Press CTRL+K to open search

xAgent configuration file reference

  • Published on Sep 8, 2026
  • 2 minute(s) read
Prev Next

The xAgent configuration file stores settings used by the agent as it monitors the host endpoint. These settings are stored in the agent_config.json file. This file is accessed and used when downloading the agent installation package from the Endpoint Security (HX) server, deploying agent to endpoints in your environment, and configuring the agent's settings to monitor your hosts and endpoints.

xAgent configuration file setting support By OS platforms

You can use a text editor to modify the xAgent configuration file settings for your host Windows, macOS, or Linux endpoint.

Important

If you change values in the agent_config.json file without consulting Trellix Customer Support or in a manner not recommended by Trellix, your xAgent software functionality may be compromised.

The table below lists the operating system support for each xAgent configuration file setting.

Section

Setting Key

Supported Operating System

(Y=Yes or N=No)

Windows

macOS

Linux

advanced

mg_intel

Y

N

N

cleandb

Y

N

N

Amsi

blockModeEnabled

Y

N

N

contextDataSize

Y

N

N

databaseSize

Y

N

N

deleteTrigger

Y

N

N

deleteBatchSize

Y

N

N

debugOutputEnabled

Y

N

N

enabled

Y

N

N

intel_poll_sec

Y

N

N

localRulesEnabled

Y

N

N

selectedConfidence

Y

N

N

channel

---

Y

Y

Y

credentials

cacert

Y

Y

Y

provocert

Y

Y

Y

provokey

Y

Y

Y

EndpointUI

daysToPurgeEventLogs

Y

N

N

enabled

Y

N

N

localDeleteEnabled

Y

N

N

localRestoreEnabled

Y

N

N

notificationsEnabled

Y

N

N

trayIconEnabled

Y

N

N

events

active_collection_enabled

Y

Y

Y

db_regen_errors

Y

Y

Y

dns_evts_enabled

Y

Y

N

excludedPaths

Y

Y

Y

excludedProcessNames

Y

Y

Y

intel_poll_sec

Y

Y

Y

intel_uri

Y

Y

Y

max_db_size

Y

Y

Y

network_evts_enabled

Y

Y

Y

storage_mode

Y

Y

Y

udp_send_events

Y

Y

Y

url_evts_enabled

Y

Y

N

exploitDetection

alertThreshold

Y

N

N

appList

Y

N

N

config_uri

Y

N

N

enable_notification

Y

N

N

enable_pageguard

Y

N

N

enable_prevent_known

Y

N

N

enable_production

Y

N

N

enable_protection

Y

N

N

enable_server_os

Y

N

N

enable_termination

Y

N

N

enable_quarantine

Y

N

N

excludedFiles

Y

N

N

excludedMD5s

Y

N

N

excludedPaths

Y

N

N

rules_uri

Y

N

N

traceLevel

Y

N

N

whitelist_uri

Y

N

N

fips

enabled

Y

Y

Y

id

--

Y

Y

Y

logging

enabled

Y

Y

Y

log_level

Y

Y

Y

log_mask

Y

Y

Y

max_count

Y

Y

Y

LogonTracker

backfill_events

Y

N

N

enabled

Y

N

Y

ignore_accounts

Y

N

N

ignore_addr

Y

N

N

ignore_categories

Y

N

N

ignore_hosts

Y

N

N

include_status

Y

N

N

ignore_types

Y

N

N

logon_timeout_minutes

Y

N

N

malwareDetection

clean32_uri

Y

Y

N

clean64_uri

Y

Y

N

custom_server_host

Y

Y

N

dti_exclusions_uri

Y

Y

N

enable

Y

Y

N

engine_configuration

Y

N

N

enable_content_rollback

Y

Y

N

enable_white_list

Y

Y

N

excludedFiles

Y

Y

N

excludedMD5s

Y

Y

N

excludeProcesses

Y

Y

N

mg_intel_uri

Y

N

N

network_oas

Y

N

N

ods

Y

Y

N

quarantine

Y

Y

N

scan_configuration

Y

Y

N

scan_control

Y

Y

N

schedulelist

Y

Y

N

update_enabled

Y

Y

N

update_interval

Y

Y

N

update_version_exclusions

Y

Y

N

update_source

Y

Y

N

update_url32

Y

Y

N

update_url64

Y

Y

N

user_exclusions_uri

Y

Y

N

name

---

Y

Y

Y

ProcGuard

blockingMode

Y

N

N

enabled

Y

N

N

excludedPaths

Y

N

N

throttleIntervalSeconds

Y

N

N

process

cpu_limit

Y

Y

Y

deny_local_admin_stop

Y

Y

Y

file_protection_enabled

Y

N

N

priority

Y

N

N

protection_enabled

Y

N

N

uninstall_password

Y

N

N

ProtectionServices

enable

Y

Y

Y

age_to_purge

Y

Y

Y

proxy

type

Y

Y

Y

host

Y

Y

Y

port

Y

Y

Y

exclude_hosts

Y

Y

Y

exclude_local_hosts

Y

Y

Y

username

Y

Y

Y

password

Y

Y

Y

failed_retry_delay

Y

Y

Y

serverlist

disable_provision

Y

Y

Y

server

Y

Y

Y

servers

Y

Y

Y

service

config_poll_interval_sec

Y

Y

Y

config_pull_enabled

Y

Y

Y

fastpoll_agents

Y

Y

Y

poll_agents

Y

Y

Y

request_sysinfo

Y

Y

Y

ts

---

Y

Y

Y

type

---

Y

Y

Y

UACProtect

block_on_detection

Y

N

N

enabled

Y

N

N

hkcu_hijaking_com_handler

Y

N

N

hkcu_hijacking_environment

Y

N

N

hkcu_hijacking_shell_command

Y

N

N

process_masquerading

Y

N

N

ignore_wow64

Y

N

N

ignore_duplicates

Y

N

N

program_output_abuse

Y

N

N

token_manipulation

Y

N

N

version

---

Y

Y

Y

xAgent configuration file settings and default values

The following table lists all settings in the agent_config.json file, defines their default values, and identifies the edit methods that are supported by Trellix for each setting.

Important

The Supported Edit Methods column in the table below identifies the edit methods that Trellix recommends you use to change a setting. Even if a setting can be modified using one of the available edit methods (for example, through API custom configuration channels), Trellix may not recommend that you do so. For information about the edit methods, see Modifying Agent Configuration Settings.

Any setting can be changed manually for the agent on an individual host using a text editor. See Modifying the Configuration File for a Single Endpoint. Select a setting below to determine its supported edit methods.

Admin users must have experience working with json files and understanding json file syntax.

Select a section or setting key in the table below for more information.

Section

Setting Key

Default

Supported Edit Methods

(Y=Yes or N=No)

UI

CLI

API

advanced

mg_intel

300

Y

N

Y

cleandb

300

Y

N

Y

Amsi

blockModeEnabled

false

N

N

Y

contextDataSize

1

Y

N

Y

databaseSize

100

Y

N

Y

deleteTrigger

80

Y

N

Y

deleteBatchSize

100

Y

N

Y

debugOutputEnabled

false

N

N

Y

enabled

---

N

N

Y

intel_poll_sec

3600

Y

N

Y

intel_uri

---

N

N

Y

localRulesEnabled

false

N

N

Y

selectedConfidence

medium

Y

N

Y

selectLimit

1000

Y

N

Y

channel

---

---

N

N

N

credentials

cacert

---

N

N

N

provocert

---

N

N

N

provokey

---

N

N

N

EndpointUI

daysToPurgeEventLogs

30

Y

N

Y

enabled

---

Y

N

Y

localDeleteEnabled

true

Y

N

Y

localRestoreEnabled

true

Y

N

Y

notificationsEnabled

false

N

N

Y

trayIconEnabled

true

N

N

Y

events

active_collection_enabled

true

Y

N

Y

db_regen_errors

---

N

N

N

dns_evts_enabled

---

Y

N

Y

excludedPaths

---

Y

N

Y

excludedProcessNames

---

Y

N

Y

intel_poll_sec

900

Y

Y

Y

intel_uri

/content/v1/intel/ioc/win-current_xagent_win

N

N

N

max_db_size

100 (Windows); 120 (macOS)

Y

N

Y

network_evts_enabled

---

Y

N

Y

storage_mode

---

Y

N

Y

url_evts_enabled

---

Y

N

Y

udp_send_events

false

Y

N

Y

exploitDetection

alertThreshold

---

N

N

N

appList

---

N

N

N

config_uri

---

N

N

N

enable_notification

false

Y

N

Y

enable_pageguard

true

N

N

N

enable_prevent_known

false

Y

N

Y

enable_production

true

Y

N

Y

enable_protection

false

Y

N

Y

enable_server_os

false

Y

N

Y

enable_termination

false

Y

N

Y

enable_quarantine

---

Y

N

Y

excludedFiles

---

Y

N

Y

excludedMD5s

---

Y

N

Y

excludedPaths

---

Y

N

Y

rules_uri

/content/v1/intel/exd/rules

N

N

N

traceLevel

---

N

N

N

whitelist_uri

/content/v1/intel/exd/whitelist

N

N

N

fips

enabled

true

N

N

N

id

--

---

N

N

N

logging

enabled

true

Y

N

Y

log_level

info

Y

N

Y

log_mask

---

N

N

Y

max_count

---

Y

N

Y

LogonTracker

backfill_events

true

Y

N

Y

enabled

---

Y

N

Y

ignore_accounts

---

Y

N

Y

ignore_addr

---

Y

N

Y

ignore_categories

---

Y

N

Y

ignore_hosts

---

Y

N

Y

include_status

---

Y

N

Y

ignore_types

---

Y

N

Y

logon_timeout_minutes

1440

Y

N

Y

malwareDetection

clean32_uri

---

N

N

N

clean64_uri

---

N

N

N

custom_server_host

---

Y

N

Y

dti_exclusions_uri

---

N

N

N

enable

false

Y

N

Y

enable_content_rollback

---

Y

N

Y

enable_white_list

---

N

N

N

engine_configuration

---

Y

N

Y

excludedFiles

---

Y

N

Y

excludedMD5s

---

Y

N

Y

excludeProcesses

---

Y

N

Y

mg_intel_uri

---

N

N

N

network_oas

---

Y

N

Y

ods

---

N

N

N

quarantine

---

Y

N

Y

scan_configuration

---

N

N

N

scan_control

---

Y

N

Y

schedulelist

---

Y

N

Y

update_enabled

false

N

N

N

update_interval

14400 seconds (4 hours)

Y

N

Y

update_source

Internet

Y

N

Y

update_url32

http://avupdate.fireeye.com/av32bit

N

N

N

update_url64

http://avupdate.fireeye.com/av64bit

N

N

N

update_version_exclusions

---

Y

N

Y

user_exclusions_uri

---

N

N

N

name

---

default

N

N

N

ProcGuard

blockingMode

false

Y

N

Y

enabled

---

Y

N

Y

excludedPaths

---

Y

N

Y

throttleIntervalSeconds

3600

Y

N

Y

process

cpu_limit

100

Y

Y

Y

deny_local_admin_stop

true

Y

N

Y

file_protection_enabled

---

Y

N

Y

priority

idle

Y

N

Y

protection_enabled

true

Y

N

Y

uninstall_password

---

Y

N

Y

ProtectionServices

enable

true

N

Y

Y

age_to_purge

90

Y

Y

Y

proxy

type

none

Y

Y

Y

host

---

Y

Y

Y

port

80

Y

Y

Y

exclude_hosts

---

Y

Y

Y

exclude_local_hosts

false

Y

Y

Y

username

---

Y

Y

Y

password

---

Y

Y

Y

failed_retry_delay

1200

Y

Y

Y

serverlist

disable_provision

false

Y

N

Y

server

---

Y

Y

N

servers

---

Y

N

Y

service

config_poll_interval_sec

900

Y

N

Y

config_pull_enabled

true

N

N

N

fastpoll_agents

---

N

Y

Y

poll_agents

---

Y

Y

Y

request_sysinfo

---

Y

N

Y

ts

---

---

N

N

N

type

---

---

N

N

N

UACProtect

block_on_detection

false

Y

N

Y

enabled

---

Y

N

Y

hijaking_com_handler

true

Y

N

Y

hkcu_hijacking_environment

true

Y

N

Y

hkcu_hijacking_shell_command

true

Y

N

Y

process_masquerading

true

Y

N

Y

ignore_wow64

false

Y

N

Y

ignore_duplicates

true

Y

N

Y

program_output_abuse

true

Y

N

Y

token_manipulation

true

Y

N

Y

version

---

---

N

N

N

: