אילו תיקיות אפשר להחריג מהאנטי־וירוס עבור SQL Server?
החרגה עבור עומס עבודה ומארח ללא הגנה הן שתי החלטות שונות. הגבילו את ההחרגה לאינטראקציה שהוכחה ושמרו על שאר הבקרות.
שני משפטים משמשים בערבוביה בסקירות מסדי נתונים, והם אומרים דברים שונים מאוד. האחד אומר שעומס עבודה מסוים זקוק להחרגה מסוימת; השני אומר שהמארח אינו זקוק עוד להגנת נקודת קצה. הראשון הוא החלטת הנדסה תחומה, והשני הוא סיכון בלי בעלים. ההפרדה ביניהם היא כל המשימה, והיא מתחילה במה שהשרת באמת עושה.
שני משפטים שנשמעים אותו דבר
החרגה נוקבת בנתיב, בתהליך או בסוג קובץ ונותנת סיבה לכך. נטישה מסירה בקרה ממכונה ונותנת במקומה סיבה לכך. השניים יכולים להניב מספרי ביצועים דומים ועמדות אבטחה שונות לחלוטין.
שרת מסד נתונים הוא מועמד גרוע לנטישה, משום שהוא מאחסן את הנתונים שכל השאר תלוי בהם. הוא גם מועמד גרוע למדיניות ברמת שולחן עבודה, משום שסריקת קבצים שמסד נתונים מחזיק פתוחים יוצרת בעיות ששולחן עבודה אינו רואה לעולם. העמדה הכנה נמצאת באמצע, ויש לטעון אותה ולא להניח אותה. אותה טענה היא מה שסקירה צריכה לתעד.
השוו את ההחרגה ואת הנטישה
העמידו את שתי האפשרויות זו לצד זו בארבע נקודות: מה נשאר מוגן, מה נעשה חשוף, מי מחזיק בהחלטה ואילו ראיות תומכות בה.
החרגה תחומה משאירה את שאר המארח תחת אותה הגנה כמו קודם, שומרת את ההחלטה בידי בעלים בשם ומסתמכת על תסמין משוחזר. נטישה מסירה הגנה מכול ומסתמכת בדרך כלל על הטענה שהמכונה אינה חשופה. הטענה הזו חייבת לעמוד מול התפקידים בפועל של השרת, משום ששיתופי קבצים, שרתים מקושרים, משימות סוכן והעברות קבצים ניהוליות יוצרים כולם חשיפה שחומת אש אינה רואה לעולם. רק עמודה אחת מההשוואה שלמטה שורדת שינוי בעלות, משום שהיא מתעדת מה הוחלט ולמה.
| Point | Scoped exception | Blanket exclusion |
|---|---|---|
| Coverage | Only the named paths or processes | The whole host |
| Evidence needed | A reproduced interaction | An argument about exposure |
| Owner | A named reviewer with a date | Usually nobody |
| Behaviour after an update | Reviewed again | Silently inherited |
הגבילו החרגה לאינטראקציה שהוכחה
התחילו בתסמין ולא ברשימה. התנגשות גישה לקבצים, לחץ על משאבים ושאילתה איטית נראים אחרת ביומנים ומובילים לתיקונים שונים. שחזרו את התסמין כשההגנה פעילה, ואז זהו את הנתיב או התהליך המדויק שמעורבים.
מועמדים אופייניים הם קובצי מסד נתונים, קובצי יומן, גיבויים וקובצי קטלוג טקסט מלא, וכן ההנחיות של Microsoft בנושא תוכנות אנטי־וירוס ו-SQL Server נשארות ההפניה לגרסה הפרוסה ולמוצר האבטחה. אל תעתיקו רשימה משרת אחר, ואל תניחו ששם שירות אחד מכסה כל רכיב מותקן. ההחרגה הקטנה ביותר שמטפלת באינטראקציה שהוכחה היא זו שיש להציע. כל דבר רחב יותר צריך טענה משלו.
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabledסקרו את הרשימה הזו מול תפקיד השרת, משום שהחרגה שנוספה בגלל תקרית אחת נוטה להישאר לנצח. הערה קצרה לצד כל רשומה מספיקה כדי לאפשר את הביקורת הבאה.
שמרו על בקרות הרשת והזהות
החרגה בנקודת קצה אינה אומרת דבר על מי רשאי להגיע למסד הנתונים. מדיניות חומת האש צריכה עדיין להגביל אילו מקורות יכולים לפתוח הפעלת SQL או הפעלת ניהול, וחשבונות יישום צריכים עדיין להגביל מה ההפעלות האלה רשאיות לעשות.
VPN שייכת לאותה שיחה ולעיתים קרובות נעשה בה שימוש לרעה כטענה. הגבלת נתיב הגישה אינה מאמתת את הקבצים, הסקריפטים או השאילתות שמגיעים דרכו. מנהרה מוצפנת גם אטומה לחיישן רשת, ולכן הנראות שחיישן נותן לכם אינה הנראות שסוכן מארח נותן לכם. אלו זרמי ראיות שונים, ואף אחד מהם אינו מחליף את השני. ניהול טלאים, כלים ניהוליים מהימנים ונתיב שחזור שנבדק נשארים באחריות נפרדת עם בעלים משלהם. היגיינת תפקידים שייכת לכאן גם כן: גלישה, הורדות ומשימות שיתוף קבצים לא קשורות צריכות להישאר מחוץ למארח מסד הנתונים אלא אם הבעלים שלו קיבל אותן במפורש.
בדקו את השינוי ואז קחו עליו בעלות
בדקו עם עומס עבודה מייצג ועם בדיקות האבטחה שחשובות, ואז השוו יציבות, תפוקה והגנה מתמשכת ולא רק את השגיאה המקורית.
Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending | Select-Object -First 5
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' -MaxEvents 20שמרו נתיב חזרה נתמך ובעלים שסוקר את ההחרגה לאחר עדכוני רכיב או מוצר, משום שהחרגה שנכתבה לבנייה אחת יכולה לשרוד את הסיבה שבגללה הייתה קיימת. תעדו את ההיקף, הסיבה ותאריך הסקירה באותו מקום שבו נמצאת רשומת הבנייה של השרת. בלי זה, הסוקר הבא יורש רשימה בלי טענה מאחוריה. החרגה ניתנת להגנה רק כל עוד הסיבה שלה עדיין נכונה.