SQL Server 伺服器異常行為檢測：木馬、惡意軟體與效能異常全排查指南

前言：不只是資料庫問題

當 SQL Server 出現「回應遲鈍、CPU/記憶體飆高、網路流量異常、行為詭異」時，**優先排除惡意軟體/木馬感染**，再談索引、統計、鎖死鎖。資料庫伺服器同樣面臨網路攻擊面，甚至因高權限、高價值資料成為首選目標。

五步現場排查流程 (SOP)

步驟 1：惡意軟體掃描 (必做)

• 安裝企業級防毒軟體，**排除資料庫資料/記錄/備份目錄** 的即時掃描 (避免 I/O 衝擊)，但**必須啟用排程完整掃描** (非尖峰時段)。
• 確保病毒碼最新 (手動檢查更新)，執行一次**全盤深度掃描**。
• 補充反間諜軟體工具 (Malwarebytes、Spybot 等)，專掃木馬/後門/鍵盤記錄器。

步驟 2：記憶體與進程異常分析

• 工作管理器 → 詳細資料/效能頁籤，尋找**高 CPU/記憶體、名稱可疑、無簽章、路徑異常**的進程。
• **強力推薦**：Sysinternals Process Explorer (procexp.exe) —— 顯示完整命令列、父進程、DLL 載入、TCP 連線、句柄、字串，可直接 Kill 惡意進程。
• 建立**乾淨基線**：全新安裝/穩定運行時匯出進程清單 (含 PID、路徑、命令列、簽章)，異常時比對差異。

步驟 3：開放埠與網路連線審計

• 內建指令：netstat -anob (需管理員權限顯示進程名) —— 列出所有 TCP/UDP 監聽/連線狀態。
• 圖形化工具：Sysinternals TCPView、Foundstone Vision —— 即時刷新、高亮可疑連線、可直接關閉連線。
• 重點關注：非預期埠 (如 12345/NetBus、31337/Back Orifice)、大量外連、不明進程持有連線。

步驟 4：網路流量深度分析 (最直觀)

• 部署網路分析器：Wireshark (免費開源)、Microsoft Message Analyzer、EtherPeek/OmniPeek (商業)。
• 採集方式：交換器鏡像埠 (SPAN) / TAP / 伺服器本機網卡混雜模式。
• 分析重點：
  • 非預期協定/埠流量 (IRC、P2P、不明 TCP/UDP)
  • 大量外發連線 (C2 通訊、資料外洩)
  • 異常 DNS 查詢 (DGA 域名生成演算法)
  • 已知木馬特徵埠 (參考附表)
• 監控模式：不捕獲封裝，僅統計協定分佈、頻寬 Top N、連線熱力圖，快速定位異常主機/埠。

步驟 5：處置與加固

1. 隔離：斷開網路、快照磁碟、保留證據。
2. 清除：防毒軟體清除、手動刪除惡意檔案/登錄/排程任務/服務。
3. 溯源：分析入侵向量 (弱密碼、未修補漏洞、供應鏈、內部洩露)。
4. 加固：
   • **原則：資料庫伺服器嚴禁瀏覽網頁、收發郵件、安裝非必要軟體**。
   • 最小化暴露面：僅開放必要埠、限制來源 IP、啟用防火牆/IPSec。
   • 帳號衛生：禁用/重命名 SA、強密碼+鎖定、Windows 驗證優先、最小權限原則。
   • 修補管理：WSUS/SCCM 自動推送 OS/SQL 累積更新。
   • 審計與告警：啟用登入失敗審計、敏感物件存取審計、CPU/記憶體/網路閾值告警。

常見木馬特徵埠快速參考

⚠️ 埠號可輕易修改，**不可單憑埠號判斷**，需結合進程、流量特徵、威脅情報綜合研判。

小結

資料庫伺服器安全 = **基線管理 + 持續監控 + 極簡暴露面 + 極速處置**。將「排查木馬」納入效能異常 SOP 首位，能避免在索引優化上浪費寶貴時間，更能守住企業核心資產最後防線。