Résolution du problème de forte utilisation du processeur, de la mémoire et du disque par msmpeng.exe

Microsoft Defender Antivirus s'exécute en tant que processus en arrière-plan appelé Antimalware Service Executable, et le fichier exécutable se trouve à l'emplacement suivant : MsMpEng.exe Sa propre piste C:ProgramDataMicrosoftWindows DefenderPlatformQuand il monte Utilisation du processeur Il faut que ce soit entre 30 et 60 %, sinon ça gonfle. mémoire à atteindre Pour des fichiers atteignant plusieurs dizaines de gigaoctets, ou un disque dur volumineux, la cause est presque toujours une analyse en temps réel, une analyse complète planifiée ou une mise à jour de la plateforme défectueuse, et non un logiciel malveillant se faisant passer pour Defender.

|Réponse rapide : Excluez le dossier de la plateforme Defender lui-même et les charges de travail importantes qu'il réanalyse constamment ; déplacez les analyses planifiées vers les heures creuses ; et si l'utilisation de la mémoire continue d'augmenter sur Server 2016/2019, restaurez la plateforme Defender à l'aide de la commande. MpCmdRun.exe -RevertPlatform.

Confirmation que MsMpEng.exe est la cause réelle

Pour s'assurer que MsMpEng.exe Voici la véritable cause du problème ; suivez ces étapes. Ouvrez le Gestionnaire des tâches en cliquant sur Ctrl + Shift + Esc Recherchez « Antimalware Service Executable » dans l’onglet Processus, ou pour MsMpEng.exe Dans l'onglet Détails, cliquez avec le bouton droit sur l'entrée et sélectionnez Ouvrir l'emplacement du fichier. Le fichier légitime devrait se trouver dans le chemin d'accès. C:ProgramDataMicrosoftWindows DefenderPlatformTout élément portant ce nom et provenant d'un autre chemin d'accès doit être considéré comme suspect et examiné à l'aide d'un outil d'analyse supplémentaire.

Les pics d'utilisation soudains qui coïncident avec le démarrage, l'installation de programmes, le téléchargement de fichiers ou l'ouverture de pièces jointes Outlook sont considérés comme un comportement normal lors des tests. Cependant, une utilisation élevée et constante qui dure plusieurs heures ou qui revient quelques minutes après un redémarrage nécessite la correction décrite ci-dessous.

Supprimer le dossier Defender et les charges de travail inutiles

Pour réduire la consommation de ressources, vous pouvez exclure le dossier de Defender et les tâches gourmandes en ressources. Par défaut, Defender analyse les fichiers de son propre répertoire de plateforme, ainsi que tous les autres fichiers. Exclure ce chemin permet d'interrompre les analyses répétitives, souvent responsables d'une utilisation excessive du processeur sur les ordinateurs et les serveurs.

1. Appuyez sur la touche Windows, tapez « Sécurité Windows », puis ouvrez-la. Accédez à « Protection contre les virus et menaces », puis cliquez sur « Gérer les paramètres » sous « Paramètres de protection contre les virus et menaces ».

2. Allez à la section ا� „استث � † اءات (Exclusions) Cliquez sur « Ajouter ou supprimer des exclusions ». Sélectionnez « Ajouter une exclusion », puis « Dossier » et ajoutez les deux chemins. C:Program FilesWindows Defender et C:ProgramDataMicrosoftWindows Defender.

3. Ajoutez les charges de travail qui génèrent des opérations d'entrée/sortie (E/S) sur votre machine. Il s'agit notamment des dossiers de données de journalisation et des bases de données, des chemins d'accès au serveur maître IIS, des dossiers de sortie de compilation, des répertoires d'images de conteneurs et des dossiers de projets 3D/CAO. Vous pouvez également exclure des processus en sélectionnant « Processus » et en saisissant le nom du fichier exécutable.

Pour les déploiements programmés ou à grande échelle, PowerShell remplit la même fonction et constitue la seule option pratique sur Server Core :

Set-MpPreference -ExclusionPath "C:Program FilesWindows Defender"
Set-MpPreference -ExclusionPath "C:ProgramDataMicrosoftWindows Defender"
Set-MpPreference -ExclusionPath "D:SQLData","D:SQLLogs"
Set-MpPreference -ExclusionExtension ".ldf",".mdf"
Set-MpPreference -ExclusionProcess "sqlservr.exe","w3wp.exe"

⚠️Les exceptions réduisent la portée de la protection pour tout ce que vous excluez. Veillez à ce qu'elles soient spécifiques et n'excluez jamais un profil utilisateur ou un lecteur entier.

Reportez l'inspection complète afin d'éviter tout conflit avec votre travail.

Les analyses complètes et rapides sont des tâches planifiées qui peuvent démarrer en milieu de journée si le système n'est pas inactif à l'heure prévue. Leur planification sur une période précise et prévisible permet généralement d'éliminer les pics d'utilisation du processeur les plus importants et persistants.

1. Appuyez sur Windows + REt puis tapez taskschd.mscAppuyez sur Entrée. Dans le volet gauche, accédez à Bibliothèque du Planificateur de tâches > Microsoft > Fenêtres Windows Defender.

2. Double-cliquez sur Analyse planifiée de Windows Defender. Dans l'onglet Conditions, décochez les options « Démarrer la tâche uniquement si l'ordinateur est inactif », « Démarrer la tâche uniquement si l'ordinateur est branché sur secteur » et « Démarrer uniquement si la connexion réseau suivante est disponible », puis cliquez sur OK. Cette étape permet d'éviter une utilisation anormalement élevée du processeur et de la mémoire.

3. Ouvrez à nouveau la tâche, accédez à Déclencheurs et ajoutez un déclencheur hebdomadaire pour une période pendant laquelle l'appareil est allumé mais inactif, par exemple à l'heure du déjeuner ou pendant la nuit. Répétez cette configuration pour les tâches Maintenance du cache Windows Defender, Nettoyage Windows Defender et Vérification Windows Defender afin d'éviter leur accumulation simultanée.

Spécifiez le nombre de cœurs de processeur que MsMpEng.exe peut utiliser.

Si des analyses sont nécessaires pendant votre travail, limiter l'utilisation du processus à un nombre précis de cœurs de processeur évite qu'il ne monopolise l'intégralité du CPU. Il s'agit d'une mesure temporaire particulièrement efficace lors d'analyses volumineuses et ponctuelles.

1. Ouvrez le Gestionnaire des tâches et accédez à l'onglet Détails. Recherchez MsMpEng.exeEnsuite, faites un clic droit dessus et choisissez Définir l'affinité.

2. Désélectionnez la moitié des cœurs disponibles, puis cliquez sur OK. Ce paramètre est réinitialisé au redémarrage du processus ; utilisez donc la fonction de limitation de la fréquence du processeur de Defender pour le définir de manière permanente.

Set-MpPreference -ScanAvgCPULoadFactor 25

Cette valeur représente un plafond en pourcentage pour les analyses planifiées, la valeur par défaut étant de 50 %. Des valeurs inférieures réduisent l'impact sur les performances, mais augmentent la durée de l'analyse.

Désactivez la protection et l'échantillonnage dans le cloud si les pics persistent.

Sur les réseaux à bande passante limitée ou avec des équipements peu performants, la recherche dans le cloud et l'échantillonnage automatique peuvent augmenter la consommation du processeur et du disque. Leur désactivation permet de maintenir une protection locale basée sur les signatures.

Ouvrez Sécurité Windows, puis accédez à Protection contre les virus et menaces, cliquez sur Gérer les paramètres et désactivez la protection fournie par le cloud et l'envoi automatique d'échantillons. Réactivez-les une fois le problème sous-jacent résolu ; la protection par le cloud améliore considérablement la détection des nouvelles menaces.

Correction d'une fuite de mémoire dans la plateforme Defender sur les serveurs Windows

Cela met en évidence un schéma de défaillance spécifique sur les serveurs Windows Server 2016 et 2019Surtout mes hôtes Échange et IIS/SQLAugmentation continue de la consommation MsMpEng.exe حتى Consommation de toute la mémoire disponible (RAMTandis que la consommation reste Processeur La baisse est d'environ 3 à 10 %. Il s'agit d'un problème au niveau de la plateforme, et non d'un simple problème de configuration ; les exceptions ne suffiront pas à le résoudre. Les hôtes concernés utilisent une plateforme anti-malware plus récente que celles qui fonctionnent correctement.

Pour vérifier les versions, utilisez PowerShell :

Get-MpComputerStatus | Select-Object AMProductVersion, AMEngineVersion, AntivirusSignatureVersion

Si le serveur exécute une version de plateforme présentant une fuite de mémoire, revenez à la version précédente et forcez une nouvelle mise à jour des signatures. La commande de restauration se trouve dans le dossier de la plateforme active.

cd "C:ProgramDataMicrosoftWindows DefenderPlatform4.18.23110.3-0"
.MpCmdRun.exe -RevertPlatform
.MpCmdRun.exe -RemoveDefinitions -Engine
.MpCmdRun.exe -RemoveDefinitions -All
.MpCmdRun.exe -SignatureUpdate

La mémoire est libérée immédiatement après la restauration. La mise à jour problématique de la plateforme doit être bloquée dans WSUS ou Configuration Manager jusqu'à l'adoption d'une version stable. Assurez-vous également que l'hôte exécute une plateforme stable et connue avant de réactiver les mises à jour automatiques. Les versions plus récentes de la plateforme corrigent cette faille ; par conséquent, une fois votre parc de serveurs déployé sur une version stable et validée, cette procédure de restauration ne sera plus nécessaire. Pour des solutions plus efficaces aux problèmes rencontrés à grande échelle, veuillez consulter nos autres articles.

Diagnostiquez le problème à l'aide des outils de performance de Microsoft.

Si les exceptions et les reprogrammations n'expliquent pas la surcharge, il est essentiel d'identifier les fichiers ou processus que Defender analyse. L'outil Analyseur de performances de Defender est intégré à Windows et génère un journal que vous pouvez analyser.

New-MpPerformanceRecording -RecordTo .defender.etl
# reproduce the high CPU/memory for a few minutes, then stop with Ctrl+C
Get-MpPerformanceReport -Path .defender.etl -TopFiles 20 -TopScans 20 -TopProcesses 20

Le rapport catégorise les fichiers, extensions, processus et motifs d'analyse ayant consommé le plus de temps. Utilisez ces données pour ajouter des exceptions ciblées avec précision, sans avoir à deviner. L'outil Process Monitor offre cette fonctionnalité, avec le filtre Nom du processus défini sur [non précisé - probablement « Nom du processus »]. MsMpEng.exeLe même type d'informations est disponible si vous préférez le suivi en direct.

Quand devriez-vous envisager de désactiver Microsoft Defender ?

Désactiver complètement Defender est une solution de dernier recours, et non une solution permanente. Cela rend le système entièrement dépendant de tout autre logiciel antivirus installé. Cette mesure n'est appropriée que si un programme antivirus tiers compatible est déjà installé ; dans ce cas, Defender sera automatiquement désactivé et le service antimalware devrait déjà être inactif.

Dans les éditions Windows Pro et Entreprise, le chemin d'accès à la stratégie de groupe est : Configuration ordinateur > Modèles d'administration > Composants Windows > Antivirus Microsoft Defender > Désactiver l'antivirus Microsoft Defender. Cette option doit être activée. Les versions plus récentes de Windows appliquent la protection contre les falsifications, qui bloque les modifications du registre. DisableAntiSpyware Cette version étant obsolète, cette solution de contournement ne fonctionne plus sur les installations standard et ne doit pas être utilisée. Si Defender doit être temporairement désactivé sur un serveur, la modification de la stratégie locale permettra de le désactiver. MsMpEng.exe Immédiatement, sans avoir besoin de redémarrer, ce qui est utile pour gagner du temps avant la fenêtre de maintenance.

Vérifiez l'efficacité des correctifs en surveillant le processus « Service antimalware » dans le Gestionnaire des tâches pendant au moins un cycle d'analyse complet. L'utilisation du processeur devrait être proche de zéro entre les analyses, la mémoire vive devrait se stabiliser à quelques centaines de mégaoctets au lieu d'augmenter indéfiniment, et l'activité du disque devrait diminuer une fois l'analyse en cours terminée.