打造安全的 SQL Server 安裝環境：從佈署前到安裝後

安裝前佈署

• 網路隔離：在邊界路由器/防火牆封鎖 UDP/TCP 1433、1434 埠，僅允許信任 IP 存取，降低安裝過程遭 SQL Injection 探測風險。
• 避免安裝於網域控制站：單一服務漏洞可能危及整個網域。
• 修補完整的作業系統：套用最新 Service Pack 與安全性更新後再安裝 SQL Server。

服務帳戶規劃

• SQL Server 服務 (MSSQLServer、SQLServerAgent) 必須使用專用網域使用者帳戶，授予最低權限 (非管理員)。
• 若需 SQL Server 驗證、ActiveX 指令碼、CmdExec 作業，SQLServerAgent 帳戶需本機管理員權限 (權衡風險)。
• 變更服務帳戶請透過 企業管理員，勿用控制台「服務」小工具，以確保檔案/登錄 ACL 同步更新。

驗證模式選擇

• 優先採用 Windows 整合驗證：利用 Kerberos/NTLM 強式協定、密碼原則、憑證委派，免除用戶端儲存密碼風險。
• 若必須混合模式，務必設定強式 sa 密碼。

安裝後強化

1. 執行 Killpwd.exe 清除安裝記錄檔中的純文字 sa 密碼。
2. 執行 Microsoft Baseline Security Analyzer (MBSA) 掃描：過多 sysadmin、空白密碼、弱驗證模式、錯誤 ACL、遺漏修補程式等。
3. 啟用失敗登入稽核：企業管理員 → 伺服器屬性 → 安全性 → 稽核層級選「失敗」 → 重啟服務。
4. 若對外提供 Web 服務，限制防火牆只允許 Web 伺服器 IP 連接 SQL 埠。

持續維運

安全安裝只是起點。定期修補、最小權限原則、稽核登入、資料加密、備份加密與異地儲存，構建纵深防禦體系。