O antivírus, a quarentena e as exclusões

Um executável que some depois de uma atualização, uma integração que para de funcionar sem nenhuma mudança e um banco que fica lento depois da troca do antivírus podem ter a mesma origem: a proteção do computador bloqueou um arquivo, mandou um arquivo para a quarentena ou passou a analisar cada gravação do banco. As exclusões resolvem parte desses casos, mas cada exclusão abre uma lacuna na proteção.

A proteção do Windows

Os Windows 10 e 11 trazem o Microsoft Defender Antivírus, gerenciado pelo aplicativo Segurança do Windows. A proteção em tempo real analisa os arquivos no momento em que são abertos, gravados ou executados, e as assinaturas, que permitem reconhecer as ameaças, chegam pelas atualizações.

Quando outro antivírus é instalado, o Defender se desativa sozinho nos Windows 10 e 11, para que dois antivírus não disputem os mesmos arquivos em tempo real. No Windows Server, essa troca não acontece automaticamente, e o Defender precisa ser desativado ou removido à parte para evitar lentidão e conflitos. No PowerShell, dois comandos mostram a situação:

• Get-MpComputerStatus: mostra o estado da proteção, como a proteção em tempo real ativa e a data da última atualização das assinaturas;
• Get-MpThreatDetection: lista as detecções atuais e passadas do computador.

A quarentena

A quarentena guarda o arquivo detectado em uma área isolada, onde ele não pode ser executado. Para o sistema da loja, o efeito é o de um arquivo apagado: o atalho deixa de funcionar, ou o programa avisa que não encontra um componente.

O Histórico de proteção, em Segurança do Windows, mostra cada detecção, com o arquivo, a data e a ação tomada, e ver os detalhes exige permissão de administrador. Para um item em quarentena, as ações são Remover e Restaurar. Para uma ameaça encontrada que aguarda uma ação, a opção Permitir no dispositivo deixa o arquivo seguir e o coloca na lista de Ameaças permitidas, de onde ele pode ser retirado depois.

O MpCmdRun.exe, na pasta Windows Defender dentro de Arquivos de Programas, faz o mesmo pelo prompt de comando aberto como administrador:

• MpCmdRun.exe -Restore -ListAll: lista os itens em quarentena;
• MpCmdRun.exe -Restore -Name <ameaça>: restaura o item mais recente da ameaça com o nome mostrado na lista.

A restauração exige certeza de que o arquivo é legítimo: a origem, como o instalador oficial do fornecedor, a assinatura digital nas propriedades do arquivo e a confirmação do fornecedor do sistema. O arquivo restaurado volta a ser detectado como ameaça, e a solução definitiva vem da correção pelo fabricante do antivírus, depois do envio do arquivo para análise como falso positivo, ou de uma exclusão.

As exclusões

Uma exclusão tira um item da análise do antivírus, e o Defender aceita quatro tipos:

• Arquivo: um arquivo específico, pelo caminho completo;
• Pasta: uma pasta, com todas as subpastas e os arquivos dentro dela;
• Tipo de arquivo: todos os arquivos com uma extensão;
• Processo: os arquivos abertos por um programa, só na proteção em tempo real, enquanto o próprio executável continua analisado.

As exclusões ficam em Segurança do Windows, em Proteção contra vírus e ameaças, Gerenciar configurações e Adicionar ou remover exclusões. No PowerShell aberto como administrador:

• Get-MpPreference | Select-Object -ExpandProperty ExclusionPath: lista as pastas e os arquivos excluídos;
• Add-MpPreference -ExclusionPath "C:\mysql-tmp": inclui uma pasta nas exclusões, sem mexer nas outras;
• Remove-MpPreference -ExclusionPath "C:\mysql-tmp": retira a exclusão;
• MpCmdRun.exe -CheckExclusion -Path "C:\mysql-tmp": confirma se um caminho está excluído.

O comando Set-MpPreference, com as mesmas opções, substitui a lista inteira, e as exclusões existentes se perdem. A Microsoft aponta erros comuns nas exclusões:

• a raiz de um disco, como C:\, e as pastas dos usuários;
• as pastas temporárias, usadas com frequência por ataques;
• extensões de programas e de scripts, como .exe, .dll, .bat, .ps1 e .msi;
• programas como powershell.exe e cmd.exe;
• nomes de arquivo sem o caminho completo.

Cada exclusão fica registrada no chamado, com o motivo, o caminho e a data, para que alguém saiba depois por que ela existe.

O antivírus e o banco

O MySQL grava os arquivos de dados o tempo todo, e o antivírus que analisa cada gravação deixa o banco lento e pode apontar os arquivos como suspeitos pela forma como eles mudam. A documentação do MySQL recomenda tirar da análise a pasta de dados, indicada na opção datadir, e configurar uma pasta própria para os arquivos temporários, na opção tmpdir do my.ini, para também tirar da análise. A pasta temporária própria evita a exclusão da pasta temporária do Windows. Os caminhos das duas pastas aparecem em consultas:

• SELECT @@datadir;: mostra a pasta de dados do MySQL;
• SELECT @@tmpdir;: mostra a pasta dos arquivos temporários.

Outros bloqueios do Windows

O acesso controlado a pastas, em Proteção contra ransomware, permite que só programas confiáveis alterem os arquivos de pastas protegidas, como Documentos, Imagens, Vídeos e Músicas, e vem desligado de fábrica. Ligado, ele pode bloquear um sistema que grava relatórios em Documentos, com um aviso na tela e um registro no Histórico de proteção, e a permissão para o programa, pelo caminho do executável, resolve sem desligar a proteção.

O SmartScreen avalia a reputação dos programas baixados da internet e mostra um aviso para os que ainda não têm reputação, como o instalador de uma versão recém-lançada. O aviso pede cautela, e a execução depende de confirmar a origem do arquivo. O SmartScreen não analisa os arquivos abertos de pastas compartilhadas da rede.