# Antimalware Service Executable e CPU alta: cosa sta facendo Defender Antimalware Service Executable è Microsoft Defender Antivirus, l’antivirus incluso in Windows, e il file del processo è `MsMpEng.exe`. Quando usa molta CPU, di solito sta analizzando: un’analisi pianificata, un’analisi dopo l’arrivo di nuova intelligence per la sicurezza, oppure l’analisi in tempo reale di file che un altro programma sta aprendo in quel momento. Capisci quale dei tre è prima di cambiare qualcosa, perché ognuno ha un rimedio diverso e nessuno richiede di spegnere Defender in modo permanente. ## Cosa sta facendo il processo L’[articolo di Microsoft sulla risoluzione dei problemi di prestazioni di Defender](https://learn.microsoft.com/en-us/defender-endpoint/troubleshoot-performance-issues) nomina il processo in modo diretto: Anti-malware Service Executable, `MsMpEng.exe`, Microsoft Defender Antivirus. Il suo lavoro rientra in tre gruppi. | Origine del lavoro | Quando avviene | Come si presenta | | --- | --- | --- | | Protezione in tempo reale | Ogni volta che un file viene aperto, chiuso o avviato | La CPU segue un altro lavoro: una compilazione, un programma di installazione, l’estrazione di un archivio, la copia di molti file piccoli | | Analisi pianificata | In base a una pianificazione, per impostazione predefinita solo quando il PC è inattivo | Parte quando ti allontani e può continuare quando torni | | Analisi dopo un aggiornamento dell’intelligence per la sicurezza | Dopo l’installazione di nuove definizioni | Sembra un’analisi fuori dalla pianificazione | La protezione in tempo reale è quella che la maggior parte delle persone incontra. Lo stesso articolo elenca ciò che la rende costosa: file `.exe` e `.dll` non firmati che vengono avviati, formati complessi come HTA e CHM usati come archivi di dati, script offuscati e file grandi come `.iso` o `.vhdx` in una cartella del profilo sincronizzata con una posizione di rete o con OneDrive. Una compilazione di progetto che scrive migliaia di file piccoli è la versione quotidiana di questo caso: ogni file scritto dal compilatore è un file che Defender esamina.
Tre tipi di analisi di Defender
L’analisi in tempo reale segue altro lavoro, le analisi pianificate seguono l’orologio e un aggiornamento può avviare un’analisi propria. Ognuna ha un rimedio diverso.
## Controlla prima, senza cambiare le impostazioni Premi `Ctrl + Shift + Esc` per aprire Gestione attività, ordina per CPU e annota cos’altro è occupato nello stesso momento. Se Antimalware Service Executable sale e scende insieme a una compilazione, a un programma di installazione o a una copia grande, sta analizzando quel lavoro in tempo reale. Se è occupato mentre nient’altro lo è, la causa più probabile è un’analisi. Aspetta qualche minuto e guarda di nuovo: un’analisi che termina è un comportamento normale, non un guasto. Poi apri Sicurezza di Windows dal menu Start e vai a Protezione da virus e minacce. La [guida di Microsoft a Sicurezza di Windows](https://support.microsoft.com/en-us/windows/virus-and-threat-protection-in-the-windows-security-app-1362f4cd-d71a-b52a-0b66-c2820032b65e) descrive lì Opzioni di analisi (Analisi rapida, Analisi completa, Analisi personalizzata e Microsoft Defender Antivirus (analisi offline)) e Cronologia protezione. La cronologia conta in questo caso: se Defender ha trovato qualcosa e lo sta gestendo, l’uso della CPU ha un motivo, e la voce elencata lì è quella su cui agire. Se ti serve sapere con precisione quali file costano di più, Defender ha un analizzatore delle prestazioni. La [guida di Microsoft all’analizzatore](https://learn.microsoft.com/en-us/defender-endpoint/tune-performance-defender-antivirus) registra gli eventi di analisi di Defender mentre riproduci l’attività lenta, poi riporta i file, i percorsi, le estensioni e i processi principali per tempo di analisi. Avvia PowerShell come amministratore, inizia la registrazione, ripeti il lavoro lento, poi premi Invio per fermarla: ```powershell New-MpPerformanceRecording -RecordTo C:\Temp\defender.etl Get-MpPerformanceReport -Path C:\Temp\defender.etl -TopFiles 10 -TopProcesses 10 ``` Il percorso è un esempio; usa una cartella che esiste. Il rapporto legge dati e non cambia alcuna impostazione. Se le prime voci sono l’output della tua compilazione o una cache di pacchetti, hai trovato il costo in tempo reale; se sono un archivio scaricato o uno strumento che non riconosci, continua ad analizzarlo. ## Analisi: quella rapida è l’impostazione consigliata La [guida di Microsoft alle analisi](https://learn.microsoft.com/en-us/defender-endpoint/schedule-antivirus-scans) consiglia un’analisi rapida per le analisi pianificate regolari. Un’analisi rapida controlla i punti in cui il malware si registra per avviarsi con Windows, come chiavi del Registro e cartelle di avvio, e insieme alla protezione in tempo reale è la copertura che Microsoft consiglia. Un’analisi completa legge ogni unità fissa, può richiedere ore o giorni su un disco grande, e Microsoft in genere non consiglia di pianificarla. Se hai avviato tu un’analisi completa, l’uso della CPU dura fino al termine. La stessa guida nota che Defender cerca gli aggiornamenti 15 minuti prima di un’analisi pianificata, e l’articolo sulla risoluzione dei problemi spiega che un’analisi dopo un aggiornamento dell’intelligence per la sicurezza viene eseguita per impostazione predefinita. Per questo un’analisi può comparire in un orario che non hai mai scelto. Per spostare l’analisi pianificata fuori dall’orario di lavoro, le [istruzioni di Microsoft per Utilità di pianificazione](https://support.microsoft.com/windows/schedule-a-scan-in-microsoft-defender-antivirus-54b64e9c-880a-c6b6-2416-0eb330ed5d2d) aprono Libreria Utilità di pianificazione, Microsoft, Windows, Windows Defender, poi Windows Defender Scheduled Scan, e aggiungono un trigger nella scheda Trigger. Scegli un momento in cui il PC è acceso ma non lo stai usando, per esempio la pausa pranzo. Spostare l’orario mantiene l’analisi; cambia solo quando ne paghi il costo. ## Cartelle di compilazione: Dev Drive prima delle esclusioni Se il costo viene dal lavoro di sviluppo, la risposta di Microsoft su Windows 11 è un [Dev Drive](https://learn.microsoft.com/en-us/windows/dev-drive/). È un volume ReFS separato, di almeno 50 GB, pensato per repository del codice sorgente, cache dei pacchetti e output di compilazione. Un Dev Drive attendibile esegue Defender in modalità prestazioni, che Microsoft descrive come un’alternativa sicura alle esclusioni di cartelle: i file vengono comunque analizzati, con meno effetto sulla compilazione. Puoi controllarne lo stato da un prompt di amministratore: ```powershell fsutil devdrv query D: ``` Sostituisci `D:` con la lettera del tuo Dev Drive. L’unità C: non può essere un Dev Drive, un volume esistente non si può convertire senza formattarlo, e Microsoft consiglia di tenere su C: gli strumenti di sviluppo come Visual Studio e gli SDK. Spostare le cache è un cambiamento più grande che aggiungere un’impostazione; la pagina di Dev Drive elenca le variabili di ambiente per npm, NuGet, pip, Cargo, Maven e Gradle. Per quali di quelle cartelle si possono invece svuotare, vedi [Cache degli sviluppatori in Windows](/it/windows/blog/windows-developer-caches). ## Esclusioni: solo per cartelle di cui ti fidi, e sappi cosa cedi Un’esclusione impedisce a Defender di analizzare quel file, quella cartella, quel tipo di file o quel processo. In Sicurezza di Windows, i [passaggi di Microsoft per le esclusioni](https://support.microsoft.com/en-us/windows/add-an-exclusion-to-windows-security-811816c0-4dfd-af4a-47e4-c301afe13b26) passano da Protezione da virus e minacce, Gestisci impostazioni, Aggiungi o rimuovi esclusioni, e la stessa pagina avvisa che gli elementi esclusi possono lasciare il dispositivo e i dati vulnerabili. Il [riferimento di Microsoft sulle esclusioni](https://learn.microsoft.com/en-us/defender-endpoint/microsoft-defender-antivirus-exclusions-configure) dice anche che di solito non servono affatto. Se ne aggiungi comunque una, tienila stretta: - Una cartella in cui scrivono solo i tuoi strumenti attendibili, come l’output di compilazione di un progetto, non l’intera unità o l’intero profilo utente. - Mai Download, Desktop, la cartella di download di un browser o una cartella che riceve file da posta, chat o internet. È lì che arriva il malware. - Un’esclusione di processo copre ogni file che quel processo apre, quindi escludere un compilatore o un gestore di pacchetti interrompe anche l’analisi di ciò che scarica. Ogni esclusione è uno scambio: meno CPU per quella cartella, nessuna analisi di ciò che vi finisce. Se la cartella inizia a contenere file scaricati, rimuovi l’esclusione. ## Cosa non fare Non spegnere Defender in modo permanente tramite il Registro, Criteri di gruppo, uno script di «debloat» o uno strumento di modifica di terze parti. Disattivare la protezione in tempo reale in Sicurezza di Windows è temporaneo per progettazione: [Microsoft dice](https://support.microsoft.com/en-us/windows/virus-and-threat-protection-in-the-windows-security-app-1362f4cd-d71a-b52a-0b66-c2820032b65e) che si riattiva da sola dopo poco tempo e, mentre è spenta, i file che apri o scarichi non vengono analizzati. L’articolo sulla risoluzione dei problemi suggerisce di spegnerla solo brevemente, tramite la modalità di risoluzione dei problemi, per escluderla come causa. Non terminare MsMpEng.exe in Gestione attività e non eliminare file dalle cartelle di Defender. Non escludere `C:\` o un’intera cartella utente per far scendere un numero. E se esegui anche un altro prodotto di sicurezza, l’articolo di Microsoft consiglia di aggiungere i processi di ciascun prodotto alle esclusioni dell’altro; due scanner che esaminano gli stessi file sono una causa nota di CPU alta. ## Verifica che il cambiamento abbia funzionato Dopo aver spostato la pianificazione, spostato una cache su un Dev Drive o aggiunto un’esclusione stretta, ripeti lo stesso lavoro, per esempio la stessa compilazione, e confronta. Puoi registrare di nuovo l’analizzatore e confermare che la cartella ora mostra un motivo di salto, o che il tempo di analisi è sceso. In Sicurezza di Windows, Protezione da virus e minacce deve continuare a mostrare la protezione come attiva. Mole non cambia le impostazioni o le esclusioni di Defender. Il rapporto di Doctor, aperto da Esegui Doctor dopo un clic sul marchio Mole in alto a sinistra della finestra, mostra se la protezione in tempo reale di Defender è attiva e segnala l’intelligence per la sicurezza che non si aggiorna da una settimana, un controllo utile dopo che qualcun altro ha cambiato le impostazioni di sicurezza del PC. Per un uso della CPU che non è Defender, vedi [CPU alta in Windows](/it/windows/blog/windows-high-cpu-usage); per un disco fermo al 100%, vedi [Disco al 100% in Gestione attività](/it/windows/blog/windows-disk-100-percent). ## Domande frequenti ### Antimalware Service Executable è un virus? Il processo autentico è Microsoft Defender Antivirus, `MsMpEng.exe`, parte di Windows. La CPU alta da parte sua è di solito un’analisi. Se Cronologia protezione elenca un rilevamento, agisci su quella voce. ### Perché Antimalware Service Executable usa tanta CPU quando non sto facendo nulla? Le analisi pianificate partono quando il PC è inattivo, e Defender analizza anche dopo un aggiornamento dell’intelligence per la sicurezza, per impostazione predefinita. Un’analisi rapida di solito termina da sola; un’analisi completa può richiedere ore. ### Posso disattivare Antimalware Service Executable? Non in modo sicuro. Spegnere la protezione in tempo reale è temporaneo e Windows la riattiva. Una disattivazione permanente tramite criteri o script lascia i file non analizzati. Riprogramma le analisi o usa un Dev Drive. ### Devo aggiungere un’esclusione per la CPU alta di Microsoft Defender? Solo per una cartella stretta in cui scrivono soltanto strumenti attendibili, come l’output di compilazione. Microsoft avvisa che le esclusioni riducono la protezione; non escludere mai Download, Desktop o un’intera unità. Canonical: https://mole.fit/it/windows/blog/antimalware-service-executable-high-cpu