Defender Viren- und Bedrohungsschutz Ausschlußliste per GPO

[OnkelDittmeyer 1]

Hallo zusammen! Ich möchte per Pfadausschluß Dateien mit einer bestimmten Erweiterung in einem Verzeichnis und allen seinen Unterverzeichnissen ausschließen.

Bei dem hier: 

C:\Users\Public\Documents\Test\DS\*.cdk     bin ich mir nicht sicher ob das so stimmt?

 

weil es meines Erachtens nur auf das Verzeichnis DS wirkt, nicht aber auf die Unterverzeichnisse von DS, doch wie mache ich es richtig?

 

 

Microsoft schreibt zu dem Thema:

Hinweis

Wenn Sie einen vollqualifizierten Pfad zu einer Datei angeben, wird nur diese Datei ausgeschlossen. Wenn im Ausschluss ein Ordner definiert ist, werden alle Dateien und Unterverzeichnisse unter diesem Ordner ausgeschlossen.

 

Die Erläuterung passt nicht ganz zu meiner Frage, denn bei mir ist sowohl ein Ordner als auch eine Namenserweiterung im Ausschlusskriterium enthalten..

 

Gruß OD

 

bearbeitet 21. Juli von OnkelDittmeyer

[magheinz 110]

Geht vielleicht C:\Users\Public\Documents\Test\DS\*\*.cdk

?

[OnkelDittmeyer 1]

vor 6 Minuten schrieb magheinz:

Geht vielleicht C:\Users\Public\Documents\Test\DS\*\*.cdk

?

Hallo magheinz danke für Deine schnelle Reaktion.

Das käme viell auf einen Versuch an, den ich dann starten müsste.Dokumentiert ist die Variante von MS jedenfalls nicht .

...nur mit Dateien/Verzeichnissen...nicht mit Erweiterungen.

 

Im Moment hoffte ich noch auf eine Antwort von jemanden der den konkreten Fall schon selbst  mal (gelöst) hatte.

[magheinz 110]

https://support.microsoft.com/de-de/topic/hinzufügen-eines-dateityps-oder-eines-prozessausschlusses-zu-windows-security-e524cbc2-3975-63c2-f9d1-7c2eb5331e53

 

Zitat

Verwenden von Platzhaltern oder Umgebungsvariablen
Sie können einen Platzhalter („*“) verwenden, um eine beliebige Anzahl von Zeichen zu ersetzen.

In Dateitypausschlüssen
Wenn Sie in der Dateierweiterung ein Sternchen verwenden, fungiert es als Platzhalter für eine beliebige Anzahl von Zeichen. „*st“ schließt .test, .past, .invest und alle anderen Dateitypen aus, bei denen die Erweiterung auf „st“ endet.

 

 

sollte also funktionieren. * ist eine "beliebige Anzahl von Zeichen

https://learn.microsoft.com/de-de/defender-endpoint/configure-extension-file-exclusions-microsoft-defender-antivirus#use-wildcards-in-the-file-name-and-folder-path-or-extension-exclusion-lists

 

gibt ne tabelle für die wildcards

bearbeitet 21. Juli von magheinz
Posting gekürzt, sorgt sonst nur für Verwirrung

[OnkelDittmeyer 1]

vor 17 Stunden schrieb magheinz:

https://support.microsoft.com/de-de/topic/hinzufügen-eines-dateityps-oder-eines-prozessausschlusses-zu-windows-security-e524cbc2-3975-63c2-f9d1-7c2eb5331e53

 

 

 

sollte also funktionieren. * ist eine "beliebige Anzahl von Zeichen

https://learn.microsoft.com/de-de/defender-endpoint/configure-extension-file-exclusions-microsoft-defender-antivirus#use-wildcards-in-the-file-name-and-folder-path-or-extension-exclusion-lists

 

gibt ne tabelle für die wildcards

Danke! Ja, die Tabelle  kenne ich, jat mir aber auch nicht weiter geholfen.  Ich werde es mit der Doppelstern-Variante probieren, weil das auch für mich die am nächsten liegendeste ist.
Bevor ich dann aber hier über Erfolg oder Misserfolg poste, muss ich dann auch erstmal sehen ,wie man die Ergebnisse zunächst verifiziert.
Ich melde mich dann.
Gruß OD

[magheinz 110]

Gerade eben schrieb OnkelDittmeyer:

Danke! Ja, die Tabelle  kenne ich, jat mir aber auch nicht weiter geholfen.  Ich werde es mit der Doppelstern-Variante probieren, weil das auch für mich die am nächsten liegendeste ist.
Bevor ich dann aber hier über Erfolg oder Misserfolg poste, muss ich dann auch erstmal sehen ,wie man die Ergebnisse zunächst verifiziert.
Ich melde mich dann.
Gruß OD

Leg da einfach eine EICAR-Datei rein. https://de.wikipedia.org/wiki/EICAR-Testdatei und nenn sie "Testvirus.cdk"

Wenn der Defender anschlägt, funktioniert der Ausschluss nicht.

[OnkelDittmeyer 1]

vor 5 Minuten schrieb magheinz:

Leg da einfach eine EICAR-Datei rein. https://de.wikipedia.org/wiki/EICAR-Testdatei und nenn sie "Testvirus.cdk"

Wenn der Defender anschlägt, funktioniert der Ausschluss nicht.

Danke für den Tipp!

[magheinz 110]

Ist übrigens auch so bei MS dokumentiert und beschrieben:

https://learn.microsoft.com/en-us/defender-endpoint/configure-extension-file-exclusions-microsoft-defender-antivirus#validate-exclusions-lists-with-the-eicar-test-file

[testperson 1.652]

Hi,

 

losgelöst vom derzeit vorliegenden Problem: Ist es eine gute Idee Daten(?) in "C:\Users\Public\Documents\" abzulegen bzw. AV Ausschlüsse in einem Verzeichnis zu setzen, wo am Ende "Jeder" "Ändern" Rechte hat?

 

Ggfs. sollte da angesetzt werden.

 

Gruß

Jan

[OnkelDittmeyer 1]

vor einer Stunde schrieb testperson:

Hi,

 

losgelöst vom derzeit vorliegenden Problem: Ist es eine gute Idee Daten(?) in "C:\Users\Public\Documents\" abzulegen bzw. AV Ausschlüsse in einem Verzeichnis zu setzen, wo am Ende "Jeder" "Ändern" Rechte hat?

 

Ggfs. sollte da angesetzt werden.

 

Gruß

Jan

Hallo Jan,

ich würde diese Fragestellung nicht hier weiter vertiefen, um nicht unterschiedliche Themen zu vermischen, und den Verlauf aufzublähen.

Dann sollt man viell. einen neuen Verlauf dafür aufmachen.

Die Frage "Sollten Dateien/Verzeichnisse die "öffentlich" zugänglich sein müssen, unter Public gespeichert werden, und wenn nicht, wo dann" hat ja durchaus seine Berechtigung,
und ich frage mich das mitunter auch...

Gruß OD
 

 

bearbeitet 22. Juli von OnkelDittmeyer

[MurdocX 932]

Am 22.7.2024 um 10:49 schrieb testperson:

..losgelöst vom derzeit vorliegenden Problem: Ist es eine gute Idee Daten(?) in "C:\Users\Public\Documents\" abzulegen bzw. AV Ausschlüsse in einem Verzeichnis zu setzen, wo am Ende "Jeder" "Ändern" Rechte hat?

Den selben Gedankengang hatte auch auch  

 

Es sollte auch erwähnt werden, dass dies nicht allgemein zu empfehlen ist und nur eine spezielle Lösung für den TO darstellt.

[testperson 1.652]

vor 10 Stunden schrieb MurdocX:

Es sollte auch erwähnt werden, dass dies nicht allgemein zu empfehlen ist und nur eine spezielle Lösung für den TO darstellt.

Nennen wir es eher Würgaround bis man mit dem Hersteller gesprochen hat, dass man sowas eher nicht machen sollte.* ;)

 

(Es ist erstaunlich, wie viele Hersteller "in letzter Zeit" offene Ohren für solch security-relevante Themen haben und dankbar für Feedback sind. Bei 3 von 5 solcher Anfragen wurde ich zuletzt positiv überrascht. Dafür gab es bei den zwei verbleibenden genau gar keine Reaktion.)

 

*) Um das wirklich so zu beurteilen bzw. zu untermauern, müsste man halt mehr Details haben.