安裝後必做四件事
- 設定 sa 強密碼，並建立專屬 DBA 帳號加入
sysadmin 固定伺服器角色
- 啟用 Windows 整合驗證 (僅 Windows 模式)，避免混合模式下的 SQL 登入管理負擔
- 套用最新 Service Pack / 累積更新 (防範 Slammer 蠕蟲等已知漏洞)
- 停用/移除不必要的服務與通訊協定 (僅保留 TCP/IP，考慮修改預設 1433 埠)
認證模式選擇
| 模式 | 優點 | 缺點/適用場景 |
|---|
| 僅 Windows 整合驗證 | 單一身分識別、密碼策略集中管理、連線字串無明文密碼、Kerberos 委派支援 | 需網域環境、跨平台信任困難 |
| 混合模式 (SQL + Windows) | 相容舊應用、非網域環境、異構系統整合 | 需管理兩套認證、連線字串常含密碼 |
建議：優先選「僅 Windows」；只有必要時才啟用混合模式。
防禦 Slammer 蠕蟲 (CVE-2002-0649)
- SQL Server 2000 SP3 / SP3a 修補此漏洞
- 若無法立即修補，封鎖 UDP 1434 埠 (蠕蟲傳播向量)
- 訂閱 Microsoft Security Bulletin 即時獲知更新
最小權限原則實作
- 應用程式帳號：僅授予特定資料庫的
db_datareader / db_datawriter 或更細粒度的物件權限
- 開發人員帳號：嚴禁 給
sysadmin，僅授 db_owner 於開發庫
- 定期審核
sys.server_principals、sys.database_principals、角色成員資格
進階防護
- 透明資料加密 (TDE) (SQL 2008 Enterprise+)：保護靜態資料檔
- 資料庫稽核：記錄 DDL/DML、失敗登入、權限變更
- 資料遮罩 (Dynamic Data Masking, SQL 2016+)：非生產環境隱藏敏感欄位
- Always Encrypted (SQL 2016+)：用戶端加密，資料庫不可見明文
總結
安全是持續過程，非一次性設定。從安裝當下建立安全基線，定期修補、審核、演練，才能讓資料真正受保護。
