Które foldery można wykluczyć z antywirusa dla SQL Server?

Dwa zdania są używane w przeglądach baz danych zamiennie, a znaczą zupełnie co innego. Jedno mówi, że konkretne obciążenie wymaga konkretnego wyjątku; drugie mówi, że host nie potrzebuje już ochrony punktu końcowego. Pierwsze jest ograniczoną decyzją inżynierską, a drugie ryzykiem bez właściciela. Rozdzielenie ich to całe zadanie i zaczyna się od tego, co serwer faktycznie robi.

Dwa zdania, które brzmią tak samo

Wyjątek wskazuje ścieżkę, proces lub typ pliku i podaje tego powód. Natomiast porzucenie usuwa zabezpieczenie z maszyny i zamiast tego podaje jego powód. Oba mogą dać podobne liczby wydajności i zupełnie różne postawy bezpieczeństwa.

Serwer bazy danych jest złym kandydatem do porzucenia, ponieważ przechowuje dane, od których zależy wszystko inne. Jest też złym kandydatem do polityki na poziomie pulpitu, ponieważ skanowanie plików, które baza trzyma otwarte, powoduje problemy, których pulpit nigdy nie widzi. Uczciwa pozycja leży pośrodku i trzeba ją uzasadnić, a nie założyć. Właśnie ten argument powinien utrwalić przegląd.

Porównaj wyjątek i porzucenie

Postaw obie opcje obok siebie w czterech punktach: co pozostaje chronione, co staje się odsłonięte, kto jest właścicielem decyzji i jakie dowody ją popierają.

Ograniczony wyjątek pozostawia resztę hosta pod taką samą ochroną jak wcześniej, utrzymuje decyzję u wskazanego właściciela i opiera się na odtworzonym objawie. Porzucenie usuwa ochronę ze wszystkiego i zwykle opiera się na twierdzeniu, że maszyna nie jest odsłonięta. To twierdzenie musi przetrwać rzeczywiste role serwera, ponieważ udziały plików, serwery połączone, zadania agenta i administracyjne transfery plików tworzą odsłonięcie, którego zapora nigdy nie widzi. Zmianę właściciela przeżywa tylko jedna kolumna poniższego porównania, ponieważ zapisuje, co zdecydowano i dlaczego.

Ogranicz wyjątek do wykazanego współdziałania

Zacznij od objawu, a nie od listy. Konflikt dostępu do plików, presja zasobów i wolne zapytanie wyglądają w dziennikach inaczej i prowadzą do innych poprawek. Odtwórz objaw z włączoną ochroną, a następnie wskaż dokładną ścieżkę lub proces, którego to dotyczy.

Typowi kandydaci to pliki bazy danych, pliki dziennika, kopie zapasowe i pliki katalogu pełnotekstowego, a wskazówki Microsoftu dotyczące oprogramowania antywirusowego i SQL Server pozostają odniesieniem dla wdrożonej wersji i produktu zabezpieczającego. Nie kopiuj listy z innego serwera i nie zakładaj, że jedna nazwa usługi obejmuje każdy zainstalowany składnik. Zaproponować trzeba najmniejszy wyjątek, który rozwiązuje wykazane współdziałanie. Wszystko szersze wymaga własnego uzasadnienia.

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled

Przejrzyj tę listę wobec roli serwera, ponieważ wyjątek dodany z powodu jednego zdarzenia zwykle zostaje na zawsze. Krótka notatka przy każdym wpisie wystarczy, aby następny audyt był możliwy.

Zachowaj kontrole sieciowe i tożsamości

Wyjątek punktu końcowego nie mówi nic o tym, kto może dotrzeć do bazy danych. Polityka zapory nadal powinna ograniczać, które źródła mogą otworzyć sesję SQL lub zarządzania, a konta aplikacji nadal powinny ograniczać, co te sesje mogą robić.

VPN należy do tej samej rozmowy i bywa niewłaściwie używany jako argument. Ograniczenie ścieżki dostępu nie weryfikuje plików, skryptów ani zapytań, które przez nią przychodzą. Zaszyfrowany tunel jest też nieprzejrzysty dla czujnika sieciowego, więc widoczność, którą daje czujnik, nie jest widocznością, którą daje agent hosta. To różne strumienie dowodów i żaden nie zastępuje drugiego. Zarządzanie poprawkami, zaufane narzędzia administracyjne i przetestowana ścieżka odtwarzania pozostają odrębnymi odpowiedzialnościami z własnymi właścicielami. Higiena ról też tu należy: niezwiązane przeglądanie, pobieranie i zadania udostępniania plików powinny omijać host bazy danych, chyba że jego właściciel wyraźnie je zaakceptował.

Przetestuj zmianę, a potem weź za nią odpowiedzialność

Przetestuj z reprezentatywnym obciążeniem i istotnymi kontrolami bezpieczeństwa, a następnie porównaj stabilność, przepustowość i utrzymującą się ochronę, a nie tylko pierwotny błąd.

Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending | Select-Object -First 5
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' -MaxEvents 20

Utrzymaj obsługiwaną ścieżkę wycofania i właściciela, który po aktualizacjach składników lub produktu ponownie ocenia wyjątek, ponieważ wyjątek napisany dla jednego builda może przeżyć powód swojego istnienia. Zapisz zakres, powód i datę przeglądu w tym samym miejscu co rekord kompilacji serwera. Bez tego następny recenzent dziedziczy listę bez argumentu. Wyjątek jest obronny tylko dopóki jego powód jest wciąż prawdziwy.