SQL Server 安全性強化清單：服務帳戶、防火牆、NTFS、安裝檔清理

SQL Server 安全性需從作業系統、網路、檔案系統、安裝殘留檔案多層面著手。

1. 限制 SQL Server 服務帳戶權限 (最小權限原則)

例外需本地管理員權限的情況：Agent 使用 SQL 驗證連線、多伺服器管理 (MSX) 使用 SQL 驗證、Agent 執行非 sysadmin 擁有的 ActiveX/CmdExec 作業。

修改帳戶必須用 SSMS (Enterprise Manager)，自動設定檔案/登錄/使用者權限，勿用 services.msc 手動改。

2. 防火牆封鎖預設連接埠

• TCP 1433 (預設執行個體)
• UDP 1434 (SQL Browser 服務)
• 命名執行個體動態連接埠 (建議固定連接埠並開放該埠)

邊界防火牆與主機防火牆雙層防護。

3. 採用 NTFS 檔案系統並啟用 EFS 加密

• NTFS 提供 ACL 精細權限控制、日誌式結構穩定、支援 EFS (加密檔案系統)。
• 安裝時 SQL Server 自動設定資料/記錄/備份目錄 ACL，勿手動更改。
• 啟用 EFS 加密資料庫檔案：僅服務帳戶可解密。更換服務帳戶時需先解密再重新加密。

4. 刪除或保護舊安裝記錄檔 (含敏感資訊)

安裝過程可能將憑證、連線字串、SA 密碼以明文/弱加密寫入記錄：

• SQL 2000：%ProgramFiles%\Microsoft SQL Server\MSSQL\Install\sqlstp.log, sqlsp.log, setup.iss
• 命名執行個體：%ProgramFiles%\Microsoft SQL Server\MSSQL$Instance\Install\...
• 升級自 SQL 7.0：%Windir%\setup.iss, %Temp%\sqlsp.log

部署完成後立即刪除或移至安全位置並加密保存。

5. 額外建議

• 停用 sa 帳戶或設定強複雜密碼，改用 Windows 驗證。
• 定期審核 sysadmin 固定伺服器角色成員。
• 啟用稽核 (Login 失敗/成功、物件存取) 或 SQL Server Audit (2008+)。
• 修補程式與累積更新保持最新。