資料庫系統防入侵技術綜述：網路、主機、DBMS 三層防禦體系

三層安全架構

網路層深度解析

威脅類型

• 偽裝、重放、封包修改、拒絕服務、後門、木馬、隧道攻擊、應用層攻擊。

防火牆演進

1. 封包過濾器：基於 IP/Port/協定的 ACL，效能高但無狀態感知。
2. 應用代理：理解應用協定 (HTTP/SMTP)，可深度檢查，但效能較差、協定支援有限。
3. 狀態檢測：維持連線狀態表，結合效能與安全，現代防火牆主流架構。

IDS 分析引擎

• 特徵匹配：已知攻擊模式庫，低誤報、無法發現 0-day。
• 統計異常：基線偏差檢測，可發現未知攻擊，但高誤報需調教。
• 完整性檢查：關鍵檔案雜湊比對，發現竄改。

主機層硬化要點

• 最小化安裝、關閉非必要服務、移除預設帳號。
• 強制密碼複雜度、鎖定策略、SSH 金鑰認證、禁止 root 遠程登入。
• 檔案系統 ACL：資料庫資料目錄僅 mysql 使用者可讀寫 (750)。
• 啟用稽核：登入/登出、權限變更、敏感檔案存取。
• 核心參數硬化：net.ipv4.tcp_syncookies=1、fs.suid_dumpable=0 等。

DBMS 層：資料庫加密架構選型

三種實現層級比較

外層加密系統運作流程 (參考文獻架構)

1. 應用發出 SQL → 攔截器捕獲。
2. 語法分析 → 非標準 SQL 直接轉發。
3. 查詢加密字典：判斷欄位是否需加密、演算法、金鑰版本。
4. 改寫 SQL：INSERT INTO t(c) VALUES ('plain') → INSERT INTO t(c) VALUES (AES_ENCRYPT('plain', key))。
5. 轉發給 DBMS 執行。
6. 結果集返回 → 解密欄位 → 還原明文給應用。

核心模組：加密字典管理 (策略)、加解密引擎 (三大子模組：處理/使用者介面/資料庫介面)。

總結

資料庫安全非單一產品可解，**必須網路+主機+DBMS 三層纵深防禦**，並根據資料敏感度選擇加密層級。現代架構傾向：網路零信任 + 主機不可變基礎設施 + DBMS 原生 TDE (透明資料加密) + 應用層資料遮罩，構建全鏈路資料保護。