死穴一：網段劃分配置錯誤

• 防火牆規則集錯漏百出：區段間本應隔離卻互通、管理埠對全網開放、資料庫伺服器直接暴露於公網。
• 實例：合作夥伴要求將 SQL Server 置於公網，事後遺忘，直至資料外洩才發現。
• 對策：零信任網段微隔離、預設拒絕、定期審核防火牆規則、資料庫僅允許應用伺服器存取。

死穴二：不安全的 Web 應用程式

• OWASP Top 10 推廣多年，SQL Injection、XSS、CSRF、IDOR 仍屢見不鮮。
• 開發人員缺乏安全編碼訓練，高校課程未跟上，導致「同樣錯誤、年年重演」。
• 對策：SDLC 融入安全（威脅建模、代碼審查、SAST/DAST/IAST、WAF 虛擬補丁）。

死穴三：特權帳號管理失控

• 開發/運維共用 `sa`/`root`/`dba` 帳號，密碼不換、無審計、無 MFA。
• 服務帳號、共用帳號脫離 IAM 生命週期管理，成內部濫用/外部竊取首選目標。
• 對策：PAM (Privileged Access Management) 納管所有特權帳號、強制簽核、單次密碼、會話錄影、最小權限原則。

資料庫安全不在資料庫內部，而在**網路架構、應用開發、身分治理**三大外圍防線。修好三大死穴，資料庫才真正安全。