鐵律一：套用最新 Service Pack 與安全性更新
鐵律二：執行 Microsoft Baseline Security Analyzer (MBSA)
掃描項目（12 大類）：
- sysadmin 角色成員過多
- 非 sysadmin 擁有 CmdExec 作業權限
- 空白/簡單密碼（含 sa）
- 脆弱驗證模式（混合模式無強密碼）
- Administrators 群組過度授權
- 資料目錄 ACL 不正確
- 安裝腳本/設定檔含明文 sa 密碼
- guest 帳戶過度授權
- 網域控制器上安裝 SQL Server
- Everyone 群組註冊表存取不當
- SQL Server 服務帳戶設定不當
- 缺乏必要 SP/安全更新
動作：下載 MBSA → 掃描 → 逐項修復 → 定期複查
鐵律三：強制使用 Windows 驗證模式
- SSMS → 伺服器屬性 → 安全性 → 僅限 Windows 驗證
- 優勢：Kerberos/NTLM 強協定、密碼策略強制、無密碼儲存風險、支援憑證委派
- 若業務必須混合模式：sa 必須強密碼、建立專用低權限 SQL 登入、禁用 sa 登入
鐵律四：物理與邏輯隔離 + 異地備份
- 機房：門禁、水淹/火災偵測、消防
- 網路：內網區段、防火牆封鎖直接對外連線
- 備份：完整/差異/記錄 → 異地儲存（異地機房/雲端/磁帶）
- 定期演練還原，驗證 RTO/RPO
鐵律五：sa 帳號強健密碼（即使啟用 Windows 驗證）
- 長度 ≥ 16 字元，含大小寫、數字、符號
- 定期輪換（每 90 天）
- 不在程式碼/設定檔/文件中明文儲存
- 考慮重命名 sa 或停用 sa 登入：
ALTER LOGIN sa DISABLE
鐵律六：最小權限原則與持續稽核
- 移除不必要的 sysadmin/serveradmin 權限
- 應用程式使用專用低權限登入（僅 EXEC 指定預存程序）
- 啟用稽核：登入失敗、結構變更、權限變更、敏感資料存取
- SQL Server 2008+：使用稽核物件（Server Audit Specification + Database Audit Specification）
- 定期審閱稽核日誌，異常即時告警
進階加固清單
| 項目 | 建議設定 |
|---|
| 連接埠 | 修改預設 1433，防火牆限制來源 IP |
| 服務帳戶 | 專用網域帳號，非本地系統/網路服務 |
| 功能精簡 | 移除不需的：xp_cmdshell、OLE Automation、Ad Hoc Distributed Queries |
| 加密傳輸 | 強制 TLS 1.2+，憑證驗證 |
| 資料加密 | TDE (Transparent Data Encryption) + 備份加密 |
| 補丁管理 | 月度 Patch Tuesday 後 72 小時內評估部署 |
