SQL Server 安全安裝與配置指南：從 SA 強密碼到 Slammer 蠕蟲防護的完整防禦體系

前言

資料庫安全的核心原則：最小權限、預設安全、纵深防禦、持續修補。許多入侵源於安裝階段的疏忽：空密碼 SA、未修補已知漏洞、過度開放協定/功能。本文建立從安裝到營運的完整安全基線。

安裝前準備

1. 作業系統強化：套用最新安全更新、停用不需服務、配置 Windows 防火牆/ IPsec、啟用稽核原則。
2. 應用程式碼審查：ASP/PHP 等腳本必須過濾 ' ; @ / -- 等 SQL 注入特徵字元，使用參數化查詢。
3. 下載最新 Service Pack：SQL Server 2000 SP4 (含 MS03-031 修補 Slammer 漏洞)，SQL Server 2005 SP4 / 2008 R2 SP3 等。安裝前即整合 SP 到安裝媒體。

安裝階段安全決策

安裝後立即執行的 10 項基線配置

1. 建立專屬 DBA 登入：CREATE LOGIN [DBA_User] FROM WINDOWS; ALTER SERVER ROLE sysadmin ADD MEMBER [DBA_User]; 之後停用 sa：ALTER LOGIN sa DISABLE;。
2. 移除 BUILTIN\Administrators：DROP LOGIN [BUILTIN\Administrators]; (防止 OS 管理員自動成為 sysadmin)。前提：已建立替代 DBA 登入，否則鎖死自己。
3. 啟用失敗登入稽核：SSMS → 伺服器屬性 → 安全性 → 稽核等級：失敗的登入 (或成功與失敗)。
4. 停用高風險擴展預存程序：

   EXEC sp_dropextendedproc 'xp_cmdshell';
   EXEC sp_dropextendedproc 'xp_regread';  -- 等註冊表相關
   EXEC sp_dropextendedproc 'sp_OACreate'; -- 等 OLE Automation 相關

5. 配置通訊加密：申請憑證 → SQL Server 組態管理員 → 協定 → ForceEncryption = Yes。強制 TLS 1.2+。
6. 設定錯誤日誌保留：EXEC xp_instance_regwrite 'HKLM', 'Software\Microsoft\MSSQLServer\MSSQLServer', 'ErrorLogSize', 'REG_DWORD', 20000; (保留 20MB)。
7. 資料庫層級最小權限：應用使用專用登入/使用者，僅授 SELECT/INSERT/UPDATE/DELETE 於特定結構描述，拒絕 DDL、EXECUTE 系統程序。
8. 啟用資料庫審計 (SQL Server 2008+)：CREATE SERVER AUDIT ...; CREATE DATABASE AUDIT SPECIFICATION ...; 記錄 DML/DDL/權限變更。
9. 備份加密與離線儲存：BACKUP DATABASE ... WITH COMPRESSION, ENCRYPTION (ALGORITHM = AES_256, SERVER CERTIFICATE = ...); 備份檔異地離線保存。
10. 建立修補流程：訂閱 Security Bulletin、WSUS/SCCM 自動部署、每月修補窗口、修補前快照/備份驗證。