数据库安全优秀实践十项

Risk BasedSecurity2020年第三季度报告显示，2020年1月到9月间约有360亿数据记录被盗。这一结果虽然令人吃惊，但也发出了需要切实加强数据库安全措施的明确信息。

数据库安全措施与网站安全实践略有不同。前者涉及物理措施、软件解决方案，乃至员工安全教育。不过，保护站点免遭网络罪犯利用潜在攻击途径入侵也同样重要。

本文谨列出10个数据库安全优秀实践，帮助读者加强敏感数据安全。

1.部署物理数据库安全措施

数据中心或自有服务器容易遭遇外部人甚或恶意内部人的物理攻击。只要能够接触实体数据库服务器，网络罪犯就能盗取数据、损坏数据，甚至植入恶意软件获取远程访问权。如果缺乏额外的安全措施，我们就难以检测此类攻击，因为它们能够绕过数字安全规程。

在选择Web托管服务时，一定要确保服务提供商一贯重视安全，过往安全记录良好。同时，最好避免选择免费的托管服务，因为可能不安全。

如果自行保管服务器，强烈建议增配摄像头、锁具等物理安全措施，并配备安保人员。此外，还应保留全部物理服务器访问记录，并只允许特定人员接触物理服务器，从而缓解恶意行为风险。

2.隔离数据库服务器

需要采用专门的安全措施来保护数据库免遭网络攻击。而将数据与网站放到同一台服务器上，则是将数据暴露给了针对网站的各种攻击方法。

假设你运营着一家在线商店，并且把你的网站、非敏感数据和敏感数据都放在同一台服务器上。没错，你确实可以利用托管服务供应商提供的安全措施，以及电子商务平台的安全功能来防止网络攻击和欺诈。但是，你的敏感数据就难以抵御通过网站和在线商店平台实施的攻击了。无论是网站还是在线商店平台，网络罪犯但凡能攻破其中一个，就可以访问你的数据库。

想要缓解这些安全风险，那就将你的数据库服务器与其他一切隔离开来。此外，采用实时安全信息与事件管理(SIEM)，这是专门用于数据库安全的，可供企业在遭遇入侵时立即采取行动。

3.设置HTTPS代理服务器

从工作站发出的请求在访问数据库服务器之前会经过代理服务器的评估。这样一来，代理服务器就像守门员一样拦住非授权请求。

最常见的代理服务器基于HTTP。然而，如果你要处理敏感信息，例如密码、支付信息或个人信息，那就设置HTTPS服务器。这样穿过代理服务器的数据就也是加密的，能够多一层安全。

4.避免使用默认网络端口

TCP和UDP协议用在服务器间传输数据的时候。设置这些协议时往往会自动使用默认网络端口。由于太常见了，暴力破解攻击就经常使用默认端口。

如果你不使用默认端口，盯上你服务器的网络攻击者就必须尝试不同端口号，不断试错。这额外的工作量很是劝退，攻击者不会再在你身上耗时间。

不过，分配新端口的时候，记得查一下互联网号码分配机构(IANA)的端口注册表，确保新端口没被其他服务占用。

5.使用实时数据库监测

主动扫描数据库检查入侵尝试可以强化安全，也有助于应对潜在攻击。

可以使用Tripwire的实时文件完整性监测(FIM)记录数据库服务器上所有行为，发现异常及时报警。此外，还可以设置升级规程应对潜在攻击，让敏感数据更加安全。

另一个值得考虑的方面是定期审计数据库安全并组织网络安全渗透测试。这些措施有助于发现潜在安全漏洞，在数据泄露发生之前打上补丁。

6.采用数据库防火墙和Web应用防火墙

防火墙是拦住恶意访问的第一道防线。除网站防护措施之外，还应安装防火墙来保护数据库免遭不同攻击方式侵害。

有三种类型的防火墙常用于保护网络安全：

• 包过滤防火墙
• 有状态包检测(SPI)
• 代理服务器防火墙

防火墙的配置要确保正确覆盖每个安全漏洞。另外，保持更新防火墙也是必需的，因为这样才能保护站点和数据库能抵御新型网络攻击方法。

7.部署数据加密协议

数据加密不仅能保护你的商业秘密，也是传输和存储敏感用户信息的重要防护措施。

设置数据加密协议可以降低数据泄露风险。换句话说，即使网络罪犯拿到了你的数据，这些信息也是安全的。

8.创建定期数据库备份

创建网站备份算是常见操作了，但定期创建数据库备份也很重要。这么做可以缓解因恶意攻击或数据损坏而造成的敏感信息丢失风险。

在Windows和Linux等常见服务器上创建数据库备份的方法可在官网上找到。此外，要想进一步强化安全，最好在单独的服务器上加密并存储备份。这样，即使主数据库服务器被黑或无法访问，你的数据也可以恢复。

9.保持应用更新

研究显示，90%的应用都包含过时软件组件。而且，对WordPress插件的分析揭示，17,383个插件两年来都没更新过，13,655个插件三年没更新过，3,990个插件甚至长达七年未更新。你用来管理数据库甚至运营网站的软件就是这些过时组件的集合，其间蕴含的巨大安全风险可想而知。

虽然你应该只用经验证的可信数据库管理软件，但也应该保持更新，在有可用补丁时及时安装。同样的更新原则也适用于小部件、插件和第三方应用，并且要加上一条建议：不要使用那些没接收定期更新的。完全离它们远远的。

10.采用强用户身份验证

Verizon最新的研究揭示，80%的数据泄露事件由被盗密码导致。这表明单靠密码可不是什么良好的安全措施，因为不会设置强密码的人太多了。

想要对抗密码设置中的人为失误问题，以及给你的数据库安全增添另一层防护，不妨设立多因子身份验证过程。(该方法并不完美。)这样即使登录凭证被盗，网络罪犯也很难绕过这一安全规程。

此外，仅允许经验证的IP地址访问数据库也可以进一步缓解潜在数据泄露风险。尽管IP地址可被复制或屏蔽，但这好歹也要求攻击者的技术水平要达到一定门槛，而且也更费事了不是?

强化数据库安全，缓解数据泄露风险

保护数据库免受恶意攻击侵害是一项系统性工作，囊括从服务器物理位置到人为失误风险缓解等诸多方面。

即使数据泄露越来越频繁，维护健康的安全规程也能降低遭攻击的风险，帮助避免真被攻击者盗得数据。