SQL Server 密碼管理六大危險迷思：從測試盲點、網路竊聽到 MBSA 盲區完整剖析

許多 DBA 認為「有防火牆、有 Windows 驗證、有密碼政策」就萬無一失，實則陷入六大危險迷思。本文逐一拆解這些錯誤認知，並提供實務測試工具與防禦建議，喚醒資安意識。

六大危險迷思與事實對照

實務防禦工具箱

• 網路層：IPSec 加密傳輸、強制 TLS/SSL 連線、網路分段隔離資料庫區段。
• 主機層：停用不必要服務、啟用防火牆、修補作業系統、實體機房存取控制。
• 資料庫層：Windows 驗證 + 強密碼政策 + 稽核失敗登入 + 定期 MBSA + 第三方深度掃描。
• 應用層：參數化查詢、連線字串加密儲存、最小權限應用帳號、密碼輪換自動化。

密碼測試標準流程 (SOP)

1. 取得書面授權與風險評估簽核。
2. 在非生產環境或維護窗口執行。
3. 準備帳號解鎖/服務重啟回滾腳本。
4. 使用授權工具（如 SQLat、Ophcrack）針對雜湊進行離線測試，**勿對線上帳號線上暴力破解**。
5. 產出報告：弱密碼清單、政策缺口、修正建議、驗收複測日期。

打破迷思、建立分層防禦、落實授權測試流程，才能真正守護 SQL Server 認證體系不被攻破。