SQL Server 在 Debian 上的安全性加固清单
一 系统与基础加固
- 保持系统与 SQL Server 的持续更新：执行 apt update && apt upgrade，及时修补漏洞；为生产环境建立变更与回滚流程。
- 运行身份与访问控制：创建非 root 运维账号执行日常管理，禁用 root SSH 登录（如将 /etc/ssh/sshd_config 的 PermitRootLogin 设为 no 或 prohibit-password），使用 SSH 密钥认证，减少口令泄露风险。
- 服务最小化：SQL Server 服务以最小必要权限运行，避免使用 root 直接启动或管理；仅启用必需组件与接口。
二 网络与端口防护
- 边界防火墙：启用 UFW 或 iptables，仅开放必要端口（如 SSH 22、SQL Server 端口），对数据库端口实施源地址白名单。示例：
sudo ufw allow 1433/tcp 后 sudo ufw reload。
- 监听与协议：仅启用TCP/IP 等必要协议，禁用不必要的网络协议；在配置中仅允许来自受信任网段的连接。
- 端口策略：可修改默认端口 1433 为非常用端口，降低自动化扫描与爆破命中率，同时配合防火墙策略同步变更。
- 传输加密：启用 TLS/SSL 对客户端与服务器之间的通信进行加密，防止中间人攻击与数据窃听。
三 身份与权限治理
- 强口令与账户生命周期：为 sa 与所有登录设置复杂且唯一的口令，定期更换；锁定或删除不再使用的账号，减少攻击面。
- 最小权限原则：按“最小够用”分配权限，使用数据库角色进行授权与回收，定期审查权限与角色成员关系。
- 默认账户与访问：禁用或移除guest 账户对数据库的访问，避免匿名访问带来的风险。
- 认证模式：在条件允许时优先采用Windows 身份验证与集中目录管理；在混合环境中严格管控 SQL 登录与口令策略。
四 数据与应用层加密
- 静态加密：对数据库文件实施透明数据加密（TDE），保护数据在磁盘上的静态数据安全。
- 传输加密：全链路启用 TLS/SSL，确保客户端与服务器之间的传输中数据加密。
- 列级加密：对高度敏感字段使用 Always Encrypted，实现应用层可见、数据库端不可见的加密保护。
- 数据脱敏与访问控制：结合**行级安全性（RLS）**限制用户仅能访问与其相关的记录，减少数据过度暴露。
五 审计监控与备份恢复
- 审计与告警：在服务器或数据库层建立审计策略，记录关键操作与敏感数据访问；重点监控失败登录尝试与异常行为，及时响应。
- 日志与审查：启用登录与关键事件日志，定期审查日志与审计记录，发现并处置可疑活动。
- 备份与演练：制定并执行定期备份计划，包含全量/差异/日志备份；定期恢复演练验证可用性与完整性，确保灾难恢复能力。
- 安全运维：将加固项纳入持续合规与巡检清单，随威胁与业务变化定期复盘与更新。