Quais pastas pode excluir do antivírus para SQL Server?
Uma exclusão para uma carga de trabalho e um host sem proteção são decisões diferentes. Limite a exceção à interação demonstrada e mantenha os demais controlos.
Duas frases são usadas de forma intercambiável nas revisões de bases de dados, e significam coisas muito diferentes. Uma diz que uma carga de trabalho específica precisa de uma exceção específica; a outra diz que o host já não precisa de proteção de ponto final. A primeira é uma decisão de engenharia delimitada, e a segunda é um risco sem proprietário. Separá-las é toda a tarefa, e começa pelo que o servidor faz realmente.
Duas frases que soam igual
Uma exceção nomeia um caminho, um processo ou um tipo de ficheiro e apresenta uma razão para isso. Um abandono retira um controlo de uma máquina e, em vez disso, apresenta uma razão para tal. Os dois podem produzir números de desempenho semelhantes e posturas de segurança completamente diferentes.
Um servidor de bases de dados é um mau candidato ao abandono porque guarda os dados dos quais tudo o resto depende. Também é um mau candidato a uma política ao nível do ambiente de trabalho, porque analisar ficheiros que uma base de dados mantém abertos causa problemas que um ambiente de trabalho nunca vê. A posição honesta está no meio, e tem de ser argumentada em vez de pressuposta. É esse argumento que uma revisão deve registar.
Compare a exceção e o abandono
Coloque as duas opções lado a lado em quatro pontos: o que continua protegido, o que fica exposto, quem é dono da decisão e que provas a sustentam.
Uma exceção delimitada deixa o resto do host sob a mesma proteção de antes, mantém a decisão num proprietário nomeado e baseia-se num sintoma reproduzido. Um abandono retira a proteção de tudo e baseia-se normalmente na afirmação de que a máquina não está exposta. Essa afirmação tem de resistir aos papéis reais do servidor, porque as partilhas de ficheiros, os servidores ligados, as tarefas do agente e as transferências administrativas de ficheiros criam uma exposição que uma firewall nunca vê. Apenas uma coluna da comparação abaixo sobrevive a uma mudança de proprietário, porque regista o que foi decidido e porquê.
| Point | Scoped exception | Blanket exclusion |
|---|---|---|
| Coverage | Only the named paths or processes | The whole host |
| Evidence needed | A reproduced interaction | An argument about exposure |
| Owner | A named reviewer with a date | Usually nobody |
| Behaviour after an update | Reviewed again | Silently inherited |
Limite uma exceção à interação demonstrada
Comece pelo sintoma em vez de por uma lista. Um conflito de acesso a ficheiros, a pressão sobre os recursos e uma consulta lenta parecem diferentes nos registos e conduzem a correções diferentes. Reproduza o sintoma com a proteção ativa e depois identifique o caminho ou processo exato envolvido.
Os candidatos típicos são os ficheiros da base de dados, os ficheiros de registo, as cópias de segurança e os ficheiros do catálogo de texto integral, e as orientações da Microsoft sobre software antivírus e SQL Server continuam a ser a referência para a versão implementada e para o produto de segurança. Não copie uma lista de outro servidor e não assuma que um único nome de serviço cobre todos os componentes instalados. A menor exceção que responde à interação demonstrada é a que deve ser proposta. Tudo o que seja mais amplo precisa do seu próprio argumento.
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabledReveja essa lista face ao papel do servidor, porque uma exceção acrescentada por um incidente tende a ficar para sempre. Uma nota breve junto de cada entrada é suficiente para tornar a próxima auditoria possível.
Mantenha os controlos de rede e de identidade
Uma exceção de ponto final não diz nada sobre quem pode chegar à base de dados. A política da firewall deve continuar a limitar que origens podem abrir uma sessão SQL ou de gestão, e as contas de aplicação devem continuar a limitar o que essas sessões podem fazer.
Uma VPN pertence a essa mesma conversa e é frequentemente mal utilizada como argumento. Restringir o caminho de acesso não valida os ficheiros, os scripts ou as consultas que chegam por ele. Um túnel cifrado é também opaco para um sensor de rede, pelo que a visibilidade que um sensor lhe dá não é a visibilidade que um agente do host lhe dá. São fluxos de prova diferentes, e nenhum substitui o outro. A gestão de correções, as ferramentas administrativas de confiança e um caminho de recuperação testado continuam a ser responsabilidades separadas com os seus próprios donos. A higiene de papéis também aqui se inclui: a navegação, as transferências e as tarefas de partilha de ficheiros não relacionadas devem ficar fora do host da base de dados, a menos que o seu proprietário as tenha aceitado explicitamente.
Teste a alteração e depois assuma-a
Teste com uma carga de trabalho representativa e com os controlos de segurança que importam, e depois compare estabilidade, débito e proteção continuada em vez de apenas o erro original.
Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending | Select-Object -First 5
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' -MaxEvents 20Mantenha um caminho de reversão suportado e um proprietário que reveja a exceção após atualizações de componentes ou de produto, porque uma exceção escrita para uma build pode sobreviver à razão por que existia. Registe o âmbito, a razão e a data de revisão no mesmo local que o registo de build do servidor. Sem isso, o revisor seguinte herda uma lista sem argumento por trás. Uma exceção só é defensável enquanto a sua razão continuar verdadeira.