我应该在我的域控制器上安装 AV 产品吗？

Question

我应该在我的服务器上运行特定于服务器的防病毒软件、常规防病毒软件还是根本不运行防病毒软件，尤其是我的域控制器？

这里有一些关于我为什么问这个问题的背景：

我从来没有质疑过防病毒软件应该在所有 Windows 机器上运行。最近，我遇到了一些与 Active Directory 相关的晦涩问题，我已将这些问题追溯到在我们的域控制器上运行的防病毒软件。

特定问题是 Symantec Endpoint Protection 正在所有域控制器上运行。有时，我们的 Exchange 服务器会按顺序在每个 DC 上触发赛门铁克“网络威胁防护”中的误报。在耗尽对所有 DC 的访问权限后，Exchange 开始拒绝请求，大概是因为它无法与任何全局目录服务器通信或执行任何身份验证。

中断一次将持续大约 10 分钟，并且每隔几天就会发生一次。隔离问题需要很长时间，因为它不容易重现，并且通常在问题自行解决后进行调查。

Answer 1

即使采取了其他威胁预防措施，防病毒软件也绝对应该在妥善管理的网络中的所有计算机上运行。它也应该在服务器上运行，原因有二：1）它们是您环境中最关键的计算机，远不止客户端系统，以及 2）它们面临的风险并不小，因为没有人积极使用（或至少应该没有积极使用）它们来上网：有很多恶意软件可以自动在您的网络中传播，如果它甚至可以控制单个主机。

也就是说，您的问题与正确配置防病毒软件更相关。

您使用的产品带有内置防火墙：在服务器系统上运行它时应该考虑到这一点，并进行相应的配置（或完全关闭）。

几年前，防病毒软件因偶然发现物理数据文件中存储的电子邮件消息中的病毒签名而随机删除 Exchange 数据库而臭名昭著；各个杀毒软件厂商都在产品手册中对此进行了警告，但仍有部分人未能掌握，导致店铺被炸毁。

没有任何软件可以“安装并运行”而不用三思而后行。