Настройка антивирусного программного обеспечения для работы с SQL Server

В этой статье содержатся общие рекомендации по правильной настройке антивирусного программного обеспечения на компьютерах под управлением SQL Server в вашей среде.

Настоятельно рекомендуется отдельно оценить риск безопасности для каждого компьютера под управлением SQL Server в вашей среде. На основе оценки необходимо выбрать соответствующие средства для уровня риска безопасности каждого компьютера под управлением SQL Server.

Кроме того, мы рекомендуем протестировать всю систему в полной нагрузке, чтобы оценить все изменения стабильности и производительности перед развертыванием любого программного обеспечения защиты от вирусов.

Программное обеспечение защиты от вирусов требует выполнения системных ресурсов. Необходимо выполнить тестирование до и после установки антивирусного программного обеспечения, чтобы определить, есть ли какие-либо негативные последствия для производительности на компьютере под управлением SQL Server и в самом SQL Server.

Факторы риска безопасности

При принятии решения по борьбе с вредоносными программами следует учитывать следующие факторы:

• Бизнес-ценность сведений, хранящихся на компьютере.
• Требуемый уровень безопасности для сведений.
• Стоимость потери доступа к информации.
• Риск распространения вирусов или плохой информации с этого компьютера.

Серверы с высоким уровнем риска

Любой сервер находится под угрозой заражения. Серверы с высоким уровнем риска обычно соответствуют одному или нескольким из следующих критериев:

• Серверы открыты для общедоступного Интернета.
• Серверы имеют открытые порты для серверов, которые не стоят за брандмауэром.
• Серверы считывают или выполняют файлы с других серверов.
• Серверы выполняют HTTP-серверы, такие как службы IIS (IIS) или Apache.
• Серверы размещают общие папки.
• Серверы используют Database Mail для обработки входящих или исходящих сообщений электронной почты.

Серверы, которые не соответствуют критериям сервера с высоким уровнем риска, обычно подвергаются более низкому риску, хотя и не всегда.

Типы антивирусного программного обеспечения

• Активное сканирование вирусов: такой вид сканирования проверяет входящие и исходящие файлы для вирусов.

• Программное обеспечение для очистки вирусов: программное обеспечение очистки вирусов сканирует существующие файлы для заражения файлами. Он обнаруживает проблемы после того, как файлы заражены вирусом. Этот вид сканирования может привести к следующим проблемам восстановления базы данных SQL Server и файлов полнотекстового каталога SQL Server:

  • Если программное обеспечение очистки вирусов открыло файл базы данных, когда SQL Server пытается открыть базу данных, база данных, к которой принадлежит файл, может быть помечена как подозреваемый. SQL Server открывает базу данных при запуске или при закрытии базы данных с поддержкой автоматического закрытия и повторного доступа к ней. Файлы базы данных SQL Server обычно имеют расширения .mdf, LDF или NDF-файлов .

  • Если программное обеспечение очистки вирусов имеет файл полнотекстового каталога SQL Server, когда полнотекстовый поиск пытается получить доступ к файлу, у вас могут возникнуть проблемы с полнотекстовый каталог.

• Программное обеспечение для сканирования уязвимостей: Набор средств соответствия требованиям безопасности Майкрософт включает набор средств, позволяющих администраторам предприятия выполнять широкий спектр задач безопасности. К этим задачам относятся скачивание, анализ, тестирование, изменение, хранение базовых показателей конфигурации безопасности, рекомендуемых корпорацией Майкрософт для Windows и других продуктов Майкрософт, а также сравнение их с другими конфигурациями безопасности. Чтобы скачать его, перейдите в Microsoft Security Compliance Toolkit 1.0.

• Корпорация Майкрософт также выпустила средство удаления вредоносных программ Windows, чтобы удалить конкретное, распространенное вредоносное программное обеспечение с компьютеров. Дополнительные сведения об средстве удаления вредоносных программ Microsoft Windows см. в статье "Удаление конкретных распространенных вредоносных программ" с помощью средства удаления вредоносных программ Windows (KB890830).

Процессы SQL Server для исключения из сканирования вирусов

При настройке параметров антивирусного программного обеспечения убедитесь, что вы исключите следующие процессы (как применимо) из сканирования вирусов.

• sqlservr.exe (SQL Server ядро СУБД)
• sqlagent.exe (агент SQL Server)
• sqlbrowser.exe (служба браузера SQL Server)
• %ProgramFiles%\Microsoft SQL Server\1<NN>\Shared\SQLDumper.exe (служебная программа SQLDumper)

Обновленный список служб и путей к файлам см. в статьях "Службы", установленные SQL Server.

Приложения, установленные на компьютере SQL Server, могут загружать модули в процесс SQL Server (sqlservr.exe). Приложения используют эту функцию для выполнения бизнес-логики или для мониторинга и защиты вторжений. Чтобы определить, был ли неизвестный модуль или модуль из стороннего программного обеспечения загружен в пространство памяти процесса, проверьте выходные данные sys.dm_os_loaded_modules динамического административного представления (DMV).

В некоторых случаях приложения или драйверы могут использоваться для обхода кода SQL Server или Windows для обеспечения защиты вредоносных программ или мониторинга служб. Однако если такие приложения или драйверы не разработаны правильно, они могут вызвать широкий спектр проблем для таких продуктов, как SQL Server. Сведения о сторонних обходах или аналогичных методах в SQL Server см. в статье "Отмена" или аналогичные методы могут привести к непредвиденным поведению с SQL Server.

Настройка антивирусного программного обеспечения для работы с SQL Server ядро СУБД

Этот раздел относится к установкам SQL Server, работающим в операционных системах Windows, как автономным, так и к экземплярам отказоустойчивого кластера (FCI).

Каталоги и расширения имен файлов для исключения из проверки вирусов

При настройке параметров антивирусного программного обеспечения убедитесь, что вы исключите следующие файлы или каталоги (как применимо) из сканирования вирусов. Исключение может повысить производительность SQL Server и гарантировать, что файлы не заблокированы, когда служба SQL Server должна использовать их. Однако если эти файлы заразятся, антивирусное программное обеспечение не может обнаружить инфекцию. Дополнительные сведения о расположениях файлов по умолчанию для SQL Server см. в разделе "Расположения файлов" для именованных экземпляров SQL Server по умолчанию и именованных экземпляров.

Файлы данных SQL Server

Эти файлы обычно имеют одно из следующих расширений имени файла:

• .Мдф
• .ldf
• .ndf

По умолчанию файлы данных находятся в следующих каталогах. Однако администраторы базы данных системы могут размещать их в любом каталоге.

Файлы резервного копирования SQL Server

Эти файлы обычно имеют одно из следующих расширений имени файла:

• .bak
• .trn

По умолчанию папки резервного копирования находятся в следующих каталогах. Однако файлы резервного копирования можно поместить в любой каталог администраторами базы данных системы.

Файлы полнотекстового каталога

Файлы трассировки

Обычно эти файлы имеют расширение TRC-файла . Эти файлы можно создать при настройке трассировки SQL вручную или при включении аудита C2 для сервера.

Целевые объекты файла расширенных событий

• Обычно сохраняется как XEL или XEM.
• Созданные системой файлы сохраняются в папке LOG для этого экземпляра.

Файлы аудита SQL

Эти файлы имеют расширение имени файла .sqlaudit . Дополнительные сведения см. в статье Аудит SQL Server (ядро СУБД).

Файлы SQL-запросов

Эти файлы обычно имеют расширение имени файла .sql и содержат инструкции Transact-SQL.

Файлы данных файлового потока

• Для файлов нет определенного расширения.
• Файлы присутствуют в структуре папок, определяемой типом контейнера FILESTREAM из sys.database_files.
• <drive>:\RsFxName
  • Это <drive> относится к корневому диску структуры папок, определяемой типом контейнера FILESTREAM из sys.database_files.

Файлы удаленного хранилища BLOB-объектов

• Ссылается на каталог, в который хранятся временные файлы и журналы служб Reporting Services (RSTempFiles и LogFiles). Дополнительные сведения см. в статьях "Файлы журналов служб Reporting Services и источники" — SQL Server Reporting Services (SSRS) и в файле конфигурации RsReportServer.config — SQL Server Reporting Services (SSRS).

Файлы дампа исключений

Файлы дампа памяти обычно используют расширение имени MDMP-файла . Это системные файлы, которые сохраняются в подпапке \LOG для этого экземпляра или в папке, на которую указывает следующий раздел реестра: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft SQL Server\<имя> экземпляра\CPE. Дополнительные сведения о дампах памяти см. в разделе "Использование средства Sqldumper.exe" для создания файла дампа в SQL Server.

Файлы OLTP в памяти

По сути, технология OLTP в памяти имеет два набора файлов:

• Файлы, связанные с скомпилированных хранимых процедур и оптимизированными для памяти таблицами.

  • Файлы OLTP в памяти обычно хранятся в подпапке xtp в каталоге DATA для экземпляра.

  • Форматы файлов включают следующие типы:

    • <xtp_t/p>_<dbid>_<objid.c>
    • <xtp_t/p>_<dbid>_<objid>.dll
    • <xtp_t/p>_<dbid>_<objid>.obj
    • <xtp_t/p>_<dbid>_<objid.out>
    • <xtp_t/p>_<dbid>_<objid.pdb>
    • <xtp_t/p>_<dbid>_<objid>.xml

    Примечание.

    xtp — это префикс, используемый для указания связи с OLTP в памяти. Заполнитель <t/p> представляет "t" для таблицы или "p" для процедуры. Заполнитель <dbid> ссылается на идентификатор базы данных пользователя, в которой находится оптимизированный для памяти объект. Заполнитель <objid> указывает идентификатор объекта, назначенный оптимизированной для памяти объекту (таблице или процедуре).

• Файлы, связанные с файлами контрольных точек и разностных файлов.

  • Для файлов нет определенного расширения.
  • Файлы присутствуют в структуре папок, определяемой типом контейнера FILESTREAM из sys.database_files.

ФАЙЛЫ DBCC CHECKDB

Файлы DBCC CHECKDB используют следующий формат:

<Database_data_filename.extension>_MSSQL_DBCC<database_id_of_snapshot>

Это временные файлы. Дополнительные сведения см. в разделе "Внутренний моментальный снимок базы данных".

Репликация

В следующей таблице содержатся исполняемые файлы репликации и серверные COM-объекты. DBCC CHECKDB создает временные файлы в течение длительности DBCC команды, после которой они автоматически удаляются.

• Исполняемые файлы репликации и серверные COM-объекты

  Расположение по умолчанию	Каталог Process/Исполняемый файл
  Расположение по умолчанию x86	<drive>:\Program Files (x86)\Microsoft SQL Server\<NNN>\COM\
  Расположение по умолчанию x64	<drive>:\Program Files\Microsoft SQL Server\<NNN>\COM\

  Примечание.

  Заполнитель <NNN> для сведений о конкретной версии. Чтобы указать правильное значение, проверьте установку или выполните поиск по запросу "Репликация и серверные COM-объекты" в разделе "Указание путей к файлу". Например, полный путь к SQL Server 2022 будет <диском>:\Program Files\Microsoft SQL Server\160\COM\.

• Начиная с SQL Server 2017 CU22 (включая SQL 2019 RTM и более поздние версии), при использовании репликации транзакций и агент распространения используется профиль потоковой передачи OLEDB или используется -UseOledbStreaming параметр, агент распространения создает временные файлы (*.lob) в AppData. папка учетной записи, на которой выполняется агент распространителя, где вызывается задание. Например, C:\Users\DistributionAgentAccount>\<AppData\Temp\*.lob. Для предыдущих версий SQL Server используется папка COM по умолчанию (уже указанная).

  Дополнительные сведения см. в разделе "Не удалось создать временные файлы" сообщения об ошибке агента распространителя.

• Файлы в папке моментального снимка репликации

  Путь по умолчанию для файлов моментальных снимков — \Microsoft SQL Server\MSSQL<NN>. MSSQLSERVER\MSSQL\ReplData. Обычно эти файлы имеют расширения имен файлов, такие как SCH, IDX, BCP, PRE, CFT, .dri, TRG или PRC.

Рекомендации по экземплярам отказоустойчивого кластера (AlwaysOn FCI)

Антивирусное программное обеспечение можно запустить в кластере SQL Server. Однако необходимо убедиться, что антивирусное программное обеспечение является версией, поддерживающей кластер.

Обратитесь к поставщику антивирусной программы о версиях с поддержкой кластера и взаимодействии.

Если вы используете антивирусное программное обеспечение в кластере, убедитесь, что вы также исключите эти расположения из проверки вирусов:

• Q:\ (диск кворума)
• C:\Windows\Cluster
• Каталог MSDTC на диске MSDTC

При резервном копировании базы данных на диск или резервном копировании журнала транзакций на диск можно исключить файлы резервной копии из сканирования вирусов.

Дополнительные сведения об антивирусной программе в кластере см. в статье Антивирусное программное обеспечение, которое не поддерживает кластер, может вызвать проблемы со службами кластеров.

Настройка антивирусного программного обеспечения для работы со службами Analysis Services (SSAS)

Следующие каталоги и процессы Служб Analysis Services можно исключить из антивирусной проверки.

Процессы SSAS для исключения из сканирования вирусов

Заполнитель <ID> для идентификатора сборки. Например, по умолчанию двоичное расположение установки экземпляра Analysis Services 2016 — C:\Program Files\Microsoft SQL Server\MSAS13. MSSQLSERVER\OLAP\bin.

Каталоги SSAS и расширения имен файлов для исключения из проверки вирусов

При настройке параметров антивирусного программного обеспечения убедитесь, что вы исключите следующие файлы или каталоги SSAS (как применимо) из сканирования вирусов. Исключение файлов повышает производительность SSAS и помогает убедиться, что файлы не заблокированы, когда служба SQL Server должна использовать их. Однако если эти файлы заразятся, антивирусное программное обеспечение не может обнаружить инфекцию.

Каталог данных для служб Analysis Services

Каталог, содержащий все файлы данных служб Analysis Services, указывается в DataDir свойстве экземпляра служб Analysis Services. В следующей таблице показан путь по умолчанию экземпляра SSAS:

Временные файлы для служб Analysis Services

Для служб Analysis Services 2012 и более поздних версий временные файлы во время обработки задаются свойством TempDir экземпляра служб Analysis Services. По умолчанию это свойство пусто. Если это свойство пусто, используется каталог по умолчанию. В следующей таблице по умолчанию показан путь temp .

Файлы резервного копирования для служб Analysis Services

В службах Analysis Services 2012 и более поздних версиях расположение файла резервной копии — это расположение, указанное свойством BackupDir . В следующей таблице показан путь резервного копирования по умолчанию для экземпляра службы Analysis Service:

Этот каталог можно изменить в свойствах экземпляра служб Analysis Services. Любая команда резервного копирования также может указывать на другое расположение. Кроме того, файлы резервной копии можно скопировать в другом месте для восстановления.

Каталог, в котором хранятся файлы журналов служб Analysis Services

По умолчанию в службах Analysis Services 2012 и более поздних версиях расположение файла журнала — это расположение, указанное свойством LogDir . По умолчанию путь к журналу расположен следующим образом:

Каталоги для секций, не хранящихся в каталогах данных по умолчанию для служб Analysis Services 2012 и более поздних версий

При создании секций эти расположения определяются в разделе расположения хранилища на странице "Расположения обработки и хранилища" мастера секционирования. Не забудьте исключить их из сканирования.

Настройка антивирусного программного обеспечения для работы со службами SQL Server Integration Services (SSIS)

Следующие процессы и каталоги для служб SSIS должны быть исключены из антивирусной проверки.

Процессы SSIS для исключения из сканирования вирусов

Каталоги служб SSIS для исключения из сканирования вирусов

При настройке параметров антивирусного программного обеспечения убедитесь, что вы исключите следующие файлы или каталоги (как применимо) из сканирования вирусов. Это повышает производительность файлов и помогает убедиться, что файлы не заблокированы, когда служба служб SSIS должна использовать их. Однако если эти файлы заразятся, антивирусное программное обеспечение не может обнаружить инфекцию.

Настройка антивирусного программного обеспечения для работы с PolyBase

Следующие процессы и каталоги для служб PolyBase должны быть исключены из проверки вирусов.

Процессы PolyBase для исключения из сканирования вирусов

Службы перемещения данных PolyBase (DMS) и службы подсистемы используют один и тот же исполняемый файл с разными параметрами командной строки.

Каталоги PolyBase и расширения имен файлов для исключения из проверки вирусов

При настройке параметров антивирусного программного обеспечения убедитесь, что вы исключите следующие файлы или каталоги (как применимо) из сканирования вирусов. Это повышает производительность файлов и помогает убедиться, что файлы не заблокированы, когда служба PolyBase должна использовать их. Однако если эти файлы заразятся, антивирусное программное обеспечение не может обнаружить инфекцию.

Настройка антивирусного программного обеспечения для работы со службами Reporting Services (SSRS)

Следующие процессы и каталоги для служб SQL Server Reporting Services (SSRS) должны быть исключены из антивирусной проверки.

Процессы SSRS для исключения из сканирования вирусов

Исполняемые файлы, которые должны быть исключены, развивались в разных версиях SSRS. В следующей таблице перечислены их в соответствии с версией SSRS.

Каталоги SSRS для исключения из сканирования вирусов

В следующей таблице перечислены каталоги SSRS, которые должны быть исключены:

Сервер отчетов Power BI

Для Сервер отчетов Power BI можно сделать следующие исключения:

Сервер отчетов Power BI процессы для исключения из сканирования вирусов

• %ProgramFiles%\Сервер отчетов Microsoft Power BI\PBIRS\ASEngine\msmdsrv.exe
• %ProgramFiles%\Сервер отчетов Microsoft Power BI\PBIRS\Management\RSManagement.exe
• %ProgramFiles%\Сервер отчетов Microsoft Power BI\PBIRS\Office\RSOffice.exe
• %ProgramFiles%\Сервер отчетов Microsoft Power BI\PBIRS\Portal\RSPortal.exe
• %ProgramFiles%\Сервер отчетов Microsoft Power BI\PBIRS\PowerBI\Microsoft.Mashup.Container.exe
• %ProgramFiles%\Сервер отчетов Microsoft Power BI\PBIRS\PowerBI\Microsoft.Mashup.Container.NetFX40.exe
• %ProgramFiles%\Сервер отчетов Microsoft Power BI\PBIRS\PowerBI\Microsoft.Mashup.Container.NetFX45.exe
• %ProgramFiles%\Сервер отчетов Microsoft Power BI\PBIRS\PowerBI\RSPowerBI.exe
• %ProgramFiles%\Сервер отчетов Microsoft Power BI\PBIRS\ReportServer\bin\ReportingServicesService.exe
• %ProgramFiles%\Сервер отчетов Microsoft Power BI\PBIRS\RSHostingService\RSHostingService.exe

каталоги Сервер отчетов Power BI для исключения из сканирования вирусов

• %ProgramFiles%\Сервер отчетов Microsoft Power BI\PBIRS
• %ProgramFiles%\Сервер отчетов Microsoft Power BI\Shared Tools

Как проверить, какие тома сканируются антивирусными программами

Антивирусные программы используют драйверы фильтров для подключения к пути ввода-вывода на компьютере и сканирования пакетов ввода-вывода для известных шаблонов вирусов. В Windows можно использовать служебную программу Fltmc для перечисления драйверов фильтров и томов, которые они настроены для сканирования. Выходные fltmc instances данные позволяют исключить тома или папки из сканирования.

1. Выполните эту команду из командной строки или командной строки PowerShell в режиме с повышенными привилегиями

fltmc instances

2. Используйте выходные данные, чтобы определить, какой драйвер установлен и используется антивирусной программой на компьютере

Ниже приведен пример выходных данных. Чтобы найти драйверы фильтров с помощью уникально назначенной высоты, вам потребуется документ "Выделенные высоты фильтра". Например, вы можете найти, что высота 328010 находится в таблице 320000 - 329998: FSFilter Anti-Virus в документе. Таким образом, на основе имени таблицы в документе вы знаете, что WdFilter.sys драйвер используется антивирусной программой на компьютере и что он разработан корпорацией Майкрософт.

Filter                Volume Name                              Altitude        Instance Name       Frame   SprtFtrs  VlStatus
--------------------  -------------------------------------  ------------  ----------------------  -----   --------  --------
CldFlt                C:                                        180451     CldFlt                    0     0000000f
CldFlt                \Device\HarddiskVolumeShadowCopy3         180451     CldFlt                    0     0000000f
FileInfo                                                         40500     FileInfo                  0     0000000f
FileInfo              C:                                         40500     FileInfo                  0     0000000f
FileInfo                                                         40500     FileInfo                  0     0000000f
FileInfo              \Device\HarddiskVolumeShadowCopy3          40500     FileInfo                  0     0000000f
FileInfo              X:\MSSQL15.SQL10\MSSQL\DATA                40500     FileInfo                  0     0000000f
FileInfo              \Device\Mup                                40500     FileInfo                  0     0000000f
FileInfo              \Device\RsFx0603                           40500     FileInfo                  0     0000000f
MsSecFlt                                                        385600     MsSecFlt Instance         0     0000000f
MsSecFlt              C:                                        385600     MsSecFlt Instance         0     0000000f
MsSecFlt                                                        385600     MsSecFlt Instance         0     0000000f
MsSecFlt              \Device\HarddiskVolumeShadowCopy3         385600     MsSecFlt Instance         0     0000000f
MsSecFlt              \Device\Mailslot                          385600     MsSecFlt Instance         0     0000000f
MsSecFlt              \Device\Mup                               385600     MsSecFlt Instance         0     0000000f
MsSecFlt              \Device\NamedPipe                         385600     MsSecFlt Instance         0     0000000f
MsSecFlt              \Device\RsFx0603                          385600     MsSecFlt Instance         0     0000000f
RsFx0603              C:                                         41006.03  RsFx0603 MiniFilter Instance    0     00000000
RsFx0603              \Device\Mup                                41006.03  RsFx0603 MiniFilter Instance    0     00000000
WdFilter                                                        328010     WdFilter Instance         0     0000000f
WdFilter              C:                                        328010     WdFilter Instance         0     0000000f
WdFilter                                                        328010     WdFilter Instance         0     0000000f
WdFilter              X:\MSSQL15.SQL10\MSSQL\DATA               328010     WdFilter Instance         0     0000000f
WdFilter              \Device\HarddiskVolumeShadowCopy3         328010     WdFilter Instance         0     0000000f
WdFilter              \Device\Mup                               328010     WdFilter Instance         0     0000000f
WdFilter              \Device\RsFx0603                          328010     WdFilter Instance         0     0000000f
Wof                   C:                                         40700     Wof Instance              0     0000000f
Wof                                                              40700     Wof Instance              0     0000000f
Wof                   \Device\HarddiskVolumeShadowCopy3          40700     Wof Instance              0     0000000f
bfs                                                             150000     bfs                       0     0000000f
bfs                   C:                                        150000     bfs                       0     0000000f
bfs                                                             150000     bfs                       0     0000000f
bfs                   \Device\HarddiskVolumeShadowCopy3         150000     bfs                       0     0000000f
bfs                   \Device\Mailslot                          150000     bfs                       0     0000000f
bfs                   \Device\Mup                               150000     bfs                       0     0000000f
bfs                   \Device\NamedPipe                         150000     bfs                       0     0000000f
bfs                   \Device\RsFx0603                          150000     bfs                       0     0000000f
bindflt               C:                                        409800     bindflt Instance          0     0000000f
luafv                 C:                                        135000     luafv                     0     0000000f
npsvctrig             \Device\NamedPipe                          46000     npsvctrig                 0     00000008
storqosflt            C:                                        244000     storqosflt                0     0000000f

3. Поиск томов, отсканированных антивирусным драйвером

В выходных данных примера можно заметить, что WdFilter.sys драйвер сканирует X:\MSSQL15. Папка SQL10\MSSQL\DATA , которая, как представляется, является папкой данных SQL Server. Эта папка является хорошим кандидатом для исключения из антивирусной проверки.

Настройка брандмауэра с продуктами SQL Server

В следующей таблице содержатся сведения об использовании брандмауэра с SQL Server:

Дополнительные сведения

• Дополнительные сведения о проблемах с производительностью, вызванных сторонними модулями и драйверами в SQL Server, см. в статье о проблемах производительности и согласованности при загрузке определенных модулей или драйверов фильтров.
• Общие сведения о безопасности SQL Server см. в статье "Защита SQL Server".
• Общие рекомендации корпорации Майкрософт по сканированию в корпоративных системах см . в рекомендациях по проверке вирусов на корпоративных компьютерах под управлением Windows или Windows Server (KB822158).