DB-Server und AV-Lösung

Oft empfeheln Hersteller (ERP, CRM Systeme...) das auf dem Datenbankserver kein AV läuft.
Wenn dus laufen lässt würde ich definitiv ein Ruleset anpassen so das Verzeichnisse des DB Servers und DB Dateien und Tasks des SQL Servers ausgenommen sind...

Welchem Angriffsszenario soll denn entgegengewirkt werden und kann die zusätzlich Software dies überhaupt leisten?

Moin.

Schwieriges Thema. Wenn du ne Cyber-Security-Versicherung abgeschlossen hast oder abschließen willst, geht kein daran vorbei, auf _allen!_ Systemen eine gemanagte "Security-Lösung" aktiv zu haben. Einfach Defender im Autopilot würde dir dann im Falle eines Falles auf die Füße fallen.

Was die Performance angeht: Viele dieser Lösungen bestehen ja aus mehreren Modulen. Hier ist, neben den Best Practices des Herstellers, immer ein wenig Trial&Error angesagt. Also mal ein Modul abschalten, gezielte Ausnahmen definieren etc. und weiter testen und messen. Letzteres ergibt natürlich nur Sinn, wenn man eine Messung vom Zeitpunkt vor der Installation der Security-Lösung hat, mit der man dann vergleichen kann. Und Messung meint hier: Über mehrere Tage oder gar Wochen hinweg. Geduld ist nunmal eine Tugend...

Cheers,
jsysde

Moin,
https://learn.microsoft.com/en-us/troubleshoot/sql/database-engine/secur ...

Meiner Meinung nach ist es egal wie das Produkt heißt. Die Ausnahmen werden bei uns anstandslos in Absprache mit den Security Leuten gesetzt. Denn ohne diese wird es schwierig bei Microsoft und vermutlich auf dem Hersteller der Applikation vernünftigen Support zu erhalten - sei es bei Probleme noch bei Performance Issues.


Gruß,
Dani

Was läuft denn außer der DB auf dem Server? Denn eine Firewall mit Ausnahmen für die DB auf einem OS das nur eine DB bereit stellt wäre extrem sinnfrei. Ransomware geht ja über NTFS Freigaben auf Dateien auf einem Fileserver, das ist ja i.d.R. nicht der DB Server, kann aber natürlich sein wenn da alles vom ERP System auf einer VM liegt.

Ich würde maximal den Defender laufen lassen es sei denn, es kommt tatsächlich auch eine professionellere Lösung in dem Kundennetz zum Einsatz. Aber das Bedrohungsszenario Ransomware ist ja nicht wirklich gut per Defender auf dem Fileserver zu erkennen, der Schreibvorgang vom Client kann ja absolut legitim sein. Ich weiß wirklich nicht ob Defender hier überhaupt einen Schutz bietet z.B. durch Erkennung von massenhaften Schreibvorgängen, also ohne konkretes Bedrohungsszenario keine konkrete Lösung, dann kann man es auch einfach lassen.

@jsysde
Früher war das mit den Versicherern so. Wir haben Ende letzten Jahres eine abgeschlossen und, abgesehen davon das wir gar keine gemanagte AV-Lösung einsetzen, habe ich mir mehrfach versichern lassen, dass ich "technisch sinnvoll" handeln kann. Wenn eine AV-Lösung an der Stelle nicht sinnvoll ist, wird das auch nicht verlangt. Ich hatte z.B. schon Zertifizierer hier sitzen die mir auf meinem Android Handy eine AV Lösung vorgeschrieben haben weil "es das ja gibt". Dementsprechend skeptisch war ich bei der Versicherung. Angeblich alles kein Problem...

Dann würde ich sagen, sofern dein OS up to date ist, steigt dein Risiko mit jeder installierten AV eher durch mögliche false positive Erkennung. Ansonsten verbraucht sie nur Ressourcen.

ZeroTrust hat nichts mit AV-Schutz zu tun.

also realistisch betrachtet erkennen antivirenlösungen sowieso nur 60% der Viren...
man muss die security auch mal nicht vollkommen übertreiben.
Bedeutet, wenns wegen ner versicherung notwendig ist, kannste dem DB Server auch ne extra rule bauen
wo eben wie schon erwähnt: Deinst Prozesse, Datenbank Dateien/Verzeichnisse vom Scan ausgenommen werden.
Wenn man Glück hat klappt das ja.
Wenn man ne grosse firma ist einfach kostenanalyse und entscheidung der chefs abwarten.
bedeutet nen doppeltsoleistungsstarker SQL Server kann schon mal ganz schön ans bare gehen.

Und nicht missverstehen, ich bin eigentlich auch ein auch für 100% Security, aber man muss halt auch mal die kirche im dorf lassen, datenbank server sind einfach ein kritisches clientel... und wenn der lahm gelegt wird durch sowas ist aus mit lustig, wenn die AV Software mehr schaden verursacht als ein angriff wirds dann sehr witzig...

Bedeutet:
- Whitepaper deines CRM/ERP System lesen was da empfohlen wird
- Experimentieren mit ausnahmen und abgeschwächten rules
- Wenn garnix bringt >> Security Kosten Nutzen Analyse und alternative absicherungsmassnahmen machen.

Alternative könnte sein wenns einen Applikations Server gibt das eben nur dieser mit dem SQL kommunizieren darf, und ansonsten auch die Zugriffe im LAN minimieren (Lokale Firewall des Servers), immer aktuellen Patch Stand etc....

Davon muss man eigentlich ausgehen.
- Ressourcen Verbrauch
- Aufwand für Installation und Wartung
- Lizenzkosten
~Risiko durch False Positive Erkennung
./. gegen
~Schutz vor Viren die durch den Admin ausgeführt werden
~oder einem Angreifer, der schon Zugriff auf das System hat
Richtig, wenn nur ein Application Server mit der DB kommuniziert und nicht jeder Client direkt dann haben die Clients keinen Zugang zum DB Server. Beide Server stehen ja vermutlich eh in einem entsprechenden VLAN. Authentifizierung am Application Server kann dann ZeroTrust sein und auch noch darüber hinaus beschränkt werden, z.B. nur auf Zugriffe aus dem LAN.