Antimalware Service Executable a vysoké využití CPU při hraní

Hra se zasekne, otevřeš Správce úloh a u vrcholu sloupce s vytížením procesoru sedí Antimalware Service Executable. Název zní znepokojivě, ale je to samotná antivirová ochrana Microsoft Defender: stránka Microsoftu o řešení potíží s výkonem Defenderu ji hned na začátku pojmenovává jako „Anti-malware Service Executable, MsMpEng.exe, Microsoft Defender Antivirus“. Její čas procesoru pochází z konkrétních úloh a to, o kterou úlohu šlo, rozhoduje, co s tím můžeš dělat.

Tři úlohy, které ji probouzejí

1. Ochrana v reálném čase. Podle stránky Microsoftu o plánovaných kontrolách kontroluje soubory, když se otevírají a zavírají, a pokaždé, když uživatel přejde do složky. Instalace hry nebo patche i hra, která zapisuje na disk svou mezipaměť shaderů, to všechno otevírá a zavírá soubory. Stránka o řešení potíží dodává, že spuštění programového souboru, který není digitálně podepsaný, spustí kontrolu ochrany v reálném čase.
2. Plánované kontroly. Běží navíc k vždy zapnuté ochraně v reálném čase. Denní plánovaná kontrola může být jen rychlá; týdenní může být rychlá, nebo úplná, a úplná kontrola může podle Microsoftu trvat několik hodin nebo dní.
3. Kontrola po aktualizaci. Antivirová ochrana Microsoft Defender podle Microsoftu ve výchozím stavu provede kontrolu po aktualizaci bezpečnostních informací a stránka o řešení potíží varuje, že to může vypadat jako kontroly spuštěné mimo plán.

Plánované kontroly ve výchozím stavu čekají na nečinnost: referenční dokumentace k PowerShellu říká, že běží, když je počítač zapnutý, ale nepoužívá se. Stránky Microsoftu dávají nečinnosti různá čísla: celkové vytížení procesoru pod 80 % na stránce o řešení potíží, méně než 90 % vytížení procesoru v referenci k PowerShellu. Jakmile plánovaná kontrola běží na nečinném stroji, výchozí nastavení ji nijak nebrzdí: vodítko průměrně 50 % procesoru, které podle Microsoftu není pevný limit, se pro tyto kontroly ignoruje.

Nejdřív zaznamenej, co kontroluje

Analyzátor výkonu zaznamenává kontroly Defenderu a hlásí, které soubory, přípony souborů a procesy stojí nejvíc času kontroly. Potřebuje Windows 10 nebo 11, platformu Defenderu ve verzi 4.18.2108.7 nebo novější a PowerShell otevřený jako správce. Spusť záznam (-RecordTo chce úplnou cestu):

New-MpPerformanceRecording -RecordTo "$env:USERPROFILE\Defender-scans.etl"

Nech okno otevřené a hraj, dokud se zásek nevrátí; Microsoft radí situaci během záznamu zopakovat. Pak v okně stiskni Enter, tím záznam zastavíš a uložíš, a přečti si zprávu:

Get-MpPerformanceReport -Path "$env:USERPROFILE\Defender-scans.etl" -TopFiles 10 -TopExtensions 10 -TopProcesses 10 -TopScans 10

Vypíše počty a trvání kontrol, cestu, proces a důvod každé kontroly: soubor, proces a příčinu místo „Defender bere CPU“. Referenční dokumentace přidává výhradu: nástroj podle ní není určený k tomu, aby navrhoval vyloučení, a vyloučení můžou snížit úroveň ochrany tvých koncových bodů.

Dej plánované kontrole čas, kdy nehraješ

Pokud načasování nebo zpráva ukazuje na plánovanou kontrolu, nastav, kdy poběží. Reference k PowerShellu dává tento příklad pro denní rychlou kontrolu v poledne, kdy je zařízení podle ní pravděpodobně zapnuté, ale aktivita na něm je pravděpodobně minimální. V okně PowerShellu spuštěném jako správce:

Set-MpPreference -ScanScheduleQuickScanTime 12:30:00 -ScanScheduleOffset 0 -RandomizeScheduleTaskTimes $false -ScanOnlyIfIdleEnabled $false

Co která část dělá, podle té stránky:

• -ScanScheduleQuickScanTime 12:30:00 je místní čas denní rychlé kontroly ve formátu hh:mm:ss. Vyber čas, kdy je tvoje PC obvykle zapnuté a nehraješ: zmeškaná rychlá kontrola se ve výchozím stavu později nedohání.
• -ScanScheduleOffset 0 odstraní výchozí zpoždění 120 minut po čase, který nastavíš.
• -RandomizeScheduleTaskTimes $false spustí kontrolu načas, a ne někdy v rozmezí 30 minut na obě strany.
• -ScanOnlyIfIdleEnabled $false nechá kontrolu v ten čas běžet, i když se PC používá, a vodítko 50 % pak pro ni zase platí. Pokud chceš čekání na nečinnost zachovat, tuhle část vynech.

Pro plánované kontroly si můžeš vyžádat i nízkou prioritu procesoru. Stránka o řešení potíží říká, že se tím priorita vlákna kontroly sníží z 9 na 8, což podle ní umožní ostatním vláknům aplikací běžet s vyšší prioritou:

Set-MpPreference -EnableLowCpuPriority $true

Nic z toho nesahá na ochranu v reálném čase; rozhoduje to jen o tom, kdy a jak běží plánované kontroly.

Vyloučení, i s varováními Microsoftu

Zabezpečení Windows umí vyloučit soubor, složku, typ souboru nebo proces: Zabezpečení Windows > Ochrana před viry a hrozbami > Spravovat nastavení, pak v části Vyloučení vyber Přidat a odebrat vyloučení. Stránka nápovědy Microsoftu k Zabezpečení Windows uvádí cenu: Defender už takové soubory nebude kontrolovat na hrozby, což podle Microsoftu může tvoje zařízení a data nechat zranitelné. Přidává dva detaily, na kterých u her záleží: vyloučení procesu znamená, že „všechny soubory otevřené tímto procesem budou vyloučeny z kontroly v reálném čase“, a „Vyloučení se vztahují pouze na kontroly v reálném čase“, takže plánovaná kontrola může stejné soubory pořád kontrolovat.

Seznam vyloučení, kterým se vyhnout od Microsoftu jmenuje složky programů nainstalovaných aplikací, C:\Users\, složky Temp a typy souborů .exe, .dll a .zip, a to i v případě, že věříš, že položky nejsou škodlivé. Instalační složka hry je složka programu nainstalované aplikace. Přehled vyloučení od Microsoftu říká, že každé z nich vytváří mezeru v ochraně a patří na místo až poté, co zjistíš hlavní příčinu.

Stránky se neshodnou, jak daleko jít: stránka o režimu výkonu radí použít analyzátor k zúžení na nejvytíženější procesy a cesty a přidat je do vyloučení, zatímco reference analyzátoru říká, že není určený k navrhování vyloučení. Pokud záznam ukáže jeden soubor kontrolovaný znovu a znovu a ty se ho přesto rozhodneš vyloučit, je Soubor nejužší ze čtyř typů a Microsoft radí zadat úplnou cestu, abys vyloučil jen ten soubor, který zamýšlíš.

Vývojářská jednotka a režim výkonu na tohle nejsou

Windows 11 má v Defenderu režim výkonu, který kontroluje soubor až po jeho otevření, a ne během něj („Open now, scan later“, tedy otevři teď, zkontroluj později). Běží jen na vývojářské jednotce (Dev Drive), která je podle Microsoftu určená jen pro klíčové vývojářské scénáře, a stránka o vývojářské jednotce dodává, že Microsoft nedoporučuje na ni instalovat aplikace. Samotná stránka o režimu výkonu říká, že se nevztahuje na scénáře vysokého vytížení procesoru nebo paměti procesem Antimalware Service Executable.

Když je nainstalovaný jiný antivirus

Na domácím PC Defender sám ustoupí, jakmile je nainstalovaný a funguje jiný antivirový produkt, a vrátí se, pokud je ten produkt zastaralý, vypršela mu platnost nebo nefunguje. Ve Windows 11 se zapnutým Inteligentním řízením aplikací (Smart App Control) Microsoft upozorňuje, že Defender může místo toho přejít do pasivního režimu. Který produkt je aktivní, zjistíš v Zabezpečení Windows > Ochrana před viry a hrozbami, kde v části Kdo mě chrání? vyber Spravovat poskytovatele.

Defender vedle jiného produktu dál kontroluje ve dvou situacích:

• Pravidelná kontrola, přepínač, který si musíš sám zapnout, v části Možnosti Antivirové ochrany v programu Microsoft Defender pod názvem druhého produktu. Microsoft tuto funkci nazývá omezená pravidelná kontrola a říká, že nedokáže odhalit většinu malwaru ani nežádoucího softwaru.
• Zakázaná služba Windows Security Center. Microsoft varuje, že Defender pak nedokáže rozpoznat antivirové instalace jiných výrobců a zůstane aktivní, a dodává, že se oba pokusí poskytovat aktivní ochranu, což ovlivní výkon a není to podporováno.

Co nepomůže

• Zastavování nebo úpravy služeb Defenderu. Microsoft řadí wscsvc, SecurityHealthService, WinDefend a MsMpEng mezi služby, na které se nemá sahat: jejich ruční změna podle Microsoftu může způsobit vážnou nestabilitu zařízení a může zranitelnou udělat i tvou síť.
• Vyloučení složky hry nebo procesu hry. Složky programů jsou na seznamu Microsoftu, kterým se vyhnout, vyloučení procesu nechá všechno, co hra otevře, bez kontroly v reálném čase, a ani jedno plánovanou kontrolu neodvrátí.
• Vývojářská jednotka pro herní knihovnu. Microsoft nedoporučuje na ni instalovat aplikace.
• Rozhodování bez záznamu. Každá výše uvedená úloha se ve Správci úloh ukáže jako tentýž řádek; analyzátor ukáže, které soubory, procesy a důvody za ním stály.

Související

• Správce úloh pro hráče: co vytěžuje tvoje PC, když hraješ
• Trhání při kompilaci shaderů: proč jsou první minuty nejhorší
• Disk na 100 % ve Správci úloh: jak najít příčinu
• Náhlé propady FPS ve hrách: jak najít skutečnou příčinu
• Proč hry trhají na Windows 11 (a jak najít skutečnou příčinu)