Nel mio post Configurazione di Windows Defender in Windows 8, 8.1 e 10 – DevAdmin Blog analizzavo oltre alle configurazioni di Windows Defender (ora Microsoft Defender) tramite Group Policy anche le esclusioni suggerite nella Virus scanning recommendations for Enterprise computers that are running Windows or Windows Server (KB822158) – Microsoft Support.

Sebbene la KB822158 si applichi alle seguenti Windows Server 2025 all editions, Windows Server 2022 all editions, Windows Server 2019 all editions, Windows Server 2016 all editions, Windows Server 2012 R2 all editions, Windows Server 2012 all editions, Windows 11 all editions e Windows 10 all editions leggendo attentamente la KB si può desumere che esclusioni suggerite potrebbero non essere più necessari perché potrebbero essere già incluse nelle esclusioni automatiche come riportato:

If you’re using Microsoft Defender Antivirus, some or all of the suggested exclusions that are mentioned in this article might be built in or provided by automatic exclusions

Per comprendere se tali esclusioni che riguardavano i Windows Update or Automatic Update files, i Windows Security files e i Group Policy-related files è possibile analizzare le informazioni riportate in:

• Microsoft Defender Antivirus exclusions on Windows Server – Microsoft Defender for Endpoint | Microsoft Learn
• Overview of exclusions in Microsoft Defender for Endpoint and Microsoft Defender Antivirus – Microsoft Defender for Endpoint | Microsoft Learn

Analizzando quanto riportato in Microsoft Defender Antivirus exclusions on Windows Server – Microsoft Defender for Endpoint | Microsoft Learn si possono trarre le seguenti conclusioni.

In Windows Server 2016 e successivi le esclusioni non è necessario definire esclusioni per file legati a specifici ruoli, in quanto quando di installa un ruolo vengono definite specifiche esclusioni automatiche. I ruoli e le funzionalità per cui sono definite le esclusioni automatiche necessarie sono Active Directory, DHCP Server, DNS Server, File and Storage Services, Hyper-V, Print Server, SYSVOL folder, Web Server, Windows Server Update Services.

You shouldn’t need to define exclusions for server roles. When you install a role on Windows Server 2016 or later, Microsoft Defender Antivirus includes automatic exclusions for the server role and any files added while installing the role.

Per quanto riguarda le esclusioni automatiche occorre tenere presente che presentano le seguenti caratteristiche, in particolare si noti noti che non sempre le esclusioni automatiche sono applicate:

• Custom exclusions take precedence over automatic exclusions. When you set a custom exclusion for a path that duplicates an automatic or built-in exclusion, custom exclusions always apply.
• Automatic exclusions apply only to real-time protection (RTP)g. Other scan activity (for example, Network Inspection and Behavior Monitoring) isn’t excluded. To exclude other scan types, use custom exclusions.
• Automatic exclusions aren’t honored during quick, full, or custom scans. To exclude other scan types, use custom exclusions.

Tutte le versioni di Windows prevedono invece le seguenti built-in exclusions:

• Windows “temp.edb” files
• Windows Update files o Automatic Update files
• Windows Security files
• Group Policy files
• WINS files
• File Replication Service (FRS) exclusions

Per quanto riguarda le built-in exclusions occorre tenere presente che presentano le seguenti caratteristiche:

• Built-in exclusions and automatic server role exclusions don’t appear in the standard exclusion lists in the Windows Security app.
• The list of built-in exclusions applied by Microsoft Defender Antivirus is updated as the threat landscape changes.

Analoghe informazioni sono riportate anche in Overview of exclusions in Microsoft Defender for Endpoint and Microsoft Defender Antivirus – Microsoft Defender for Endpoint | Microsoft Learn.

Automatic server role exclusions include exclusions for server roles and features in Windows Server 2016 and later. These exclusions aren’t scanned by real-time protection but are still subject to quick, full, or on-demand antivirus scans.

Built-in antivirus exclusions include certain operating system files that are excluded by Microsoft Defender Antivirus on all versions of Windows (including Windows 10, Windows 11, and Windows Server).

Conclusioni

Sebbene le esclusioni automatiche non siano sempre applicate possiamo comunque dire che in Windows Server 2016 e successivi e Windows 10 e successivi non occorre più definire esclusioni inerenti a file di sistema che veniva raccomandate nella KB822158.