数据库安全的十个最佳实践

Risk Based Security 2020年第三季度报告显示，2020年1月到9月间约有360亿数据记录被盗。这一结果虽然令人吃惊，但也发出了需要切实加强数据库安全措施的明确信息。

数据库安全措施与网站安全实践略有不同。前者涉及物理措施、软件解决方案，乃至员工安全教育。不过，保护站点免遭网络罪犯利用潜在攻击途径入侵也同样重要。

本文谨列出10个数据库安全最佳实践，帮助读者加强敏感数据安全。

1. 部署物理数据库安全措施

数据中心或自有服务器容易遭遇外部人甚或恶意内部人的物理攻击。只要能够接触实体数据库服务器，网络罪犯就能盗取数据、损坏数据，甚至植入恶意软件获取远程访问权。如果缺乏额外的安全措施，我们就难以检测此类攻击，因为它们能够绕过数字安全规程。

在选择Web托管服务时，一定要确保服务提供商一贯重视安全，过往安全记录良好。同时，最好避免选择免费的托管服务，因为可能不安全。

如果自行保管服务器，强烈建议增配摄像头、锁具等物理安全措施，并配备安保人员。此外，还应保留全部物理服务器访问记录，并只允许特定人员接触物理服务器，从而缓解恶意行为风险。

2. 隔离数据库服务器

需要采用专门的安全措施来保护数据库免遭网络攻击。而将数据与网站放到同一台服务器上，则是将数据暴露给了针对网站的各种攻击方法。

假设你运营着一家在线商店，并且把你的网站、非敏感数据和敏感数据都放在同一台服务器上。没错，你确实可以利用托管服务供应商提供的安全措施，以及电子商务平台的安全功能来防止网络攻击和欺诈。但是，你的敏感数据就难以抵御通过网站和在线商店平台实施的攻击了。无论是网站还是在线商店平台，网络罪犯但凡能攻破其中一个，就可以访问你的数据库。

想要缓解这些安全风险，那就将你的数据库服务器与其他一切隔离开来。此外，采用实时安全信息与事件管理（SIEM），这是专门用于数据库安全的，可供企业在遭遇入侵时立即采取行动。

3. 设置HTTPS代理服务器

从工作站发出的请求在访问数据库服务器之前会经过代理服务器的评估。这样一来，代理服务器就像守门员一样拦住非授权请求。

最常见的代理服务器基于HTTP。然而，如果你要处理敏感信息，例如密码、支付信息或个人信息，那就设置HTTPS服务器。这样穿过代理服务器的数据就也是加密的，能够多一层安全。

4. 避免使用默认网络端口

TCP和UDP协议用在服务器间传输数据的时候。设置这些协议时往往会自动使用默认网络端口。

由于太常见了，暴力破解攻击就经常使用默认端口。如果你不使用默认端口，盯上你服务器的网络攻击者就必须尝试不同端口号，不断试错。这额外的工作量很是劝退，攻击者不会再在你身上耗时间。

不过，分配新端口的时候，记得查一下互联网号码分配机构（IANA）的端口注册表，确保新端口没被其他服务占用。

5. 使用实时数据库监测

主动扫描数据库检查入侵尝试可以强化安全，也有助于应对潜在攻击。

可以使用Tripwire的实时文件完整性监测（FIM）记录数据库服务器上所有行为，发现异常及时报警。此外，还可以设置升级规程应对潜在攻击，让敏感数据更加安全。

另一个值得考虑的方面是定期审计数据库安全并组织网络安全渗透测试。这些措施有助于发现潜在安全漏洞，在数据泄露发生之前打上补丁。