前言

許多 DBA 認為「有防火牆、有 Windows 驗證、有密碼原則」就萬無一失。實測證明這六大迷思極其危險，需建立纵深防禦。

六大危險迷思

1. 「密碼測試無需計畫」
   直接對生產庫嘗試暴力破解會觸發帳號鎖定，導致應用程式連線失效。必須先取得授權、制定回滾方案、於維護窗口進行。

2. 「內網傳輸密碼是安全的」
   工具 OmniPeek、Wireshark 可直接解析 TDS 協定抓取明文/雜湊密碼。Cain & Abel 的 ARP 投毒更可繞過交換機隔離竊取全網段流量。Windows 驗證同樣可被 NTLM 雜湊轉傳攻擊。

3. 「有密碼原則就不需測試」
   原則可被繞過：未受管裝置、域外主機、未知 SQL 實例、專用破解工具（NGSSQLCrack、Hashcat）。必須定期實測驗證，而非憑感覺。

4. 「SQL Server 密碼不可逆向還原」
   SQL 7/2000/2005 早期版本儲存 SHA-1 雜湊，工具可離線字典/暴力破解。新版雖加強，但弱密碼仍可在數小時內破解。雜湊非加密，不可等同視之。

5. 「MBSA 掃描無漏洞即安全」
   Microsoft Baseline Security Analyzer 僅檢查表面配置，不具備深度密碼破解能力。需搭配 SQLat、SQLninja、Ophcrack、ElcomSoft 等專業工具。

6. 「只需關注主資料庫伺服器」
   網路中常存在被遺忘的 MSDE、SQL Express、開發機實例，預設 sa 空密碼或弱密碼。使用 SQLPing 3 掃描全網段發現所有實例。

防禦建議

• 啟用 Force Encryption 強制 TLS 傳輸。
• 實施最小權限：服務帳號、應用帳號分離，禁止 sa 登入應用。
• 部署資料庫防火牆/審計（Imperva、GreenSQL、MariaDB Audit）。
• 定期滲透測試與密碼強度掃描，納入合規週期。
• 啟用 Login Auditing（失敗/成功皆記錄），整合 SIEM 告警。