Quali cartelle potete escludere dall’antivirus per SQL Server?
Un’esclusione per un carico di lavoro e un host non protetto sono due decisioni diverse. Limitate l’eccezione all’interazione dimostrata e mantenete gli altri controlli.
Due frasi vengono usate l’una per l’altra nelle revisioni dei database, e significano cose molto diverse. Una dice che un carico di lavoro specifico ha bisogno di un’eccezione specifica; l’altra dice che l’host non ha più bisogno della protezione dell’endpoint. La prima è una decisione di ingegneria circoscritta, la seconda è un rischio senza proprietario. Separarle è tutto il compito, e comincia da ciò che il server fa davvero.
Due frasi che suonano uguali
Un’eccezione indica un percorso, un processo o un tipo di file e ne dà la ragione. Un abbandono rimuove un controllo da una macchina e ne dà la ragione al suo posto. I due possono produrre numeri di prestazioni simili e posture di sicurezza del tutto diverse.
Un server di database è un cattivo candidato all’abbandono perché conserva i dati da cui dipende tutto il resto. È anche un cattivo candidato per una politica di livello desktop, perché l’analisi di file che un database tiene aperti crea problemi che un desktop non vede mai. La posizione onesta sta nel mezzo, e va argomentata invece che presunta. È quell’argomento che una revisione deve registrare.
Confrontate l’eccezione e l’abbandono
Mettete le due opzioni una accanto all’altra su quattro punti: cosa resta protetto, cosa diventa esposto, chi possiede la decisione e quali prove la sostengono.
Un’eccezione circoscritta lascia il resto dell’host sotto la stessa protezione di prima, mantiene la decisione presso un proprietario nominato e si basa su un sintomo riprodotto. Un abbandono rimuove la protezione da tutto e di solito si basa sull’affermazione che la macchina non sia esposta. Quell’affermazione deve reggere i ruoli reali del server, perché le condivisioni di file, i server collegati, i processi dell’agente e i trasferimenti di file amministrativi creano tutti un’esposizione che un firewall non vede mai. Solo una colonna del confronto qui sotto sopravvive a un cambio di proprietario, perché registra cosa è stato deciso e perché.
| Point | Scoped exception | Blanket exclusion |
|---|---|---|
| Coverage | Only the named paths or processes | The whole host |
| Evidence needed | A reproduced interaction | An argument about exposure |
| Owner | A named reviewer with a date | Usually nobody |
| Behaviour after an update | Reviewed again | Silently inherited |
Limitate un’eccezione all’interazione dimostrata
Partite dal sintomo invece che da un elenco. Un conflitto di accesso ai file, la pressione sulle risorse e una query lenta si presentano diversamente nei log e portano a correzioni diverse. Riproducete il sintomo con la protezione attiva, poi individuate il percorso o il processo esatto coinvolto.
I candidati tipici sono i file del database, i file di log, i backup e i file del catalogo full-text, e le indicazioni di Microsoft sul software antivirus e su SQL Server restano il riferimento per la versione distribuita e per il prodotto di sicurezza. Non copiate un elenco da un altro server e non date per scontato che un solo nome di servizio copra ogni componente installato. L’eccezione più piccola che affronta l’interazione dimostrata è quella da proporre. Qualunque cosa di più ampio ha bisogno del proprio argomento.
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabledRivedete quell’elenco rispetto al ruolo del server, perché un’eccezione aggiunta per un singolo incidente tende a restare per sempre. Una breve nota accanto a ogni voce basta a rendere possibile il controllo successivo.
Mantenete i controlli di rete e di identità
Un’eccezione sull’endpoint non dice nulla su chi può raggiungere il database. La politica del firewall dovrebbe ancora limitare quali origini possono aprire una sessione SQL o di gestione, e gli account applicativi dovrebbero ancora limitare ciò che quelle sessioni possono fare.
Una VPN appartiene alla stessa conversazione ed è spesso usata male come argomento. Limitare il percorso di accesso non convalida i file, gli script o le query che arrivano attraverso di esso. Un tunnel cifrato è anche opaco a un sensore di rete, quindi la visibilità che un sensore vi dà non è quella che un agente dell’host vi dà. Sono flussi di prove diversi, e nessuno sostituisce l’altro. La gestione delle patch, gli strumenti amministrativi fidati e un percorso di ripristino collaudato restano responsabilità separate con i propri proprietari. Anche l’igiene dei ruoli rientra qui: navigazione, download e compiti di condivisione file non correlati dovrebbero restare fuori dall’host del database, a meno che il suo proprietario li abbia accettati esplicitamente.
Provate la modifica, poi fatela vostra
Provate con un carico di lavoro rappresentativo e i controlli di sicurezza che contano, poi confrontate stabilità, throughput e protezione continua invece del solo errore originale.
Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending | Select-Object -First 5
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' -MaxEvents 20Mantenete un percorso di rollback supportato e un proprietario che riveda l’eccezione dopo aggiornamenti di componenti o prodotto, perché un’eccezione scritta per una build può sopravvivere alla ragione per cui esisteva. Registrate l’ambito, la ragione e la data della revisione nello stesso posto del record di build del server. Senza questo, il revisore successivo eredita un elenco senza argomento dietro. Un’eccezione è difendibile solo finché la sua ragione è ancora vera.