“數(shù)據(jù)庫(kù)安全”這五個(gè)字聽(tīng)起來(lái)像個(gè)老生常談但真正動(dòng)手做的時(shí)候你會(huì)發(fā)現(xiàn)它比應(yīng)用安全、網(wǎng)絡(luò)安全更難落地。我見(jiàn)過(guò)不少團(tuán)隊(duì)?wèi)?yīng)用層做了很嚴(yán)的權(quán)限校驗(yàn)網(wǎng)絡(luò)層上了防火墻結(jié)果數(shù)據(jù)庫(kù)連的還是公網(wǎng)地址密碼依然是最原始的那幾個(gè)組合。為什么因?yàn)閿?shù)據(jù)庫(kù)往往是整個(gè)系統(tǒng)里最“陳舊”的一層很多庫(kù)是從十年前直接遷移過(guò)來(lái)的賬號(hào)、權(quán)限、審計(jì)規(guī)則都帶著當(dāng)年的味道。這篇內(nèi)容我不會(huì)給你講抽象的安全理論而是按實(shí)操經(jīng)驗(yàn)把數(shù)據(jù)庫(kù)安全拆成權(quán)限管理、數(shù)據(jù)加密、審計(jì)監(jiān)控、備份恢復(fù)四個(gè)核心板塊再附上自查清單和踩坑記錄。不管你是DBA、后端開(kāi)發(fā)還是運(yùn)維都可以直接對(duì)照自己的環(huán)境。1. 數(shù)據(jù)庫(kù)安全的整體視圖從外部防護(hù)到內(nèi)部管控1.1 數(shù)據(jù)庫(kù)安全不是裝個(gè)防火墻那么簡(jiǎn)單先說(shuō)一個(gè)常見(jiàn)誤區(qū)很多人以為數(shù)據(jù)庫(kù)安全等于“把端口藏起來(lái)不暴露公網(wǎng)”。這樣做當(dāng)然對(duì)但只是最外層。一次真正的事故往往不是外部黑客直接打數(shù)據(jù)庫(kù)而是通過(guò)應(yīng)用漏洞拿到一個(gè)低權(quán)限賬號(hào)然后水平越權(quán)、SQL注入甚至直接使用應(yīng)用連接串里的數(shù)據(jù)庫(kù)賬號(hào)連進(jìn)去。也就是說(shuō)攻擊者一旦進(jìn)入內(nèi)網(wǎng)數(shù)據(jù)庫(kù)就暴露在所有內(nèi)部人員面前而內(nèi)部人員的權(quán)限劃分、安全意識(shí)、審計(jì)能力才是決定數(shù)據(jù)會(huì)不會(huì)泄露的關(guān)鍵。我在多個(gè)項(xiàng)目里反復(fù)強(qiáng)調(diào)一個(gè)詞縱深防御。數(shù)據(jù)庫(kù)這一層必須假設(shè)前面的所有防線都可能被攻破因此自己也要有獨(dú)立的安全能力。至少要包括認(rèn)證與權(quán)限、加密、審計(jì)、備份。這四件事缺一不可。具體來(lái)說(shuō)認(rèn)證解決“你是誰(shuí)”權(quán)限解決“你能干什么”加密解決“數(shù)據(jù)即使被拿走也讀不懂”審計(jì)解決“出了事能查到誰(shuí)干的”備份解決“最壞情況下還能恢復(fù)”。這五層構(gòu)成了數(shù)據(jù)庫(kù)安全的基本盤。把這幾件事做好了數(shù)據(jù)庫(kù)這個(gè)“最后防線”才算真正立得住。1.2 常見(jiàn)威脅模型與攻擊路徑為了設(shè)計(jì)安全策略得先知道敵人會(huì)從哪來(lái)。常見(jiàn)的威脅模型有三類外部攻擊者通過(guò)SQL注入、弱口令暴破、未授權(quán)接口等途徑嘗試直接進(jìn)入數(shù)據(jù)庫(kù)。內(nèi)部威脅開(kāi)發(fā)、運(yùn)維、第三方外包人員擁有合法的數(shù)據(jù)庫(kù)賬號(hào)但可能因?yàn)闄?quán)限過(guò)大、誤操作或惡意行為造成數(shù)據(jù)泄露。物理與運(yùn)維風(fēng)險(xiǎn)硬盤損壞、機(jī)房斷電、勒索病毒加密文件、誤刪除表數(shù)據(jù)。攻擊路徑上我見(jiàn)過(guò)比較典型的一種攻擊者先掃描公網(wǎng)IP發(fā)現(xiàn)3306/5432端口開(kāi)放然后對(duì)不同IP嘗試常見(jiàn)用戶名密碼。一旦命中弱口令直接連上數(shù)據(jù)庫(kù)把整庫(kù)導(dǎo)出。這個(gè)過(guò)程可能不需要任何應(yīng)用漏洞純粹是運(yùn)維暴露面太大。還有一條路徑攻擊者找到應(yīng)用的一個(gè)SQL注入點(diǎn)通過(guò)注入讀取數(shù)據(jù)庫(kù)版本和當(dāng)前用戶然后利用過(guò)高權(quán)限執(zhí)行系統(tǒng)命令或讀取文件。這類問(wèn)題在老舊系統(tǒng)里尤其常見(jiàn)。所以數(shù)據(jù)庫(kù)安全設(shè)計(jì)的時(shí)候要同時(shí)考慮“連不上”和“連上了也拿不到”兩層。后面展開(kāi)的權(quán)限管理和加密正是針對(duì)這兩層。2. 權(quán)限管理最小權(quán)限原則的落地細(xì)節(jié)2.1 賬號(hào)規(guī)劃從應(yīng)用賬號(hào)到管理賬號(hào)分離我最常遇到的問(wèn)題是一個(gè)庫(kù)只有一個(gè)賬號(hào)應(yīng)用用這個(gè)賬號(hào)連接DBA也用這個(gè)賬號(hào)維護(hù)監(jiān)控腳本也用這個(gè)賬號(hào)。全公司所有人都共用同一份數(shù)據(jù)庫(kù)賬號(hào)密碼密碼一旦泄露根本分不清是誰(shuí)的操作。正確的賬號(hào)規(guī)劃至少應(yīng)該分成四類應(yīng)用賬號(hào)只給某個(gè)業(yè)務(wù)庫(kù)的增刪改查權(quán)限具體粒度視業(yè)務(wù)而定。運(yùn)維賬號(hào)用于日常維護(hù)、索引調(diào)整、執(zhí)行DDL必須有單獨(dú)的賬號(hào)和登錄審批流程。管理賬號(hào)僅限D(zhuǎn)BA或數(shù)據(jù)庫(kù)負(fù)責(zé)人使用用于創(chuàng)建賬號(hào)、修改權(quán)限、恢復(fù)數(shù)據(jù)等高危操作。只讀賬號(hào)給報(bào)表、監(jiān)控、數(shù)據(jù)分析用盡量不連接生產(chǎn)庫(kù)而是連接從庫(kù)或數(shù)據(jù)倉(cāng)庫(kù)。這樣分類有三個(gè)意義第一是責(zé)任追蹤每個(gè)人都知道自己用的是哪個(gè)賬號(hào)第二是限制爆炸半徑應(yīng)用賬號(hào)被拖庫(kù)也不會(huì)影響其他庫(kù)第三是方便輪換比如某員工離職時(shí)只要禁用他名下的賬號(hào)不用改應(yīng)用配置。操作上可以用類似下面的語(yǔ)句來(lái)創(chuàng)建基礎(chǔ)的應(yīng)用賬號(hào)CREATE USER app_order10.0.0.% IDENTIFIED BY 這里填高強(qiáng)度隨機(jī)密碼; GRANT SELECT, INSERT, UPDATE ON order_db.* TO app_order10.0.0.%;這里沒(méi)給DELETE權(quán)限也沒(méi)給DDL權(quán)限。對(duì)于很多業(yè)務(wù)系統(tǒng)來(lái)說(shuō)邏輯刪除就夠了物理刪除權(quán)限能不給就別給。關(guān)于密碼輪換我建議結(jié)合配置中心和密鑰管理服務(wù)不要直接在代碼里維護(hù)數(shù)據(jù)庫(kù)密碼。如果數(shù)據(jù)庫(kù)支持短期令牌或動(dòng)態(tài)憑證優(yōu)先使用那種方案。2.2 授權(quán)模型庫(kù)、表、列的精細(xì)化控制最小權(quán)限原則聽(tīng)著簡(jiǎn)單落地起來(lái)容易走極端。一種極端是給所有賬號(hào)全部權(quán)限另一種極端是因?yàn)闄?quán)限太細(xì)導(dǎo)致業(yè)務(wù)無(wú)法運(yùn)行。我建議分三步做。第一步按業(yè)務(wù)模塊拆分?jǐn)?shù)據(jù)庫(kù)賬號(hào)。不要整個(gè)業(yè)務(wù)共用一個(gè)賬號(hào)而是每個(gè)微服務(wù)或每個(gè)應(yīng)用模塊有獨(dú)立賬號(hào)。第二步按操作類型授權(quán)。常見(jiàn)的授權(quán)矩陣如下賬號(hào)類型庫(kù)/表范圍權(quán)限應(yīng)用讀寫賬號(hào)業(yè)務(wù)庫(kù)的業(yè)務(wù)表SELECT、INSERT、UPDATE、DELETE應(yīng)用只讀賬號(hào)業(yè)務(wù)庫(kù)的統(tǒng)計(jì)表SELECT運(yùn)維賬號(hào)全部業(yè)務(wù)庫(kù)SELECT、INDEX、ALTER、ANALYZE管理賬號(hào)全部庫(kù)ALL需要審批報(bào)表賬號(hào)指定庫(kù)的視圖SELECT第三步考慮行級(jí)和列級(jí)安全。大部分?jǐn)?shù)據(jù)庫(kù)支持視圖先創(chuàng)建一個(gè)視圖只包含必要的列并且通過(guò)WHERE條件限制行范圍再給應(yīng)用賬號(hào)授權(quán)訪問(wèn)視圖而不是直接訪問(wèn)表。比如一個(gè)門店管理系統(tǒng)只允許查看本門店訂單就可以在視圖里帶上門店條件。這樣即使應(yīng)用邏輯被繞過(guò)數(shù)據(jù)庫(kù)層面也不會(huì)泄露其他門店的數(shù)據(jù)。提示DELETE權(quán)限是很多數(shù)據(jù)庫(kù)安全事件里最危險(xiǎn)的權(quán)限。業(yè)務(wù)上通常不需要它寧愿多做幾次邏輯刪除改造也別把物理刪除的能力直接交給應(yīng)用賬號(hào)。2.3 密碼策略與生命周期管理密碼策略往往被當(dāng)成形式上的東西。但數(shù)據(jù)庫(kù)賬號(hào)的密碼參數(shù)確實(shí)需要符合一定的復(fù)雜度要求同時(shí)不能為了方便而改成弱密碼。我見(jiàn)過(guò)很多生產(chǎn)庫(kù)用了類似簡(jiǎn)單遞增數(shù)字這樣的密碼甚至在代碼倉(cāng)庫(kù)里明文保存連接串。這種情況一旦發(fā)生權(quán)限設(shè)計(jì)做得再好也沒(méi)用。關(guān)于密碼管理我會(huì)這樣做連接串不要寫死在代碼里放到配置中心或環(huán)境變量中并使用密鑰管理服務(wù)。數(shù)據(jù)庫(kù)賬號(hào)密碼至少16位包含大小寫字母、數(shù)字、特殊字符。避免使用默認(rèn)端口進(jìn)行公網(wǎng)暴露即使必須遠(yuǎn)程訪問(wèn)也要配合IP白名單和專用接入通道。定期輪換密碼并確保輪換后舊的連接串立即失效。另外要有賬號(hào)臺(tái)賬把每個(gè)庫(kù)的賬號(hào)、密碼、權(quán)限變更記錄維護(hù)在一張表里定期與實(shí)際環(huán)境比對(duì)發(fā)現(xiàn)“幽靈賬號(hào)”只有創(chuàng)建沒(méi)有使用記錄的賬號(hào)及時(shí)清理。這條工作很枯燥但能避免很多隱患。實(shí)際執(zhí)行時(shí)可以使用數(shù)據(jù)庫(kù)自帶的權(quán)限查詢語(yǔ)句導(dǎo)出賬號(hào)列表與權(quán)限列表再和臺(tái)賬逐條比對(duì)。3. 數(shù)據(jù)加密靜態(tài)加密、傳輸加密與動(dòng)態(tài)脫敏3.1 靜態(tài)數(shù)據(jù)加密透明數(shù)據(jù)加密與表空間加密“數(shù)據(jù)庫(kù)文件被別人拷走了”這件事并不罕見(jiàn)可能是備份文件泄露也可能是磁盤被拿走。應(yīng)對(duì)辦法是靜態(tài)加密。主流數(shù)據(jù)庫(kù)都提供了透明數(shù)據(jù)加密或表空間加密。以某商業(yè)數(shù)據(jù)庫(kù)為例可以配置列級(jí)加密開(kāi)源數(shù)據(jù)庫(kù)則通常需要借助文件系統(tǒng)加密或第三方工具。我做靜態(tài)加密時(shí)的幾個(gè)經(jīng)驗(yàn)先確認(rèn)需要加密哪些敏感列比如身份證號(hào)、手機(jī)號(hào)、銀行卡號(hào)。全部表加密會(huì)導(dǎo)致性能下降和管理復(fù)雜度上升。加密密鑰單獨(dú)保管不要和數(shù)據(jù)庫(kù)放在同一臺(tái)服務(wù)器。否則攻擊者拿到了服務(wù)器就同時(shí)拿到了密鑰和密文加密形同虛設(shè)。啟用透明數(shù)據(jù)加密后要測(cè)試對(duì)索引和查詢的影響。因?yàn)榧用芰型ǔo(wú)法直接進(jìn)行模糊查詢或排序需要配合應(yīng)用層改造。如果數(shù)據(jù)庫(kù)本身不支持靜態(tài)加密可以在操作系統(tǒng)層面使用文件系統(tǒng)加密對(duì)整個(gè)數(shù)據(jù)目錄進(jìn)行透明加密。好處是應(yīng)用無(wú)感知壞處是密鑰管理還是要單獨(dú)解決。這里也涉及一個(gè)細(xì)節(jié)密鑰備份要放到離線位置否則密鑰丟失比數(shù)據(jù)丟失更麻煩。3.2 傳輸加密TLS/SSL配置要點(diǎn)數(shù)據(jù)庫(kù)客戶端和服務(wù)器之間的流量如果不加密在同一個(gè)局域網(wǎng)內(nèi)可以被抓包。不要覺(jué)得內(nèi)網(wǎng)就安全攻擊者通過(guò)應(yīng)用漏洞進(jìn)入某臺(tái)主機(jī)后第一件事就是抓流量、嗅探數(shù)據(jù)庫(kù)賬密。所以生產(chǎn)環(huán)境的數(shù)據(jù)庫(kù)連接必須啟用TLS/SSL。配置要點(diǎn)如下證書由內(nèi)部CA簽發(fā)客戶端配置CA根證書校驗(yàn)服務(wù)器主機(jī)名。應(yīng)用連接串要明確標(biāo)記使用SSL并禁止回退到非加密模式。數(shù)據(jù)庫(kù)服務(wù)端關(guān)閉非SSL監(jiān)聽(tīng)端口或者至少對(duì)遠(yuǎn)程連接強(qiáng)制SSL。注意TLS版本避免使用已經(jīng)被淘汰的老舊協(xié)議。配置完成后我習(xí)慣用抓包工具檢查一遍抓取數(shù)據(jù)庫(kù)握手包確認(rèn)是否出現(xiàn)明文賬號(hào)密碼。如果還能看到明文說(shuō)明配置沒(méi)生效別急著收工。很多數(shù)據(jù)庫(kù)的SSL是“可選”的客戶端可以連但不會(huì)報(bào)錯(cuò)流量卻是明文。必須顯式要求客戶端使用SSL才能保證連接真正加密。3.3 數(shù)據(jù)脫敏與動(dòng)態(tài)掩碼加密解決的是“存儲(chǔ)”和“傳輸”環(huán)節(jié)而在應(yīng)用演示、測(cè)試環(huán)境、日志采集場(chǎng)景下數(shù)據(jù)仍然需要脫敏。否則就算數(shù)據(jù)庫(kù)本身加密做得再好測(cè)試環(huán)境一旦泄露生產(chǎn)數(shù)據(jù)的敏感信息也會(huì)跟著泄露。我常建議在數(shù)據(jù)庫(kù)層做動(dòng)態(tài)脫敏。比如某商業(yè)數(shù)據(jù)庫(kù)具備動(dòng)態(tài)數(shù)據(jù)掩碼功能可以給特定列配置掩碼規(guī)則。普通用戶查詢時(shí)看到的是脫敏后的數(shù)據(jù)比如手機(jī)號(hào)顯示成中間四位隱藏的格式而有權(quán)限的用戶才能看到明文。相比在應(yīng)用層寫脫敏邏輯數(shù)據(jù)庫(kù)層脫敏的好處是即使有人繞過(guò)了應(yīng)用直接用客戶端查詢也拿不到真實(shí)數(shù)據(jù)。開(kāi)源數(shù)據(jù)庫(kù)沒(méi)有內(nèi)置動(dòng)態(tài)脫敏時(shí)可以兩種方案替代視圖脫敏創(chuàng)建一層脫敏視圖把敏感列通過(guò)函數(shù)轉(zhuǎn)換應(yīng)用賬號(hào)只訪問(wèn)視圖。存儲(chǔ)過(guò)程代理所有查詢走存儲(chǔ)過(guò)程由存儲(chǔ)過(guò)程控制返回字段。這兩種方式都有維護(hù)成本但聊勝于無(wú)。另外一個(gè)常見(jiàn)坑是測(cè)試環(huán)境使用生產(chǎn)數(shù)據(jù)副本卻未脫敏。最好在備份恢復(fù)流程里加入“恢復(fù)后自動(dòng)執(zhí)行脫敏更新”的步驟讓每次恢復(fù)出來(lái)的測(cè)試庫(kù)從一開(kāi)始就是干凈數(shù)據(jù)。4. 數(shù)據(jù)庫(kù)審計(jì)與異常發(fā)現(xiàn)4.1 審計(jì)日志該記什么數(shù)據(jù)庫(kù)默認(rèn)的日志往往只記錄錯(cuò)誤和連接日志對(duì)于敏感操作查詢未必記錄。如果要滿足安全審計(jì)和事后追溯至少需要記錄這些內(nèi)容登錄成功與失敗包括來(lái)源IP、客戶端工具、登錄賬號(hào)、時(shí)間。DDL操作建表、改表、刪表尤其是DROP、TRUNCATE類操作。DCL操作授權(quán)、創(chuàng)建用戶、修改密碼。敏感表的DML操作比如對(duì)用戶表、訂單表的高頻查詢和大批量導(dǎo)出。記錄太多了會(huì)影響性能所以要有取舍。我一般會(huì)分為基礎(chǔ)審計(jì)和安全增強(qiáng)審計(jì)兩級(jí)基礎(chǔ)審計(jì)記錄登錄和DDL安全增強(qiáng)審計(jì)針對(duì)敏感表記錄DML。比如一個(gè)訂單系統(tǒng)用戶表和訂單表是核心那就把這兩張表的SELECT、UPDATE、DELETE都納入審計(jì)。審計(jì)日志的保存期限建議至少180天并且要異地存儲(chǔ)。很多系統(tǒng)審計(jì)日志和數(shù)據(jù)庫(kù)在同一臺(tái)服務(wù)器數(shù)據(jù)庫(kù)被入侵后日志先被清掉等于白審計(jì)。應(yīng)該把日志實(shí)時(shí)轉(zhuǎn)發(fā)到獨(dú)立的日志中心或者對(duì)象存儲(chǔ)?？梢耘渲脭?shù)據(jù)庫(kù)的syslog輸出讓審計(jì)日志實(shí)時(shí)發(fā)到遠(yuǎn)程日志服務(wù)器。4.2 如何從日志中識(shí)別異常行為有了日志只是第一步怎么從海量日志里發(fā)現(xiàn)異常才是難點(diǎn)。我總結(jié)幾個(gè)高價(jià)值規(guī)則短時(shí)間內(nèi)登錄失敗次數(shù)超過(guò)閾值比如5分鐘內(nèi)10次說(shuō)明可能有暴破。同一個(gè)賬號(hào)在多個(gè)IP同時(shí)登錄說(shuō)明賬號(hào)可能被盜用。凌晨時(shí)段的批量導(dǎo)出操作例如對(duì)訂單表做全表SELECT行數(shù)超過(guò)一定量。應(yīng)用賬號(hào)執(zhí)行了DDL語(yǔ)句這絕對(duì)不正常。應(yīng)用賬號(hào)只應(yīng)該有DML和SELECT權(quán)限。使用異?？蛻舳斯ぞ哌B接比如突然出現(xiàn)一個(gè)GUI客戶端而不是應(yīng)用服務(wù)器IP。這些規(guī)則可以寫到告警系統(tǒng)里。如果數(shù)據(jù)庫(kù)自帶審計(jì)分析可以用內(nèi)置報(bào)表否則就需要把日志接入日志平臺(tái)設(shè)置規(guī)則。我重點(diǎn)提醒一下不要只監(jiān)控“登錄失敗”更要監(jiān)控“登錄成功后的異常動(dòng)作”。攻擊者不會(huì)一直爆破失敗往往在某一瞬間用正確密碼登錄成功然后進(jìn)行數(shù)據(jù)導(dǎo)出。如果只監(jiān)控失敗就看不到真正的竊取行為。實(shí)際環(huán)境中很多人把精力放在“有人掃端口”上卻忽略了真正已經(jīng)得手的那臺(tái)主機(jī)。4.3 堡壘機(jī)與數(shù)據(jù)庫(kù)防火墻的協(xié)同很多公司的數(shù)據(jù)庫(kù)運(yùn)維是通過(guò)跳板機(jī)或堡壘機(jī)來(lái)操作的。這里要注意堡壘機(jī)只能管住“人”的連接管不住“應(yīng)用”的連接。應(yīng)用服務(wù)器的數(shù)據(jù)庫(kù)連接不會(huì)經(jīng)過(guò)堡壘機(jī)這部分連接要靠數(shù)據(jù)庫(kù)防火墻或者網(wǎng)絡(luò)ACL。數(shù)據(jù)庫(kù)防火墻可以在數(shù)據(jù)庫(kù)前面做四層和七層過(guò)濾IP白名單、協(xié)議解析、SQL黑名單。比如設(shè)置規(guī)則“只允許應(yīng)用服務(wù)器的固定IP訪問(wèn)數(shù)據(jù)庫(kù)端口”再設(shè)置“禁止應(yīng)用賬號(hào)執(zhí)行DROP或TRUNCATE”。有了這道防線即使應(yīng)用被入侵攻擊者也很難直接在數(shù)據(jù)庫(kù)上執(zhí)行破壞性命令。不過(guò)數(shù)據(jù)庫(kù)防火墻的誤報(bào)問(wèn)題挺頭疼尤其是SQL語(yǔ)句多樣化時(shí)規(guī)則寫得太死會(huì)影響業(yè)務(wù)。我的建議是先開(kāi)啟審計(jì)模式觀察一段時(shí)間確認(rèn)正常語(yǔ)句基線再逐步啟用攔截模式。不要第一天就上阻斷否則業(yè)務(wù)告警會(huì)淹沒(méi)了真正的安全問(wèn)題。5. 備份恢復(fù)與應(yīng)急響應(yīng)5.1 備份策略不只是“每天備份一次”數(shù)據(jù)庫(kù)安全里最容易被忽略的是備份。實(shí)際上遇到勒索病毒或者誤刪數(shù)據(jù)時(shí)備份幾乎是唯一救命稻草。但備份策略如果設(shè)計(jì)不好恢復(fù)時(shí)才發(fā)現(xiàn)數(shù)據(jù)不全就晚了。我建議按“3-2-1原則”設(shè)計(jì)備份保留至少3份數(shù)據(jù)備份。存儲(chǔ)在2種不同介質(zhì)上比如本地磁盤和異地對(duì)象存儲(chǔ)。至少有1份離線備份或異地備份防止單一機(jī)房故障導(dǎo)致全部丟失。備份頻率要結(jié)合RPO需求。核心交易庫(kù)可能要每15分鐘做一次增量備份或日志備份一般業(yè)務(wù)庫(kù)可以每天全量加每小時(shí)增量。不要一味追求頻繁全量備份因?yàn)槿總浞輰?duì)生產(chǎn)環(huán)境IO影響較大。合理方式是每周一次全量每天一次增量加上實(shí)時(shí)的歸檔日志傳輸。備份驗(yàn)證也要自動(dòng)化。我見(jiàn)過(guò)不少備份文件是壞的大家一直以為沒(méi)問(wèn)題。每個(gè)月隨機(jī)抽一個(gè)備份做一次恢復(fù)測(cè)試確保備份文件可讀、可恢復(fù)、恢復(fù)后數(shù)據(jù)一致性沒(méi)問(wèn)題。這一步雖然花時(shí)間但比災(zāi)難發(fā)生時(shí)才發(fā)現(xiàn)備份不可用強(qiáng)得多。5.2 恢復(fù)演練才是安全的最后一公里“備份”做好了恢復(fù)能力是不是100%不一定。恢復(fù)演練才能驗(yàn)證整個(gè)鏈路?；謴?fù)演練有幾個(gè)關(guān)鍵點(diǎn)使用與生產(chǎn)一致或接近的硬件資源。如果你的生產(chǎn)庫(kù)是大內(nèi)存配置恢復(fù)演練庫(kù)只有一小部分內(nèi)存那恢復(fù)時(shí)間會(huì)完全不同演練結(jié)果沒(méi)有參考價(jià)值。測(cè)試恢復(fù)后的數(shù)據(jù)一致性。比如先做一次事務(wù)操作記錄最后一條訂單ID恢復(fù)后檢查該ID是否存在以及關(guān)聯(lián)表數(shù)量是否匹配。演練要覆蓋“恢復(fù)到指定時(shí)間點(diǎn)”而不只是恢復(fù)到最近一次備份。因?yàn)樽畛０l(fā)生的問(wèn)題是誤操作后需要恢復(fù)到誤操作之前的某個(gè)時(shí)間點(diǎn)。舉個(gè)例子某業(yè)務(wù)系統(tǒng)誤刪了一張核心表準(zhǔn)備用昨晚的備份恢復(fù)卻發(fā)現(xiàn)備份策略沒(méi)開(kāi)啟歸檔日志只能恢復(fù)到昨晚零點(diǎn)丟失了當(dāng)天一整天的數(shù)據(jù)。這就是典型的RPO沒(méi)想清楚?；謴?fù)能力不是寫在文檔里的口號(hào)而是要真的滿足業(yè)務(wù)預(yù)期。5.3 勒索病毒場(chǎng)景下的應(yīng)急清單勒索病毒是數(shù)據(jù)庫(kù)安全里非?，F(xiàn)實(shí)的威脅。數(shù)據(jù)庫(kù)服務(wù)器一旦被加密業(yè)務(wù)會(huì)立刻中斷。面對(duì)這種場(chǎng)景應(yīng)急響應(yīng)要快但也要冷靜。我整理過(guò)一份應(yīng)急清單立即斷網(wǎng)隔離被感染的服務(wù)器防止加密擴(kuò)散到其他主機(jī)和備份存儲(chǔ)。不要在未知情況下刪除任何文件先保留現(xiàn)場(chǎng)供取證。評(píng)估備份的完整性確認(rèn)離線備份或異地備份是否可用。不建議支付贖金正規(guī)做法是走備份恢復(fù)。恢復(fù)后第一時(shí)間修改所有數(shù)據(jù)庫(kù)賬號(hào)密碼、系統(tǒng)賬號(hào)密碼并排查入侵入口。復(fù)盤問(wèn)題是通過(guò)什么路徑進(jìn)來(lái)的為什么備份也被加密后續(xù)如何補(bǔ)漏洞最后一條很重要備份存儲(chǔ)本身也要納入權(quán)限管控。如果備份目錄允許數(shù)據(jù)庫(kù)服務(wù)器直接寫入那勒索病毒就會(huì)把備份一并加密離線備份的意義正在于此。我見(jiàn)過(guò)不止一次攻擊者拿到數(shù)據(jù)庫(kù)服務(wù)器后順手把掛載在同一臺(tái)機(jī)器的備份盤也刪了。所以備份與生產(chǎn)環(huán)境的隔離一定要做扎實(shí)。6. 安全運(yùn)維的常見(jiàn)坑與自查清單6.1 常見(jiàn)坑外網(wǎng)映射、弱口令、權(quán)限過(guò)大我把這幾年見(jiàn)到的低水平安全事件歸成幾類列成一張表坑典型表現(xiàn)后果數(shù)據(jù)庫(kù)端口映射公網(wǎng)把數(shù)據(jù)庫(kù)端口直接映射到公網(wǎng)弱口令暴破、拖庫(kù)弱口令簡(jiǎn)單數(shù)字、通用單詞被猜中直接淪陷權(quán)限過(guò)大應(yīng)用賬號(hào)有ALL權(quán)限SQL注入可直接刪庫(kù)明文連接串配置文件里直接寫密碼源碼泄露導(dǎo)致拖庫(kù)日志不記錄關(guān)閉審計(jì)日志出事無(wú)從查證備份不驗(yàn)證從未做過(guò)恢復(fù)測(cè)試關(guān)鍵時(shí)刻備份不可用這些坑看起來(lái)低級(jí)但存量系統(tǒng)里大量存在。我?guī)湍硞€(gè)客戶做安全咨詢的時(shí)候抽查他們的核心庫(kù)發(fā)現(xiàn)應(yīng)用連接串在代碼倉(cāng)庫(kù)里明文保存而且應(yīng)用賬號(hào)擁有整個(gè)實(shí)例的ALL權(quán)限。雖然后來(lái)整改了但之前有沒(méi)有人通過(guò)泄露的代碼倉(cāng)庫(kù)進(jìn)入過(guò)數(shù)據(jù)庫(kù)沒(méi)人知道。這種歷史遺留風(fēng)險(xiǎn)只能靠主動(dòng)審計(jì)盡早發(fā)現(xiàn)。6.2 自查清單每季度做一次最后給一份可以直接抄作業(yè)的自查清單建議每季度做一次。每一項(xiàng)都不復(fù)雜但堅(jiān)持做下來(lái)安全水位會(huì)明顯提高。賬號(hào)與權(quán)限[ ] 列出所有數(shù)據(jù)庫(kù)賬號(hào)標(biāo)記負(fù)責(zé)人[ ] 清理超過(guò)90天未使用的賬號(hào)[ ] 確認(rèn)應(yīng)用賬號(hào)沒(méi)有DELETE權(quán)限和DDL權(quán)限[ ] 確認(rèn)管理賬號(hào)僅限少數(shù)人使用。認(rèn)證與密碼[ ] 檢查是否存在弱口令、共用賬號(hào)[ ] 檢查連接串是否用密鑰管理而不是明文寫死[ ] 確認(rèn)密碼輪換機(jī)制生效。網(wǎng)絡(luò)與暴露面[ ] 檢查數(shù)據(jù)庫(kù)端口是否有公網(wǎng)映射[ ] 確認(rèn)應(yīng)用服務(wù)器到數(shù)據(jù)庫(kù)的訪問(wèn)有IP白名單限制[ ] 確認(rèn)遠(yuǎn)程管理必須經(jīng)過(guò)堡壘機(jī)。加密與審計(jì)[ ] 檢查敏感列是否啟用加密[ ] 檢查數(shù)據(jù)庫(kù)連接是否強(qiáng)制SSL[ ] 確認(rèn)審計(jì)日志已開(kāi)啟并異地存儲(chǔ)。備份與恢復(fù)[ ] 確認(rèn)備份任務(wù)的最近一次執(zhí)行成功[ ] 隨機(jī)抽一個(gè)備份做恢復(fù)測(cè)試[ ] 確認(rèn)離線備份位置沒(méi)有被數(shù)據(jù)庫(kù)服務(wù)器直接訪問(wèn)。這份清單適用于大多數(shù)中小規(guī)模數(shù)據(jù)庫(kù)環(huán)境。如果你管理的是大型集群還需要考慮多租戶隔離、變更審批流程、數(shù)據(jù)分類分級(jí)等更復(fù)雜的機(jī)制但底層邏輯不變權(quán)限最小化、數(shù)據(jù)加密、全程審計(jì)、可恢復(fù)。最后再分享一點(diǎn)個(gè)人體會(huì)我在實(shí)際工作中發(fā)現(xiàn)數(shù)據(jù)庫(kù)安全最核心的往往不是某一個(gè)高深技術(shù)而是持續(xù)的基礎(chǔ)管理。很多團(tuán)隊(duì)在整改完弱口令和公網(wǎng)映射之后安全風(fēng)險(xiǎn)已經(jīng)下降了大部分。剩下那些復(fù)雜方案可以慢慢補(bǔ)。不要一開(kāi)始就追求“大而全”的安全架構(gòu)先把自己的家底盤清楚再逐項(xiàng)加固才是性價(jià)比最高的路徑。