Hvilke mapper kan du utelukke fra antivirus for SQL Server?
Et unntak for en arbeidsbelastning og en ubeskyttet vert er to forskjellige beslutninger. Begrens unntaket til den påviste interaksjonen og behold de øvrige kontrollene.
To setninger brukes om hverandre i databaserevisjoner, og de betyr svært forskjellige ting. Den ene sier at en bestemt arbeidsbelastning trenger et bestemt unntak; den andre sier at verten ikke lenger trenger endepunktsbeskyttelse. Den første er en avgrenset ingeniørbeslutning, og den andre er en risiko uten eier. Å skille dem er hele oppgaven, og den begynner med hva serveren faktisk gjør.
To setninger som høres like ut
Et unntak navngir en bane, en prosess eller en filtype og oppgir en grunn for det. En oppgivelse fjerner en kontroll fra en maskin og oppgir i stedet en grunn for det. De to kan gi lignende ytelsestall og helt forskjellige sikkerhetsstillinger.
En databaseserver er en dårlig kandidat for oppgivelse fordi den lagrer dataene som alt annet avhenger av. Den er også en dårlig kandidat for en policy på skrivebordsnivå, fordi skanning av filer som en database holder åpne skaper problemer et skrivebord aldri ser. Den ærlige posisjonen ligger i midten, og den må argumenteres for i stedet for å antas. Det er det argumentet en revisjon skal fange.
Sammenlign unntaket og oppgivelsen
Sett de to alternativene side ved side på fire punkter: hva som forblir beskyttet, hva som blir eksponert, hvem som eier beslutningen, og hvilke bevis som støtter den.
Et avgrenset unntak lar resten av verten være under samme beskyttelse som før, beholder beslutningen hos en navngitt eier og hviler på et reprodusert symptom. En oppgivelse fjerner beskyttelsen fra alt og hviler vanligvis på påstanden om at maskinen ikke er eksponert. Den påstanden må tåle serverens faktiske roller, fordi fildelinger, koblede servere, agentjobber og administrative filoverføringer alle skaper eksponering som en brannmur aldri ser. Bare én kolonne i sammenligningen nedenfor overlever et eierskifte, fordi den registrerer hva som ble besluttet og hvorfor.
| Point | Scoped exception | Blanket exclusion |
|---|---|---|
| Coverage | Only the named paths or processes | The whole host |
| Evidence needed | A reproduced interaction | An argument about exposure |
| Owner | A named reviewer with a date | Usually nobody |
| Behaviour after an update | Reviewed again | Silently inherited |
Begrens et unntak til den påviste interaksjonen
Begynn med symptomet i stedet for med en liste. En filtilgangskonflikt, ressurspress og en treg spørring ser forskjellige ut i loggene og fører til forskjellige rettelser. Reproduser symptomet med beskyttelsen aktivert, og identifiser deretter den nøyaktige banen eller prosessen som er involvert.
Typiske kandidater er databasefiler, loggfiler, sikkerhetskopier og fulltekstkatalogfiler, og Microsofts veiledning om antivirusprogramvare og SQL Server er fortsatt referansen for den utrullede versjonen og sikkerhetsproduktet. Ikke kopier en liste fra en annen server, og ikke anta at ett tjenestenavn dekker hver installert komponent. Det minste unntaket som håndterer den påviste interaksjonen, er det som bør foreslås. Alt bredere trenger sitt eget argument.
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabledGå gjennom listen mot serverens rolle, fordi et unntak som er lagt til for én hendelse, har en tendens til å bli for alltid. Et kort notat ved hver oppføring er nok til å gjøre neste revisjon mulig.
Behold nettverks- og identitetskontrollene
Et endepunktsunntak sier ingenting om hvem som kan nå databasen. Brannmurpolicyen bør fortsatt begrense hvilke kilder som kan åpne en SQL- eller administrasjonsøkt, og applikasjonskontoer bør fortsatt begrense hva disse øktene kan gjøre.
En VPN hører til i samme samtale og misbrukes ofte som argument. Å begrense tilgangsbanen validerer ikke filene, skriptene eller spørringene som kommer gjennom den. En kryptert tunnel er også ugjennomsiktig for en nettverkssensor, så synligheten en sensor gir deg er ikke synligheten en vertsagent gir deg. Det er forskjellige bevisstrømmer, og ingen av dem erstatter den andre. Patch-håndtering, betrodde administrative verktøy og en testet gjenopprettingsbane forblir separate ansvarsområder med egne eiere. Rollehygiene hører også hjemme her: ubeslektet surfing, nedlastinger og fildelingsoppgaver bør holdes borte fra databaseverten med mindre eieren uttrykkelig har akseptert dem.
Test endringen, og ta deretter ansvar
Test med en representativ arbeidsbelastning og sikkerhetssjekkene som betyr noe, og sammenlign deretter stabilitet, gjennomstrømning og fortsatt beskyttelse i stedet for bare den opprinnelige feilen.
Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending | Select-Object -First 5
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' -MaxEvents 20Behold en støttet tilbakerullingsbane og en eier som gjennomgår unntaket etter komponent- eller produktoppdateringer, fordi et unntak skrevet for én build kan overleve grunnen til at det fantes. Registrer omfanget, grunnen og gjennomgangsdatoen på samme sted som serverens buildregistrering. Uten det arver neste gjennomgang en liste uten noe argument bak. Et unntak kan forsvares bare så lenge grunnen fortsatt er sann.