数据库安全防护几点介绍

企业最有价值的资产通常是其数据库中的客户或产品信息 因此 在这些企业中 数据库管理的一个重要部分就是保护这些数据免受外部攻击 及修复软/硬件故障

在大多数情况下 软硬件故障通过数据备份机制来处理 多数数据库都自带有内置的工具自动完成整个过程 所以这方面的工作相对轻松 也不会出错 但麻烦却来自另一面 阻止外来黑客入侵窃取或破坏数据库中的信息 不幸的是 一般没有自动工具解决这一问题而且 这需要管理员手工设置障碍来阻止黑客 确保公司数据的安全

不对数据库进行保护的常见原因是由于这一工作 麻烦 而 复杂 这确实是事实 但如果你应用MySQL 就可以使用一些方便的功能来显著减少面临的风险 下面列出了以下几个功能

删除授权表中的通配符

MySQL访问控制系统通过一系列所谓的授权表运行 从而对数据库 表格或栏目级别的用户访问权利进行定义 但这些表格允许管理员为一名用户设定一揽子许可 或一组应用通配符的表格 这样做会有潜在的危险 因为黑客可能会利用一个受限的账户来访问系统的其他部分 由于这一原因 在设置用户特权时要谨慎 始终保证用户只能访问他们所需的内容 在给个别用户设定超级特权时要尤其小心 因为这种级别允许普通用户修改服务器的基本配置 并访问整个数据库

建议 对每个用户账户应用显示特权命令 以审查授权表 了解应用通配符许可是否恰当

要求使用安全密码

用户账号的安全与用来保护它们的密码密切相关 因此 在安装MySQL时第一件事就应该设置MySQL根账号的密码(默认为空) 修复这一漏洞后 接下来就应要求每个用户账号使用一个密码 且不要使用生日 用户名或字典中的单词这些容易识别的启发式密码

建议 应用MySQL 安全 授权选项避免使用旧的 不大安全的MySQL密码格式

　 　检查配置文件许可

一般来说 要使服务器连接更为快速方便 单个用户和服务器管理员必须把他们的用户账号密码存储在单用户MySQL选项文件中 但是 这种密码是以纯文本形式存储在文件中的 很容易就可以查阅 因此 必须保证这样的单用户配置文件不被系统中的其他用户查阅 且将它存储在非公共的位置 理想情况下 你希望单用户配置文件保存在用户的根目录 许可为

加密客户与服务器之间数据传送

MySQL(及其它)客户与服务器构架的一个重要问题就是通过网络传送数据时的安全问题 如果客户与服务器间的交互以纯文本形式发生 黑客就可能 嗅出 被传送的数据包 从而获得机密信息 你可以通过激活MySQL配置中的SSL 或应用一个OpenSSH这样的安全应用来为传送的数据建立一个安全的加密 通道 以关闭这一漏洞 以这种形式加密客户与服务器连接可使未授权用户极难查阅往来的数据

　 　禁止远程访问

如果用户不需要远程访问服务器 你可以迫使所有MySQL连接通过UNIX插槽文件来完成 从而大大减少网络受攻击的风险 这一过程可通过跳过网络选项启动服务器来完成 这样可以阻止TCP/IP网络连接到MySQL上 保证没有用户可以远程连接系统

建议 可以在MySQL服务器配置中添加捆绑地址 指令来增强这一功能 迫使MySQL捆绑当地机器的IP地址来保证只有同一系统中的用户可以连接到MySQL

积极监控MySQL访问记录

MySQL中带有很多不同的日志文件 它们记录客户连接 查询和服务器错误 其中 最重要的是一般查询日志 它用时间标签记录每名客户的连接和中断时间 并记录客户执行的每个查询 如果你怀疑发生了不寻常的行为 如网络入侵 那么监控这个日志以了解行为的来源是个好方法

lishixinzhi/Article/program/SQL/201311/16349

1.数据脱敏

数据脱敏是保证数据安全的最基本的手段，脱敏方法有很多，最常用的就是使用可逆加密算法，对入仓每一个敏感字段都需要加密。比如手机号，邮箱，身份z号，yhk号等信息

2.数据权限控制

需要开发一套完善的数据权限控制体系，最好是能做到字段级别，有些表无关人员是不需要查询的，所以不需要任何权限，有些表部分人需要查询，除数据工程师外，其他人均需要通过OA流程进行权限审批，需要查看哪些表的哪些字段，为什么需要这个权限等信息都需要审批存档。

3.程序检查

有些字段明显是敏感数据，比如身份z号，手机号等信息，但是业务库并没有加密，而且从字段名来看，也很难看出是敏感信息，所以抽取到数据仓库后需要使用程序去统一检测是否有敏感数据，然后根据检测结果让对应负责人去确认是否真的是敏感字段，是否需要加密等。

4.流程化 *** 作

流程化主要是体现在公司内部取数或者外部项目数据同步，取数的时候如果数据量很大或者包含了敏感信息，是需要提OA 审批流程的，让大家知道谁要取这些数据，取这些数据的意义在哪，出了问题可以回溯，快速定位到责任人。开发外部项目的时候，不同公司之间的数据同步，是需要由甲方出具同意书的，否则的话风险太大。

5.敏感SQL实时审查及 *** 作日志分析

及时发现敏感sql的执行并询问责任人，事后分析 *** 作日志，查出有问题的 *** 作。

6.部门重视数据安全

把数据安全当做一项KPI去考核，让大家积极的参与到数据安全管理当中去。

1、开启守护进程保证在数据库服务down之后可以立即重启服务。

2、数据库安全最重要的就是数据安全，数据安全需要：

a、定期备份，且备份文件建议放到其他文件服务器上保存。

b、如果有资金允许可以尝试做数据库集群，保证数据库的高可用。

c、定期检查磁盘性能，防止磁盘性能不佳导致数据库响应慢。

3、设置监控，保证数据库性能有异常时及时发现及时处理。

---