SQL Server 安全防護 30 條鐵律：從補丁管理、最小權限到稽核追蹤

基礎防護 (1-5)

1. 修補最新：OS、SQL Server 累積更新 (CU) 即時部署
2. 網路協定最小化：僅啟用必要協定 (通常僅 TCP/IP)，停用 Named Pipes、VIA 等
3. sa / probe 強密碼：>16 字元、複雜度、密碼管理器存儲。probe 用於效能監控，若非必要可停用
4. 服務帳戶最小權限：專用網域帳戶，**非** LocalSystem / sa / Administrator。企業管理員設定時會同步 ACL
5. 資料/記錄/備份放 NTFS + ACL：物理層防護，入侵時限制橫向移動

面縮減 (6-12)

6. 移除 xp_cmdshell：EXEC sp_dropextendedproc 'xp_cmdshell'。若必須保留，SQL 6.5 用 SQLExecutiveCmdExec 限制非 sa
7. 停用 OLE 自動化預存程序：sp_OA* 系列 (7 支)。警告：企業管理員部分功能會失效，開發環境獨立部署
8. 停用高風險登錄存取：xp_reg* (除 xp_regread/write 影響日誌安裝)
9. 審計移除其他高風險擴展預存程序：xp_cmdshell, xp_dirtree, xp_sendmail, xp_servicecontrol, xp_subdirs... 共 30+ 支，**先在測試環境驗證**
10. 停用預設登入 (SQL 6.5)：企業管理員「安全選項」
11. 移除 user 資料庫的 guest 帳戶：REVOKE CONNECT FROM guest (master/tempdb 保留)
12. 禁用 SQL Mail：郵件傳遞可成惡意程式載體

稽核與監控 (13-20)

13. 檢查啟動預存程序：sp_helpstartup 找後門，sp_unmakestartup 移除
14. 校驗系統預存程序完整性：sp_password 對比全新安裝腳本
15. 啟用登入稽核：xp_instance_regwrite ... AuditLevel = 3 (成功+失敗)
16. 改用預存程序/檢視表封裝存取：移除直連表權限，兼得計畫重用效能
17. 移除未用網路協定：配合第 2 條
18. 物理安全：機房門禁、鑰匙管理、螢幕鎖定
19. 排程掃描登入失敗：findstr /C:"Login Failed" \mssql7\log\*.* > failed_logins.txt
20. 設定事件警示：企業管理員「管理 SQL Server 訊息」→ 找 "login failed"/"denied" → 警示發送郵件/傳呼

權限治理 (21-30)

21. 伺服器/資料庫角色最小授權：定期審核 sys.server_role_members, sys.database_role_members
22. 用角色管理權限：簡化稽核，**public 角色禁止 SELECT 系統表**
23. 掃描空密碼帳戶：SELECT name FROM syslogins WHERE password IS NULL
24. 啟用 Windows 整合驗證：單一身分識別來源、密碼不出現在連線字串
25. 審核非 sa 的擴展/預存程序執行權限：SELECT o.name FROM sysobjects o, sysprotects p WHERE p.uid=0 AND o.xtype IN ('X','P') AND o.id=p.id
26. 企業管理員用整合驗證：避免註冊表明文存 sa 密碼 (舊版風險)
27. 建立月度安全報告：新漏洞、攻擊紀錄、備份驗證、存取失敗統計
28. 禁止互動式登入資料庫伺服器：跳板機/堡壘機管控
29. 限制直接查詢/存取：最小權限原則，能用 View/SP 絕不給表權限

安全是持續過程，非一次性專案。建議將此清單納入 **季度安全巡檢 SOP**，配合弱點掃描、滲透測試、權限審計工具 (如 PowerShell dbatools、SQL Vulnerability Assessment) 自動化執行。