Security Change Snapshot2取得安全性權限的資訊

    參考Nate Hughes的Security Change Snapshot這篇，可以取得SQL Server Logins, Database Permissions and Role Members的安全性資訊，還可用日期取得異動的紀錄，這想法很不錯，但少了伺服器層級的安全性資訊，於是自己加了上去，並改成SP就放上來啦，很感謝Nate Hughes的分享

[SQL2008R2]非sysadmin如何以最小權限執行舊版DTS？

        在SQL 2008之前的版本，像是SQL 2000，由於系統預設就把DTS 系統預存程序的「執行」權限授與 PUBLIC，所以只要有SQL登入帳號，就可以取得DTS封裝的清單；到了SQL 2005，用SSMS至管理／舊版／展開Data Transformation Services，會檢查是否有sysdtspackages的查詢權限，預設是沒有所以就看不到；SQL 2008更為了增加DTS封裝的安全性，已經撤銷 PUBLIC 對於 DTS 系統預存程序的「執行」權限呢！可參考保護儲存在 SQL Server 中的 DTS 封裝安全此篇的說明

面對SQL Injection，DBA可以做甚麼呢！

        難得公司請廠商做滲透測試，模擬駭客攻擊，我很好奇廠商會怎麼測試，所以同時間我也監控網站與資料庫的LOG，看看能從LOG裡讓我學到甚麼，當然最基本的SQL Injection與XSS一定會測試，身為DBA我當然最在意SQL Injection囉，而針對SQL Injection，我原本就做了以下前三項的設定

1. 應用程式帳號權限最小化
2. 限制中繼資料的可見性
3. 稽核軌跡 
4. 資料表(行)命名的考量

利用IPSec建立內部防火牆以提升資料庫安全3

        原本管的DB與AP Server都是Windows作業系統，要啟用IPSec還算容易，但是因為某個需求，得讓核心系統的AIX也能連SQL Server，問題是我要啟用IPSec啊！我原是使用交涉的方式，需要在Server端與Client端皆設定對應的IPSec才行，可是AIX上怎麼設！短時間要我們管AIX的同仁測試IPSec有點困難，只好想想有沒有只要在Server端設定IPSec的方法？後來發現除了用交涉外，還可以用允許，用允許就可以解決我的問題啦，允許只要在Server端設定即可，超方便

利用IPSec建立內部防火牆以提升資料庫安全2

        上一篇介紹IPSECCMD的使用範例，本篇介紹可以用在Windows Server 2008上的Netsh IPsec命令吧，詳細使用方法請參見Netsh Commands for Internet Protocol Security (IPsec)
 
        Netsh IPsec比起IPSECCMD更好的優點有以下兩點（缺點是指令比較多行）：

1. IPSECCMD對篩選器清單的篩選器只會整個取代，而Netsh IPsec對篩選器清單的篩選器是可以一筆一筆附加的
2. IPSECCMD對原則的每次變更都要先停用再啟用，變更的部分才會生效，而Netsh IPsec只要是對已經指派的原則所作的變更都是立刻生效 

       對了，忘了提使用IPsec不僅可當內部防火牆，還可順便對網路連線作加密！像你如果用Wireshark這類的封包分析軟體來擷取網路封包，未加密前是可以從封包中查出使用的T-SQL指令，但如果用IPsec加密後是看不出來的喔！

利用IPSec建立內部防火牆以提升資料庫安全

　　一般公司都會有外部防火牆來防止駭客直接入侵，那內部防火牆要防誰呢？當然是來防內賊的，一般無內部防火牆的情況下，只要知道資料庫的ＩＰ、帳號及密碼，在內網就能夠去取得資料庫的資料，如果使用IPSec來建立內部防火牆，就能設定IP白名單，僅允許白名單上的伺服器可連接資料庫，這樣就算內部無權的人取得資料庫的帳號密碼也沒法取得資料，除非他有辦法透過那幾台在白名單裡的伺服器去連囉，這樣不就可以提升資料庫的安全性嗎！最近個資法的施行細則也快公布了，有免錢可以提升安全性的做法，是不是該考慮一下

　　IPSec的說明、安裝及使用方式我就不介紹了，網路上一堆參考資料，自己去搜尋吧！

　　我直接給設定指令IPSECCMD的範例，IPSECCMD是給XP及Win server2003用的，Win Server2000則是用IPSECPOL囉，參數基本上差不多，都需要另外安裝