Якія папкі можна выключыць з-пад антывіруса для SQL Server?

Два сказы ў аглядах баз даных ужываюцца як узаемазаменныя, але азначаюць яны вельмі рознае. Адзін кажа, што пэўнай працоўнай нагрузцы патрэбна пэўнае выключэнне; другі — што хосту ўжо не патрэбна абарона канчатковай кропкі. Першы — гэта абмежаванае інжынернае рашэнне, другі — рызыка без уласніка. Падзяліць іх — і ёсць уся задача, і пачынаецца яна з таго, што сервер насамрэч робіць.

Два сказы, якія гучаць аднолькава

Выключэнне называе шлях, працэс або тып файла і падае прычыну для гэтага. Адмова ж прыбірае сродак кантролю з машыны і замест гэтага падае прычыну для такога рашэння. Абодва варыянты могуць даць падобныя лікі прадукцыйнасці і цалкам розныя станы бяспекі.

Сервер базы даных — дрэнны кандыдат на адмову, бо ён захоўвае даныя, ад якіх залежыць усё астатняе. Ён таксама дрэнны кандыдат для палітыкі ўзроўню працоўнага стала, бо сканаванне файлаў, якія база даных трымае адкрытымі, стварае праблемы, якіх працоўны стол ніколі не бачыць. Сумленная пазіцыя знаходзіцца пасярэдзіне, і яе трэба абгрунтаваць, а не меркаваць. Менавіта гэтае абгрунтаванне і павінен фіксаваць агляд.

Параўнайце выключэнне і адмову

Пастаўце два варыянты побач па чатырох пунктах: што застаецца абароненым, што становіцца адкрытым, хто валодае рашэннем і якія доказы яго падтрымліваюць.

Абмежаванае выключэнне пакідае астатнюю частку хоста пад той жа абаронай, што і раней, утрымлівае рашэнне ў названага ўласніка і абапіраецца на ўзнаўляемы сімптом. Адмова ж здымае абарону з усяго і звычайна абапіраецца на сцвярджэнне, што машына не адкрытая. Гэтае сцвярджэнне мусіць вытрымаць супраць фактычных роляў сервера, бо агульныя папкі, звязаныя серверы, заданні агента і адміністрацыйная перадача файлаў ствараюць уздзеянне, якога міжсеткавы экран ніколі не бачыць. Толькі адзін слупок параўнання ніжэй перажывае змену ўласніка, бо ён фіксуе, што было вырашана і чаму.

Абмяжуйце выключэнне прадэманстраваным узаемадзеяннем

Пачынайце з сімптома, а не са спіса. Канфлікт доступу да файла, ціск на рэсурсы і павольны запыт выглядаюць у журналах па-рознаму і вядуць да розных выпраўленняў. Узнавіце сімптом з уключанай абаронай, затым вызначце дакладны шлях або працэс, які ўдзельнічае.

Тыповыя кандыдаты — файлы базы даных, файлы журналаў, рэзервовыя копіі і файлы каталога поўнага тэксту, а рэкамендацыі Microsoft па антывіруснаму праграмнаму забеспячэнню і SQL Server застаюцца ўзорам для разгорнутай версіі і прадукту бяспекі. Не капіруйце спіс з іншага сервера і не мяркуйце, што адно імя службы ахоплівае ўсе ўсталяваныя кампаненты. Самае малое выключэнне, якое вырашае прадэманстраванае ўзаемадзеянне, — гэта тое, што варта прапанаваць. Усё шырэйшае патрабуе ўласнага абгрунтавання.

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled

Зверце гэты спіс з роляй сервера, бо выключэнне, дададзенае праз адзін інцыдэнт, як правіла, застаецца назаўсёды. Кароткай нататкі побач з кожным запісам дастаткова, каб наступны аўдыт стаў магчымым.

Захавайце сеткавыя сродкі кантролю і сродкі кантролю асобы

Выключэнне на ўзроўні канчатковай кропкі нічога не кажа пра тое, хто можа дасягнуць базы даных. Палітыка міжсеткавага экрана па-ранейшаму павінна абмяжоўваць, якія крыніцы могуць адкрыць сеанс SQL або адміністрацыйны сеанс, а ўліковыя запісы праграм па-ранейшаму мусяць абмяжоўваць, што гэтыя сеансы могуць рабіць.

VPN таксама належыць да гэтай размовы, і яго часта выкарыстоўваюць як аргумент недарэчна. Абмежаванне шляху доступу не правярае файлы, сцэнарыі або запыты, якія прыходзяць праз яго. Шыфраваны тунель таксама непразрысты для сеткавага сэнсара, таму бачнасць, якую дае сэнсар, — не тая бачнасць, якую дае агент хоста. Гэта розныя патокі доказаў, і ні адзін не замяняе другі. Кіраванне абнаўленнямі, давераныя адміністрацыйныя сродкі і пратэставаны шлях аднаўлення застаюцца асобнымі адказнасцямі з уласнымі ўласнікамі. Гігіена роляў таксама адносіцца сюды: непавязаныя прагляданне, спампоўкі і абавязкі сумеснага доступу да файлаў павінны трымацца далей ад хоста базы даных, пакуль уласнік не прыняў іх відавочна.

Праверце змену і вазьміце за яе адказнасць

Праверце на рэпрэзентатыўнай працоўнай нагрузцы і значных праверках бяспекі, затым параўнайце стабільнасць, прапускную здольнасць і працягнутую абарону, а не толькі першапачатковую памылку.

Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending | Select-Object -First 5
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' -MaxEvents 20

Захавайце падтрымліваемы шлях адкату і ўласніка, які пераглядае выключэнне пасля абнаўленняў кампанентаў або прадукту, бо выключэнне, напісанае для адной зборкі, можа перажыць прычыну свайго існавання. Запішыце абсяг, прычыну і дату перагляду ў тым жа месцы, дзе захоўваецца запіс зборкі сервера. Без гэтага наступны аглядальнік атрымае ў спадчыну спіс без абгрунтавання за ім. Выключэнне можна абараніць толькі пакуль яго прычына яшчэ праўдзівая.