ما المجلدات التي يمكنك استثناؤها من مكافح الفيروسات لـ SQL Server؟
استثناء عبء عمل وخادم غير محمي قراران مختلفان. احصر الاستثناء في التفاعل المثبت واحتفظ بالضوابط الأخرى.
يُستخدم تعبيران بالتبادل في مراجعات قواعد البيانات، وهما يعنيان أمرين مختلفين تمامًا. يقول أحدهما إن عبء عمل معين يحتاج إلى استثناء معين؛ ويقول الآخر إن المضيف لم يعد يحتاج إلى حماية نقطة النهاية. الأول قرار هندسي محدود النطاق، والثاني مخاطرة بلا مالك. والفصل بينهما هو المهمة كلها، ويبدأ بما يفعله الخادم فعليًا.
جملتان تبدوان متطابقتين
يسمّي الاستثناء مسارًا أو عملية أو نوع ملف ويعطي سببًا لذلك. أما التخلي فيزيل ضابطًا من جهاز ويعطي سببًا لذلك بدلًا منه. وقد ينتج الاثنان أرقام أداء متشابهة ووضعين أمنيين مختلفين تمامًا.
خادم قاعدة البيانات مرشح ضعيف للتخلي عنه لأنه يخزّن البيانات التي يعتمد عليها كل شيء آخر. وهو أيضًا مرشح ضعيف لسياسة بمستوى الحواسيب المكتبية، لأن فحص ملفات تحتفظ قاعدة البيانات بها مفتوحة يسبب مشكلات لا تراها حاسوب مكتبي أبدًا. الموقف الصادق يقع في الوسط، ويجب الدفاع عنه بالحجة لا افتراضه. وتلك الحجة هي ما ينبغي أن تلتقطه المراجعة.
قارن بين الاستثناء والتخلي
ضع الخيارين جنبًا إلى جنب عند أربع نقاط: ما يبقى محميًا، وما يصبح مكشوفًا، ومن يملك القرار، وما الأدلة التي تدعمه.
الاستثناء المحدود النطاق يترك بقية المضيف تحت الحماية نفسها كما كانت، ويُبقي القرار عند مالك مسمّى، ويستند إلى عرض مُعاد إنتاجه. أما التخلي فيزيل الحماية عن كل شيء ويستند عادة إلى ادعاء بأن الجهاز غير مكشوف. وهذا الادعاء عليه أن يصمد أمام الأدوار الفعلية للخادم، لأن مشاركات الملفات والخوادم المرتبطة ووظائف الوكيل ونقل الملفات الإداري كلها تُنشئ تعرّضًا لا تراه جدار الحماية أبدًا. وعمود واحد فقط من المقارنة أدناه يبقى صالحًا بعد تغيّر الملكية، لأنه يسجّل ما تم تقريره ولماذا.
| Point | Scoped exception | Blanket exclusion |
|---|---|---|
| Coverage | Only the named paths or processes | The whole host |
| Evidence needed | A reproduced interaction | An argument about exposure |
| Owner | A named reviewer with a date | Usually nobody |
| Behaviour after an update | Reviewed again | Silently inherited |
احصر الاستثناء في التفاعل المثبت
ابدأ من العَرَض لا من قائمة. فتعارض الوصول إلى الملفات وضغط الموارد والاستعلام البطيء تبدو مختلفة في السجلات وتؤدي إلى إصلاحات مختلفة. أعد إنتاج العَرَض مع تمكين الحماية، ثم حدّد المسار أو العملية المعنية بدقة.
المرشحات المعتادة هي ملفات قاعدة البيانات وملفات السجلات والنسخ الاحتياطية وملفات فهرس النص الكامل، كما تبقى إرشادات Microsoft حول برامج مكافحة الفيروسات وSQL Server المرجع للإصدار المنشور والمنتج الأمني. لا تنسخ قائمة من خادم آخر، ولا تفترض أن اسم خدمة واحد يغطي كل مكوّن مثبّت. أصغر استثناء يعالج التفاعل المثبت هو ما ينبغي اقتراحه. وأي شيء أوسع يحتاج إلى حجته الخاصة.
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabledراجع تلك القائمة مقابل دور الخادم، لأن الاستثناء المضاف لحادثة واحدة يميل إلى البقاء إلى الأبد. ملاحظة قصيرة بجانب كل بند تكفي لجعل التدقيق التالي ممكنًا.
احتفظ بضوابط الشبكة والهوية
استثناء نقطة النهاية لا يقول شيئًا عن من يحق له الوصول إلى قاعدة البيانات. ينبغي لسياسة جدار الحماية أن تقيّد المصادر التي يمكنها فتح جلسة SQL أو جلسة إدارية، وينبغي لحسابات التطبيقات أن تحدّ مما يمكن لتلك الجلسات فعله.
الـ VPN تنتمي إلى الحديث نفسه ويُساء استخدامها كثيرًا كحجة. تقييد مسار الوصول لا يتحقق من الملفات أو النصوص البرمجية أو الاستعلامات التي تصل عبره. والنفق المشفّر أيضًا معتم على مستشعر الشبكة، فالرؤية التي يمنحك إياها المستشعر ليست الرؤية التي يمنحك إياها وكيل المضيف. تلك مسارات أدلة مختلفة، ولا يغني أحدهما عن الآخر. تبقى إدارة الترقيات والأدوات الإدارية الموثوقة ومسار استرداد مختبَر مسؤوليات منفصلة بأصحابها. ونظافة الأدوار تنتمي إلى هنا أيضًا: ينبغي أن يبقى التصفح والتنزيلات ومهام مشاركة الملفات غير المرتبطة بعيدًا عن مضيف قاعدة البيانات ما لم يقبلها مالكه صراحةً.
اختبر التغيير ثم تولَّ مسؤوليته
اختبر بعبء عمل تمثيلي وبفحوص أمنية ذات صلة، ثم قارن الاستقرار والإنتاجية والحماية المستمرة بدلًا من الخطأ الأصلي وحده.
Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending | Select-Object -First 5
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' -MaxEvents 20احتفظ بمسار تراجع مدعوم وبمالك يراجع الاستثناء بعد تحديثات المكوّنات أو المنتج، لأن استثناءً كُتب لإصدار بناء واحد قد يعيش أطول من السبب الذي وُجد من أجله. سجّل النطاق والسبب وتاريخ المراجعة في المكان نفسه الذي يحتفظ بسجل بناء الخادم. وبدون ذلك يرث المراجع التالي قائمة بلا حجة وراءها. والاستثناء قابل للدفاع فقط ما دام سببه صحيحًا.