchange 防病毒排除 PowerShell 脚本

检查防病毒排除是否配置正确的一个好方法是使用 Test-ExchAVExclusions.ps1 PowerShell 脚本。

Test-ExchAVExclusions.ps1 PowerShell 脚本将 EICAR 测试文件写入 Exchange Server 上需要排除的所有路径。那么，它们就不应该被安全产品检测到。这可以是 Microsoft Defender 防病毒软件或在 Exchange Server 上运行的第三方防病毒产品。

运行脚本后有两个结果：

1. 如果文件被删除，则该路径未正确从 AV 扫描中排除

2. 如果文件没有被删除，那么它应该被正确排除

脚本创建 EICAR 文件后，它将等待 60 秒，以便 AV“查看”并删除该文件。

注意： EICAR 防病毒测试文件或 EICAR 测试文件是由欧洲计算机防病毒研究所 (EICAR) 和计算机防病毒研究组织 (CARO) 开发的计算机文件，用于测试计算机防病毒 (AV) 程序。该测试文件不使用可能造成真正损害的真正恶意软件，而是允许人们在不使用实际计算机病毒的情况下测试防病毒软件。

下载测试 Exchange Antivirus 排除 PowerShell 脚本

从 GitHub 下载 Test-ExchAVExclusions.ps1 PowerShell 脚本并将其放置在 Exchange Server C:\scripts 文件夹中。如果您没有脚本文件夹，请创建一个。

确保该文件未被阻止，以防止运行脚本时出现错误。请阅读文章运行 PowerShell 脚本时出现未数字签名错误来了解更多信息。

在未设置排除的情况下运行测试 Exchange Antivirus 排除 PowerShell 脚本

以管理员身份运行 Exchange 命令行管理程序。将目录路径更改为 C:\scripts 并运行脚本。

PS C:\> cd C:\scripts
PS C:\scripts> .\Test-ExchAVExclusions.ps1

该脚本将运行 60 秒。

脚本运行完成后，将在屏幕上显示结果。

[2/7/2022 8:23:45 PM] - Creating EICAR Files
[2/7/2022 8:24:47 PM] - Testing for EICAR files
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: c:\windows\cluster\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: c:\program files\microsoft\exchange server\v15\clientaccess\oab\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: c:\program files\microsoft\exchange server\v15\fip-fs\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: c:\program files\microsoft\exchange server\v15\groupmetrics\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: c:\program files\microsoft\exchange server\v15\logging\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: c:\program files\microsoft\exchange server\v15\mailbox\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: c:\program files\microsoft\exchange server\v15\transportroles\data\ipfilter\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: c:\program files\microsoft\exchange server\v15\transportroles\data\queue\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: c:\program files\microsoft\exchange server\v15\transportroles\data\temp\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: c:\program files\microsoft\exchange server\v15\transportroles\logs\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: c:\program files\microsoft\exchange server\v15\transportroles\pickup\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: c:\program files\microsoft\exchange server\v15\transportroles\replay\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: c:\program files\microsoft\exchange server\v15\working\oleconverter\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: c:\windows\microsoft.net\framework64\v4.0.30319\temporary asp.net files\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: c:\windows\system32\inetsrv\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: e:\db01\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: f:\db01\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: g:\db02\eicar.com
[2/7/2022 8:24:47 PM] - [FAIL] - Possible AV Scanning: h:\db02\eicar.com
WARNING: Found 19 folders that are possibly being scanned!
WARNING: Review C:\Users\administrator.EXOIP\AppData\Local\BadFolders.txt For the full list.

分析 Exchange 防病毒排除日志文件

PowerShell 脚本在 AppData 本地 路径中输出两个文件：

• BadFolders.txt：防病毒扫描的文件夹列表

• ExchAvExclusions.log：日志文件

启动文件资源管理器并转到路径：

%LOCALAPPDATA%

打开并分析 ExchAvExclusions.log 文件。

打开并分析 BadFolders.txt 文件。

运行测试 Exchange Antivirus 排除 PowerShell 脚本并设置排除

让我们重新运行 Test-ExchAVExclusions.ps1 PowerShell 脚本。但是，这次设置了 Exchange Server 防病毒排除项。

PS C:\> cd C:\scripts
PS C:\scripts> .\Test-ExchAVExclusions.ps1

扫描后，确实显示 Exchange Server 上设置了防病毒排除项。

[2/7/2022 8:30:10 PM] - Creating EICAR Files
[2/7/2022 8:30:12 PM] - Testing for EICAR files
[2/7/2022 8:30:12 PM] - All EICAR files found; Exclusions appear to be set properly

一切看起来都很棒！

了解更多：永久关闭 Windows 11 中的 Windows Defender »

结论

您了解了如何检查 Exchange Server 防病毒排除项。最好仔细检查 Exchange Server 上是否设置了防病毒排除项。这可以是 Microsoft Defender 防病毒软件或第三方防病毒产品。您可能会发现排除项设置不正确。确保设置了 Exchange 防病毒排除项并重新运行脚本以再次测试。

您喜欢这篇文章吗？您可能还喜欢由于 Exchange Server AMSI 集成而导致的 Outlook 问题。不要忘记关注我们并分享这篇文章。