Respostas
1. Você exclui todos os diretórios, com exceção do diretório no qual os uploads são colocados?
É vantajoso fazer testes de desempenho sem exclusões antes de decidir que elas são necessárias. Se o desempenho é satisfatório sem criar novas falhas de segurança de nosso próprio projeto, por que incomodar?
2. Você tem a verificação em tempo real ativada ou apenas uma verificação agendada?
Em quase todos os ambientes corporativos, a resposta é "ambos".
3. Como você tem o AV configurado para responder a ameaças, automáticas ou exigir entrada do usuário?
Normalmente, você quer que ele responda automática e imediatamente, mas faça algo potencialmente reversível (ou seja, quarentena, não excluir).
4. E quanto à penalidade de desempenho?
Acontece que sua opção de produto antivírus pode fazer uma diferença maior em termos de desempenho do que configurar exclusões.
Anecdotalmente: na minha experiência pessoal, em um ambiente corporativo, a ESET com exclusões no tem muito menos impacto de desempenho do que a Symantec com praticamente tudo excluído do sol - mesmo em servidores com recursos extraordinariamente ocupados drives, por exemplo Banco de dados SQL & gravação no call center. Certifique-se de avaliar vários produtos anti-malware em seu próprio ambiente de teste antes de tomar uma decisão.
Resultado final
A menos que regras como "nenhuma navegação na Web a partir da máquina" sejam aplicadas por regras reais de firewall, você pode assumir que elas serão quebradas. Pessoas cometem erros. Além disso, não é prudente acreditar que você possa prever todas as formas como o malware pode se espalhar.
Como os outros disseram, a sabedoria convencional é que todos os computadores Windows precisam de software anti-malware, não importa qual seja o papel deles. Como administradores, decidimos qual produto AV instalar e como precisamos configurá-lo.