你问自己正确的问题，却问了我们错误的问题。

安全控制，如 AV，旨在解决威胁，以将影响降低到可接受的水平。您已经确定了威胁以及这些威胁的可能影响。伟大的！现在您需要查看基于签名的 AV 是否​​能够解决这些威胁并将影响降低到可接受的水平（或者影响水平是否已经可以接受）。

您能否通过更改防火墙/网络来阻止从前端服务器发起的连接来解决传播问题？如果是这样，那么可能不需要 AV。

您能否通过记录非瞬态服务器获得威胁情报（“允许员工了解恶意软件的存在”）？来自临时服务器的数据为您提供了哪些永久服务器没有的数据？临时服务器被唯一感染的可能性有多大？如果您可以从其他来源获取数据，那么您可能不需要 AV。

如何更新 AV 数据库？您是否必须启动服务器、更新数据库，然后运行计划扫描？对于您需要的服务水平，这种延迟是否可以接受？如果延迟对您没有意义，那么您可能需要使用其他缓解措施。

但潜在的问题是关于您假设的 AV类型。您假设本地安装、基于签名的AV，但还有其他更动态的类型，不需要数据库更新，只扫描新的或传入的数据。基于网络的在线 AV 以及 IDS 是可能的。

因此，您需要问的问题是，这一实现是否满足您的需求，或者是否可以通过其他方式满足风险。

由于以下几个原因，我不会在我的服务器上运行防病毒软件：

1. 它们是大量的软件

   服务器的整个想法是以尽可能最快的方式执行一项任务，而且只执行一项任务。您需要运行一些辅助任务，但想法是相同的。AV 引擎会减慢您的服务速度。

2. 他们通常以root权限运行

   您的网络服务器可能不以 root 身份运行。您的电子邮件服务器、数据库或其他任何东西也没有。但是防病毒软件以root身份运行。

3. AV 的攻击面很大

   他们有无数的解码器、解释器、解压缩器、解析器、仿真器……移动部件的列表是无穷无尽的。一个有问题的解码器，您以 root 身份执行代码。允许 AV 扫描传入的数据包，并且您可以以 root 身份执行远程代码。

有例外：文件服务器。我会在文件服务器上安装 AV，因为用户会上传不好的东西。入口点也是放置 AV 的好地方，尽管它是放置 IDS/IPS 的更好地方。

除此之外，服务器加固和划分对于安全性而言要比安装一个资源匮乏、漏洞百出的防病毒引擎要好得多。