反病毒功能的部署

FortiClient AntiVirus Protection（反病毒保护）用于扫描文件、可执行文件、动态链接库、驱动程序及可移动媒体中的恶意内容。EMS 管理员可以集中配置实时防护、按需扫描、计划扫描、机器学习分析、隔离动作和扫描排除项，再通过终端策略下发到指定终端。

先决条件

FortiClient EMS 正常运行，管理员具有管理终端配置文件和终端策略的权限。
EMS 已导入有效的 EPP 许可证，并有可用席位。
目标终端已经连接 EMS，且安装包中包含 Malware Protection（恶意软件保护）组件。
EMS、FortiClient 和操作系统版本彼此兼容；终端可以访问所需的 FortiGuard 更新服务，或已配置企业内部更新源（FortiManager）。
已建立少量测试终端组。建议先验证性能、误报和业务兼容性，再逐步扩大部署范围。

重要

配置文件定义“如何防护”，终端策略决定“下发给谁”。只创建 Malware Protection 配置文件而不在已启用的 Endpoint Policy 中引用，配置不会下发到客户端。

部署步骤

1. 创建恶意软件保护配置文件

登录 EMS 管理控制台。
进入 Endpoint Profiles > Malware Protection。

新建或复制一个配置文件，并切换到 Advanced 视图。

打开 AntiVirus Protection 总开关。

2. 配置通用设置

在 General 中配置以下项目：

Delete Malware Files After：设置恶意文件在客户端保留多少天后自动删除。应同时考虑调查取证周期、隐私要求和终端磁盘空间。
Identify Malware and Exploits Using Signatures Received From FortiSandbox：使用 FortiSandbox 返回的自定义签名进行实时和按需检测。只有启用并正确配置 Sandbox Detection 时才应使用。
Update Sandbox Signatures Every：设置沙箱签名更新间隔。缩短间隔有利于及时获得新签名，但会增加更新请求。

3. 配置实时防护

打开 Real-Time Protection，然后配置：

设置	说明	常规办公终端建议
Action on Virus Discovery	检测到恶意文件后的处置动作	选择 Quarantine Infected Files
Alert When Viruses Are Detected	检测时向终端用户显示提示	建议开启；无人值守终端可按运维要求关闭
If another AntiVirus product has already been installed	检测到其他反病毒产品时 FortiClient 的行为	避免同时启用两套实时防护；迁移期先在测试组验证
Scan Compressed Files	扫描 ZIP、RAR、TAR 等压缩文件	建议开启，并设置合理的 Max Size
Scan Files Accessed by User Process	扫描用户进程读取或写入的文件	优先使用读写均扫描；性能敏感场景先压测
Scan Network Files	扫描从网络共享访问的文件	使用共享盘的终端建议开启
Enable Windows Antimalware Scan Interface	通过 AMSI 检查 PowerShell、脚本宿主、JavaScript/VBScript、Office VBA 等内容	支持的 Windows 终端建议开启
Enable Machine Learning Analysis	使用静态和动态机器学习模型辅助检测未知威胁	建议先以告警模式试运行，再评估是否改为隔离
Skip Trusted Signed Files	跳过受信任且签名有效的文件	性能优先时可开启；高安全场景应评估检测盲区
File Extensions to Exclude	按扩展名排除实时扫描	默认不配置，确认存在兼容性问题后再最小化添加

Action on Virus Discovery 可选动作如下：

Quarantine Infected Files：隔离受感染文件，通常作为生产环境基线。
Deny Access to Infected Files：阻止访问文件，但不将其移入隔离区。
Ignore Infected Files：记录检测但不阻断。仅建议用于短期评估或受控排错，不应作为长期生产配置。

If another AntiVirus product has already been installed 常见选项如下：

Always enable FortiClient Real-Time Protection：即使存在其他反病毒产品也开启 FortiClient 实时防护。
Disable FortiClient Real-Time Protection：发现其他反病毒产品时关闭 FortiClient 实时防护。
Enable FortiClient Real-Time Protection if the other Antivirus product is from Fortinet：仅当另一个产品来自 Fortinet 时允许同时开启。

警告

两套实时防病毒引擎同时拦截文件 I/O，可能造成性能下降、文件锁定或驱动冲突。共存选项应结合现有安全产品的厂商兼容性说明，在测试终端验证后再部署。
如果当前客户端配置了FortiEDR，需要豁免FortiEDR的目录，防止出现冲突。

4. 配置按需扫描

在 On Demand Scanning 中设置用户手动扫描或 EMS 发起扫描时的行为：

Action on Virus Discovery：可选择警告用户、隔离或忽略。生产环境建议隔离。
Integrate FortiClient into Windows Explorer's Context Menu：在 Windows 资源管理器右键菜单中加入 FortiClient 扫描入口；可分别隐藏 AV Scan 或 AV Analyse。
Pause Scanning When Running on Battery Power：终端使用电池时暂停扫描，适合移动办公设备。
Allow Admin Users to Terminate Scheduled and On-Demand Scans from FortiClient Console：允许本地管理员停止 EMS 发起的扫描。高管控环境建议关闭。
Automatically Submit Suspicious Files to FortiGuard for Analysis：自动提交可疑样本。启用前应确认组织的数据处理、隐私及合规要求允许上传文件。
Scan Compressed Files / Max Size：控制是否扫描压缩文件及其大小上限。数值为 0 表示不限制，可能显著增加扫描时间和资源消耗。
Max Scan Speed on Computers With：达到所选内存条件时，将签名载入内存以提高扫描速度。该参数是内存阈值，不是“最大内存用量”。
Enable Machine Learning Analysis：对按需扫描启用机器学习检测，并选择告警或隔离动作。
Skip Trusted Signed Files / File Extensions to Exclude：仅在有明确性能或兼容性依据时使用。

5. 配置计划扫描

打开 Scheduled Scan，并配置：

Schedule Type：选择 Daily（每日）、Weekly（每周）或 Monthly（每月）。
Scan On：每周任务选择星期；每月任务选择日期。每日任务不显示此项。
Start At：使用 24 小时制设置开始时间。建议避开登录高峰、备份窗口和大型软件发布窗口。
Scan Type：
- Quick：扫描当前运行的可执行文件、DLL 和驱动程序，并执行 Rootkit 检测。
- Full：在快速扫描范围之外扫描系统中的全部文件，耗时和资源占用最高。
- Custom：扫描管理员指定的本地目录。
对 Full Scan 继续设置 Scan Priority，并按需开启 Scan Removable Media 和 Scan Network Drives。
仅在确认兼容性后开启 Enable Scheduled Scans Even When a Third-Party AV Product is Present。

注

FortiClient 只支持一个启用状态的计划扫描实例。需要不同扫描范围或时间窗口时，应通过不同配置文件分配给不同终端组，而不是在同一终端上创建多项计划扫描。

6. 配置排除项

在 Exclusions 中可排除文件夹、文件或扩展名。路径支持通配符和部分 Windows 环境变量；排除项区分大小写。网络共享可以使用盘符路径或 UNC 路径。

注意

排除项会形成检测盲区，过长的列表也会影响反病毒性能。每一项排除都应有业务原因、负责人和复审日期；优先精确排除单个文件或目录，不要直接排除整个系统盘、用户目录、临时目录或脚本目录。

常见排除项包括：

Paths to Excluded Folders：从实时防护和按需扫描中排除指定文件夹。
Paths to Excluded Files：从实时防护和按需扫描中排除指定文件。
File Extensions Excluded from Real-Time Protection：仅从实时防护中排除指定扩展名。
File Extensions Excluded from On Demand Scanning：仅从按需扫描中排除指定扩展名。

7. 保存并下发配置

单击 Save 保存 Malware Protection 配置文件。
进入 Endpoint Policy & Components > Manage Policies。
新建或编辑用于测试组的终端策略，在 Profile 区域选择刚创建的 Malware Protection 配置文件。
选择目标终端组，启用策略并保存。
检查策略优先级，确保测试终端不会匹配到位置更靠前的其他策略。
等待 FortiClient 完成下一次 Telemetry 通信并获取配置。

有关配置文件、策略下发和优先级的完整说明，请参阅客户端配置的推送。

所有选项的中文说明

本节按 EMS 7.4 Advanced 视图中的显示顺序解释各项。部分选项受 FortiClient 版本、操作系统、许可证和其他功能开关影响；如果实际界面没有某一项，先检查上述条件，不要直接通过 XML 强行下发不受支持的参数。

配置文件界面

英文选项	中文名称	说明
Name	配置文件名称	用于在 EMS 中识别该 Malware Protection 配置文件。建议名称包含平台、适用对象和用途。
Basic	基本视图	仅显示常用设置，适合快速建立基础配置。
Advanced	高级视图	显示完整的反病毒、扫描、排除和其他高级设置。
XML	XML 配置	查看或编辑配置文件对应的 XML。仅建议在图形界面无法满足需求且已确认版本支持时使用。
Eye icon	可见性图标	控制 FortiClient 最终用户是否能在客户端界面看到该功能；它不等同于启用或禁用防护。
Expand All	全部展开	展开页面上的所有配置分组。
Collapse All	全部折叠	折叠页面上的所有配置分组。
Save	保存	保存配置文件修改；配置仍需被已启用的终端策略引用后才能下发。
Discard Changes	放弃更改	丢弃本次尚未保存的修改。

AntiVirus Protection（反病毒保护）

英文选项	中文名称	说明
AntiVirus Protection	反病毒保护	反病毒模块总开关。关闭后，本节中的实时、按需和计划扫描配置不会按预期提供防护。
General	通用设置	对反病毒保护整体生效的公共参数分组。
Delete Malware Files After	在指定天数后删除恶意文件	设置隔离或恶意文件在客户端保留多少天后自动删除。它影响留存周期，不代表发现病毒后立即删除。
Identify Malware and Exploits Using Signatures Received From FortiSandbox	使用 FortiSandbox 签名识别恶意软件和漏洞利用	允许实时防护和按需扫描使用 FortiSandbox 返回的自定义签名。只有启用 Sandbox Detection 后才会显示或生效。
Update Sandbox Signatures Every	每隔指定分钟更新沙箱签名	设置 FortiClient 拉取 FortiSandbox 签名的时间间隔，单位为分钟。

Real-Time Protection（实时防护）

英文选项	中文名称	说明
Real-Time Protection	实时防护	在文件被访问、读取、写入、下载或执行时进行即时检测。RTP 在本文中均指 Real-Time Protection。
Action on Virus Discovery	发现病毒时的动作	指定实时防护检测到恶意文件后的处置方式，具体取值见下表。
Alert When Viruses Are Detected	检测到病毒时提醒用户	当浏览器下载等实时访问触发病毒检测时显示告警窗口，可显示检测对象的位置和状态。
If another AntiVirus product has already been installed	已安装其他反病毒产品时	定义 FortiClient 实时防护与其他反病毒产品共存时的启停逻辑，具体取值见下表。
Scan Compressed Files	扫描压缩文件	扫描 ZIP、RAR、TAR 等归档文件中的威胁。FortiClient AV 支持最多 12 层嵌套压缩文件。
Max Size	最大大小	仅扫描小于指定大小的压缩文件，单位为 MB；`0` 表示不设此限制。超大或深层压缩文件会增加 CPU、内存和扫描时间。
Scan Files Accessed by User Process	扫描用户进程访问的文件	设置由用户启动的进程读取或写入文件时，实时防护在何时进行扫描，具体取值见下表。
Scan Network Files	扫描网络文件	当用户进程访问网络共享或映射驱动器中的文件时执行实时扫描。
System Process Scanning	系统进程扫描	设置操作系统进程访问文件时的扫描时机，具体取值见下表。
Enable Windows Antimalware Scan Interface	启用 Windows 反恶意软件扫描接口	启用 AMSI，对 PowerShell、Windows Script Host、JavaScript/VBScript、Office VBA 和部分 UAC 提权内容进行内存扫描。仅在支持的 Windows/FortiClient 组合中显示。
Enable Machine Learning Analysis	启用机器学习分析	使用静态及动态机器学习模型检测未命中特征库的可疑样本。启用后还需选择机器学习检测动作。
Action on Virus Discovery With Machine Learning Analysis	机器学习发现病毒时的动作	指定机器学习判定样本可疑或恶意后的处置方式，具体取值见下表。
Skip Trusted Signed Files	跳过可信签名文件	对使用受信任 CA 颁发的有效证书签名的文件跳过相应扫描。可降低扫描开销，但也会扩大信任范围。仅部分版本显示。
File Extensions to Exclude	按扩展名排除文件	指定实时防护不扫描的扩展名。应只添加已验证且范围最小的排除项；部分版本将此项统一放在 Exclusions 中。

实时防护动作

英文取值	中文名称	行为
Quarantine Infected Files	隔离感染文件	将文件移入 FortiClient 隔离区并阻止继续使用；管理员可查看检测名称、日志，并按权限恢复、删除或提交分析。
Deny Access to Infected Files	拒绝访问感染文件	阻止进程访问该文件，但不把文件移入隔离区。
Ignore Infected Files	忽略感染文件	不阻断或隔离文件，通常只保留检测记录。仅适合受控评估或临时排错。

其他反病毒产品共存动作

英文取值	中文名称	行为
Always enable FortiClient Real-Time Protection	始终启用 FortiClient 实时防护	即使发现其他反病毒产品也保持 FortiClient RTP 开启。使用前必须验证双引擎兼容性。
Disable FortiClient Real-Time Protection	禁用 FortiClient 实时防护	发现其他反病毒产品时关闭 FortiClient RTP，以避免两套文件系统实时驱动冲突。
Enable FortiClient Real-Time Protection if the other Antivirus product is from Fortinet	仅当其他反病毒产品来自 Fortinet 时启用	仅在检测到的另一套产品属于 Fortinet 时允许 FortiClient RTP 同时运行。

用户进程扫描模式

英文取值	中文名称	行为
Scan Files When Processes Read or Write Them	进程读取或写入文件时扫描	读取和写入两个方向均触发扫描，覆盖面最大，资源开销也相对较高。
Scan Files When Processes Read Them	进程读取文件时扫描	仅在用户进程读取文件时触发扫描。
Scan Files When Processes Write Them	进程写入文件时扫描	仅在用户进程创建或修改文件时触发扫描。

系统进程扫描模式

英文取值	中文名称	行为
Scan Files When System Processes Read or Write Them	系统进程读取或写入文件时扫描	对系统进程的读取和写入行为都执行扫描。
Scan Files When System Processes Read Them	系统进程读取文件时扫描	仅在系统进程读取文件时扫描。
Scan Files When System Processes Write Them	系统进程写入文件时扫描	仅在系统进程创建或修改文件时扫描。
Do Not Scan Files When System Processes Read or Write Them	不扫描系统进程读写的文件	跳过系统进程触发的文件扫描，可降低开销，但会减少检测覆盖面。

机器学习检测动作

英文取值	中文名称	行为
Log Detection and Warn the User	记录检测并警告用户	记录事件并向用户显示告警，但不自动隔离样本。适合部署初期评估误报。
Quarantine Infected Files	隔离感染文件	将机器学习判定的感染文件隔离，并允许管理员查看、恢复、删除或提交分析。

On Demand Scanning（按需扫描）

英文选项	中文名称	说明
On Demand Scanning	按需扫描	配置用户手动启动、右键菜单启动或 EMS 管理员发起的扫描行为。
Action on Virus Discovery	发现病毒时的动作	指定按需扫描发现感染文件后的处理方式，具体取值见下表。
Integrate FortiClient into Windows Explorer's Context Menu	集成到 Windows 资源管理器右键菜单	在文件或文件夹右键菜单中加入 Scan with FortiClient AntiVirus 等入口。
Hide AV Scan from Windows Explorer's Context Menu	隐藏右键菜单中的反病毒扫描	保留右键菜单集成功能，但不向用户显示本地 AV 扫描入口。
Hide AV Analyse from Windows Explorer's Context Menu	隐藏右键菜单中的反病毒分析	不显示提交文件进行 AV 分析的入口。英文界面使用 `Analyse` 拼写。
Pause Scanning When Running on Battery Power	使用电池供电时暂停扫描	笔记本未接电源时暂停按需或计划扫描，以减少电量和性能消耗。
Allow Admin Users to Terminate Scheduled and On-Demand Scans from FortiClient Console	允许管理员从客户端终止计划和按需扫描	允许终端本地管理员停止由 EMS 管理员发起的扫描；非本地管理员无论此项是否开启都不能停止。
Automatically Submit Suspicious Files to FortiGuard for Analysis	自动向 FortiGuard 提交可疑文件	将可疑样本上传给 FortiGuard 分析。提交后不保证返回单独的样本分析结果，但确认恶意的样本可用于生成后续签名。
Scan Compressed Files	扫描压缩文件	在按需扫描中检查 ZIP、RAR、TAR 等归档文件。
Max Size	最大大小	限制按需扫描处理的压缩文件大小，单位为 MB；`0` 表示不设此限制。
Max Scan Speed on Computers With	在达到指定内存容量的计算机上使用最高扫描速度	选择最低内存门槛（4/6/8/12/16 GB）。终端内存达到门槛时，AV 可将签名载入内存以加快扫描；这不是“最大内存用量”。
Enable Machine Learning Analysis	启用机器学习分析	在按需扫描中使用静态和动态机器学习检测。动作取值与实时防护中的机器学习动作相同。
Skip Trusted Signed Files	跳过可信签名文件	按需扫描时跳过具有可信有效数字签名的文件。仅部分版本显示。
File Extensions to Exclude	按扩展名排除文件	指定按需扫描不检查的文件扩展名；部分版本将此项统一放在 Exclusions 中。

按需扫描动作

英文取值	中文名称	行为
Warn the User If a Process Attempts to Access Infected Files	进程尝试访问感染文件时警告用户	扫描发现文件感染后，在后续进程尝试访问时向用户发出警告。
Quarantine Infected Files	隔离感染文件	将扫描发现的感染文件移入隔离区。
Ignore Infected Files	忽略感染文件	不隔离感染文件。仅建议用于短期验证或排错。

Scheduled Scan（计划扫描）

英文选项	中文名称	说明
Scheduled Scan	计划扫描	启用由 EMS 统一配置的定期反病毒扫描。一个 FortiClient 终端只能启用一个计划扫描实例。
Schedule Type	计划类型	选择 Daily（每日）、Weekly（每周）或 Monthly（每月）。
Scan On	扫描日期	Weekly 时选择星期；Monthly 时选择每月日期；Daily 时不显示。若配置每月 31 日，在不足 31 天的月份中按产品规则于次月 1 日执行。
Start At	开始时间	使用 24 小时制设置计划扫描开始时间。
Scan Type	扫描类型	选择 Quick、Full 或 Custom，具体取值见下表。
Scan Folder	扫描文件夹	Custom Scan 使用；填写需要扫描的本地磁盘文件夹完整路径。
Scan Priority	扫描优先级	选择 Low、Normal 或 High。优先级越高，扫描可使用的处理能力越多，对其他进程的影响也越明显。
Scan Removable Media	扫描可移动媒体	Full Scan 时同时检查已连接的 U 盘、移动硬盘等设备。
Scan Network Drives	扫描网络驱动器	Full Scan 时同时检查已连接或挂载的网络驱动器。
Enable Scheduled Scans Even When a Third-Party AV Product Is Present	存在第三方反病毒产品时仍启用计划扫描	即使终端检测到第三方 AV，也执行 FortiClient 计划扫描。启用前应验证兼容性和性能。

扫描类型

英文取值	中文名称	行为
Quick	快速扫描	运行 Rootkit 检测，并扫描当前正在运行的可执行文件、DLL 和驱动程序。
Full	完整扫描	运行 Rootkit 检测，并扫描系统中的全部文件、可执行文件、DLL 和驱动程序。
Custom	自定义扫描	运行 Rootkit 检测，并扫描 Scan Folder 中指定的本地目录。

扫描优先级

英文取值	中文名称	行为
Low	低	降低扫描对 CPU 等资源的争用，对前台业务影响较小，但完成时间更长。
Normal	正常	在扫描速度和终端业务响应之间保持一般平衡。
High	高	使用更多处理能力以尽快完成扫描，对前台应用的影响可能更明显。

Exclusions（排除项）

英文选项	中文名称	说明
Exclusions	排除项	启用反病毒扫描排除功能。排除列表越长，匹配开销越大，并会扩大安全盲区。
Paths to Excluded Folders	排除文件夹路径	输入文件夹完整路径，使实时防护和按需扫描跳过其中的内容。
Paths to Excluded Files	排除文件路径	输入文件完整路径，使实时防护和按需扫描跳过该文件。
File Extensions Excluded from Real-Time Protection	实时防护排除的文件扩展名	使 RTP 跳过指定扩展名的文件。
File Extensions Excluded from On Demand Scanning	按需扫描排除的文件扩展名	使按需反病毒扫描跳过指定扩展名的文件。

EMS 支持 * 通配符以及 %allusersprofile%、%appdata%、%localappdata%、%systemroot%、%systemdrive%、%userprofile%、%windir% 等路径变量，也支持组合使用。排除列表区分大小写；网络共享可以填写映射盘符路径或 UNC 路径。

Other（其他反病毒设置）

英文选项	中文名称	说明
Scan for Rootkits	扫描 Rootkit	检测通过高级操作系统挂钩隐藏自身、阻止被终止或删除，并可能提供高权限访问的 Rootkit。
Scan for Adware	扫描广告软件	检测在用户联网时下载或显示非预期广告的软件。
Scan for Riskware	扫描风险软件	检测本身可能合法、但其功能或使用方式可能对终端构成风险的软件。Riskware 不一定是恶意软件。
Enable Advanced Heuristics	启用高级启发式检测	使用多组启发式规则检测复杂或尚无明确特征签名的恶意行为，可能提高未知威胁检出率，也可能增加误报。
Scan Removable Media on Insertion	插入可移动媒体时扫描	在软盘、U 盘、读卡器、USB 设备或部分外置硬盘接入时扫描。该项不扫描网络驱动器、CD-ROM 或 RAM Disk。
Scan Email	扫描电子邮件	对通过 SMTP 和 POP3 协议传输的邮件内容执行威胁扫描。采用其他协议、加密方式或现代邮件客户端时，实际覆盖范围取决于版本和流量可见性。
Scan MIME Files (Inbox Files)	扫描 MIME 文件（收件箱文件）	扫描 MIME 格式的邮件正文和附件，包括非 ASCII 文本、音视频、图片、应用附件及多段消息体。
Enable FortiGuard Analytics	启用 FortiGuard 分析	自动把可疑文件发送到 FortiGuard 进行分析。启用前应确认数据上传和隐私合规要求。
Notify Logged in Users if Their AV Signatures Expired	AV 签名过期时通知已登录用户	当客户端反病毒签名超过有效期时，向当前登录用户显示通知，以提示更新异常或防护状态下降。

项目	建议基线
实时防护	开启
实时检测动作	隔离感染文件
AMSI	支持的平台开启
机器学习分析	先告警观察，确认误报率后改为隔离
压缩文件扫描	开启并限制大小，避免压缩炸弹或超大归档影响性能
网络文件扫描	使用共享盘的终端开启
计划扫描	每周快速扫描；关键终端按维护窗口安排完整扫描
电池供电时扫描	移动终端暂停，固定终端不适用
自动提交可疑文件	经数据合规批准后开启
排除项	默认留空，按最小范围逐项审批
第三方 AV 共存	避免双实时引擎；制定迁移和回退方案

验证部署结果

管理端验证

进入 Endpoints > All Endpoints，确认测试终端在线且 Last Seen 时间正常。
打开终端详情，在 Summary > Configuration 中确认实际命中的 Policy 是预期策略。
确认终端已安装 Malware Protection 组件，并检查反病毒引擎及签名版本是否正常更新。
在 EMS 的事件、日志和隔离管理页面检查检测结果是否能够上报。

客户端验证

打开 FortiClient，确认 AntiVirus/Real-Time Protection 已启用。
检查受 EMS 管理的设置是否为只读，并确认扫描计划与配置文件一致。
在组织批准的隔离测试终端上，使用行业标准的无害反病毒测试文件验证“检测—阻断/隔离—日志上报”链路。不要使用真实恶意软件。
验证业务应用、共享盘、开发工具和大型归档文件的访问性能。

提示

不要只验证“客户端显示已开启”。一次完整验收应同时确认策略命中、签名更新、测试文件处置、EMS 日志上报和隔离记录。

变更与回退

先在测试组运行 3～7 天，重点观察误报、CPU/磁盘占用、登录时间和关键业务应用。
通过分组逐批扩大范围，不要直接修改覆盖全部终端的生产配置文件。
变更前复制当前配置文件并记录策略优先级。需要回退时，将终端策略重新指向原配置文件。
发生误报时，先核对文件来源、数字签名、哈希和检测名称；确认文件可信后再恢复或加入最小范围排除项。
隔离区中的文件可能包含敏感数据，恢复、下载、提交分析或删除时应遵循组织的事件响应流程。

常见问题

现象	排查顺序
客户端没有出现反病毒功能	检查许可证、安装包是否包含 Malware Protection 组件、操作系统是否受支持，以及配置文件是否已被正确的终端策略引用。仅打开配置文件中的总开关并不会自动安装缺失的客户端组件。
配置文件已保存，但客户端仍未更新	检查终端在线状态、最后通信时间、实际命中的策略和策略优先级。终端离线时需在恢复 Telemetry 连接后才能获得新配置。
实时防护自动关闭	常见原因是终端已经安装第三方反病毒产品，而配置选择了 Disable FortiClient Real-Time Protection。确认 Windows 安全中心识别到的产品状态，并核对迁移策略；不要未经兼容性验证直接强制双重实时防护。
扫描导致终端性能下降	检查是否在业务高峰执行 Full Scan、是否扫描网络驱动器或超大压缩文件、机器学习分析是否开启，以及排除列表是否异常过长。优先调整扫描时间、类型、优先级和压缩文件大小限制，再考虑添加精确排除项。
文件被隔离但 EMS 中没有记录	先确认客户端与 EMS 的连接和时间同步，再检查 FortiClient 日志级别、事件上传状态及 EMS 存储/日志设置。客户端本地检测成功不代表事件已经完成上报。
AMSI 或部分选项不可见	部分设置仅在 Advanced 视图、特定 Windows/FortiClient 版本或相应许可证下显示。先检查平台和版本支持范围，再确认配置文件视图模式。

更新历史

Ver	Description	Author	Rev	Date
1.2	Add Chinese explanations for all antivirus options and values	ysheng	tanga	2026.08.30
1.1	Complete deployment, validation, rollback and troubleshooting guidance	tanga	ysheng	2026.08.30
1.0	First Complete	ysheng	tanga	2025.10.18