SQL Server 安裝的安全性考量

實體和邏輯隔離，構成 SQL Server 安全性的基礎。若要加強 SQL Server 安裝的實體安全性，請執行下列工作：

• 將伺服器放在只有獲得授權的人員能夠存取的地點。

• 將主控資料庫的電腦放在實體保護位置中，最好是有上鎖的電腦機房，裡面有水災偵測和火災偵測或控制系統的監視功能。

• 在公司內部網路的安全區域中安裝資料庫，而且請勿將 SQL Server 直接連接到網際網路。

• 定期備份所有資料，並在遠端位置保護備份安全。

防火牆對於保護 SQL Server 安裝的安全非常重要。如果您遵照這些方針，防火牆將是最有效的：

• 將防火牆放在伺服器和網際網路之間。啟用您的防火牆。如果防火牆已關閉，請將它開啟。如果防火牆已開啟，請勿將它關閉。

• 將網路分割成防火牆所隔開的安全區域。封鎖所有傳輸，然後選擇性地只准許必要的傳輸。

• 在多層環境中，請使用多個防火牆來建立篩選的子網路。

• 當您在 Windows 網域內安裝伺服器時，請設定內部防火牆允許 Windows 驗證。

• 如果應用程式使用分散式交易，您可能必須設定防火牆，好讓 Microsoft 分散式交易協調器 (MS DTC) 傳輸可以在個別 MS DTC 執行個體之間流動。您也必須設定防火牆，好讓 MS DTC 與資源管理員 (如 SQL Server) 之間的傳輸可以流動。

如需有關預設 Windows 防火牆設定的詳細資訊以及影響 Database Engine、Analysis Services、Reporting Services 和 Integration Services 之 TCP 通訊埠的描述，請參閱＜將 Windows 防火牆設定成允許 SQL Server 存取＞。

隔離服務減少一個遭到破壞的服務被用來破壤其他服務的風險。若要隔離服務，請考慮下列方針：

• 在個別 Windows 帳戶下執行個別的 SQL Server 服務。請盡可能針對每一個 SQL Server 服務使用低權限的個別 Windows 或本機使用者帳戶。 如需詳細資訊，請參閱＜設定 Windows 服務帳戶＞。

使用正確的檔案系統會增加安全性。如果是 SQL Server 安裝，您應該執行下列工作：

• 使用 NTFS 檔案系統 (NTFS)。NTFS 是 SQL Server 安裝的慣用檔案系統，因為它比 FAT 檔案系統更穩定，而且具有更高的可復原性。NTFS 也會啟用一些安全性選項，例如檔案和目錄存取控制清單 (ACL) 及加密檔案系統 (EFS) 檔案加密。在安裝期間，SQL Server 將會在偵測到 NTFS 時，對登錄機碼和檔案設定適當的 ACL。這些權限不應該變更。未來的 SQL Server 版本可能不支援在含有 FAT 檔案系統的電腦上安裝。

  [!附註]

  如果您使用 EFS，資料庫檔案將會在執行 SQL Server 的帳戶識別下加密。只有這個帳戶才能夠解密該檔案。如果您必須變更執行 SQL Server 的帳戶，您應該先在舊的帳戶下解密檔案，然後在新的帳戶下重新加密檔案。

• 針對重要資料檔使用獨立磁碟容錯陣列 (RAID)。

周邊網路中的伺服器應該停用所有非必要的通訊協定，包括 NetBIOS 和伺服器訊息區塊 (SMB) 在內。

NetBIOS 使用下列通訊埠：

• UDP/137 (NetBIOS 名稱服務)

• UDP/138 (NetBIOS 資料包服務)

• TCP/139 (NetBIOS 工作階段服務)

SMB 使用下列通訊埠：

• TCP/139

• TCP/445

Web 伺服器和網域名稱系統 (DNS) 伺服器不需要 NetBIOS 或 SMB。在這些伺服器上，請停用這兩種通訊協定來減少使用者列舉的威脅。