Антивирус и установка обновлений

Руководство описывает, как настроить антивирусную защиту на хостах под управлением LSUS, чтобы она не мешала установке обновлений: какой набор исключений желателен независимо от производителя, как задать его в Microsoft Defender, Kaspersky Endpoint Security и Dr.Web на Windows и на Linux, что исключать нельзя ни при каких условиях, как доказать, что установку блокирует именно антивирус, и какие ошибки установки связаны с антивирусом.

Зачем это нужно#

Агент LSUS ставит обновления штатным механизмом Windows: скачивает пакет .msu/.cab и запускает wusa.exe, который передаёт работу службе TrustedInstaller и стеку CBS. Антивирус работает на уровне драйвера-фильтра файловой системы (minifilter) и перехватывает каждую операцию чтения/записи. На путях обслуживания Windows это даёт три типовых эффекта:

• Блокировка файла. Антивирус держит пакет или компонент хранилища открытым — TrustedInstaller получает отказ в доступе.
• Изменение файла. Повторная запись или пересчёт содержимого между скачиванием и проверкой целостности — Windows отклоняет пакет.
• Карантин. Антивирус забирает файл из WinSxS — хранилище компонентов повреждается, и последующие обновления не ставятся уже независимо от антивируса.

Внешне это выглядит как «обновление зависло»: журнал CBS не растёт, волна стоит, а явной ошибки нет.

Как понять, что мешает антивирус#

Сам по себе признак «CBS молчит» диагноз не ставит. Агент различает тишину журнала и реальную работу установщика: каждые 15 секунд он опрашивает журнал CBS и замеряет процессорное время процессов TrustedInstaller, TiWorker, wuauclt, своего wusa.exe и выделенного процесса службы Windows Update. Если за интервал опроса эти процессы суммарно потратили 200 мс и больше процессорного времени — установка идёт, и агент ждёт дальше. Если 10 минут подряд не растёт ни журнал CBS, ни процессорное время этих процессов — агент останавливает wusa.exe и переводит задание в состояние «замер».

Порядок проверки:

1. Откройте Управление обновлениями, переключателем в шапке выберите Windows и перейдите на подвкладку «Кампании установки» (или «Пакетные задания»). Найдите нужное задание и посмотрите его статус: «замер» означает, что установщик остановлен до подтверждения Windows.
2. В карточке задания нажмите «Диагностика установки» (если есть остановившиеся команды — пункт подписан «Диагностика (есть зависшие)») — откроется окно «Диагностика установки · задание». В таблице по хостам команда с остановившимся прогрессом помечена значком «⚠ завис», рядом — сколько времени она молчит.
3. В колонке «Действия» нажмите «Собрать архив» — откроется модалка «Архив диагностики с хоста». Отметьте нужные источники, нажмите «Запросить сбор», дождитесь готовности и нажмите «Скачать ZIP». В архив попадают конфигурация и журналы LSUS, %WINDIR%\Logs\WindowsUpdate, %WINDIR%\Logs\CBS, %WINDIR%\Logs\DISM, журналы событий System и Application за 7 дней и сведения о свободном месте на томах.
4. Рядом с архивом полезно нажать «Лог установки» — это журнал конкретной команды с кодами возврата по каждому KB.
5. В архиве ищите в журнале CBS строки Access is denied, STATUS_SHARING_VIOLATION, cannot open package, а в журнале событий — записи от minifilter-драйвера антивируса в момент установки.
6. Определите, какой драйвер фильтрует файловую систему:

fltmc filters

Пример вывода на хосте, где работает Microsoft Defender:

Filter Name         Num Instances    Altitude    Frame
------------------  -------------  ------------  -----
WdFilter                      3      328010         0

Здесь: WdFilter — драйвер-фильтр Microsoft Defender, Altitude — высота драйвера в стеке фильтрации. Для класса антивирусных фильтров Microsoft выделяет диапазон вокруг значения 328010: сторонний антивирус добавляет в список собственную строку, и по её имени видно, какой продукт перехватывает файловые операции.

7. Только после этого решайте, какое исключение добавлять.

Что антивирус уже делает сам на Windows#

Прежде чем добавлять исключения, проверьте, что уже настроено. Производители по-разному подходят к обслуживанию Windows: у Microsoft Defender часть исключений встроена, у Kaspersky есть предустановленные наборы только для серверных ролей, у Dr.Web готовых исключений для обслуживания Windows нет.

Microsoft Defender#

Defender исключает часть файлов обслуживания Windows автоматически — эти исключения не видны в приложении «Безопасность Windows».

Встроенные исключения действуют на всех поддерживаемых версиях Windows:

Автоматические исключения ролей действуют на Windows Server 2016 и новее; для роли WSUS это:

• %systemroot%\WSUS\WSUSContent
• %systemroot%\WSUS\UpdateServicesDBFiles
• %systemroot%\SoftwareDistribution\Datastore
• %systemroot%\SoftwareDistribution\Download

Проверка настроек Defender на хосте:

# автоматические исключения должны быть включены
Get-MpPreference | Select-Object DisableAutoExclusions

# текущий список пользовательских исключений
$p = Get-MpPreference
'ExclusionExtension','ExclusionPath','ExclusionProcess' | ForEach-Object {
    $t = $_; $p.$t | ForEach-Object { [pscustomobject]@{ Type = $t; Value = $_ } }
} | Format-Table -AutoSize

Ожидаемый ответ: DisableAutoExclusions равен False. Если True — автоматические исключения кто-то отключил, и каталоги обслуживания сканируются полностью.

Kaspersky Endpoint Security#

Начиная с версии 12.6 KES содержит предустановленные исключения для серверного ПО — Microsoft SQL Server, Microsoft Exchange, System Center Configuration Manager, Citrix и VMware. Исключений для обслуживания Windows в этом наборе нет: каталоги SoftwareDistribution, WinSxS и CatRoot2 проверяются на общих основаниях, всё нужное добавляется вручную.

Служба KES на хосте называется по-разному в зависимости от версии и локализации — KES, AVP, kavfs, kavfssrv. Драйвер-фильтр файловой системы — klif; его видно в выводе fltmc filters.

Dr.Web#

Предустановленных исключений для обслуживания Windows в Dr.Web нет — нужный набор полностью формируется администратором. Исключения задаются раздельно для двух компонентов, и это важно: список фоновой защиты и список проверки по требованию не общие.

• SpIDer Guard — файловый антивирус, фоновая защита. Раздел «Исключения»: файлы, каталоги и процессы через путь, имя или маску (*, ?).
• Сканер Dr.Web — проверка по требованию. Исключения задаются путём, именем или маской (*, ?); процессы здесь не настраиваются.

Оба списка настраиваются централизованно через политику Центра управления.

Отдельно работает Превентивная защита — она блокирует эксплойты и подозрительные действия приложений и не связана со списками исключений. У неё свои режимы («Блокировать», «Интерактивный», «Разрешать»), уровни («Параноидальный», «Средний», «Оптимальный», «Пользовательский») и персональные параметры для конкретных приложений — именно их настраивают, если агент обновления блокируется по поведению, а не по пути.

Рекомендуемые исключения для Windows-хоста#

Набор объектов одинаков для любого производителя антивируса — различается только то, как исключение задаётся в конкретной консоли. Раздел устроен так: сначала общий набор в терминах «каталог / маска / процесс», потом расширение для каталогов обслуживания Windows, потом подразделы по производителям со способом настройки. Для Linux-хостов набор другой — см. следующий раздел.

Список делится на две части: базовый минимум (каталоги и процессы самого LSUS — аналогично тому, как Microsoft рекомендует исключать каталоги Configuration Manager) и расширение, которое добавляют только при подтверждённой блокировке обслуживания Windows.

Общий набор — не зависит от производителя#

Если производитель поддерживает маски, каталоги LSUS можно задать одной записью %ProgramFiles%\LSUS\*, но путь без маски предпочтительнее: маска покрывает и будущие подкаталоги, которые вы не планируете открывать.

Расширение — каталоги обслуживания Windows#

Добавляйте только после того, как блокировка подтверждена (см. Как понять, что мешает антивирус). Набор тот же для любого производителя.

Настройка в Microsoft Defender#

Готовый скрипт для локального хоста (запускать от имени администратора):

$paths = @(
    "$env:ProgramFiles\LSUS\LsusAgent",
    "$env:ProgramFiles\LSUS\LsusConfigAgent",
    "$env:ProgramData\LSUS",
    "$env:windir\Temp\LsusKb"
)
foreach ($p in $paths) { Add-MpPreference -ExclusionPath $p }

foreach ($n in @('LsusAgent.exe','LsusConfigAgent.exe','wusa.exe')) {
    Add-MpPreference -ExclusionProcess $n
}

Контекстные исключения#

Defender версии 4.18.2205.7 и новее поддерживает контекстные исключения: правило срабатывает только в заданных условиях — по типу объекта, по типу сканирования или по процессу, который открыл файл. Это способ сузить исключение вместо того, чтобы открывать каталог целиком.

Пример — исключать каталог загрузки пакетов, только когда файл открывает установщик:

Add-MpPreference -ExclusionPath 'C:\Windows\Temp\LsusKb\:{PathType:folder,Process:"wusa.exe"}'

Доступные ключи контекста: PathType (file / folder), ScanType (quick / full), ScanTrigger (OnDemand / OnAccess / BM), Process (путь к исполняемому файлу). Ключи и значения чувствительны к регистру.

Настройка в Kaspersky Endpoint Security#

В KES общий набор задаётся в двух местах, и они решают разные задачи.

Исключения из проверки — по пути и маске. Локально на хосте: значок шестерёнки → Общие настройки → «Исключения и типы обнаруживаемых объектов». Для каждого исключения задаются путь или маска, тип объекта либо хеш. Маски * и ? поддерживаются, переменные среды — тоже, кроме %userprofile%. Сюда добавляют каталоги из общего набора и, при подтверждённой блокировке, %windir%\SoftwareDistribution\Datastore.

Доверенные приложения — по исполняемому файлу. В том же разделе приложение добавляется по пути, и для него задаются отдельные признаки: «Не проверять открываемые файлы», «Не контролировать активность приложения», «Не проверять сетевой трафик». Это прямой аналог процессного исключения: сюда добавляют LsusAgent.exe, LsusConfigAgent.exe и wusa.exe.

Централизованно те же списки задаются в политике Kaspersky Endpoint Security в Kaspersky Security Center и раскатываются на группу хостов; маска пути поддерживается. Политика предпочтительнее локальных настроек — локальные изменения на хосте могут быть перезаписаны.

Настройка в Dr.Web#

У Dr.Web два независимых списка исключений, и добавление в один не покрывает другой:

• SpIDer Guard (фоновая защита) → раздел «Исключения»: файлы, каталоги и процессы через путь, имя или маску (*, ?). Сюда добавляют и каталоги LSUS, и LsusAgent.exe / LsusConfigAgent.exe / wusa.exe.
• Сканер Dr.Web (проверка по требованию) → исключения по пути, имени или маске (*, ?). Процессы здесь не задаются, поэтому каталоги нужно продублировать — иначе запланированная полная проверка пройдёт по ним, даже если фоновая защита их пропускает.

Оба списка настраиваются централизованно через политику Центра управления Dr.Web Enterprise Security Suite.

Настройка у других производителей#

Для любого другого антивируса перенесите общий набор по следующему правилу:

Три вещи, которые нужно проверить у любого производителя до добавления исключений:

1. Есть ли раздельные списки для фоновой защиты и для проверки по требованию.
2. Раскрываются ли переменные среды (%ProgramData%, %windir%) — часть консолей их не понимает, и путь нужно задавать литералом.
3. Применяется ли исключение к дочерним каталогам. Если нет — %ProgramData%\LSUS придётся расписать подкаталогами.

Рекомендуемые исключения для Linux-хоста#

На Linux нет стека обслуживания Windows: обновления ставит пакетный менеджер — apt-get и dpkg на Astra Linux, Debian и Ubuntu, dnf, yum и rpm на РЕД ОС, RHEL и Oracle Linux. Антивирус мешает иначе, чем на Windows:

• Проверка пакетов при скачивании. Файлы .deb и .rpm в кэше пакетного менеджера проверяются при записи и при чтении — установка замедляется, а при агрессивной настройке пакет может быть заблокирован между скачиванием и распаковкой.
• Перехват записи в базы пакетного менеджера. Каталоги /var/lib/dpkg и /var/lib/rpm интенсивно перезаписываются во время установки; on-access-проверка каждой записи удлиняет транзакцию и повышает риск получить блокировку.
• Удержание блокировок. Агент LSUS перед установкой проверяет, не занят ли пакетный менеджер. Если антивирус держит файлы блокировок открытыми, агент видит ложную занятость и откладывает установку.
• Поведенческий контроль. Linux-агенты LSUS — это Python-скрипты, а служба конфигураций запускает ansible-playbook. Поведенческий анализ может реагировать на массовую запись исполняемых файлов и на запуск интерпретатора.

Что агент LSUS использует на Linux#

Службы: lsus-client.service и lsus-config-agent.service.

Общий набор для Linux#

Расширение — добавляйте только при подтверждённой блокировке:

Microsoft Defender for Endpoint на Linux#

Исключения задаются одним из трёх способов: конфигурационным файлом, консолью управления или командной строкой mdatp.

Командная строка:

# список подкоманд и ключей управления исключениями
mdatp exclusion

# каталоги агента — область epp
mdatp exclusion folder add --path /var/lib/lsus-client --scope epp
mdatp exclusion folder add --path /var/lib/lsus-config-agent --scope epp
mdatp exclusion folder add --path /var/log/lsus-client --scope epp

# процессы — по полному пути
mdatp exclusion process add --path /var/lib/lsus-config-agent/venv/bin/ansible-playbook --scope epp

Ожидаемый ответ: Folder exclusion configured successfully или Process exclusion configured successfully.

Две области исключений (--scope):

Тот же набор через файл управления — его раскатывают Puppet, Ansible или другой системой конфигурации в /etc/opt/microsoft/mdatp/managed/mdatp_managed.json:

{
  "exclusionSettings": {
    "exclusions": [
      { "$type": "excludedPath", "isDirectory": true, "path": "/var/lib/lsus-client", "scopes": ["epp"] },
      { "$type": "excludedPath", "isDirectory": true, "path": "/var/lib/lsus-config-agent", "scopes": ["epp"] },
      { "$type": "excludedPath", "isDirectory": true, "path": "/var/log/lsus-client", "scopes": ["epp"] },
      { "$type": "excludedFileName", "name": "/var/lib/lsus-config-agent/venv/bin/ansible-playbook", "scopes": ["epp"] }
    ],
    "mergePolicy": "admin_only"
  }
}

Маски * и ? поддерживаются только для области epp: * в середине пути заменяет один каталог, ? — один символ. Параметр с маской берите в двойные кавычки, иначе оболочка раскроет его сама.

echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > /var/lib/lsus-client/eicar-test.txt

Kaspersky Endpoint Security для Linux#

Исключения задаются в политике через Kaspersky Security Center Web Console:

Управление активами → Политики → нужная политика → Параметры приложения → Защита устройств от угроз → Защита от файловых угроз → «Исключения из проверки» → «Добавить».

Для каждого исключения указывается критерий — «Путь к файлу или папке», «Тип объекта» или «Хеш объекта» — и набор компонентов защиты, к которым оно применяется: «Все» или «Выбранные». Выбор компонентов полезен: исключение можно распространить только на защиту от файловых угроз, оставив проверку по требованию полной.

KES различает четыре типа исключений: «Области исключения» (контейнер, группирующий правила), «Исключения по маске», «Исключения по названию угрозы» и «Исключения по процессам». Для задач LSUS нужны маска пути и процесс.

Через командную строку на хосте:

# посмотреть текущие настройки защиты от файловых угроз (настройка 1)
kesl-control --get-settings 1

# исключение по пути
kesl-control --set-settings 1 --add-exclusion /var/lib/lsus-client

# включить исключения по маске и добавить маску
kesl-control --set-settings 1 UseExcludeMasks=Yes
kesl-control --set-settings 1 ExcludeMasks.item_1='/var/lib/lsus-config-agent/*'

Dr.Web для Linux#

Исключения настраиваются на вкладке «Исключения», в окне «Файлы и каталоги»: объект добавляется кнопкой «+» или перетаскиванием.

Что исключать нельзя#

Microsoft публикует прямой список объектов, которые исключать запрещено, — они чаще всего используются злоумышленниками. Формально список выпущен для Microsoft Defender, но по сути это ограничения самих операционных систем: они в равной мере относятся к Kaspersky Endpoint Security, Dr.Web и любому другому антивирусу. Часть пунктов из этого списка регулярно встречается в «рекомендациях по настройке» сторонних антивирусов; применять такие рекомендации к хостам с обновлениями нельзя.

Каталоги на Windows:

• C:\Windows\System32\CatRoot2 — исключение ломает проверку каталогов и подписей пакетов;
• %Windir%\Temp, %Windir%\Prefetch, %Windir%\System32\Spool;
• %systemdrive%, C:\, C:\Users и профили пользователей;
• %ProgramFiles%\<вендор> — каталоги установленных приложений.

Каталоги на Linux:

• / — корень файловой системы;
• /bin, /sbin — системные исполняемые файлы;
• /usr/lib — системные библиотеки;
• /var/lib/dpkg, /var/lib/rpm — базы пакетного менеджера (см. раздел про Linux).

Процессы на Windows:

• wuauclt.exe, svchost.exe — компоненты Windows Update;
• powershell.exe, cmd.exe, cscript.exe, wscript.exe, mshta.exe, schtasks.exe, wmic.exe, bitsadmin.exe, psexec.exe.

Процессы на Linux:

• bash, sh, zsh — оболочки;
• java, python, python3 — интерпретаторы.

Расширения файлов:

• .cab, .msi, .exe, .dll, .sys, .ocx, .scr, .cpl, .com — из этих файлов состоят пакеты обновлений;
• .ps1, .bat, .cmd, .vbs, .js, .reg, .inf — сценарии и файлы установки;
• .zip, .rar, .7z, .gz, .tar, .tmp, .bin — архивы и временные файлы;
• .hta, .wsf, .vbe, .job, .url — прочие исполняемые и вспомогательные форматы из списка Microsoft;
• .ko, .ko.gz — модули ядра Linux;
• .py, .jar, .java — сценарии Python и архивы Java.

Один список — одна нагрузка#

Microsoft запрещает использовать один и тот же список исключений для разных ролей сервера. Для сервера LSUS, для сервера СУБД и для рядового хоста с агентом списки должны быть раздельными. На Windows Server 2016+ большая часть ролевых исключений добавляется автоматически — сначала проверьте, что уже действует. На Linux готовых ролевых наборов нет ни у одного из трёх производителей, поэтому список формируется вручную под каждую нагрузку.

Совместимость антивируса с обновлениями безопасности#

Для получения обновлений безопасности Microsoft требует от производителя антивируса подтвердить совместимость: вендор должен создать ключ QualityCompat со значением cadca5fe-87d3-4b96-b7fb-a231484277cc в ветке HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat. Пока подтверждения нет, Windows может не выдавать хосту обновления безопасности, а при установке возможны критические сбои вплоть до «синего экрана».

Проверка на хосте:

Get-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat' -ErrorAction SilentlyContinue

Ожидаемый ответ: среди свойств присутствует cadca5fe-87d3-4b96-b7fb-a231484277cc. Если ключа нет — обновление антивируса до поддерживаемой версии решает проблему без всяких исключений.

Как применить исключения через LSUS#

Исключения удобно раскатывать политикой конфигурации, а не обходом хостов. Используйте модуль Конфигурации в режиме «Проверка + применение»: на Windows служба LsusConfigAgent исполняет содержимое типа PowerShell (.ps1), на Linux lsus-config-agent исполняет YAML/Ansible. Сервер не даст .ps1 попасть Linux-хосту и наоборот — назначение фильтруется по os_family.

Рекомендуемая схема:

1. Сценарий в режиме check печатает текущий список исключений — это состояние «до». На Windows для Defender это Get-MpPreference; на Linux — mdatp exclusion, kesl-control --get-settings 1 или выгрузка настроек агента Dr.Web.
2. Сценарий в режиме apply добавляет только базовый минимум — из раздела Рекомендуемые исключения для Windows-хоста или для Linux-хоста.
3. Назначение политики — на коллекцию хостов, где проблема подтверждена.

Готовые политики проверки антивируса — наличие службы и свежесть баз Kaspersky Endpoint Security и Microsoft Defender — входят в шаблон «Windows: проверки безопасности (СЗИ)» модуля Конфигурации. Для Linux используйте политику с типом содержимого YAML/Ansible по тому же принципу: проверка наличия службы антивируса и возраста баз.

Устранение неполадок#

Windows#

Linux#

Журналы для диагностики на Linux-хосте:

# журнал службы обновлений
journalctl -u lsus-client -n 100 --no-pager

# журнал службы конфигураций
journalctl -u lsus-config-agent -n 100 --no-pager

# журналы отдельных установок
ls -lt /var/log/lsus-client/updates/ | head

Ограничения#

• Исключения из сканирования не отменяют поведенческого анализа и правил EDR ни у одного производителя: файл может остаться в зоне внимания, даже если путь исключён.
• Автоматические ролевые исключения Windows Server не действуют на Windows Server 2012 R2 — там их нужно воспроизводить вручную как пользовательские.
• Автоматические ролевые исключения применяются только к защите в реальном времени и игнорируются при быстром, полном и выборочном сканировании; пользовательские исключения действуют при всех типах сканирования.
• Контекстные исключения требуют Microsoft Defender как основного антивируса и версии платформы не ниже 4.18.2205.7; в интерфейсе «Безопасность Windows» они не отображаются.
• Предустановленные исключения Kaspersky Endpoint Security (12.6+) покрывают серверное ПО — SQL Server, Exchange, SCCM, Citrix, VMware — и не покрывают обслуживание Windows.
• У Dr.Web списки исключений SpIDer Guard и Сканера раздельны: запись в одном не действует для другого, а Превентивная защита настраивается независимо от обоих.
• На Linux готовых ролевых исключений нет ни у одного из трёх производителей — список всегда формируется вручную.
• В Defender for Endpoint на Linux область global доступна с версии 101.23092.0012, не поддерживает маски и принимает исключения по процессам только по полному пути; на проверку по требованию она по умолчанию не действует.
• Пути в исключениях Defender for Endpoint на Linux должны быть жёсткими ссылками, а не символическими — исключение на симлинк не сработает.
• Dr.Web для Linux документирует исключение только файлов и каталогов: ни масок, ни исключений по процессам, поэтому доверить пакетный менеджер через процесс там нельзя.
• Исключения для сторонних антивирусов настраиваются в консоли или политике вендора, не через Add-MpPreference или mdatp.
• Агент LSUS не управляет исключениями антивируса сам — он фиксирует остановку установщика и передаёт диагностику, решение принимает администратор.

Связанные страницы#

• Клиент LSUS (Windows) — службы агента, пути установки, коды возврата wusa.
• Клиент LSUS — Linux-агент: установка, конфигурация, журналы.
• lsus-config-agent — Linux-служба конфигураций (Ansible).
• Управление обновлениями — Windows — кампании обновлений, статусы волн и заданий.
• Управление обновлениями — Linux — кампании обновлений для Linux-хостов.
• Конфигурации — раскатка исключений политикой (PowerShell на Windows, YAML/Ansible на Linux).
• Центр отладки хоста — терминал и журналы хоста из карточки.
• Межрелизные патчи и обращение в поддержку — сбор диагностики для обращения.
• Диагностика и неполадки — сводная таблица симптомов.