MSSQL 2005 安全設定圖文教學：從帳號管理到通訊加密全方位防護

前言

SQL Server 2005 安全性較 2000 大幅增強，但預設值仍存風險，需主動強化。

1. SA 帳號強化

• 安裝選混合模式，sa 密碼不可為空。
• 可重命名 sa：ALTER LOGIN [sa] WITH NAME=[newname]。
• 修改密碼：sp_password 'old','new','sa' 或 GUI 介面。
• 啟用密碼原則（複雜度、到期、鎖定），屬性頁面勾選「強制密碼原則」「強制密碼到期」。

2. 驗證模式與系統管理員隔離

• 若不想讓作業系統管理員碰資料庫，於「安全性/登入」刪除 BUILTIN\Administrators。
• 其他多餘帳號：屬性 → 狀態 → 「拒絕連線」「停用」。
• 風險：sa 密碼遺忘將無法恢復。
• 指令檢查孤立帳號：sp_change_users_login 'report'。

3. 擴展預存程序清理

• 移除 xp_cmdshell：EXEC master..sp_dropextendedproc xp_cmdshell。
• 移除 OLE 自動化（失去部分管理器功能）：sp_OACreate、sp_OADestroy、sp_OAGetErrorInfo、sp_OAGetProperty、sp_OAMethod、sp_OASetProperty、sp_OAStop。
• 移除登錄檔存取：xp_regaddmultistring、xp_regdeletekey、xp_regdeletevalue、xp_regenumvalues、xp_regread、xp_regremovemultistring、xp_regwrite。
• 批次移除腳本（含 sp_makewebtask、xp_dirtree、xp_fileexist、xp_getnetname、xp_terminate_process、sp_add_job、sp_addtask、xp_readwebtask、sp_addextendedproc 等）。

4. 通訊加密

• 內建加密功能（證書、對稱/非對稱金鑰、3DES/RC4/AES）。
• 遠端連線建議啟用 SSL，需憑證支援。

5. 連接埠與 IP 存取控制

• 使用 IPSec 原則 封鎖所有 IP 存取本機 TCP 1433/UDP 1434。
• 修改 TCP 1433 連接埠，或啟用動態連接埠（SQL Server Configuration Manager → SQL 2005 網路設定 → TCP/IP 屬性 → IPAll → TCP Dynamic Ports 設為 0，TCP Port 留白）。SQL Browser 服務協助解析。
• 可限制特定 IP 偵聽（TCP/IP 屬性 → 「Listen All」設為 No，逐一配置 IP）。
• SQL Native Client 設定別名指定伺服器/連接埠。
• 伺服器屬性 → 連線 → 取消「允許遠端連線到本伺服器」。
  指令關閉：EXEC sys.sp_configure N'remote access', N'0'。

6. 稽核與 C2 審計

• 伺服器屬性 → 安全性 → 登入稽核選「失敗與成功登入」。
• 啟用 C2 審計追蹤（政府安全等級，監控所有實體存取嘗試）：EXEC sys.sp_configure N'c2 audit mode', N'1'。

結語

以上方法非詳盡，持續研究與實作才能構建纵深防禦體系。