Antimalware Service Executable en hoog CPU-gebruik: wat Defender doet

Antimalware Service Executable is Microsoft Defender Antivirus, de antivirus die in Windows zit, en het procesbestand is MsMpEng.exe. Als het veel CPU gebruikt, is het meestal aan het scannen: een geplande scan, een scan nadat nieuwe beveiligingsinformatie is binnengekomen, of realtime scannen van bestanden die iets anders op dit moment opent. Zoek eerst uit welke van de drie het is voordat je iets wijzigt. Elke oorzaak heeft een andere oplossing, en geen ervan vraagt om Defender voorgoed uit te zetten.

Wat het proces doet

Het artikel van Microsoft over prestatieproblemen met Defender noemt het proces bij naam: Anti-malware Service Executable, MsMpEng.exe, Microsoft Defender Antivirus. Het werk valt in drie groepen.

Realtimebeveiliging is het deel dat de meeste mensen tegenkomen. Hetzelfde artikel noemt wat het duur maakt: niet-ondertekende .exe- en .dll-bestanden die worden gestart, complexe bestandsindelingen zoals HTA en CHM die als gegevensopslag dienen, versluierde scripts, en grote bestanden zoals .iso of .vhdx in een profielmap die synchroniseert met een netwerklocatie of OneDrive. Een projectbuild die duizenden kleine bestanden schrijft, is de alledaagse versie hiervan: elk bestand dat de compiler schrijft, is een bestand waar Defender naar kijkt.

Eerst controleren, zonder instellingen te wijzigen

Druk op Ctrl + Shift + Esc om Taakbeheer te openen, sorteer op CPU en kijk wat er op hetzelfde moment nog druk is. Stijgt en daalt Antimalware Service Executable mee met een build, een installatieprogramma of een grote kopie, dan scant de realtimebeveiliging dat werk. Is het druk terwijl verder niets bezig is, dan is een scan de waarschijnlijkere oorzaak. Wacht een paar minuten en kijk opnieuw: een scan die klaar is, is normaal gedrag, geen storing.

Open daarna Windows-beveiliging vanuit het menu Start en ga naar Virus- en bedreigingsbeveiliging. De gids van Microsoft over Windows-beveiliging beschrijft daar Scanopties (Snelle scan, Volledige scan, Aangepaste scan en Microsoft Defender Antivirus (offlinescan)) en Beveiligingsgeschiedenis. Beveiligingsgeschiedenis telt hier: heeft Defender iets gevonden en is het daarmee bezig, dan heeft het CPU-gebruik een reden, en het item dat daar staat is waar je op moet handelen.

Wil je precies weten welke bestanden het meest kosten, dan heeft Defender een prestatieanalyse. De gids van Microsoft over de analyse legt de scangebeurtenissen van Defender vast terwijl je de trage taak herhaalt, en rapporteert daarna de bestanden, paden, extensies en processen met de langste scantijd. Start PowerShell als beheerder, begin de opname, herhaal het trage werk en druk op Enter om te stoppen:

New-MpPerformanceRecording -RecordTo C:\Temp\defender.etl
Get-MpPerformanceReport -Path C:\Temp\defender.etl -TopFiles 10 -TopProcesses 10

Het pad is een voorbeeld. Gebruik een map die bestaat. Het rapport leest gegevens en wijzigt geen instelling. Staan bovenaan je eigen build-uitvoer of een pakketcache, dan heb je de realtimekosten gevonden. Is het een gedownload archief of een tool die je niet herkent, blijf dat dan scannen.

Scans: snel is de aanbevolen standaard

De scangids van Microsoft raadt een snelle scan aan voor gewone geplande scans. Een snelle scan controleert plaatsen waar malware zich registreert om met Windows mee te starten, zoals registersleutels en opstartmappen, en samen met realtimebeveiliging is dat de dekking die Microsoft aanbeveelt. Een volledige scan leest elke vaste schijf, kan op een grote schijf uren of dagen duren, en Microsoft raadt over het algemeen af om die te plannen. Heb je zelf een volledige scan gestart, dan duurt het CPU-gebruik tot die klaar is.

Dezelfde gids merkt op dat Defender 15 minuten voor een geplande scan op updates controleert, en het artikel over storingen legt uit dat een scan na een update van de beveiligingsinformatie standaard draait. Daarom kan een scan verschijnen op een tijdstip dat je nooit hebt gekozen.

Om de geplande scan buiten je werktijd te zetten, opent de instructie van Microsoft voor Taakplanner Bibliotheek voor Taakplanner, Microsoft, Windows, Windows Defender, en daarna Windows Defender Scheduled Scan. Voeg op het tabblad Triggers een trigger toe. Kies een tijdstip waarop de pc aan staat maar je hem niet gebruikt, zoals een lunchpauze. Het tijdstip verplaatsen houdt de scan. Alleen het moment waarop je ervoor betaalt, verandert.

Buildmappen: eerst een Dev Drive, daarna uitsluitingen

Komt de kost van ontwikkelwerk, dan is het antwoord van Microsoft op Windows 11 een Dev Drive. Dat is een apart ReFS-volume van minstens 50 GB, bedoeld voor bronopslagplaatsen, pakketcaches en build-uitvoer. Een vertrouwde Dev Drive draait Defender in prestatiemodus, die Microsoft beschrijft als een veilig alternatief voor mapuitsluitingen: bestanden worden nog steeds gescand, met minder effect op de build. Je kunt de status controleren vanaf een opdrachtprompt als beheerder:

fsutil devdrv query D:

Vervang D: door de stationsletter van je Dev Drive. Station C: kan geen Dev Drive zijn, een bestaand volume kun je niet omzetten zonder het te formatteren, en Microsoft raadt aan ontwikkeltools zoals Visual Studio en SDK's op C: te laten. Caches verplaatsen is een grotere wijziging dan een instelling toevoegen. De pagina over Dev Drive noemt de omgevingsvariabelen voor npm, NuGet, pip, Cargo, Maven en Gradle. Welke van die mappen je in plaats daarvan kunt legen, staat in Windows-ontwikkelaarscaches.

Uitsluitingen: alleen voor mappen die je vertrouwt, en weet wat je opgeeft

Een uitsluiting zorgt dat Defender dat bestand, die map, dat bestandstype of dat proces niet scant. In Windows-beveiliging loopt de stappen van Microsoft voor een uitsluiting via Virus- en bedreigingsbeveiliging, Instellingen beheren, Uitsluitingen toevoegen of verwijderen, en dezelfde pagina waarschuwt dat uitgesloten items het apparaat en de gegevens kwetsbaar kunnen maken. De referentie van Microsoft over uitsluitingen zegt ook dat je meestal helemaal geen uitsluitingen nodig hebt.

Voeg je er toch een toe, houd hem dan smal:

• Een map waar alleen je eigen vertrouwde tools in schrijven, zoals de build-uitvoer van één project, niet de hele schijf of het hele gebruikersprofiel.
• Nooit Downloads, het bureaublad, de downloadmap van een browser, of een map die bestanden ontvangt uit e-mail, chat of internet. Daar komt malware binnen.
• Een procesuitsluiting dekt elk bestand dat dat proces opent, dus een compiler of pakketbeheerder uitsluiten stopt ook het scannen van wat die downloadt.

Elke uitsluiting is een ruil: minder CPU voor die map, geen scan van wat erin terechtkomt. Begint de map gedownloade bestanden te bevatten, verwijder de uitsluiting dan.

Wat je niet doet

Zet Defender niet blijvend uit via het register, Groepsbeleid, een debloat-script of een tweaktool van een derde. Realtimebeveiliging uitzetten in Windows-beveiliging is expres tijdelijk: Microsoft zegt dat het na korte tijd vanzelf weer aangaat, en zolang het uit staat worden bestanden die je opent of downloadt niet gescand. Het artikel over storingen stelt alleen voor het kort uit te zetten, via de probleemoplossingsmodus, om het als oorzaak uit te sluiten.

Beëindig MsMpEng.exe niet in Taakbeheer en verwijder geen bestanden uit de mappen van Defender. Sluit C:\ of een hele gebruikersmap niet uit om een getal omlaag te krijgen. Draai je daarnaast nog een ander beveiligingsproduct, dan raadt het artikel van Microsoft aan de processen van elk product aan de uitsluitingen van het andere toe te voegen. Twee scanners die dezelfde bestanden bekijken, zijn een bekende bron van hoog CPU-gebruik.

Controleren of de wijziging werkte

Herhaal na het verplaatsen van het schema, het verplaatsen van een cache naar een Dev Drive of het toevoegen van een smalle uitsluiting hetzelfde werk, zoals dezelfde build, en vergelijk. Je kunt de analyse opnieuw opnemen en bevestigen dat de map nu een reden toont om over te slaan, of dat de scantijd is gedaald. In Windows-beveiliging, Virus- en bedreigingsbeveiliging, moet de beveiliging nog steeds aan staan.

Mole wijzigt geen Defender-instellingen of uitsluitingen. Het rapport Diagnose, dat je opent met Voer diagnose uit nadat je linksboven in het venster op het Mole-logo hebt geklikt, laat zien of de realtimebeveiliging van Defender aan staat en markeert beveiligingsinformatie die een week niet is bijgewerkt. Dat is de moeite waard nadat iemand anders de beveiligingsinstellingen van de pc heeft gewijzigd. Voor CPU-gebruik dat niet van Defender komt, zie Hoog CPU-gebruik in Windows. Voor een schijf die op 100% blijft hangen, zie Schijf op 100% in Taakbeheer.

Veelgestelde vragen

Is Antimalware Service Executable een virus?

Het echte proces is Microsoft Defender Antivirus, MsMpEng.exe, onderdeel van Windows. Hoog CPU-gebruik komt meestal van een scan. Staat er een detectie in de beveiligingsgeschiedenis, handel die melding dan af.

Waarom gebruikt Antimalware Service Executable veel CPU terwijl ik niets doe?

Geplande scans draaien als de pc inactief is, en Defender scant standaard ook na een update van de beveiligingsinformatie. Een snelle scan is meestal vanzelf klaar. Een volledige scan kan uren duren.

Kan ik Antimalware Service Executable uitschakelen?

Niet veilig. Realtimebeveiliging uitzetten is tijdelijk, en Windows zet het vanzelf weer aan. Definitief uitschakelen via beleid of scripts laat bestanden ongescand. Plan scans opnieuw of gebruik een Dev Drive.

Moet ik een uitsluiting toevoegen tegen hoog CPU-gebruik van Microsoft Defender?

Alleen voor een smalle map waar alleen vertrouwde tools in schrijven, zoals build-uitvoer. Microsoft waarschuwt dat uitsluitingen de beveiliging verminderen. Sluit nooit Downloads, het bureaublad of een hele schijf uit.