Инженер Microsoft Raymond Chen описал случай, когда два одновременно работающих антивирусных продукта конфликтовали друг с другом на компьютере клиента. По его словам, такая связка способна привести к сбоям, зависаниям и проблемам с производительностью. Chen участвует в развитии Windows более 30 лет. Подписывайтесь на Telegram-канал про технологии
Случай разбирал не сам Chen, а его коллега из корпоративной поддержки Microsoft. В анонимизированном примере две программы с условными названиями Contoso и Fabrikam перехватывали системные вызовы. Это техника, при которой вызов функции перенаправляется в обработчик защитного ПО для проверки.
Fabrikam вызвал функцию, которую ранее перехватил Contoso. Contoso счёл действия процесса Fabrikam подозрительными и попытался отправить его в карантин. Fabrikam, в свою очередь, перехватил функцию, нужную Contoso, — из-за этого продукты начали мешать друг другу в цепочке вызовов.
Chen отмечает, что подобные перехваты могут менять обычный ход работы системных функций: вместо исходного действия вызов сначала попадает в защитный компонент, который выполняет собственную проверку. В отдельных случаях это приводит к зависаниям.
Microsoft обычно предотвращает такой сценарий автоматически. Если в Windows 10 или Windows 11 установлен актуальный сторонний антивирус, Microsoft Defender, как правило, отключает собственную активную защиту. В корпоративных конфигурациях он может работать в пассивном режиме или в режиме EDR in block mode — это не то же самое, что одновременная работа двух полноценных антивирусных движков.
В документации Microsoft указано: если Defender не распознаёт сторонний продукт и оба решения пытаются обеспечивать активную защиту, такая конфигурация не поддерживается и может привести к конфликтам и снижению производительности.
Источник: trashbox.ru