如何阻止标准用户在文件系统层面修改替换SQL Server数据库文件

本方案匹配现有部署架构：标准权限运行的只读.NET应用、管理员权限运行的读写WCF服务，同时满足三个核心目标：所有数据库访问必须经过SQL Server、标准用户无法通过文件系统直接访问/篡改数据库文件、用户仅能通过授权.NET应用查看限定范围数据。

第一步：配置数据库文件目录的最小化NTFS权限 #

这是阻断用户直接触达数据库文件的核心配置：

1. 先确认SQL Server服务的运行身份：默认实例对应虚拟服务账号为NT SERVICE\MSSQLSERVER，命名实例对应NT SERVICE\MSSQL$<你的实例名>，不要将服务运行账号修改为普通域用户/本地用户账号，保留默认虚拟账号即可。
2. 定位所有数据库相关文件的存储目录，包括主数据文件(.mdf)、次要数据文件(.ndf)、事务日志文件(.ldf)、数据库备份文件的存放路径。
3. 右键打开目录「属性-安全-高级」，先禁用权限继承，选择「将已继承的权限转换为此对象的显式权限」，之后删除所有非必要账号的权限条目，仅保留以下三个账号的权限：
   • 本地Administrators组：授予完全控制权限，供高权限运维操作、WCF服务（管理员权限运行）必要场景调用
   • 对应SQL Server实例的虚拟服务账号：授予「列出文件夹内容、读取、写入、修改」权限，保证SQL Server自身能正常挂载、读写数据库
   • 本地SYSTEM账号：授予完全控制权限，避免系统级维护操作异常
4. 确认本地Users组、所有单独创建的标准用户账号都不在权限列表中，从根源上杜绝标准用户对目录及下属文件的任何读写权限。
5. 若该目录开启了SMB共享，同步调整共享层面的权限，规则和NTFS权限保持一致，禁止标准用户通过共享路径访问。

第二步：清理高权限组配置，阻断权限绕过路径 #

仅配置NTFS权限存在被高权限组绕过的风险，必须做以下检查：

• 打开本地用户和组管理，确认所有标准用户不在Administrators、Backup Operators两个组内：Backup Operators组默认持有「备份文件和目录」「还原文件和目录」权限，可以绕过NTFS权限读取/修改本地任意文件，是最容易被忽略的权限漏洞。
• 打开本地组策略编辑器，定位到计算机配置\Windows设置\安全设置\本地策略\用户权限分配，将「执行卷维护任务」「备份文件和目录」「还原文件和目录」「取得文件或其他对象的所有权」几个条目中的Users组、所有标准用户账号全部移除，避免用户通过卷操作、备份还原接口绕过NTFS权限。
• 移除标准用户对SQL Server安装目录、错误日志目录的非必要读取权限，防止用户通过日志泄露数据库文件路径、库表结构信息。

第三步：和现有应用架构做权限对齐 #

• 运行.NET只读应用的标准用户账号，不要授予任何数据库文件目录的访问权限，应用连接SQL Server时使用单独的低权限SQL认证账号/Windows服务账号，仅给该账号授予对应业务表的SELECT权限，不要给整个库的db_datareader角色，从数据库层面限制可查询的数据范围，完全不涉及文件系统层访问。
• 管理员权限运行的WCF服务，保持现有运行身份在Administrators组即可，WCF层做好接口鉴权，确保标准用户无法直接调用服务接口，服务自身通过高权限SQL账号完成读写操作，不受文件权限限制。

可选加固项（适配核心数据防护需求） #

• 开启SQL Server TDE透明数据加密：加密后所有数据库文件、备份文件都会被实时加密，就算极端场景下文件被非法拷贝，没有存储在SQL Server内的加密证书也无法附加、读取文件内容。注意TDE证书要单独存放在和数据库文件不同的、标准用户无访问权的目录下。
• 开启终端防护的受控文件夹访问：如果气隙环境部署了Windows Defender或其他终端安全软件，把数据库文件目录加入受保护文件夹列表，仅允许sqlservr.exe进程、可信管理员进程访问该目录，拦截未知进程对文件的篡改、窃取操作。
• 配置目录权限审计：给数据库文件目录开启对象访问审计，记录所有非SQL Server、非管理员账号的访问尝试，便于异常溯源。

内容的提问来源于stack exchange，提问作者Burhan