SQL Server數據庫安全加固十大核心實踐：從安裝到運維全生命週期

數據庫安全是體系工程，涵蓋安裝配置、權限控制、網絡隔離、審計監控、備份加密等多層面。本文梳理十大核心實踐，構建纵深防禦體系。

1. 保持補丁最新：安裝 SP3a + 所有安全更新

SQL Server 2000 基線必須打 SP3a，後續每月補丁日 (Patch Tuesday) 必須在 30 天內完成測試部署。啟用 Windows Update / WSUS 自動化。

2. 運行 MBSA 基線掃描

Microsoft Baseline Security Analyzer (MBSA) 免費掃描 12 類高風險配置：
• 過多 sysadmin 成員 • CmdExec 權限濫用 • 空/弱密碼 • 混合模式風險 • guest 權限過大 • 數據目錄 ACL 錯誤 • 安裝日誌明文 sa 密碼 • 域控上運行 SQL • Everyone 注冊表訪問 • 服務賬號配置錯誤 • 缺失補丁。

掃描報告直接轉化為整改工單。

3. 強制 Windows 驗證模式

• 企業管理器 → 實例屬性 → 安全性 → 「僅限 Windows」。
• 優勢：Kerberos/NTLMv2 強協議、密碼策略繼承域策略 (複雜度/過期/鎖定)、憑證委派支持、客戶端無需存密碼。
• 若業務必須 SQL 認證：單獨實例隔離、強制 TLS、專用低權限賬號。

4. 物理與邏輯雙重隔離 + 定期異地備份

• 機房：門禁、防水、消防、獨立電源。
• 網絡：內網區段、DMZ 嚴禁直連 SQL 端口、VPN/堡壘機運維。
• 備份：每日全備 + 每小時日誌備份 → 加密 (AES256) → 異地存儲 (異地機房/雲存儲) → 季度恢復演練。

5. sa 賬號強密碼 + 重命名/禁用

• 即使啟用 Windows 驗證，sa 也必須設置 20+ 字符高熵密碼。
• 最佳：ALTER LOGIN sa DISABLE; CREATE LOGIN real_admin ... 重命名管理員。

6. 服務賬號最小權限原則

關鍵：必須用 SQL Server 配置管理器** 修改賬號，自動配置文件/注冊表/NTFS ACL；嚴禁用 services.msc 手改。