Windows Storage Server、SQL Server、正常文件——防止內部威脅的手段？
這是我在這裡的第一篇文章，我絕不是 Windows Server 或 Storage Server 2008 或 SQL Server 2008 管理員的資格。我主要是一個 Unix 人，但我的任務是調查我們公司（一家小型軟體初創公司）的 IT 基礎設施，包括 Windows Server 2008、Windows Storage Server 和 SQL Server 是否專門用於財務、人力資源、銷售、法律和行政部門。開發人員都在 Unix 上。
我需要了解的是，如何保護基於 Windows 的基礎架構免受內部攻擊。更準確地說，是針對流氓系統管理員。我們目前的系統管理角色由臨時人員扮演。理論上，可以訪問所有（或大多數）密碼/登錄憑據，他可以做任何他喜歡的事情。
那麼是否有一些技術（sa 審計日誌、防篡改備份等）可以設置（比如一次性），其憑據只能由非常信任的人（可能是 CEO 本人）使用，並且所有其他系統管理任務都可以由這個臨時小伙執行。
在最壞的情況下，如果管理員刪除、故意損壞/修改某些文件或更改數據庫內容，則此類行為可能是：
- 查獲
- 久經考驗
- 整改
我知道這可能不是一個純粹的 DBA 問題，請原諒我故意發布此問題，但我沒有找到更合適的 SE 論壇，但在這裡找到了很多有趣的 Windows Server 基礎架構討論。
您可以做的是限制對 SQL Server 和 SQL 所在的 Windows 伺服器的訪問。有伺服器級別
roles，sysadmin為您提供最高權限。查看伺服器級角色，看看你需要給你的臨時角色。sysadmin根據我從您的要求中讀到的內容，temp 永遠不應該處於伺服器級別的角色。然後是數據庫級別
roles。這是在每個數據庫的每個數據庫級別設置的。請參閱數據庫級角色以了解更多資訊。您的 temp 可能在db_backupoperator, 或db_datareader每個 DB 的角色中。這將阻止他刪除/修改數據庫。加密您的機密數據。您也可以為備份使用密碼，但此功能並非出於安全考慮，而是有助於維護相關的備份集。
在 Windows 伺服器部分，您可以進一步限制訪問。查詢 SQL Server 可以在安裝了 SSMS 的筆記型電腦上完成，因此不必在 Windows 伺服器上授予您的臨時權限。
要跟踪數據庫上的更改，您將需要審核。在 SQL Server 2008 Microsoft 技術文章中的審計中有大量資訊。
請記住，過多的審計是以性能為代價的。在 SQL Server 2008 中，有新的、更精細的審計控制，例如
CHANGETABLE基於策略的管理。這些可以幫助您滿足追踪、證明和糾正的要求。以上只是對可能性的簡要總結。