Quines carpetes podeu excloure de l’antivirus per a SQL Server?
Una exclusió per a una càrrega de treball i un amfitrió sense protecció són decisions diferents. Limiteu l’excepció a la interacció demostrada i manteniu la resta de controls.
Dues frases es fan servir indistintament a les revisions de bases de dades, i volen dir coses molt diferents. Una diu que una càrrega de treball concreta necessita una excepció concreta; l’altra diu que l’amfitrió ja no necessita protecció d’extrem. La primera és una decisió d’enginyeria acotada, i la segona és un risc sense propietari. Separar-les és tota la feina, i comença per què fa realment el servidor.
Dues frases que sonen igual
Una excepció anomena una ruta, un procés o un tipus de fitxer i en dona un motiu. Un abandonament treu un control d’una màquina i, en lloc d’això, en dona un motiu. Els dos poden produir xifres de rendiment semblants i postures de seguretat completament diferents.
Un servidor de bases de dades és un mal candidat per a l’abandonament perquè guarda les dades de què depèn tota la resta. També és un mal candidat per a una política d’escriptori, perquè analitzar fitxers que una base de dades manté oberts causa problemes que un escriptori mai no veu. La posició honesta és al mig, i s’ha d’argumentar en lloc de suposar. Aquest argument és el que una revisió ha de recollir.
Compareu l’excepció i l’abandonament
Poseu les dues opcions costat a costat en quatre punts: què queda protegit, què queda exposat, qui posseeix la decisió i quines proves la sostenen.
Una excepció acotada deixa la resta de l’amfitrió sota la mateixa protecció que abans, manté la decisió en un propietari nomenat i es basa en un símptoma reproduït. Un abandonament treu la protecció de tot i normalment es basa en l’afirmació que la màquina no està exposada. Aquesta afirmació ha de sobreviure als rols reals del servidor, perquè els recursos compartits, els servidors enllaçats, les tasques de l’agent i les transferències de fitxers administratives creen una exposició que un tallafoc mai no veu. Només una columna de la comparació de sota sobreviu a un canvi de propietari, perquè registra què es va decidir i per què.
| Point | Scoped exception | Blanket exclusion |
|---|---|---|
| Coverage | Only the named paths or processes | The whole host |
| Evidence needed | A reproduced interaction | An argument about exposure |
| Owner | A named reviewer with a date | Usually nobody |
| Behaviour after an update | Reviewed again | Silently inherited |
Limiteu una excepció a la interacció demostrada
Comenceu pel símptoma en lloc de per una llista. Un conflicte d’accés a fitxers, la pressió de recursos i una consulta lenta es veuen diferent als registres i porten a correccions diferents. Reproduïu el símptoma amb la protecció activada i, després, identifiqueu la ruta o el procés exacte que hi intervé.
Els candidats típics són els fitxers de la base de dades, els fitxers de registre, les còpies de seguretat i els fitxers del catàleg de text complet, i l’orientació de Microsoft sobre el programari antivirus i SQL Server continua sent la referència per a la versió desplegada i el producte de seguretat. No copieu una llista d’un altre servidor ni suposeu que un sol nom de servei cobreix tots els components instal·lats. L’excepció més petita que adreça la interacció demostrada és la que cal proposar. Qualsevol cosa més àmplia necessita el seu propi argument.
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabledReviseu aquesta llista contra el rol del servidor, perquè una excepció afegida per a un incident tendeix a quedar-s’hi per sempre. Una nota breu al costat de cada entrada n’hi ha prou per fer possible la propera auditoria.
Manteniu els controls de xarxa i d’identitat
Una excepció d’extrem no diu res sobre qui pot arribar a la base de dades. La política del tallafoc hauria de continuar limitant quines fonts poden obrir una sessió SQL o de gestió, i els comptes d’aplicació haurien de continuar limitant què poden fer aquestes sessions.
Una VPN pertany a aquesta mateixa conversa i sovint s’utilitza malament com a argument. Restringir el camí d’accés no valida els fitxers, els scripts o les consultes que hi arriben. Un túnel xifrat també és opac per a un sensor de xarxa, així que la visibilitat que us dona un sensor no és la visibilitat que us dona un agent de l’amfitrió. Són fluxos de proves diferents i cap no substitueix l’altre. La gestió de pedaços, les eines administratives de confiança i un camí de recuperació provat continuen sent responsabilitats separades amb els seus propis propietaris. La higiene de rols també hi pertoca: la navegació, les descàrregues i les tasques de compartició de fitxers no relacionades haurien de quedar fora de l’amfitrió de la base de dades llevat que el seu propietari les hagi acceptat explícitament.
Proveu el canvi i després feu-vos-en responsables
Proveu amb una càrrega de treball representativa i les comprovacions de seguretat que importen, i després compareu estabilitat, rendiment i protecció continuada, i no només l’error original.
Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending | Select-Object -First 5
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' -MaxEvents 20Manteniu un camí de reversió suportat i un propietari que revisi l’excepció després d’actualitzacions de components o de producte, perquè una excepció escrita per a una compilació pot sobreviure al motiu pel qual existia. Registreu l’abast, el motiu i la data de revisió al mateix lloc que el registre de compilació del servidor. Sense això, el següent revisor hereta una llista sense cap argument al darrere. Una excepció és defensable només mentre el seu motiu encara és cert.