共用方式為


SQL Server 安裝的安全性考量

安全性很重要,這不只針對 Microsoft SQL Server 和 Microsoft,每一個產品和每一項業務都是如此。只要遵循簡單的最佳作法,就可以避免許多安全性漏洞。此主題會討論一些您在安裝 SQL Server 之前和安裝 SQL Server 之後要運用的安全性最佳作法。特定功能的參考主題中會包括那些功能的安全性指南。

安裝 SQL Server 之前

設定伺服器環境時,請遵循這些最佳作法:

  • 加強實體安全性
  • 使用防火牆
  • 隔離服務
  • 建立具有最少權限的服務帳戶
  • 停用 NetBIOS 和伺服器訊息區塊

加強實體安全性

實體和邏輯隔離,構成 SQL Server 安全性的基礎。若要加強 SQL Server 安裝的實體安全性,請執行下列工作:

  • 將伺服器放在未獲授權人員無法存取的地方。
  • 將主控資料庫的電腦放在實體保護位置中,最好是有上鎖的電腦機房,裡面有水災偵測和火災偵測或控制系統的監視功能。
  • 在公司內部網路的安全區域中安裝資料庫,絕不直接連接到網際網路。
  • 定期備份所有資料,並將副本儲存在安全的遠端位置。

使用防火牆

防火牆是保護 SQL Server 安裝時不可或缺的。如果您遵照這些方針,防火牆將是最有效的:

  • 將防火牆放在伺服器和網際網路之間。
  • 將網路分割成防火牆所隔開的安全區域。封鎖所有傳輸,然後選擇性地只准許必要的傳輸。
  • 在多層環境中,請使用多個防火牆來建立篩選的子網路。
  • 當您在 Windows 網域內安裝伺服器時,請設定內部防火牆允許 Windows 驗證。
  • 在所有的 Windows 版本皆為 Windows XP 或 Windows Server 2003 或更高版本的 Windows 網域中,請停用 NTLM 驗證。 .
  • 如果應用程式使用分散式交易,您必須設定防火牆,允許在個別 MS DTC 執行個體之間,以及在 MS DTC 和資源管理員 (如 SQL Server) 之間,進行 Microsoft 分散式交易協調器 (MS DTC) 傳輸。

隔離服務

隔離服務減少一個遭到破壞的服務被用來破壤其他服務的風險。若要隔離服務,請使用下列方針:

  • 請盡可能不要在網域控制站上安裝 SQL Server。
  • 在個別 Windows 帳戶下執行個別的 SQL Server 服務。
  • 在多層環境中,在個別電腦上執行 Web 邏輯和商務邏輯。

建立擁有最少權限的服務帳戶

SQL Server 安裝程式會自動設定服務帳戶或具有 SQL Server 所需之特定權限的帳戶。修改或設定 SQL Server 2005 所使用的 Windows 服務時,您只應授與它們所需的權限。如需詳細資訊,請參閱<設定 Windows 服務帳戶>。

停用 NetBIOS 和伺服器訊息區塊

周邊網路中的伺服器應該停用所有非必要的通訊協定,包括 NetBIOS 和伺服器訊息區塊 (SMB) 在內。

NetBIOS 使用下列通訊埠:

  • UDP/137 (NetBIOS 名稱服務)
  • UDP/138 (NetBIOS 資料包服務)
  • TCP/139 (NetBIOS 工作階段服務)

SMB 使用下列通訊埠:

  • TCP/139
  • TCP/445

Web 伺服器和網域名稱系統 (DNS) 伺服器不需要 NetBIOS 或 SMB。在這些伺服器上,請停用這兩種通訊協定來減輕使用者列舉的威脅。如需有關如何停用這些通訊協定的詳細資訊,請參閱<如何:停用 NetBIOS over TCP/IP>和<如何:停用伺服器訊息區塊>。

安裝 SQL Server 之後

安裝之後,您可以遵照關於帳戶和驗證模式的這些最佳作法,來加強 SQL Server 安裝的安全性:

服務帳戶

  • 以可能的最低權限執行 SQL Server 服務。
  • 使 SQL Server 服務與 Windows 帳戶產生關聯。

驗證模式

  • 需要 Windows 驗證才能連接到 SQL Server。

增強式密碼

  • 一律指定增強式密碼給 sa 帳戶。
  • 一律會啟用密碼原則檢查。
  • 對所有 SQL Server 登入一律使用增強式密碼。

請參閱

其他資源

密碼原則

說明及資訊

取得 SQL Server 2005 協助