Které složky můžete vyloučit z antiviru pro SQL Server?

Dvě věty se v recenzích databází používají zaměnitelně, ale znamenají velmi odlišné věci. Jedna říká, že konkrétní pracovní zátěž potřebuje konkrétní výjimku; druhá říká, že hostitel už nepotřebuje ochranu koncového bodu. První je vymezené inženýrské rozhodnutí, druhá je riziko bez vlastníka. Oddělit je je celý úkol a začíná tím, co server skutečně dělá.

Dvě věty, které znějí stejně

Výjimka pojmenuje cestu, proces nebo typ souboru a uvede pro to důvod. Opuštění odebere stroji kontrolu a místo toho uvede důvod pro to. Obě mohou dát podobná čísla výkonu a zcela odlišné bezpečnostní postoje.

Databázový server je špatný kandidát na opuštění, protože ukládá data, na kterých závisí všechno ostatní. Je také špatným kandidátem pro politiku na úrovni stolního počítače, protože skenování souborů, které databáze drží otevřené, způsobuje problémy, které stolní počítač nikdy nevidí. Poctivá pozice je uprostřed a musí se argumentovat, ne předpokládat. Právě tento argument má recenze zachytit.

Porovnejte výjimku a opuštění

Postavte obě možnosti vedle sebe ve čtyřech bodech: co zůstává chráněné, co se stává vystaveným, kdo rozhodnutí vlastní a jaké důkazy ho podporují.

Vymezená výjimka ponechává zbytek hostitele pod stejnou ochranou jako dřív, drží rozhodnutí u jmenovaného vlastníka a opírá se o reprodukovaný symptom. Opuštění odstraňuje ochranu ze všeho a obvykle se opírá o tvrzení, že stroj není vystaven. To tvrzení musí obstát před skutečnými rolemi serveru, protože sdílené složky, propojené servery, úlohy agenta a administrativní přenosy souborů vytvářejí vystavení, které firewall nikdy nevidí. Změnu vlastnictví přežije jen jeden sloupec níže uvedeného srovnání, protože zaznamenává, co bylo rozhodnuto a proč.

Omezte výjimku na prokázanou interakci

Začněte symptomem, ne seznamem. Konflikt přístupu k souborům, tlak na zdroje a pomalý dotaz vypadají v záznamech jinak a vedou k jiným opravám. Reprodukujte symptom se zapnutou ochranou a poté určete přesnou cestu nebo proces, který je zapojený.

Typickými kandidáty jsou databázové soubory, logovací soubory, zálohy a soubory katalogu plného textu a pokyny Microsoftu k antivirovému softwaru a SQL Serveru zůstávají referencí pro nasazenou verzi a bezpečnostní produkt. Nekopírujte seznam z jiného serveru a nepředpokládejte, že jeden název služby pokrývá každou nainstalovanou komponentu. Navrhnout je třeba nejmenší výjimku, která řeší prokázanou interakci. Cokoli širšího potřebuje vlastní argument.

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled

Projděte tento seznam proti roli serveru, protože výjimka přidaná kvůli jednomu incidentu obvykle zůstává navěky. Krátká poznámka u každé položky stačí k tomu, aby byla možná další revize.

Zachovejte síťové kontroly a kontroly identity

Výjimka koncového bodu neříká nic o tom, kdo se smí dostat k databázi. Politika firewallu má dál omezovat, které zdroje mohou otevřít SQL nebo správcovskou relaci, a účty aplikací mají dál omezovat, co tyto relace smějí dělat.

VPN patří do stejného rozhovoru a často se používá nesprávně jako argument. Omezení přístupové cesty neověřuje soubory, skripty ani dotazy, které přes ni přicházejí. Šifrovaný tunel je také neprůhledný pro síťový senzor, takže viditelnost, kterou vám senzor dává, není viditelnost, kterou vám dává agent na hostiteli. To jsou různé toky důkazů a ani jeden nenahrazuje druhý. Správa záplat, důvěryhodné administrativní nástroje a otestovaná cesta obnovy zůstávají samostatnými odpovědnostmi s vlastními vlastníky. Hygiena rolí sem patří také: nesouvisející prohlížení, stahování a úkoly sdílení souborů mají zůstat mimo hostitele databáze, dokud je jeho vlastník výslovně nepřijme.

Otestujte změnu a pak ji vlastněte

Otestujte s reprezentativní pracovní zátěží a bezpečnostními kontrolami, na kterých záleží, a poté porovnejte stabilitu, propustnost a pokračující ochranu, ne jen původní chybu.

Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending | Select-Object -First 5
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' -MaxEvents 20

Zachovejte podporovanou cestu vrácení a vlastníka, který výjimku po aktualizacích komponent nebo produktu znovu posoudí, protože výjimka napsaná pro jeden build může přežít důvod, proč existovala. Zapište rozsah, důvod a datum revize na stejné místo jako záznam o buildu serveru. Bez toho další recenzent zdědí seznam bez argumentu. Výjimka je obhajitelná jen tehdy, dokud je její důvod stále pravdivý.