數據安全非單層防護可成，需網絡、系統、應用、資料庫四層疊加。本文整理可快速落地的清單。
1. 網絡與系統層
- MySQL 放內網，禁公網；不得已開公網 → SSH 改 ≥10000 端口、防火牆白名單。
- 修改 iDRAC/IMM 密碼、設 GRUB 密碼。
- 密碼策略：長度 ≥8，建議用複雜密碼 MD5 後 32 位。
- 操作日誌送遠程 Syslog，禁本地單存。
- 非必要賬號設
/sbin/nologin。
- MySQL 服務器獨立部署；混部必須權限隔離，Web/App 進程不可直訪 datadir。
- 禁用 Web 自動索引、啟用 HTTPS、關鍵組件持續更新。
- Nginx/PHP 禁危險函數、考慮購買雲廠商防護產品。
- 嚴禁關鍵配置（含密碼）上傳 GitHub 等公網。
2. 邏輯應用層
- 慎用開源 CMS/論壇，未經審計勿上公網。
- Nginx 掛 WAF、App 層代碼審計掃描（XSS、CSRF、SQLi、文件上傳、Cookie 繞過）。
- JDBC 等配置密碼加密存儲，或走 Proxy 層間接連 MySQL。
- 啟用交易等關鍵日誌，便於對賬追溯。
3. MySQL 資料庫層
- 啟用
safe-update 防無 WHERE 全表改刪。
- 延長 Binlog 保留天數，支援審計。
- 應用賬號只給
SELECT/INSERT/UPDATE，收回 DELETE；刪除改邏輯標記、真刪由 DBA 備份後執行。
- 部署 Percona SQL 審計插件或 McAfee 插件。
- 用 Trigger 輔助防篡改。
4. 後記
工具與制度是骨架，全員安全意識才是靈魂。無敬畏之心，再完善機制也靠不住。
