Debian下SQL Server安全設置指南

在Debian系統上部署SQL Server時，需通過系統配置、身份驗證、網絡隔離、加密保護、權限管理及監控審計等多維度措施，構建全面的安全防線。以下是具體操作指南：

一、系統基礎配置

1. 更新系統與安裝依賴

確保Debian系統為最新版本，安裝SQL Server所需的依賴包：

sudo apt update && sudo apt upgrade -y
sudo apt install -y curl gnupg apt-transport-https

2. 添加Microsoft SQL Server官方倉庫

導入Microsoft GPG密鑰并注冊SQL Server APT倉庫（以Debian 12為例）：

curl https://packages.microsoft.com/keys/microsoft.asc | sudo gpg --dearmor -o /usr/share/keyrings/microsoft-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/microsoft-archive-keyring.gpg] https://packages.microsoft.com/debian/12/prod/ stable main" | sudo tee /etc/apt/sources.list.d/mssql-server.list > /dev/null

3. 安裝與配置SQL Server

安裝SQL Server并運行配置工具設置SA（系統管理員）密碼：

sudo apt update
sudo apt install -y mssql-server
sudo /opt/mssql/bin/mssql-conf setup

配置過程中需選擇混合身份驗證模式（SQL Server + Windows），以便后續支持SQL Server登錄。

二、身份驗證與用戶管理

1. 啟用混合身份驗證

通過mssql-conf工具啟用SQL Server身份驗證：

sudo mssql-conf set security.mode SQL
sudo systemctl restart mssql-server

2. 管理SQL Server登錄名與數據庫用戶

使用sqlcmd工具登錄SQL Server（默認SA賬戶），執行以下操作：

# 登錄SQL Server
sudo /opt/mssql-tools/bin/sqlcmd -S localhost -U SA -P 'YourStrongPassword'

# 創建SQL Server登錄名（強密碼策略：長度≥8位，包含大小寫字母、數字和特殊字符）
CREATE LOGIN [AppUser] WITH PASSWORD = 'Str0ngP@ssw0rd123!';
GO

# 創建數據庫用戶并關聯登錄名
USE [YourDatabase];
CREATE USER [AppUser] FOR LOGIN [AppUser];
GO

# 分配最小必要權限（避免使用db_owner，優先使用db_datareader/db_datawriter）
ALTER ROLE [db_datareader] ADD MEMBER [AppUser];
ALTER ROLE [db_datawriter] ADD MEMBER [AppUser];
GO

3. 禁用默認賬戶與多余賬戶

• 禁用SA賬戶（若無需使用）：ALTER LOGIN SA DISABLE;
• 刪除未使用的登錄名：DROP LOGIN [UnusedLogin];
• 鎖定長期未使用的賬戶：通過ALTER LOGIN [LoginName] DISABLE;鎖定超過90天未登錄的賬戶。

三、網絡安全配置

1. 配置防火墻規則

使用ufw（Uncomplicated Firewall）允許SQL Server默認端口（1433），并限制訪問源IP：

# 啟用ufw
sudo ufw enable

# 允許SQL Server端口（僅允許可信IP，如公司IP段：192.168.1.0/24）
sudo ufw allow from 192.168.1.0/24 to any port 1433/tcp
sudo ufw reload

2. 修改默認端口

通過mssql-conf工具修改SQL Server端口（如改為1434），降低自動化攻擊風險：

sudo mssql-conf set network.tcpport 1434
sudo systemctl restart mssql-server

修改后需同步更新防火墻規則，允許新端口訪問。

3. 禁用不必要的網絡協議

使用mssql-conf禁用VIA、共享內存等非必需協議，僅保留TCP/IP：

sudo mssql-conf set network.disableviamode 1
sudo systemctl restart mssql-server

4. 限制遠程連接

通過SQL Server配置管理器（mssql-conf）限制遠程IP訪問：

# 僅允許特定IP段連接（如公司IP：203.0.113.10-203.0.113.20）
sudo mssql-conf set network.tcpip_allowed_ips "203.0.113.10,203.0.113.20"
sudo systemctl restart mssql-server

5. 啟用加密連接

配置SQL Server使用SSL/TLS加密數據傳輸，防止中間人攻擊：

1. 獲取SSL證書（可從受信任的CA購買或使用自簽名證書）。
2. 將證書文件（.crt）復制到/var/opt/mssql/ssl/目錄。
3. 配置SQL Server使用證書：

sudo mssql-conf set network.forceencryption 1
sudo mssql-conf set network.cert thumbprint "YourCertificateThumbprint"
sudo systemctl restart mssql-server

客戶端連接時需指定證書路徑。

四、數據加密保護

1. 啟用透明數據加密（TDE）

TDE加密數據庫文件（.mdf、.ldf），防止物理磁盤被盜時數據泄露：

-- 在目標數據庫中執行
USE [YourDatabase];
GO
CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'Str0ngMasterKey123!';
GO
CREATE CERTIFICATE TDECert WITH SUBJECT = 'TDE Certificate';
GO
CREATE DATABASE ENCRYPTION KEY
WITH ALGORITHM = AES_256
ENCRYPTION BY SERVER CERTIFICATE TDECert;
GO
ALTER DATABASE [YourDatabase] SET ENCRYPTION ON;
GO

2. 加密備份文件

備份時啟用加密，防止備份文件泄露：

BACKUP DATABASE [YourDatabase]
TO DISK = '/var/opt/mssql/backup/YourDatabase_Encrypted.bak'
WITH ENCRYPTION (ALGORITHM = AES_256, SERVER CERTIFICATE = TDECert);
GO

3. 加密敏感列

對數據庫中的敏感字段（如身份證號、手機號）進行列級加密：

-- 創建主密鑰
USE [YourDatabase];
GO
CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'Str0ngMasterKey123!';
GO
-- 創建證書
CREATE CERTIFICATE SensitiveDataCert WITH SUBJECT = 'Sensitive Data Certificate';
GO
-- 創建對稱密鑰
CREATE SYMMETRIC KEY SensitiveDataKey
WITH ALGORITHM = AES_256
ENCRYPTION BY CERTIFICATE SensitiveDataCert;
GO
-- 加密數據
OPEN SYMMETRIC KEY SensitiveDataKey DECRYPTION BY CERTIFICATE SensitiveDataCert;
UPDATE [YourTable]
SET [SensitiveColumn] = EncryptByKey(Key_GUID('SensitiveDataKey'), [SensitiveColumn]);
CLOSE SYMMETRIC KEY SensitiveDataKey;
GO

4. 定期備份與測試恢復

制定備份策略（每日全量、每小時增量），并定期測試備份文件恢復：

# 每日全量備份（凌晨2點）
0 2 * * * /opt/mssql-tools/bin/sqlcmd -S localhost -U SA -P 'YourStrongPassword' -Q "BACKUP DATABASE [YourDatabase] TO DISK = '/var/opt/mssql/backup/YourDatabase_Full_$(date +\%F).bak'"
# 每小時增量備份（每小時第15分鐘）
15 * * * * /opt/mssql-tools/bin/sqlcmd -S localhost -U SA -P 'YourStrongPassword' -Q "BACKUP DATABASE [YourDatabase] TO DISK = '/var/opt/mssql/backup/YourDatabase_Incremental_$(date +\%F_%H).bak'" WITH DIFFERENTIAL

每月測試一次備份恢復，確保備份有效性。

五、權限與審計管理

1. 遵循最小權限原則

為用戶分配僅滿足業務需求的權限，避免過度授權：

-- 授予用戶查詢權限（而非db_datareader）
GRANT SELECT ON [dbo].[Orders] TO [AppUser];
GO
-- 授予用戶插入權限（而非db_datawriter）
GRANT INSERT ON [dbo].[Orders] TO [AppUser];
GO
-- 撤銷不必要的權限
REVOKE DELETE ON [dbo].[Orders] FROM [AppUser];
GO

2. 使用角色管理權限

創建自定義角色，簡化權限分配：

-- 創建角色
USE [YourDatabase];
GO
CREATE ROLE [OrderManager];
GO
-- 分配權限給角色
GRANT SELECT, INSERT, UPDATE ON [dbo].[Orders] TO [OrderManager];
GO
-- 將用戶添加到角色
ALTER ROLE [OrderManager] ADD MEMBER [AppUser];
GO

3. 啟用審計功能

通過SQL Server Audit監控登錄、數據訪問等操作，及時發現異常行為：

-- 創建服務器審計（存儲路徑需有寫入權限）
CREATE SERVER AUDIT [ServerAudit]
TO FILE 
(FILEPATH = '/var/opt/mssql/audit/')
WITH (ON_FAILURE = CONTINUE);
GO
-- 啟用服務器審計
ALTER SERVER AUDIT [ServerAudit] WITH (STATE = ON);
GO
-- 創建數據庫審計規范（監控失敗登錄和成功查詢）
CREATE DATABASE AUDIT SPECIFICATION [DatabaseAudit]
FOR SERVER AUDIT [ServerAudit]
ADD (FAILED_LOGIN_GROUP),
ADD (SELECT ON [dbo].[Orders] BY [public]);
GO
-- 啟用數據庫審計規范
ALTER DATABASE AUDIT SPECIFICATION [DatabaseAudit] WITH (STATE = ON);
GO

4. 定期審查日志

通過sys.fn_get_audit_file函數查看審計日志，識別可疑操作：

-- 查看最近7天的審計日志
SELECT event_time, server_principal_name, database_name, statement
FROM sys.fn_get_audit_file('/var/opt/mssql/audit/*', DEFAULT, DEFAULT)
WHERE event_time >= DATEADD(DAY, -7, GETDATE())
ORDER BY event_time DESC;

5. 定期安全評估

使用SQL Server的DBCC CHECKDB命令檢查數據庫完整性，使用Microsoft提供的安全評估工具（如SQL Server Security Assessment）識別潛在漏洞：

-- 檢查數據庫完整性
USE [YourDatabase];
GO
DBCC CHECKDB WITH NO_INFOMSGS;
GO

六、監控與維護

1. 啟用SQL Server錯誤日志

確保錯誤日志文件權限正確，便于排查安全事件：

sudo chown mssql:mssql /var/opt/mssql/log/errorlog
sudo chmod 640 /var/opt/mssql/log/errorlog

2. 監控系統資源

使用top、htop等工具監控SQL Server進程的CPU、內存使用情況，避免資源耗盡導致服務中斷：

top -p $(pgrep -f mssql)

3. 定期更新SQL Server

關注Microsoft官方發布的安全補丁，及時升級SQL Server版本，修復已知漏洞：

sudo apt update
sudo apt upgrade -y mssql-server