本文包含一般准则，可帮助你在环境中运行SQL Server的计算机上正确配置防病毒软件。

强烈建议你单独评估环境中运行SQL Server的每台计算机的安全风险。 根据评估，必须针对运行SQL Server的每台计算机的安全风险级别选择适当的工具。

此外，建议在推出任何病毒防护软件之前，在满载下测试整个系统，以测量稳定性和性能的任何变化。

病毒防护软件需要执行某些系统资源。 必须在安装防病毒软件之前和之后执行测试，以确定运行SQL Server的计算机是否对性能产生任何影响。

决定反恶意软件解决方案时，请考虑以下因素：

任何服务器都存在某种感染风险。 风险最高的服务器通常满足以下一个或多个条件：

不符合高风险服务器条件的服务器通常风险较低，但并非总是如此。

活动病毒扫描：这种扫描会检查传入和传出文件的病毒。

病毒扫描软件：病毒扫描软件扫描现有文件以查找文件感染。 它会在文件被病毒感染后检测到问题。 这种扫描可能会导致以下SQL Server数据库恢复和SQL Server全文目录文件问题：

如果病毒扫描软件在SQL Server尝试打开数据库时打开了数据库文件，则该文件所属的数据库可能会标记为可疑。 SQL Server在数据库启动时或启用自动关闭的数据库已关闭并再次访问时打开数据库。 SQL Server数据库文件通常具有 .mdf、.ldf 或 .ndf 文件扩展名。

如果病毒扫描软件在全文搜索尝试访问文件时打开了SQL Server全文目录文件，则可能是全文目录出现问题。

漏洞扫描软件： Microsoft 安全合规性工具包 包括一组工具，使企业管理员能够执行各种安全任务。 这些任务包括下载、分析、测试、编辑、存储 Microsoft 建议的 Windows 和其他 Microsoft 产品的安全配置基线，以及将它们与其他安全配置进行比较。 若要下载它，请转到 Microsoft 安全合规性工具包 1.0。

Microsoft 还发布了 Windows 恶意软件删除工具 ，以帮助从计算机中删除特定的、流行的恶意软件。 有关 Microsoft Windows 恶意软件删除工具的详细信息，请参阅 使用 Windows 恶意软件删除工具删除特定的流行恶意软件 (KB890830) 。

注意

Windows Server 2016 及更高版本自动启用Windows Defender。 请确保Windows Defender配置为排除文件流文件。 否则可能会导致备份和还原操作性能下降。 有关详细信息，请参阅配置和验证Windows Defender防病毒扫描的排除项。

配置防病毒软件设置时，请确保从病毒扫描中排除以下进程 (（如果适用) ）。

有关服务和文件路径的更新列表，请参阅由 SQL Server 安装的服务。

安装在SQL Server计算机上的应用程序可以将模块加载到SQL Server进程中， (sqlservr.exe) 。 应用程序使用此功能来运行业务逻辑或进行入侵监视和保护。 若要检测是否将未知模块或第三方软件中的模块加载到进程内存空间，检查sys.dm_os_loaded_modules动态管理视图的输出 (DMV) 。

在某些情况下，应用程序或驱动程序可能会用于绕行SQL Server或 Windows 代码，以提供恶意软件保护或监视服务。 但是，如果此类应用程序或驱动程序设计不正确，它们可能会导致SQL Server等产品出现各种问题。 有关SQL Server中的第三方绕道或类似技术的信息，请参阅“绕道”或类似技术可能会导致SQL Server出现意外行为。

本部分适用于在 Windows 操作系统（独立和故障转移群集实例 (FCI) ）上运行的SQL Server安装。

配置防病毒软件设置时，请确保从病毒扫描中排除以下文件或目录 () 。 排除可能会提高SQL Server性能，并确保在SQL Server服务必须使用文件时不会锁定这些文件。 但是，如果这些文件受到感染，则防病毒软件无法检测到感染。 有关SQL Server的默认文件位置的详细信息，请参阅默认文件和SQL Server的命名实例的文件位置。

这些文件通常具有以下文件扩展名之一：

默认情况下，数据文件位于以下目录中。 但是，系统的数据库管理员可将它们置于任何目录中。

注意

和 是占位符。

这些文件通常具有以下文件扩展名之一：

默认情况下，备份文件夹位于以下目录中。 但是，备份文件可以由系统的数据库管理员放置在任何目录中。

这些文件通常具有 .trc 文件扩展名。 手动配置 SQL 跟踪 或为服务器启用 C2 审核 时，可以生成这些文件。

这些文件的文件扩展名为 .sqlaudit 。 有关详细信息，请参阅 SQL Server Audit (Database Engine) 。

这些文件通常具有 .sql 文件扩展名，并包含 Transact-SQL 语句。

实质上，In-Memory OLTP 技术有两组文件：

与 本机编译的存储过程和内存优化表相关的文件。

内存中 OLTP 文件通常存储在实例的 DATA 目录下的 xtp 子文件夹中。

文件格式包括以下类型：

注意

xtp 是一个前缀，用于指示与内存中 OLTP 的关联。 占位符 表示表的“t”或“p”表示过程。 占位符 是指内存优化对象所在的用户数据库的数据库 ID。 占位符 指示分配给内存优化对象的对象 ID， (表或过程) 。

与 检查点 和 增量文件相关的文件。

文件使用以下格式：

_MSSQL_DBCC

这些是临时文件。

有关详细信息，请参阅内部数据库快照。

复制可执行文件和服务器端 COM 对象

注意

是特定于版本的信息的占位符。 若要指定正确的值，检查安装，或在“指定文件路径”中搜索“复制和服务器端 COM 对象”。 例如，SQL Server 2022 的完整路径为 ：\Program Files\Microsoft SQL Server\160\COM\。

从 SQL Server 2017 CU22 (（包括 SQL 2019 RTM 及更高版本) ）开始，如果使用事务复制且分发代理正在使用 OLEDB 流式处理配置文件，或者使用 -UseOledbStreaming 参数，分发代理在运行分发代理的帐户的 AppData 文件夹中创建临时文件 (*.lob) 在其中调用作业。 例如， C：\Users\\AppData\Temp\*.lob。 对于SQL Server的早期版本，将使用已列出的默认 COM 文件夹 () 。

有关详细信息，请参阅 “分发代理无法创建临时文件”错误消息。

复制快照文件夹中的文件

快照文件的默认路径为 \Microsoft SQL Server\MSSQL。MSSQLSERVER\MSSQL\ReplData。 这些文件通常具有文件扩展名，例如 .sch、 .idx、 .bcp、 .pre、 .cft、 .dri、 .trg 或 .prc。

可以在SQL Server群集上运行防病毒软件。 但是，必须确保防病毒软件是群集感知版本。

请与防病毒供应商联系，了解群集感知版本和互操作性。

如果在群集上运行防病毒软件，请确保还从病毒扫描中排除以下位置：

如果将数据库备份到磁盘或将事务日志备份到磁盘，则可以从病毒扫描中排除备份文件。

有关群集上的防病毒注意事项的详细信息，请参阅 无法识别群集的防病毒软件可能会导致群集服务出现问题。

可以从防病毒扫描中排除以下 Analysis Services 目录和进程。

是 生成 ID 的占位符。 例如，默认 Analysis Services 2016 实例二进制安装位置为 C：\Program Files\Microsoft SQL Server\MSAS13。MSSQLSERVER\OLAP\bin。

配置防病毒软件设置时，请确保从病毒扫描中排除以下 SSAS 文件或目录（ (适用) ）。 排除文件可提高 SSAS 性能，并有助于确保在SQL Server服务必须使用文件时不会锁定这些文件。 但是，如果这些文件受到感染，则防病毒软件无法检测到感染。

保存所有 Analysis Services 数据文件的目录在 Analysis Services 实例的 属性中 DataDir 指定。 默认情况下，此目录的路径为：

对于 Analysis Services 2012 及更高版本，处理过程中的临时文件由 TempDir Analysis Services 实例的 属性指定。 默认情况下，此属性为空。 当此属性为空时，将使用默认目录。 下表默认显示 Temp 路径。

在 Analysis Services 2012 及更高版本中，备份文件位置是由 属性指定 BackupDir 的位置。 下表显示了默认情况下 Analysis Service 实例的备份路径：

可以在 Analysis Services 实例的属性中更改此目录。 任何备份命令也可以指向其他位置。 或者，可以将备份文件复制到其他位置进行还原。

默认情况下，在 Analysis Services 2012 及更高版本中，日志文件位置是由 属性指定 LogDir 的位置。 默认情况下， 日志 路径的位置如下：

创建分区时，会在分区向导的“处理和存储位置”页的“存储位置”部分中定义这些位置。 请务必从扫描中排除这些内容。

SSIS 服务的以下进程和目录将从防病毒扫描中排除。

注意

占位符 引用特定于版本的详细信息。

配置防病毒软件设置时，请确保从病毒扫描中排除以下文件或目录 () 。 这可以提高文件的性能，并有助于确保在 SSIS 服务必须使用这些文件时不会锁定这些文件。 但是，如果这些文件受到感染，则防病毒软件无法检测到感染。

注意

占位符 引用特定于版本的详细信息。

PolyBase 服务的以下进程和目录将从防病毒扫描中排除。

PolyBase 数据移动服务 (DMS) 和引擎服务使用具有不同命令行参数的同一可执行文件。

配置防病毒软件设置时，请确保从病毒扫描中排除以下文件或目录 () 。 这可以提高文件的性能，并有助于确保在 PolyBase 服务必须使用这些文件时不会锁定这些文件。 但是，如果这些文件受到感染，则防病毒软件无法检测到感染。

SQL Server Reporting Services (SSRS) 的以下进程和目录将从防病毒扫描中排除。

要排除的可执行文件已跨不同版本的 SSRS 发展。 下表根据 SSRS 版本列出了它们。

对于Power BI 报表服务器，可以进行以下排除：

下表包含有关如何将防火墙与SQL Server配合使用的信息：