6.限制 SQL Server服務的權限 SQL Server 2000 和 SQL Server Agent 是作為 Windows 服務運行的。每個服務必須與一個 Windows 帳戶相關聯，並從這個帳戶中衍生出安全性上下文。SQL Server允許sa 登錄的用戶（有時也包括其他用戶）來訪問操作系統特性。這些操作系統調用是由擁有服務器進程的帳戶的安全性上下文來創建的。如果服務器被攻破了，那麼這些操作系統調用可能被利用來向其他資源進行攻擊，只要所擁有的過程（SQL Server服務帳戶）可以對其進行訪問。因此，為 SQL Server 服務僅授予必要的權限是十分重要的。
我們推薦您采用下列設置：
SQL Server Engine/MSSQLServer
如果擁有指定實例，那麼它們應該被命名為MSSQL$InstanceName。作為具有一般用戶權限的 Windows 域用戶帳戶運行。不要作為本地系統、本地管理員或域管理員帳戶來運行。
SQL Server Agent Service/SQLServerAgent
如果您的環境中不需要，請禁用該服務；否則請作為具有一般用戶權限的Windows域用戶帳戶運行。不要作為本地系統、本地管理員或域管理員帳戶來運行。
重點： 如果下列條件之一成立，那麼 SQL Server Agent 將需要本地 Windows管理員權限：
SQL Server Agent 使用標准的 SQL Server 身份驗證連接到SQL Server（不推薦）。
SQL Server Agent 使用多服務器管理主服務器（MSX）帳戶，而該帳戶使用標准 SQL Server 身份驗證進行連接。
SQL Server Agent 運行非sysadmin固定服務器角色成員所擁有的 Microsoft ActiveX?腳本或 CmdExec 作業。
如果您需要更改與 SQL Serve r服務相關聯的帳戶，請使用 SQL Server Enterprise Manager。Enterprise Manager 將為 SQL Server 所使用的文件和注冊表鍵設置合適的權限。不要使用 Microsoft 管理控制台的"服務"（在控制面板中）來更改這些帳戶，因為這樣需要手動地調制大量的注冊表鍵和NTFS文件系統權限以及Micorsoft Windows用戶權限。
帳戶信息的更改將在下一次服務啟動時生效。如果您需要更改與 SQL Server 以及 SQL Server Agent 相關聯的帳戶，那麼您必須使用 Enterprise Manager 分別對兩個服務進行更改。
7.在防火牆上禁用 SQL Server 端口 SQL Server 的默認安裝將監視 TCP 端口 1433 以及UDP端口 1434。配置您的防火牆來過濾掉到達這些端口的數據包。而且，還應該在防火牆上阻止與指定實例相關聯的其他端口。
8.使用最安全的文件系統 NTFS 是最適合安裝 SQL Server 的文件系統。它比 FAT 文件系統更穩定且更容易恢復。而且它還包括一些安全選項，例如文件和目錄 ACL 以及文件加密（EFS）。在安裝過程中，如果偵測到 NTFS，SQL Server 將在注冊表鍵和文件上設置合適的 ACL。不應該去更改這些權限。
通過 EFS，數據庫文件將在運行 SQL Server 的帳戶身份下進行加密。只有這個帳戶才能解密這些文件。如果您需要更改運行 SQL Server 的帳戶，那麼您必須首先在舊帳戶下解密這些文件，然後在新帳戶下重新進行加密。
9.刪除或保護舊的安裝文件 SQL Server 安裝文件可能包含由純文本或簡單加密的憑證和其他在安裝過程中記錄的敏感配置信息。這些日志文件的保存位置取決於所安裝的SQL Server版本。在 SQL Server 2000 中，下列文件可能受到影響：默認安裝時:Program FilesMicrosoft SQL ServerMSSQLInstall文件夾中，以及指定實例的:Program FilesMicrosoft SQL Server MSSQL$Install文件夾中的sqlstp.log, sqlsp.log和setup.iss
如果當前的系統是從 SQL Server 7.0 安裝升級而來的，那麼還應該檢查下列文件：%Windir% 文件夾中的setup.iss以及Windows Temp文件夾中的sqlsp.log。
Microsoft發布了一個免費的實用工具 Killpwd，它將從您的系統中找到並刪除這些密碼。
