Antimalware Service Executable грузит процессор во время игры

Игра подтормаживает, ты открываешь диспетчер задач, а почти наверху столбца ЦП — Antimalware Service Executable. Название звучит тревожно, но это сама антивирусная программа Microsoft Defender: страница Microsoft об устранении проблем с производительностью Defender начинается с того, что называет её «Anti-malware Service Executable, MsMpEng.exe, Microsoft Defender Antivirus». Её процессорное время уходит на конкретные задачи, и от того, какая задача это была, зависит, что ты можешь с этим сделать.

Три задачи, которые её будят

Защита в режиме реального времени. Согласно странице Microsoft о запланированных проверках, она проверяет файлы, когда их открывают и закрывают, а также всякий раз, когда пользователь переходит в папку. Установка игры или патча и запись игрой своего кэша шейдеров на диск — всё это открывает и закрывает файлы. Страница об устранении неполадок добавляет, что запуск файла программы без цифровой подписи запускает проверку защиты в режиме реального времени.
Запланированные проверки. По словам Microsoft, они выполняются в дополнение к постоянно включённой защите в режиме реального времени. Ежедневная запланированная проверка может быть только быстрой; еженедельная — быстрой или полной, а полная проверка, как пишет Microsoft, может занять несколько часов или дней.
Проверка после обновления. По умолчанию, как пишет Microsoft, антивирусная программа Microsoft Defender выполняет проверку после обновления аналитики безопасности, и страница об устранении неполадок предупреждает, что это может выглядеть как проверки, запущенные вне расписания.

По умолчанию запланированные проверки ждут простоя: справка по PowerShell говорит, что они выполняются, когда компьютер включён, но не используется. Страницы Microsoft называют для простоя разные цифры: общая загрузка ЦП ниже 80% на странице об устранении неполадок и меньше 90% загрузки ЦП в справке по PowerShell. Когда запланированная проверка запускается на простаивающей машине, настройки по умолчанию её не ограничивают: рекомендация о средней загрузке ЦП в 50%, которая, по словам Microsoft, не является жёстким пределом, для таких проверок игнорируется.

Сначала запиши, что она проверяет

Анализатор производительности записывает проверки Defender и сообщает, какие файлы, расширения файлов и процессы отнимают больше всего времени проверки. Ему нужны Windows 10 или 11, платформа Defender версии 4.18.2108.7 или новее и PowerShell, открытый от имени администратора. Запусти запись (-RecordTo принимает полный путь):

New-MpPerformanceRecording -RecordTo "$env:USERPROFILE\Defender-scans.etl"

Оставь окно открытым и играй, пока подтормаживание не повторится; инструкция Microsoft — воспроизвести ситуацию во время записи. Затем нажми Enter в этом окне, чтобы остановить запись и сохранить её, и прочитай отчёт:

Get-MpPerformanceReport -Path "$env:USERPROFILE\Defender-scans.etl" -TopFiles 10 -TopExtensions 10 -TopProcesses 10 -TopScans 10

Он показывает число и длительность проверок, путь, процесс и причину каждой проверки: файл, процесс и причину вместо «Defender грузит процессор». Справка делает оговорку: по её словам, инструмент не предназначен для того, чтобы предлагать исключения, а исключения могут снизить уровень защиты конечных устройств.

Назначь запланированной проверке время, когда ты не играешь

Если время или отчёт указывают на запланированную проверку, задай, когда она выполняется. Справка по PowerShell приводит такой пример ежедневной быстрой проверки в обеденное время, когда, по её словам, устройство, скорее всего, включено, но активность на нём, скорее всего, минимальна. В окне PowerShell от имени администратора:

Set-MpPreference -ScanScheduleQuickScanTime 12:30:00 -ScanScheduleOffset 0 -RandomizeScheduleTaskTimes $false -ScanOnlyIfIdleEnabled $false

Что делает каждая часть, согласно той же странице:

-ScanScheduleQuickScanTime 12:30:00 — местное время ежедневной быстрой проверки в формате hh:mm:ss. Выбери время, когда ПК обычно включён, а ты не играешь: по умолчанию пропущенная быстрая проверка позже не наверстывается.
-ScanScheduleOffset 0 убирает задержку по умолчанию в 120 минут после заданного тобой времени.
-RandomizeScheduleTaskTimes $false запускает проверку точно в срок, а не где-то в пределах 30 минут до или после.
-ScanOnlyIfIdleEnabled $false позволяет проверке запускаться в это время, даже когда ПК используется, и тогда к ней снова применяется рекомендация в 50%. Не указывай этот параметр, если хочешь сохранить ожидание простоя.

Можно также запросить для запланированных проверок низкий приоритет ЦП. Страница об устранении неполадок говорит, что это снижает приоритет потока проверки с 9 до 8, что позволяет потокам других приложений выполняться с более высоким приоритетом:

Set-MpPreference -EnableLowCpuPriority $true

Ничто из этого не затрагивает защиту в режиме реального времени; это лишь определяет, когда и как выполняются запланированные проверки.

Исключения — вместе с предупреждениями Microsoft

«Безопасность Windows» может исключить файл, папку, тип файла или процесс: Безопасность Windows > Защита от вирусов и угроз > Управление настройками, затем в разделе Исключения выбери Добавить или удалить исключения. Справка Microsoft по «Безопасности Windows» называет цену: Defender больше не будет проверять такие файлы на угрозы, из-за чего твоё устройство и данные могут оказаться уязвимыми. Она добавляет две детали, важные для игр: исключение процесса означает, что любой файл, открытый этим процессом, будет исключён из проверки в режиме реального времени, а исключения действуют только на проверку в режиме реального времени, так что запланированная проверка всё равно может проверять те же файлы.

Список исключений, которых следует избегать, у Microsoft называет папки программ установленных приложений, C:\Users\, папки Temp и типы файлов .exe, .dll и .zip — даже если ты уверен, что эти элементы не вредоносны. Папка установки игры — это папка программы установленного приложения. Обзор исключений Microsoft говорит, что каждое из них создаёт брешь в защите и уместно только после того, как ты определил первопричину.

Страницы расходятся в том, как далеко заходить: страница о режиме производительности советует использовать анализатор, чтобы сузить круг до самых нагруженных процессов и путей и добавить их в исключения, а справка по анализатору говорит, что он не предназначен для того, чтобы предлагать исключения. Если запись показывает, что один файл проверяется снова и снова, и ты всё же решаешь его исключить, Файл — самый узкий из четырёх типов, и Microsoft советует указывать полный путь, чтобы исключить только тот файл, который ты имеешь в виду.

Dev Drive и режим производительности — не для этого

В Windows 11 у Defender есть режим производительности, который проверяет файл после его открытия, а не во время открытия («Open now, scan later» — открыть сейчас, проверить позже). Он работает только на Dev Drive (диске разработчика), который, по словам Microsoft, предназначен только для ключевых сценариев разработки, а страница о Dev Drive добавляет, что Microsoft не рекомендует устанавливать приложения на Dev Drive. Сама страница о режиме производительности говорит, что он не применим к сценариям высокой загрузки ЦП или памяти процессом Antimalware Service Executable.

Если установлен другой антивирус

На домашнем ПК Defender сам уступает место, как только установлен и работает другой антивирусный продукт, и возвращается, если этот продукт, по словам Microsoft, устарел, его срок действия истёк или он не работает. В Windows 11 с включённым Smart App Control, как отмечает Microsoft, Defender может вместо этого перейти в пассивный режим. Чтобы увидеть, какой продукт активен: Безопасность Windows > Защита от вирусов и угроз, затем в разделе «Who's protecting me?» (кто меня защищает?) выбери «Manage providers» (управление поставщиками).

Две ситуации оставляют Defender проверять файлы рядом с другим продуктом:

Периодическое сканирование — переключатель, который включается по желанию, в разделе Параметры антивирусной программы Microsoft Defender под названием другого продукта. Microsoft называет эту функцию ограниченным периодическим сканированием и говорит, что оно не может обнаружить большинство вредоносных или нежелательных программ.
Отключённая служба Центра безопасности Windows. Microsoft предупреждает, что тогда Defender не может обнаружить установленные антивирусы сторонних производителей и остаётся активным, и добавляет, что оба продукта будут пытаться обеспечивать активную защиту, а это скажется на производительности и не поддерживается.

Что не помогает

Останавливать или менять службы Defender. Microsoft называет wscsvc, SecurityHealthService, WinDefend и MsMpEng среди служб, которые трогать не следует: их ручное изменение, по словам Microsoft, может вызвать серьёзную нестабильность устройств и сделать сеть уязвимой.
Исключать папку игры или процесс игры. Папки программ есть в списке Microsoft того, чего следует избегать, исключение процесса оставляет всё, что открывает игра, без проверки в реальном времени, и ни то ни другое не удерживает запланированную проверку.
Dev Drive для библиотеки игр. Microsoft не рекомендует устанавливать на него приложения.
Решать без записи. Каждая из задач выше выглядит в диспетчере задач как одна и та же строка; анализатор показывает, какие файлы, процессы и причины за ней стояли.