你应该知道的10个数据库安全最佳实践

你应该知道的10个数据库安全最佳实践

随着数字化时代的到来，数据库安全已成为企业和组织面临的重要挑战。根据Flashpoint 2022年度审查报告显示，仅在去年期间就有390亿份记录遭到泄露。这骇人听闻的数据为人们敲响了警钟，企业与组织急需采取有效的数据库安全措施来抵御此类威胁。本文将介绍10个数据库安全最佳实践，以期为组织在敏感数据安全性的提升方面提供一些建议指南。

1、为数据库部署物理防护措施

无论是数据中心，还是组织自己的服务器都难免会受到物理层面的攻击，此类攻击可能来自于外部威胁者，甚至也有可能是组织内部员工所发起的。然而，一旦不法分子得以在物理层面上访问到组织的数据库，那么他们就可以对组织内部的数据实施窃取或破坏，同时也可以通过向数据库服务器注入恶意软件来获得远程访问权限。

对于那些拥有自己服务器的组织，本文强烈建议采取一些物理安全措施（例如摄像头、安全锁以及专门的保安等）来保护组织的敏感数据。此外，物理服务器中的所有访问记录也都应该被记录下来，并提交且只提交给专门的负责人员，从而减轻恶意活动所带来的风险。服务器机房的物理安全标准包括：

• ISO 27001
• ISO 20000-1
• NIST SPs (SP 800-14, SP 800-23, and SP 800-53)
• 美国国防部信息保障技术框架
• SSAE 18 SOC 1 Type II, SOC 2 Type II and SOC 3

2、对数据库服务器进行隔离

要保护自己的数据库免遭网络攻击的侵害，组织必须采取有针对性的安全措施。同时，为了降低数据库被暴露给网络攻击向量的风险，组织也应尽量避免将数据库和站点放置在同一服务器上。

对于那些将站点和敏感数据保存在同一台服务器上的电子商务组织，他们所面临的风险就是：任何入侵网站或在线商务平台的攻击，都有可能进一步访问到他们的服务器。尽管托管服务所提供的网站安全措施以及电子商务平台自带的安全功能可以在一定程度上预防网络攻击与诈骗，但此类组织仍难以避免来自网络或在线交易平台等途径的攻击。

为了缓解此类安全风险，组织就需要将数据库服务器同所有其他服务器分隔开来。此外，组织还可以选择采用实时的安全信息和事件监控（ security information and event monitoring，SIEM）来降低网络攻击风险。SIEM是针对于数据库的安全解决方案，旨在帮助组织在遭到攻击的第一时间内采取行动以抵御威胁。除此之外，漏洞管理解决方案也是一项值得考虑的选择，它可以准确有效地对网络资产所面临的安全风险进行评估。

3、设置HTTPS代理服务器

在访问数据库服务器之前，代理服务器会对来自工作站的请求进行评估。在某种程度上，该服务器充当了“守门人”的角色，旨在阻止未经授权的请求。

常见的代理服务器都是基于HTTP协议的。但如果组织所要处理的是敏感信息（如密码、支付信息或个人信息）的话，那么就需要设置一个基于HTTPS协议的服务器。这样，经过代理服务器的数据也会被进行加密，从而为组织增加了一层安全防护。

4、避免使用默认的网络端口

服务器之间在传输数据时，会使用到TCP和UDP协议。在设置这些协议时，组织通常会自动使用默认的网络端口。

由于对默认端口的使用比较普遍，所以这些默认端口往往会成为暴力攻击的“常客”。组织可以通过替换掉默认端口，来使网络攻击者不得不尝试不同的端口号变化，从而增加他们的工作量与攻击时间。

需要注意的是，在分配新端口时，要提前检查互联网分配号码管理局的端口注册表，以确保新端口不会被用于其他服务。

5、使用实时的数据库监控

主动扫描数据库中的入侵行为，以保护组织的安全性，从而对潜在的攻击进行响应。

为了确保数据库的安全性，组织可以使用监控软件，例如Tripwire的实时文件完整性监控（File Integrity Monitoring，FIM）来记录数据库中的所有操作，并对可能存在的漏洞进行预警提示。此外，在面临潜在攻击时，组织还可以设置升级协议，以保护敏感数据的安全性。

除此之外，还需要定期对数据库进行安全审计，以及针对组织网络安全的渗透测试。这些措施可以帮助组织发现潜在的安全漏洞，并在它们被利用之前对其进行修复，从而进一步确保数据库的安全性。

6、使用数据库和web应用程序防火墙

防火墙是抵御恶意访问尝试的第一层防御措施。除了保护自己的站点之外，组织还需安装防火墙来保护数据库免受来自不同载体的攻击。

以下是三种常见的防火墙类型：

• 数据包过滤器防火墙
• 状态数据包检查（SPI）
• 代理服务器防火墙

组织可以通过配置防火墙来有效覆盖所有的安全漏洞。但为了确保网站和数据库免受新型攻击的侵害，对防火墙的实时更新也是同等重要的。

7、部署数据加密协议

数据加密不仅在商业机密的保护方面十分重要，同时也在用户敏感数据的传输与保存、防范勒索软件以及遵守GDPR等数据隐私法方面发挥着重要作用。

设置数据加密协议可以降低数据泄露的风险。即使恶意分子窃取了组织的数据，但由于该数据处于加密状态，所以其仍是安全的。同时这也意味着组织的数据不仅在静态状态下是安全的，并且在动态的传输过程中也能保持其安全性。

8、创建数据库的定期备份

创建网站备份是一项常见的操作，但是更重要的是要定期为数据库创建备份，并对备份副本进行加密。这样可以降低因恶意攻击或数据损坏而导致敏感数据丢失的风险。建议使用“321”备份规则：

• 存储三个数据副本；
• 使用两种类型的存储器；
• 在系统外部存储一个副本。

为了确保备份的完整性以及员工具备足够的专业知识和经验，应对关键任务基础设施的备份进行定期测试，以便能够及时完成备份恢复工作.”

9、保持应用程序的实时更新

研究表明，88%的代码库中都含有过时的组件。这些过时组件可能存在着漏洞，从而被恶意软件所利用来帮助黑客对组织网络的其他领域进行非法访问。总之，当组织使用软件来管理自己的数据库或网站时，一些严重的安全风险也会随之而来。

对于组织来说，只有那些受信任且通过验证的数据库管理软件才值得被使用，同时，组织还需要保持该软件的实时更新，及时安装新的补丁程序。对于小部件、插件以及第三方应用程序也是如此。如果这些软件无法及时提供补丁，那么组织就应尽可能地避免对其的使用。

10、使用强用户身份验证

根据Verizon 2022年的数据泄露调查报告，去年间67%的数据泄露事件都是由证书泄露所造成的。如今，单一的身份验证方式已不再安全，甚至有人认为密码是无用的。因此，即使是社交媒体网站，至少也应采用双因素认证（2FA）。至于多因素认证（MFA），目前已经被广泛接受为安全用户认证的标准。同时，它还在网络保险资格获取方面发挥着关键作用。

如今，网络不法分子可以通过绕开MFA检查点来对云资源进行非法访问。形势在发生变化，可能很快就会出现一个无密码的未来。

为了进一步降低潜在的数据泄露风险，组织应确保只有通过验证的IP地址才能访问其数据库。虽然IP地址可以被复制或屏蔽，但攻击者却需要付出额外的努力才能绕过这种安全措施。这可以在一定程度上增加攻击的难度。

增强数据库的安全性，以降低数据泄露的风险

使用行业标准的最佳实践来保护数据库可以为组织的零信任方案提供更多的深度防御层。随着入侵事件的不断增加，威胁者入侵到组织网络的可能性也越来越大。为了提高系统的恢复能力，组织应提前做好备份和加密数据的准备。

数世点评

数据库的安全性是一个综合性且系统性的问题，所以涉及的最佳实践也是多层面和大范围的。随着数据库技术应用范围的不断扩大，数据库安全措施必须走立体式的发展道路。这意味着我们需要全方位地思考和掌握数据库安全性的最佳实践，同时还需要不断学习和掌握最新的安全技术和解决方案。未来，数据库安全趋势将更加智能化、自动化、云化、网络化，诸如数据分类存储、智能加密、云原生安全等技术都将得到广泛应用。另外，数据库安全性的实现不仅仅取决于技术手段的应用，同时也需要法规、管理以及社会因素的共同作用。