備份重于一切

我曾經(jīng)在總結(jié)的DBA四大守則的第一條就指出，『備份重于一切』，有了有效的備份，即使遭遇災(zāi)難，也可以從容應(yīng)對(duì)，對(duì)于重要的生產(chǎn)環(huán)境，適當(dāng)建立備庫進(jìn)行數(shù)據(jù)保護(hù)，查詢分擔(dān)，也會(huì)減少生產(chǎn)庫的風(fēng)險(xiǎn)；

唯一會(huì)讓DBA們從夢中驚醒的就是:沒有備份! 所以對(duì)于數(shù)據(jù)庫運(yùn)維來說，第一重要的是做好備份!有備方能無患!

嚴(yán)格管控權(quán)限

過度授權(quán)即是為數(shù)據(jù)庫埋下安全隱患，在進(jìn)行用戶授權(quán)時(shí)一定要遵循最小權(quán)限授予原則，避免因?yàn)檫^度授權(quán)而帶來的安全風(fēng)險(xiǎn)。本次安全風(fēng)險(xiǎn)，如果用戶只具備最低權(quán)限，如不具備DDL權(quán)限，那么也不會(huì)遭到風(fēng)險(xiǎn)；

明確用戶職責(zé)

應(yīng)當(dāng)明確不同的數(shù)據(jù)庫用戶能夠用于的工作范圍，應(yīng)當(dāng)使用普通用戶身份的，就絕對(duì)不應(yīng)該使用DBA的用戶身份，只有職權(quán)相稱，才能夠避免錯(cuò)誤，降低風(fēng)險(xiǎn)。 即便是擁有管理員職責(zé)的用戶，也應(yīng)當(dāng)遵循以不同身份執(zhí)行不同任務(wù)的習(xí)慣，比如SYS和SYSTEM用戶的使用就應(yīng)當(dāng)進(jìn)行區(qū)分和界定；

密碼策略強(qiáng)化

毫無疑問，數(shù)據(jù)庫用戶應(yīng)當(dāng)使用強(qiáng)化的密碼規(guī)則，確保弱口令帶來的安全風(fēng)險(xiǎn)，很多數(shù)據(jù)泄露問題來自弱口令攻擊和提權(quán)；

限制登錄工具

明確限制不同工具的使用場景，明確規(guī)定工具的準(zhǔn)確來源，或者通過堡壘機(jī)等來限制數(shù)據(jù)庫訪問。對(duì)于工具也可以做出明確規(guī)則和限制，如限制僅能通過SQL Developer訪問生產(chǎn)，PL/SQL Developer工具僅能訪問測試環(huán)境，以減少安全風(fēng)險(xiǎn)甚至誤操作風(fēng)險(xiǎn)；

禁止遠(yuǎn)程DDL

可以限制DDL操作僅能在數(shù)據(jù)庫服務(wù)器本地進(jìn)行，禁止遠(yuǎn)程連接執(zhí)行DDL操作，這一手段在很多公司被嚴(yán)格執(zhí)行，如果具備這一規(guī)則，此次的事故可以被直接屏蔽掉；

使用綁定變量

在開發(fā)過程中，嚴(yán)格使用綁定變量，綁定變量可以防范SQL注入攻擊，減少數(shù)據(jù)庫安全風(fēng)險(xiǎn)；這次安全事故，很多用戶開始猜測是SQL注入，走了很多分析上的彎路；

監(jiān)控監(jiān)聽日志

監(jiān)聽日志記錄了數(shù)據(jù)庫訪問的來源、程序等信息，包括惡意掃描，密碼嘗試等，一定要重視監(jiān)聽日志的作用，并對(duì)其進(jìn)行分析和監(jiān)控，以清楚的匯制數(shù)據(jù)庫訪問圖譜；云和恩墨一直幫助用戶通過監(jiān)聽日志分析來揭示風(fēng)險(xiǎn)，白求恩平臺(tái)（ https://bethune.enmotech.com ）為用戶免費(fèi)提供這一分析緯度的預(yù)警；

數(shù)據(jù)網(wǎng)絡(luò)隔離

數(shù)據(jù)庫的網(wǎng)絡(luò)環(huán)境應(yīng)該一直隱藏在最后端，避免將數(shù)據(jù)庫置于直接的訪問連接之下，由此可以減少數(shù)據(jù)庫的訪問風(fēng)險(xiǎn)；

測試和生產(chǎn)隔離

互通就意味著同時(shí)可以訪問，也就可能帶來很多意想不到的安全風(fēng)險(xiǎn)，企業(yè)應(yīng)當(dāng)將測試環(huán)境和生產(chǎn)環(huán)境部署于不可互通，或者不可同時(shí)訪問的網(wǎng)絡(luò)環(huán)境中，避免因?yàn)殄e(cuò)誤連接而發(fā)生的數(shù)據(jù)庫災(zāi)難。 分離部署一方面可以降低誤操作的可能性，也可以屏蔽一些無關(guān)的訪問可能，從而從網(wǎng)絡(luò)鏈路上保證數(shù)據(jù)安全；

密碼差異設(shè)置

有些測試環(huán)境或者非產(chǎn)品環(huán)境是利用產(chǎn)品環(huán)境恢復(fù)得到的，DBA在建立了測試環(huán)境后，就沒有修改數(shù)據(jù)庫用戶的登錄密碼;經(jīng)常性的，DBA也習(xí)慣在所有環(huán)境中設(shè)置通用的密碼;這些習(xí)慣為系統(tǒng)帶來了很多風(fēng)險(xiǎn)和不確定性。 我們建議用戶在不同環(huán)境中采用不同的密碼設(shè)置，這是因?yàn)橐环矫娈a(chǎn)品環(huán)境和測試環(huán)境面對(duì)的訪問用戶不同，密碼設(shè)置相同則意味著產(chǎn)品環(huán)境的安全性完全得不到保障;另一方面，DBA登錄到不同的數(shù)據(jù)庫需要使用不同的密碼，這進(jìn)一步減低了DBA在錯(cuò)誤的環(huán)境下執(zhí)行命令的可能性。

重要數(shù)據(jù)加密

很多重要的數(shù)據(jù)，需要加密存儲(chǔ)，最典型的就是用戶和密碼信息，大量的泄密事件本質(zhì)上是因?yàn)槿狈ψ罨镜募用芊婪?#xff0c;對(duì)重要數(shù)據(jù)實(shí)施一定的安全防護(hù)加密，是應(yīng)當(dāng)予以適時(shí)考慮的安全方面之一；

適時(shí)的軟件升級(jí)

這里的軟件指數(shù)據(jù)庫軟件，尤其是當(dāng)Oracle已經(jīng)發(fā)布了安全補(bǔ)丁，已知的安全漏洞被黑客利用，則更可能對(duì)數(shù)據(jù)庫產(chǎn)生致命的傷害；

防范內(nèi)部風(fēng)險(xiǎn)

不可否認(rèn)，絕大部分安全問題都來自于企業(yè)內(nèi)部，來自最緊密、最輕易的接觸和訪問，企業(yè)的人員變動(dòng)，崗位變更，都可能導(dǎo)致數(shù)據(jù)安全問題的出現(xiàn)，單存依靠對(duì)管理員的信任不足以保障數(shù)據(jù)安全，必須通過規(guī)章、制度與規(guī) 范的約束才能夠規(guī)避安全風(fēng)險(xiǎn)。

很多企業(yè)為了便利而舍棄規(guī)范、規(guī)章或者安全限制是得不償失的做法。安全防范應(yīng)當(dāng)從內(nèi)部做起，從限制約束自我做起，當(dāng)最緊密相關(guān)的訪問都遵從守則，那么系統(tǒng)的安全性就能夠獲得大幅度的提升。

樹立安全意識(shí)

安全問題最大的敵人是僥幸，很多企業(yè)認(rèn)為安全問題概率極低，不會(huì)落到自己的環(huán)境中，所以對(duì)于安全不做必要的投入，造成了安全疏忽。所以安全問題最大的敵人是我們自己，安全需要一點(diǎn)一滴的加強(qiáng)，逐步完善，云和恩墨一直幫助核心客戶進(jìn)行全面的安全評(píng)估，制定安全方案，守護(hù)數(shù)據(jù)安全。

開始安全審計(jì)

以O(shè)racle數(shù)據(jù)庫為例，數(shù)據(jù)庫已經(jīng)提供了很多安全防范的手段和方法，我們建議用戶適當(dāng)展開安全防范措施，開啟部分任務(wù)審計(jì)，定期分析數(shù)據(jù)庫風(fēng)險(xiǎn)，由此逐步完善數(shù)據(jù)庫安全。