保護 SQL Server 資料庫十大鐵律：修補程式、MBSA 掃描、Windows 驗證、最小權限與稽核

資料庫安全是分層防禦體系。十大關鍵措施：

1. 安裝最新 Service Pack (SP3a) 與所有安全更新：修補已知漏洞的基線動作。
2. 執行 Microsoft Baseline Security Analyzer (MBSA)：掃描 12 類常見錯配——
   • 過多 sysadmin 成員
   • 非 sysadmin 擁有 CmdExec 作業權限
   • 空密碼/弱密碼
   • 脆弱驗證模式（SQL 驗證 vs Windows 驗證）
   • Administrators 群組過度授權
   • 資料目錄 ACL 錯誤
   • 安裝檔案含明文 sa 密碼
   • Guest 帳號過度授權
   • 網域控制器上運行 SQL Server
   • Everyone 群組註冊表存取錯配
   • SQL Server 服務帳號錯配
   • 缺少 SP/安全更新
   MBSA 免費下載，支援本地/遠端掃描。
3. 強制使用 Windows 驗證模式：限制僅限網域/本地帳號連線，受益 Kerberos/NTLMv2、密碼策略、憑證委派；用戶端無需儲存密碼。
4. 最小權限原則：服務帳號使用最低權限網域帳號；移除不必要的 sysadmin；資料庫角色最小授權。
5. 停用/重命名 sa，設定強密碼：避免暴力破解首選目標。
6. 封鎖預設埠 (1433) 或限制 IP 存取：防火牆/ IPSec/ TCP 端點 ACL。
7. 啟用稽核：登入失敗/成功、物件存取、權限變更：定期審閱錯誤日誌與稽核檔案。
8. 加密敏感資料傳輸：強制 TLS/SSL（Force Encryption）：防止網路竊聽。
9. 修補作業系統與相依元件：Windows Update、MDAC、.NET Framework、驅動程式。
10. 建立災難復原與備份加密策略：異地備份、備份加密、定期還原演練。

Enterprise Manager 設定 Windows 驗證步驟

1. 右鍵伺服器 → [Properties] → [Security]。
2. 選擇 [Windows Authentication Mode]。
3. 重新啟動 SQL Server 服務。

總結

安全非一次性設定，而是持續流程：修補 → 掃描 → 強化 → 稽核 → 演練。十大鐵律覆蓋實體、網路、作業系統、資料庫引擎與應用層，構建纵深防禦。