Welke mappen kunt u uitsluiten van antivirus voor SQL Server?
Een uitzondering voor een werkbelasting en een onbeveiligde host zijn twee verschillende beslissingen. Beperk de uitzondering tot de aangetoonde interactie en houd de overige controles.
Twee zinnen worden in databasereviews door elkaar gebruikt, en ze betekenen heel verschillende dingen. De ene zegt dat een specifieke werkbelasting een specifieke uitzondering nodig heeft; de andere zegt dat de host geen endpointbeveiliging meer nodig heeft. De eerste is een afgebakende technische beslissing, en de tweede is een risico zonder eigenaar. Ze scheiden is de hele opgave, en die begint bij wat de server werkelijk doet.
Twee zinnen die hetzelfde klinken
Een uitzondering noemt een pad, een proces of een bestandstype en geeft daar een reden voor. Een afstand doet een controle van een machine af en geeft daar in plaats daarvan een reden voor. Beide kunnen vergelijkbare prestatiecijfers en volstrekt verschillende beveiligingsposities opleveren.
Een databaseserver is een slechte kandidaat voor afstand, omdat hij de gegevens opslaat waarvan al het andere afhangt. Hij is ook een slechte kandidaat voor beleid op desktopniveau, omdat het scannen van bestanden die een database openhoudt problemen veroorzaakt die een desktop nooit ziet. De eerlijke positie ligt in het midden, en die moet worden beargumenteerd in plaats van aangenomen. Precies dat argument moet een review vastleggen.
Vergelijk de uitzondering en de afstand
Zet de twee opties naast elkaar op vier punten: wat beschermd blijft, wat bloot komt te liggen, wie de beslissing bezit en welk bewijs die ondersteunt.
Een afgebakende uitzondering laat de rest van de host onder dezelfde bescherming als voorheen, houdt de beslissing bij een genoemde eigenaar en berust op een gereproduceerd symptoom. Een afstand haalt de bescherming van alles af en berust meestal op de bewering dat de machine niet blootligt. Die bewering moet de werkelijke rollen van de server doorstaan, want bestandsshares, gekoppelde servers, agenttaken en administratieve bestandsoverdrachten zorgen allemaal voor blootstelling die een firewall nooit ziet. Slechts één kolom van de vergelijking hieronder overleeft een eigenaarswissel, omdat die vastlegt wat er is besloten en waarom.
| Point | Scoped exception | Blanket exclusion |
|---|---|---|
| Coverage | Only the named paths or processes | The whole host |
| Evidence needed | A reproduced interaction | An argument about exposure |
| Owner | A named reviewer with a date | Usually nobody |
| Behaviour after an update | Reviewed again | Silently inherited |
Beperk een uitzondering tot de aangetoonde interactie
Begin bij het symptoom in plaats van bij een lijst. Een bestandstoegangsconflict, resourcedruk en een trage query zien er anders uit in de logs en leiden tot andere oplossingen. Reproduceer het symptoom met bescherming ingeschakeld en bepaal daarna het exacte betrokken pad of proces.
Typische kandidaten zijn databasebestanden, logbestanden, back-ups en bestanden van de volledige tekstcatalogus, en de richtlijnen van Microsoft over antivirussoftware en SQL Server blijven de referentie voor de geïmplementeerde versie en het beveiligingsproduct. Kopieer geen lijst van een andere server en ga er niet van uit dat één servicenaam elke geïnstalleerde component dekt. De kleinste uitzondering die de aangetoonde interactie aanpakt, is degene die moet worden voorgesteld. Alles breder heeft zijn eigen argument nodig.
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabledLoop die lijst na tegen de rol van de server, want een uitzondering die voor één incident is toegevoegd, blijft meestal voor altijd. Een korte notitie naast elke vermelding is genoeg om de volgende audit mogelijk te maken.
Behoud de netwerk- en identiteitscontroles
Een endpointuitzondering zegt niets over wie de database mag bereiken. Firewallbeleid moet nog steeds beperken welke bronnen een SQL- of beheersessie kunnen openen, en applicatieaccounts moeten nog steeds begrenzen wat die sessies mogen doen.
Een VPN hoort in hetzelfde gesprek en wordt vaak verkeerd als argument gebruikt. Het beperken van het toegangspad valideert de bestanden, scripts of query's die erdoor binnenkomen niet. Een versleutelde tunnel is ook ondoorzichtig voor een netwerksensor, dus de zichtbaarheid die een sensor u geeft is niet de zichtbaarheid die een hostagent u geeft. Dat zijn verschillende bewijsstromen, en geen van beide vervangt de andere. Patchbeheer, vertrouwde beheertools en een getest herstelpad blijven aparte verantwoordelijkheden met hun eigen eigenaren. Rolhygiëne hoort hier ook bij: ongerelateerd browsen, downloads en taken voor bestandsdeling horen weg te blijven van de databasehost, tenzij de eigenaar ze uitdrukkelijk heeft aanvaard.
Test de wijziging en neem er dan eigenaarschap over
Test met een representatieve werkbelasting en de beveiligingscontroles die ertoe doen, en vergelijk daarna stabiliteit, doorvoer en voortdurende bescherming in plaats van alleen de oorspronkelijke fout.
Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending | Select-Object -First 5
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' -MaxEvents 20Behoud een ondersteund terugrolpad en een eigenaar die de uitzondering na component- of productupdates opnieuw beoordeelt, want een uitzondering die voor één build is geschreven kan de reden van haar bestaan overleven. Leg de scope, de reden en de beoordelingsdatum vast op dezelfde plek als het buildrecord van de server. Zonder dat erft de volgende beoordelaar een lijst zonder argument erachter. Een uitzondering is alleen verdedigbaar zolang de reden ervan nog klopt.