Aling mga folder ang maaari mong ibukod sa antivirus para sa SQL Server?

Dalawang pangungusap ang ginagamit nang palitan sa mga pagsusuri ng database, at magkaiba ang kanilang ibig sabihin. Sinasabi ng isa na kailangan ng partikular na workload ang partikular na pagbubukod; sinasabi ng isa pa na hindi na kailangan ng host ang proteksyon sa dulong punto. Ang una ay isang limitadong desisyong pang-inhenyeriya, at ang pangalawa ay isang panganib na walang may-ari. Ang paghihiwalay sa kanila ang buong gawain, at nagsisimula ito sa aktwal na ginagawa ng server.

Dalawang pangungusap na magkatulad ang tunog

Pinapangalanan ng pagbubukod ang isang landas, proseso, o uri ng file at nagbibigay ng dahilan para dito. Samantala, inaalis ng pag-abandona ang isang kontrol mula sa makina at sa halip ay nagbibigay ng dahilan para doon. Pareho silang makakabuo ng magkatulad na bilang ng pagganap at lubos na magkaibang kalagayan ng seguridad.

Ang database server ay hindi mainam na kandidato para sa pag-abandona dahil iniimbak nito ang datos na pinagkakatiwalaan ng iba pang bagay. Hindi rin ito mainam na kandidato para sa patakarang pang-desktop, dahil ang pag-scan ng mga file na bukas sa database ay lumilikha ng mga problemang hindi kailanman nakikita ng desktop. Ang tapat na posisyon ay nasa gitna, at kailangan itong pagtalunan hindi ipagpalagay. Iyan ang argumentong dapat itala ng isang pagsusuri.

Ihambing ang pagbubukod at ang pag-abandona

Ilagay ang dalawang opsyon nang magkatabi sa apat na punto: ano ang nananatiling protektado, ano ang nagiging lantad, sino ang may-ari ng desisyon, at anong ebidensya ang sumusuporta dito.

Ang limitadong pagbubukod ay nag-iiwan sa natitirang bahagi ng host sa ilalim ng parehong proteksyon tulad ng dati, pinapanatili ang desisyon sa pinangalanang may-ari at nakasalalay sa naulit na sintomas. Ang pag-abandona ay nag-aalis ng proteksyon sa lahat at karaniwang nakasalalay sa pag-aangkin na hindi lantad ang makina. Ang pag-aangkin na iyon ay kailangang makatagal sa aktwal na mga tungkulin ng server, dahil ang mga file share, konektadong server, gawain ng ahente at administratibong paglilipat ng file ay lumilikha ng pagkakalantad na hindi kailanman nakikita ng firewall. Isang kolum lamang ng paghahambing sa ibaba ang nakakaligtas kapag nagbago ang may-ari, dahil itinatala nito kung ano ang napagpasyahan at bakit.

Limitahan ang pagbubukod sa napatunayang interaksyon

Magsimula sa sintomas sa halip na sa listahan. Ang salungatan sa pag-access ng file, presyon sa mga mapagkukunan at mabagal na query ay magkaiba ang hitsura sa mga log at humahantong sa magkaibang pagwawasto. Ulitin ang sintomas habang naka-on ang proteksyon, pagkatapos ay tukuyin ang eksaktong landas o prosesong sangkot.

Ang karaniwang mga kandidato ay ang mga file ng database, mga log file, mga backup at mga file ng full-text catalog, at ang patnubay ng Microsoft tungkol sa antivirus software at SQL Server ay nananatiling sanggunian para sa naka-deploy na bersyon at sa produktong pangseguridad. Huwag kopyahin ang listahan mula sa ibang server, at huwag ipagpalagay na sakop ng isang pangalan ng serbisyo ang bawat naka-install na bahagi. Ang pinakamaliit na pagbubukod na tumutugon sa napatunayang interaksyon ang dapat imungkahi. Anumang mas malawak ay nangangailangan ng sarili nitong argumento.

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled

Suriin ang listahang iyon laban sa tungkulin ng server, dahil ang pagbubukod na idinagdag para sa isang insidente ay may tendensiyang manatili magpakailanman. Sapat ang maikling tala sa tabi ng bawat entry upang gawing posible ang susunod na audit.

Panatilihin ang mga kontrol sa network at pagkakakilanlan

Ang pagbubukod sa dulong punto ay walang sinasabi tungkol sa kung sino ang makakaabot sa database. Dapat pa ring limitahan ng patakaran ng firewall kung aling mga pinagmulan ang makakabukas ng SQL o sesyon ng pamamahala, at dapat pa ring limitahan ng mga account ng aplikasyon kung ano ang maaaring gawin ng mga sesyong iyon.

Kasama sa parehong usapan ang VPN at madalas itong maling gamitin bilang argumento. Ang paghihigpit sa landas ng pag-access ay hindi nagpapatunay sa mga file, script o query na dumarating sa pamamagitan nito. Ang naka-encrypt na tunnel ay hindi rin nakikita ng sensor ng network, kaya ang visibility na ibinibigay ng sensor ay hindi ang visibility na ibinibigay ng ahente ng host. Magkaiba ang mga daloy ng ebidensyang ito, at wala sa kanila ang pumapalit sa isa. Ang pamamahala ng patch, mga pinagkakatiwalaang kasangkapang administratibo at nasubok na landas ng pagbawi ay nananatiling magkakahiwalay na responsibilidad na may sariling may-ari. Kasama rin dito ang kalinisan ng tungkulin: ang walang kaugnayang pag-browse, pag-download at mga tungkulin sa pagbabahagi ng file ay dapat lumayo sa host ng database maliban kung hayagang tinanggap ito ng may-ari.

Subukan ang pagbabago, pagkatapos ay angkinin ito

Subukan gamit ang representatibong workload at ang mga pagsusuring pangseguridad na mahalaga, pagkatapos ay ihambing ang katatagan, throughput at patuloy na proteksyon sa halip na ang orihinal na error lamang.

Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending | Select-Object -First 5
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' -MaxEvents 20

Panatilihin ang sinusuportahang landas ng pag-urong at isang may-ari na sumusuri sa pagbubukod pagkatapos ng mga update sa bahagi o produkto, dahil ang pagbubukod na isinulat para sa isang build ay maaaring mabuhay nang mas matagal kaysa sa dahilan ng pagkakaroon nito. Itala ang saklaw, dahilan at petsa ng pagsusuri sa parehong lugar ng rekord ng build ng server. Kung wala iyon, mamanahin ng susunod na tagasuri ang isang listahan na walang argumento sa likod nito. Ang pagbubukod ay maipagtatanggol lamang habang totoo pa ang dahilan nito.