Ну есть еще потенциально не такой уж опасный вариант(требует проверки) исключить не все .jar, и не какую-то отдельную папку, а тот процесс, который все эти файлы "гоняет". Понятно, что из сканирования в таком случае исключится вообще все, что он пишет, но если не предполагается, что через него всё подряд вместе с малварью могут стартовать и путь до бинаря + имя достаточно уникальны, то вполне имеет место быть, как вариант. Это то, что задается в Исключения - Приложения для Spider Guard(Исключаемые процессы в АВ сети). Но тут лог spiderg3 для конкретики нужен с машины, где подобное воспроизводится(лучше с пары-тройки для статистики) и указание периода времени, когда наблюдались проблемы, хотя бы приблизительно(по каждому логу).
25% (CPU видимо?) это конечно вообще не серьезно. Т.е. ну да, нагрузили на четверть процессор. Это просто говорит о том, что он какую-то работу совершил. Но вообще никак не говорит о каких то замедлениях в работе или при проверке, и не указывает на объективный уровень влияния АВ. Да, совершили работу, да, для этого использовали какие-то ресурсы. Сравнительно можно сказать небольшие. Все равно, что сказать "у нас тут 2-ое рабочих из бригады в 8 человек - работу работали". Вообще не понятно, что делалось, сколько работалась работа и какая, чего делали. Может пакет тушенки перенесли вдвоем с одного вагончика до другого, где кухня, и всё за минуту. Полезная работа совершена, галочку поставили, можно на перекур.
CPU можно под крышечку заюзать и на все 100%, и за миллисекунду при этом отсканить файл так, что это практически никак заметно не скажется на скорости его записи. Тайминги проверки по логам тут тоже будут более показательны. Из предложенных вариантов, я бы выбрал 2, как самый безопасный.
3-ий можно рассмотреть с оговоркой, что исключать можно не вообще все *.jar, а проанализировать таки логи Spiderg3 и выделить хоть какие-то маски для файлов и путей. Ну т.е. вот хотя бы (из головы) мб можно сделать штук 5 масок вида a*plugin*.jar, *app*.jar и т.д. и покрыть условно половину или более всех сканируемых файлов. Это уже сравнительно не так опасно, т.к. мы все таки предполагаем, что за организацией прямо сейчас не следят злоумышленники, которые откуда-нибудь узнают, какие исключения Вы там задали и начнут спамить Вас ,jar-ами с именами, подходящими под исключения. Но все равно оно менее безопасно, чем просто исключить какой-нибудь длинный уникальный путь.
Ну и да, с точки зрения специалиста по ИБ, с пониманием, кто будет крайним в случае инцидента по ИБ - сходить хотя бы разок и глянуть, так ли страшен черт, как его малюют. Если нельзя ножками сходить, попросить экран пошарить и пусть хоть покажут, насколько оно там страшно и в какие неудобства выливается. Если там больше крику(раньше было минуту, а теперь целых 1,5) - то действовать с позиции силы. А если уж правда что-то прямо из ряда вон или ощутимое, заметное, то по минимуму обойтись исключениями или предложить вариант 2, если они от него еще больше не взвоют. =)
И я бы таки начал хотя бы с получения логов и с объективных наблюдений, что же там такое происходит и так ли оно страшно, как рассказано.
