數據庫安全防護六大實戰措施：通配符清理、強密碼、配置文件權限、傳輸加密、禁用遠程、審計日志

數據庫核心資產保護需從授權模型、認證強度、配置安全、網絡傳輸、訪問面縮減、審計監控六個維度構建纵深防禦體系。以 MySQL 為例，原則通用於 Oracle/PostgreSQL/SQL Server。

1. 清理授權表通配符：最小權限落地

• 風險：GRANT ALL ON *.* TO 'user'@'%' 導致橫向越權
• 措施：顯式指定庫/表/列權限，移除 % 主機通配符
• 巡檢：SELECT * FROM mysql.user WHERE host='%'; 定期掃描

2. 強制安全密碼策略

• Root 首要修改默認空密碼
• 拒絕生日、用戶名、字典詞作為密碼
• 啟用 --secure-auth 禁用舊版密碼哈希
• 配置 validate_password 插件：長度≥12、混合大小寫數字特殊字符、過期輪換

3. 配置文件權限鎖定

• 客戶端 .my.cnf 明文存儲密碼
• 權限設置：chmod 600 ~/.my.cnf、存放於非公開目錄
• 生產環境推薦：密碼存儲於 Vault/Secrets Manager，運行時注入環境變量

4. 客戶-服務器傳輸加密

• 明文協議易被抓包竊取數據
• 方案 A：MySQL 原生 SSL/TLS（REQUIRE SSL、ssl_ca/cert/key）
• 方案 B：SSH 隧道 / stunnel / WireGuard 建立加密通道
• 驗證：SHOW STATUS LIKE 'Ssl_cipher'; 確認加密協商

5. 禁止不必要的遠程訪問

• 啟動參數：--skip-networking 僅允許 Unix Socket 本地連接
• 或綁定回環：bind-address=127.0.0.1 僅本機訪問
• 雲環境：安全組/防火牆僅放行應用服務器 IP 段 3306 端口

6. 主動監控審計日志

• 通用查詢日志：記錄連接/斷開/每條 SQL（高負載慎開）
• 審計插件：audit_log 記錄 DDL/DML/登錄事件，性能影響較小
• 異常檢測：離線分析日志識別非常規時間/用戶/語句模式
• SIEM 集成：實時流式傳輸至 Splunk/ELK 告警

持續安全建設

1. 建立基線配置（CIS Benchmark）
2. 季度滲透測試、年度紅藍對抗
3. 補丁管理：關鍵 CVE 48 小時內修復
4. 數據分類分級：敏感字段列級加密、脫敏

安全非一次性項目，而是持續演進的體系工程。將上述措施編碼為 Ansible/Terraform/Policy as Code，實現合規自動化檢查與修復。