Hvilke mapper kan du udelukke fra antivirus til SQL Server?
En undtagelse for en arbejdsbelastning og en ubeskyttet vært er forskellige beslutninger. Afgræns undtagelsen til den påviste interaktion, og behold de øvrige kontroller.
To sætninger bruges i flæng i databasereviews, og de betyder meget forskellige ting. Den ene siger, at en bestemt arbejdsbelastning har brug for en bestemt undtagelse; den anden siger, at værten ikke længere har brug for endpointbeskyttelse. Den første er en afgrænset ingeniørbeslutning, og den anden er en risiko uden ejer. At skille dem ad er hele opgaven, og den begynder med, hvad serveren faktisk gør.
To sætninger, der lyder ens
En undtagelse navngiver en sti, en proces eller en filtype og angiver en grund til det. En opgivelse fjerner en kontrol fra en maskine og angiver i stedet en grund til det. De to kan give lignende ydelsestal og helt forskellige sikkerhedspositioner.
En databaseserver er en dårlig kandidat til opgivelse, fordi den opbevarer de data, som alt andet afhænger af. Den er også en dårlig kandidat til en politik på skrivebordsniveau, fordi scanning af filer, som en database holder åbne, skaber problemer, som et skrivebord aldrig ser. Den ærlige position ligger i midten, og den skal argumenteres frem i stedet for at antages. Det er det argument, en review skal fastholde.
Sammenlign undtagelsen og opgivelsen
Stil de to muligheder side om side på fire punkter: hvad der forbliver beskyttet, hvad der bliver udsat, hvem der ejer beslutningen, og hvilke beviser der understøtter den.
En afgrænset undtagelse lader resten af værten være under samme beskyttelse som før, beholder beslutningen hos en navngivet ejer og hviler på et gengivet symptom. En opgivelse fjerner beskyttelsen fra alting og hviler normalt på påstanden om, at maskinen ikke er udsat. Den påstand skal holde mod serverens faktiske roller, fordi filshare, linkede servere, agentjob og administrative filoverførsler alle skaber en eksponering, som en firewall aldrig ser. Kun én kolonne i sammenligningen nedenfor overlever et ejerskifte, fordi den registrerer, hvad der blev besluttet og hvorfor.
| Point | Scoped exception | Blanket exclusion |
|---|---|---|
| Coverage | Only the named paths or processes | The whole host |
| Evidence needed | A reproduced interaction | An argument about exposure |
| Owner | A named reviewer with a date | Usually nobody |
| Behaviour after an update | Reviewed again | Silently inherited |
Afgræns en undtagelse til den påviste interaktion
Begynd med symptomet i stedet for med en liste. En filadgangskonflikt, ressourcepres og en langsom forespørgsel ser forskellige ud i loggene og fører til forskellige rettelser. Gengiv symptomet med beskyttelsen aktiveret, og identificer derefter den præcise sti eller proces, der er involveret.
Typiske kandidater er databasefiler, logfiler, sikkerhedskopier og fuldtekstkatalogfiler, og Microsofts vejledning om antivirussoftware og SQL Server er fortsat referencen for den udrullede version og sikkerhedsproduktet. Kopier ikke en liste fra en anden server, og antag ikke, at ét tjenestenavn dækker hver installeret komponent. Den mindste undtagelse, der håndterer den påviste interaktion, er den, der skal foreslås. Alt bredere kræver sit eget argument.
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabledGennemgå listen mod serverens rolle, fordi en undtagelse, der er tilføjet for én hændelse, har en tendens til at blive for evigt. En kort note ved hver post er nok til at gøre den næste revision mulig.
Behold netværks- og identitetskontrollerne
En endpointundtagelse siger intet om, hvem der må nå databasen. Firewallpolitikken bør stadig begrænse, hvilke kilder der kan åbne en SQL- eller administrationssession, og applikationskonti bør stadig begrænse, hvad disse sessioner må gøre.
En VPN hører til i samme samtale og misbruges ofte som argument. Begrænsning af adgangsvejen validerer ikke de filer, scripts eller forespørgsler, der kommer igennem den. En krypteret tunnel er også uigennemsigtig for en netværkssensor, så den synlighed, en sensor giver dig, er ikke den synlighed, en værtagent giver dig. Det er forskellige bevistrømme, og ingen af dem erstatter den anden. Patchstyring, betroet administrativt værktøj og en testet gendannelsesvej forbliver separate ansvarsområder med deres egne ejere. Rollehygiejne hører også hertil: uvedkommende browsing, downloads og fildelingsopgaver bør holdes væk fra databaseværten, medmindre dens ejer udtrykkeligt har accepteret dem.
Test ændringen, og tag så ansvaret
Test med en repræsentativ arbejdsbelastning og de sikkerhedstjek, der betyder noget, og sammenlign derefter stabilitet, gennemstrømning og fortsat beskyttelse i stedet for kun den oprindelige fejl.
Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending | Select-Object -First 5
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' -MaxEvents 20Behold en understøttet tilbagerulningsvej og en ejer, der gennemgår undtagelsen efter komponent- eller produktopdateringer, fordi en undtagelse skrevet til ét build kan overleve grunden til, at den fandtes. Registrer omfanget, grunden og gennemgangsdatoen samme sted som serverens buildregistrering. Uden det arver den næste reviewer en liste uden noget argument bag. En undtagelse kan forsvares, så længe grunden stadig er sand.