前言

資料庫伺服器是企業核心資產集中地，SQL Server 2000 雖屬經典版本，但仍有大量舊系統運作於其上。以下整理十項必須落實的安全強化措施，構建纵深防禦體系。

1. 套用最新 Service Pack 與安全性更新

• 升級至 SQL Server 2000 SP4 為基準。
• 持續套用 Microsoft 釋出的所有安全性修補程式 (GDR/ QFE)。
• 使用 Microsoft Baseline Security Analyzer (MBSA) 定期掃描缺失修補程式與不安全設定。

2. 強制使用 Windows 驗證模式

優點：

• 利用 Kerberos/NTLM 強式驗證協定。
• 強制密碼複雜度、存活期與帳號鎖定策略 (透過網域群組原則)。
• 支援憑證委派，實現多層應用單一登入。
• 用戶端無需儲存密碼，消除連線字串洩漏風險。

設定路徑： 企業管理器 → 伺服器屬性 → 安全性 → 驗證 → 僅限 Windows。

3. 物理與邏輯隔離，定期異地備份

• 伺服器置於門禁機房，具備防火、防水、UPS 電源保護。
• 資料庫置於內部網路 DMZ 區域，嚴禁直接對外公開 IP。
• 實施 3-2-1 備份策略：每日完整備份 + 交易記錄備份，至少一份異地離線保存。

4. 設定強健 SA 密碼 (即使啟用 Windows 驗證)

防止未來誤切回混合模式時出現空密碼或弱密碼。設定路徑：企業管理器 → 安全性 → 登入 → sa → 屬性 → 密碼。

5. 最小化 SQL Server 服務帳戶權限

服務	建議帳戶類型	禁止帳戶類型
MSSQLServer (資料庫引擎)	一般網域使用者帳戶	Local System / Local Admin / Domain Admin
SQLServerAgent (代理程式)	一般網域使用者帳戶 (若不需則停用)	同上

例外需本地管理員權限的情況： Agent 使用 SQL 驗證連線、多伺服器管理 (MSX) 使用 SQL 驗證、執行非 sysadmin 擁有的 CmdExec/ActiveX 作業。

重要： 僅透過企業管理器變更服務帳戶，它會自動設定檔案/登錄 ACL 權限；勿使用 services.msc 手動改動。

6. 防火牆封鎖預設連接埠

• TCP 1433 (預設執行個體)
• UDP 1434 (Browser 服務)
• 具名執行個體動態連接埠需額外規劃固定埠並開放。

7. 採用 NTFS 檔案系統並啟用 EFS 加密

• NTFS 提供 ACL 精細權限控管與日誌式復原能力。
• 資料/記錄檔啟用 EFS (加密檔案系統)，僅服務帳戶可解密。
• 遷移服務帳戶時，需先以舊帳戶解密，再以新帳戶加密。

8. 清除或保護安裝記錄檔

安裝過程可能以明文或弱加密記錄 SA 密碼。需檢查並刪除/加密：

• %ProgramFiles%\Microsoft SQL Server\MSSQL\Install\sqlstp.log, sqlsp.log, setup.iss
• 具名執行個體：MSSQL$InstanceName\Install\ 同樣檔案。
• 升級自 7.0：%Windir%\setup.iss、%Temp%\sqlsp.log。

9. 啟用登入失敗稽核

企業管理器 → 伺服器屬性 → 安全性 → 稽核等級 → 失敗。修改後需重啟服務。建議將錯誤記錄與資料檔案放置不同磁碟。

10. 定期使用 MBSA 掃描基準配置

MBSA 可檢測：sysadmin 角色過多、CmdExec 權限濫用、空/弱密碼、Guest 帳戶權限、域控制器上安裝 SQL、Everyone 群組登錄存取、服務帳戶配置錯誤等 10+ 項高風險配置。

總結

安全非一次性專案，而是持續性流程。建議建立月度資安檢核清單，納入變更管理流程，確保每次變更後重新驗證上述十項基線。