基本的设置 组成部分 特性 修补程序和更新程序
对 windows 2000 和 SQL Server 应用最新的 Service Pack 和修补程序
服务
禁用非必需的服务。
不使用时禁用 MSDTC。
非必需时禁用 MSSearch 服务。
非必需时禁用 SQLServerAgent 服务。
非必需时禁用 MSSQLServerADHelper 服务。
协议
删除或禁用不必要的协议。
服务器上未启用以下协议：NetBIOS 和 SMB。
强化了 TCP/IP 堆栈。
帐户
对 SQL Server 服务帐户实施安全保护（将其设置为最低权限帐户）。
删除或禁用不必要的 Windows 帐户。
禁用 Windows 的来宾帐户。
创建新的管理员帐户。
强制执行强密码策略。
对远程登录实施限制。
禁用空会话（匿名登录）。
要求帐户委派批准。
不使用共享帐户。
限制本地 Administrators 组的成员身份（理想的情况为不超过两名成员）。
限管理员帐户进行交互式登录（或提供安全的远程管理解决方案）。
启用并强制执行 NTLMv2 身份验证（将 LMCompatibilityLevel 设置为 5）。
文件和目录
以 NTFS 格式对卷进行格式化。
Everyone 组不具有对系统或工具目录的访问权限。从服务器中删除示例目录、帮助目录和不使用的管理员目录。
强化对 SQL Server 安装文件夹的访问权限。
从 Service Pack 1 和 Service Pack 2 安装日志文件中删除密码。
删除工具、实用程序和 SDK。
删除不使用的应用程序。
使用 EFS 对敏感的数据文件加密。（这对于数据库文件 (.mdf) 为可选操作，但对于日志文件 (.ldf) 则为必需）。
共享
从服务器中删除不必要的共享。
仅限访问必需的共享。
Everyone 只在必要时才能访问共享。
非必需时删除管理共享（C$、Admin$）。
端口
封锁除 SQL Server 侦听端口 [默认为 1433] 外的所有其他端口
配置命名实例来侦听同一端口。
将非标准 SQL Server 端口（不是 TCP 1443）用作附加防御层。
将隐藏服务器选项用作附加防御层（可选）。
配置防火墙来支持 DTC 通信（如有必要）。
使用防火墙将用户与 SQL TCP/IP 端口隔离开。
注册表
从 SQL Server 注册键中删除 Everyone 组。
保证 SAM（限独立服务器）的安全。
审核和日志
记录失败的 Windows 登录尝试。
记录文件系统中失败的操作。
启用 SQL Server 登录审核。
SQL Server 设置
SQL Server 安全机制
可能的情况下，将 SQL Server 的身份验证设置为仅限 Windows。
将 SQL Server 审核级别设置为“失败”或“全部”。
SQL Server 启动服务帐户为最低权限帐户。
SQL Server 登录、用户及角色
Sa 帐户使用强密码。
从非系统数据库中删除 SQL Server 来宾帐户。
从 SQL Server 登录中删除 BUILTIN\Administrators 组。
Sysadmin 角色不包含 BUILTIN\Administrators 组。
不为公共角色授予权限。
Sysadmin 角色所包含的用户不超过两个。
授予受限的（精确）数据库权限（避免使用诸如 db_datareader 和 db_datawriter 等内置的非精确角色）
不更改 SQL Server 对象的默认权限。
SQL Server 数据库对象
从服务器中删除所有示例数据库。
保证存储过程的安全。
保证扩展存储过程的安全。
限制 cmdExeｃ 只能使用 sysadmin 角色。
（出处：http://www.sheup.com）