Welche Ordner können Sie bei SQL Server von der Antivirenprüfung ausnehmen?
Eine Ausnahme für eine Arbeitslast und ein ungeschützter Host sind zwei verschiedene Entscheidungen. Begrenzen Sie die Ausnahme auf die nachgewiesene Interaktion und behalten Sie die übrigen Kontrollen bei.
Zwei Sätze werden in Datenbankprüfungen synonym verwendet, und sie bedeuten sehr Verschiedenes. Der eine sagt, eine bestimmte Arbeitslast brauche eine bestimmte Ausnahme; der andere sagt, der Host brauche keinen Endpunktschutz mehr. Der erste ist eine abgegrenzte Ingenieursentscheidung, der zweite ein Risiko ohne Eigentümer. Sie zu trennen ist die ganze Aufgabe, und sie beginnt damit, was der Server tatsächlich tut.
Zwei Sätze, die gleich klingen
Eine Ausnahme benennt einen Pfad, einen Prozess oder einen Dateityp und gibt einen Grund dafür an. Eine Aufgabe des Schutzes entfernt eine Kontrolle von einem Rechner und gibt stattdessen einen Grund dafür an. Beide können ähnliche Leistungszahlen und völlig unterschiedliche Sicherheitslagen erzeugen.
Ein Datenbankserver ist ein schlechter Kandidat für eine Aufgabe des Schutzes, weil er die Daten speichert, von denen alles andere abhängt. Er ist auch ein schlechter Kandidat für eine Richtlinie auf Desktop-Niveau, weil das Scannen von Dateien, die eine Datenbank offen hält, Probleme verursacht, die ein Desktop nie sieht. Die ehrliche Position liegt in der Mitte, und sie muss begründet statt angenommen werden. Genau diese Begründung soll eine Prüfung festhalten.
Vergleichen Sie Ausnahme und Schutzaufgabe
Stellen Sie die beiden Optionen in vier Punkten nebeneinander: was geschützt bleibt, was exponiert wird, wer die Entscheidung besitzt und welche Belege sie stützen.
Eine abgegrenzte Ausnahme lässt den Rest des Hosts unter demselben Schutz wie zuvor, behält die Entscheidung bei einem benannten Eigentümer und stützt sich auf ein reproduziertes Symptom. Eine Schutzaufgabe entfernt den Schutz von allem und stützt sich meist auf die Behauptung, der Rechner sei nicht exponiert. Diese Behauptung muss den tatsächlichen Rollen des Servers standhalten, denn Dateifreigaben, verknüpfte Server, Agent-Aufträge und administrative Dateiübertragungen erzeugen alle eine Exposition, die eine Firewall nie sieht. Nur eine Spalte des Vergleichs unten übersteht einen Eigentümerwechsel, weil sie festhält, was entschieden wurde und warum.
| Point | Scoped exception | Blanket exclusion |
|---|---|---|
| Coverage | Only the named paths or processes | The whole host |
| Evidence needed | A reproduced interaction | An argument about exposure |
| Owner | A named reviewer with a date | Usually nobody |
| Behaviour after an update | Reviewed again | Silently inherited |
Begrenzen Sie eine Ausnahme auf die nachgewiesene Interaktion
Beginnen Sie beim Symptom statt bei einer Liste. Ein Dateizugriffskonflikt, Ressourcendruck und eine langsame Abfrage sehen in den Protokollen unterschiedlich aus und führen zu unterschiedlichen Korrekturen. Reproduzieren Sie das Symptom bei aktivem Schutz und bestimmen Sie dann den genauen beteiligten Pfad oder Prozess.
Typische Kandidaten sind Datenbankdateien, Protokolldateien, Sicherungen und Volltextkatalogdateien, und Microsofts Hinweise zu Antivirensoftware und SQL Server bleiben die Referenz für die eingesetzte Version und das Sicherheitsprodukt. Kopieren Sie keine Liste von einem anderen Server, und nehmen Sie nicht an, ein Dienstname decke jede installierte Komponente ab. Die kleinste Ausnahme, die die nachgewiesene Interaktion adressiert, ist die vorzuschlagende. Alles Breitere braucht eine eigene Begründung.
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabledPrüfen Sie diese Liste gegen die Rolle des Servers, denn eine für einen Vorfall hinzugefügte Ausnahme bleibt meist für immer. Eine kurze Notiz neben jedem Eintrag genügt, um die nächste Prüfung zu ermöglichen.
Behalten Sie die Netzwerk- und Identitätskontrollen bei
Eine Ausnahme am Endpunkt sagt nichts darüber, wer die Datenbank erreichen darf. Die Firewall-Richtlinie sollte weiterhin begrenzen, welche Quellen eine SQL- oder Verwaltungssitzung öffnen können, und Anwendungskonten sollten weiterhin begrenzen, was diese Sitzungen tun dürfen.
Ein VPN gehört in dasselbe Gespräch und wird häufig als Argument missbraucht. Den Zugangsweg zu beschränken validiert nicht die Dateien, Skripte oder Abfragen, die darüber ankommen. Ein verschlüsselter Tunnel ist zudem undurchsichtig für einen Netzwerksensor, die Sichtbarkeit eines Sensors ist also nicht die Sichtbarkeit eines Host-Agenten. Das sind verschiedene Beweisströme, und keiner ersetzt den anderen. Patch-Management, vertrauenswürdige Verwaltungswerkzeuge und ein getesteter Wiederherstellungsweg bleiben getrennte Zuständigkeiten mit eigenen Eigentümern. Rollenhygiene gehört ebenfalls hierher: unbezogenes Surfen, Downloads und Aufgaben der Dateifreigabe sollten vom Datenbankhost fernbleiben, sofern sein Eigentümer sie nicht ausdrücklich akzeptiert hat.
Testen Sie die Änderung, dann übernehmen Sie sie
Testen Sie mit einer repräsentativen Arbeitslast und den Sicherheitsprüfungen, auf die es ankommt, und vergleichen Sie dann Stabilität, Durchsatz und fortbestehenden Schutz statt nur den ursprünglichen Fehler.
Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending | Select-Object -First 5
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' -MaxEvents 20Behalten Sie einen unterstützten Rückweg und einen Eigentümer, der die Ausnahme nach Komponenten- oder Produktupdates prüft, denn eine für einen Build geschriebene Ausnahme kann den Grund ihres Bestehens überleben. Halten Sie Umfang, Grund und Prüfdatum am selben Ort wie den Build-Datensatz des Servers fest. Ohne das erbt der nächste Prüfer eine Liste ohne Begründung. Eine Ausnahme ist nur verteidigbar, solange ihr Grund noch stimmt.