CentOS 上 SQL Server 安全设置清单
一 身份与访问控制
- 使用混合身份验证或对接Active Directory；为所有账户设置强密码策略（长度、复杂度、定期更换），严禁共享与默认口令。
- 遵循最小权限原则：按业务最小集授予权限，避免滥用高权限角色（如sysadmin）；通过角色与Schema精细授权。
- 禁用或删除匿名登录等无效/高危账户；为应用与运维分别创建专用账户，禁止在应用侧使用sa。
- 定期审计登录与关键操作，及时清理过期/闲置账户与权限。
二 网络与端口加固
- 通过firewalld仅开放必要端口（默认 1433/TCP），对管理口与业务口实施源地址白名单；变更默认端口后同步更新应用连接串与防火墙规则。
- 如无多实例/发现服务需求，考虑关闭 SQL Server Browser 服务，并在连接字符串中显式指定端口，降低信息暴露面。
- 对数据库服务器实施网络隔离/微分段，仅允许应用服务器、跳板机与备份系统访问数据库端口。
三 加密与传输安全
- 启用**透明数据加密（TDE）**保护静态数据，防止存储介质泄露导致的数据外泄。
- 对敏感列使用Always Encrypted，实现端到端加密，密钥由应用或 HSM 管理，数据库侧不解密。
- 强制TLS 加密传输：在客户端与服务端启用加密连接，确保 TDS over TLS 有效，防止链路窃听与中间人攻击。
四 系统与数据库加固
- 保持系统与 SQL Server 及时更新/打补丁，第一时间修复已知漏洞。
- 禁用或移除未使用功能与组件（如 xp_cmdshell、OLE Automation、OPENROWSET/OPENDATASOURCE 等），减少攻击面。
- 以最小权限服务账户运行 SQL Server 服务，避免使用本地/域管理员等高权账户；按需设置数据、日志与备份目录权限。
- 对备份文件加密并限制备份目录访问权限，防止备份被未授权复制与还原。
五 审计监控与备份恢复
- 启用并定期检查SQL Server 错误日志与登录审计，关注失败登录与异常行为；必要时引入IDS/IPS进行网络与主机层监测。
- 配置定期备份（全量/差异/日志），并进行周期性恢复演练验证可用性与完整性；将备份存放在受控访问的存储中。
- 在操作系统侧启用系统日志与日志轮转，集中收集与长期留存，便于审计与取证。
