Vilka mappar kan du undanta från antivirus för SQL Server?
Ett undantag för en arbetsbelastning och en oskyddad värd är två olika beslut. Begränsa undantaget till den påvisade interaktionen och behåll de övriga kontrollerna.
Två meningar används omväxlande i databasgranskningar, och de betyder helt olika saker. Den ena säger att en viss arbetsbelastning behöver ett visst undantag; den andra säger att värden inte längre behöver slutpunktskydd. Den första är ett avgränsat ingenjörsbeslut, och den andra är en risk utan ägare. Att skilja dem åt är hela uppgiften, och den börjar med vad servern faktiskt gör.
Två meningar som låter likadana
Ett undantag namnger en sökväg, en process eller en filtyp och anger ett skäl för det. Ett övergivande tar bort en kontroll från en maskin och anger i stället ett skäl för det. Båda kan ge liknande prestandasiffror och helt olika säkerhetslägen.
En databasserver är en dålig kandidat för övergivande eftersom den lagrar de data som allt annat är beroende av. Den är också en dålig kandidat för en princip på skrivbordsnivå, eftersom genomsökning av filer som en databas håller öppna skapar problem som ett skrivbord aldrig ser. Den ärliga positionen ligger i mitten, och den måste argumenteras fram i stället för antas. Det är det argumentet en granskning ska fånga.
Jämför undantaget och övergivandet
Ställ de två alternativen sida vid sida på fyra punkter: vad som förblir skyddat, vad som blir exponerat, vem som äger beslutet och vilka bevis som stöder det.
Ett avgränsat undantag lämnar resten av värden under samma skydd som tidigare, behåller beslutet hos en namngiven ägare och vilar på ett reproducerat symtom. Ett övergivande tar bort skyddet från allt och vilar vanligtvis på påståendet att maskinen inte är exponerad. Det påståendet måste stå emot serverns faktiska roller, eftersom filresurser, länkade servrar, agentjobb och administrativa filöverföringar alla skapar exponering som en brandvägg aldrig ser. Bara en kolumn i jämförelsen nedan överlever ett ägarbyte, eftersom den registrerar vad som beslutades och varför.
| Point | Scoped exception | Blanket exclusion |
|---|---|---|
| Coverage | Only the named paths or processes | The whole host |
| Evidence needed | A reproduced interaction | An argument about exposure |
| Owner | A named reviewer with a date | Usually nobody |
| Behaviour after an update | Reviewed again | Silently inherited |
Begränsa ett undantag till den påvisade interaktionen
Börja med symtomet i stället för med en lista. En filåtkomstkonflikt, resurstryck och en långsam fråga ser olika ut i loggarna och leder till olika åtgärder. Reproducera symtomet med skyddet aktiverat och identifiera sedan den exakta sökvägen eller processen som är inblandad.
Typiska kandidater är databasfiler, loggfiler, säkerhetskopior och fulltextkatalogfiler, och Microsofts vägledning om antivirusprogram och SQL Server är fortfarande referensen för den distribuerade versionen och säkerhetsprodukten. Kopiera inte en lista från en annan server, och anta inte att ett tjänstenamn täcker varje installerad komponent. Det minsta undantag som hanterar den påvisade interaktionen är det som bör föreslås. Allt bredare behöver sitt eget argument.
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabledGå igenom listan mot serverns roll, eftersom ett undantag som lagts till för en enda händelse tenderar att stanna för alltid. En kort anteckning vid varje post räcker för att göra nästa revision möjlig.
Behåll nätverks- och identitetskontrollerna
Ett slutpunktsundantag säger ingenting om vem som får nå databasen. Brandväggsprincipen bör fortfarande begränsa vilka källor som kan öppna en SQL- eller administrationssession, och applikationskonton bör fortfarande begränsa vad dessa sessioner får göra.
En VPN hör till samma samtal och används ofta felaktigt som argument. Att begränsa åtkomstvägen validerar inte filerna, skripten eller frågorna som kommer genom den. En krypterad tunnel är också ogenomtränglig för en nätverkssensor, så den synlighet en sensor ger dig är inte den synlighet en värdagent ger dig. Det är olika bevisströmmar, och ingen av dem ersätter den andra. Patchhantering, betrodda administrativa verktyg och en testad återställningsväg förblir separata ansvarsområden med egna ägare. Rollhygien hör också hit: orelaterad surfning, nedladdningar och fildelningsuppgifter bör hållas borta från databasvärden om inte ägaren uttryckligen har accepterat dem.
Testa ändringen och ta sedan ansvar för den
Testa med en representativ arbetsbelastning och de säkerhetskontroller som betyder något, och jämför sedan stabilitet, genomströmning och fortsatt skydd i stället för bara det ursprungliga felet.
Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending | Select-Object -First 5
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' -MaxEvents 20Behåll en stödd återställningsväg och en ägare som granskar undantaget efter komponent- eller produktuppdateringar, eftersom ett undantag skrivet för en build kan överleva skälet till att det fanns. Registrera omfattningen, skälet och granskningsdatumet på samma plats som serverns buildpost. Utan det ärver nästa granskare en lista utan argument bakom. Ett undantag är försvarbart bara så länge skälet fortfarande är sant.