保護 SQL Server 2005 Express Edition：從 MSDE 遷移到安全部署的完整指南

前言

SQL Server 2005 Express Edition (SSE) 取代 MSDE 2000，架構全面重設計，目標是：像 Access/JET 一樣簡單部署，卻擁有企業級資料庫的安全、擴展、管理能力。本文聚焦 SSE 的安全架構、認證模式、使用者執行個體、部署最佳實踐，助您建置安全的輕量級資料層。

SSE 核心定位與優勢

什麼是「安全」的系統？

對中小企業/部門系統，資料外洩、遺損、竄改同樣致命。SSE 常部署於 Web 伺服器 (ASP.NET)、筆型電腦、離線終端，面臨：

• 網路攻擊 (SQL Injection、暴力破解)
• 實體裝置遺失 (筆電、USB)
• 非專業開發者 (兼職寫代碼) 缺乏安全意識

因此，「安全」= 機密性 + 完整性 + 可用性 + 可審計性，且必須預設安全、部署簡單、維護低成本。

MSDE 時代的痛點與 SSE 的解決

SSE 安全部署五大支柱

1. 認證模式：強制 Windows 驗證，停用混合模式

Data Source=.\SQLEXPRESS;Integrated Security=True;User Instance=True;AttachDbFilename=|DataDirectory|\App.mdf;

• Windows 驗證：利用 AD/Kerberos、密碼原則、帳號鎖定、審計。
• 停用 sa / 混合模式：消除最弱環節。
• 使用者執行個體：應用以當前 Windows 身分啟動獨立 sqlservr.exe 進程，隔離度最高。

2. 表面區域最小化

• 安裝時僅勾選必要功能：資料庫引擎、管理工具 (可選)。
• 停用不需的協定：僅啟用 Shared Memory (本機) 或 Named Pipes (內網)，停用 TCP/IP 除非跨機器存取。
• 停用 xp_cmdshell、OLE Automation、Ad Hoc Distributed Queries 等高風險擴展預存程序。

3. 資料保護

• 透明資料加密 (TDE)：SSE 不支援 (Enterprise 專屬)。替代方案：
  — 應用層加密敏感欄位 (AES/Always Encrypted 需 2016+)
  — 檔案系統層：EFS 加密 .mdf/.ldf、BitLocker 加密整個磁碟機。
• 備份加密：第三方工具 (Redgate SQL Backup, Quest LiteSpeed) 或自行 BACKUP ... WITH MEDIAPASSWORD (舊版語法，建議改用外部加密)。

4. 部署與連線字串最佳實踐

1. 使用 |DataDirectory| 宏，指向 App_Data 目錄 (ASP.NET) 或 ClickOnce Data 目錄 (WinForms/WPF)，避免硬編碼路徑。
2. 連線字串存放於 web.config / app.config 的 <connectionStrings> 區段，並啟用 configProtectionProvider (DPAPI/RSA) 加密設定區段。
3. 應用程式池身分：使用自訂網域服務帳號 (最小權限)，而非 NetworkService/LocalSystem。

5. 持續監控與修補

• 啟用 SQL Server 錯誤日誌 失敗登入審計。
• 訂閱 Microsoft Security Bulletin，SSE 同步獲得修補 (Windows Update / WSUS / MU)。
• 定期運行 MBSA 或 SCCM 掃描缺失修補。

常見部署架構對比

結語

SSE 以「零配置、零管理、企業級安全」重新定義輕量資料庫。掌握 Windows 驗證 + 使用者執行個體 + 表面區域最小化 + 加密部署 + 持續修補 五大支柱，即可在預算與資源受限環境下，建置經得起攻擊的資料層。記住：安全不是功能，是流程。