概述
在運行 SQL Server 的機器上部署防毒軟件是安全合規要求，但不當配置會嚴重拖垮數據庫性能。本文按防毒軟件類型劃分，分析各類對 SQL Server 的影響，並給出配置建議。
三類防毒軟件及其影響
1. 主動防毒掃描（Real-time/On-access Scanning）
適用場景（推薦啟用）：
- 伺服器直接暴露於互聯網
- 讀取/執行來自其他伺服器的文件
- 運行 HTTP 服務（IIS/Apache），含 SQLXML/IIS 架構
- 提供文件共享服務
- 使用 SQL Mail 處理郵件收發
性能開銷： 主要在文件打開/關閉時觸發掃描。高負載下會有明顯性能損耗，但**出於安全考慮仍建議啟用**。
關鍵排除配置（必做）：
- 排除 SQL Server 數據文件（
*.mdf、*.ndf）
- 排除日誌文件（
*.ldf）
- 排除備份文件目錄（
*.bak、*.trn）
- 排除
tempdb 所在目錄
- 排除 SQL Server 安裝目錄下的
\Binn\、\Log\
2. 病毒清除/全盤掃描（On-demand/Scheduled Full Scan）
風險極高，嚴禁在生產期對數據文件運行：
- 大量 I/O 讀操作嚴重擠佔磁盤帶寬，導致查詢響應劇增
- 若掃描時打開數據文件，SQL Server 會將數據庫標記為「可疑」，導致服務中斷
- 屬事後補救手段，**核心防禦應依賴主動掃描與安全操作規範**
建議： 僅在維護窗口對非數據目錄（如系統盤、備份歸檔目錄）運行，且需停止 SQL Server 服務。
3. 漏洞掃描軟件
- 主要針對 HTTP 服務層
- 微軟測試未發現對 SQL Server 性能有可測影響
- 可按常規策略部署
最佳實踐清單
- 白名單機制： 在防毒策略中精確排除所有 SQL Server 數據、日誌、備份、tempdb 目錄
- 進程排除： 排除
sqlservr.exe、sqlagent.exe、sqlwriter.exe 等核心進程
- 時間窗口： 全盤掃描安排在業務低峰期，且確保不掃描數據目錄
- 監控告警： 監控
Avg. Disk sec/Read、Avg. Disk sec/Write、Batch Requests/sec 等指標，異常時排查防毒干擾
- 文檔留痕： 記錄排除路徑、策略版本、變更時間，便於審計與故障溯源
總結
**主動掃描 + 精確白名單** 是平衡安全與性能的最優方案。絕不在生產期對數據文件運行全盤掃描，寧可犧牲部分文件級掃描覆蓋率，也要保障數據庫核心 I/O 路徑不受干擾。
