10个数据库安全最佳策略

Statista 的数据显示，2023年的数据泄露事件几乎是前年2022年的两倍。网络犯罪分子总是追随着数据的踪迹，因此，如今对有效的数据库安全措施的需求比以往任何时候都更为迫切。

这些安全策略与网络安全实践有所不同 —— 网络安全在很大程度上依赖软件解决方案甚至员工的最佳实践。而在数据库安全领域，这是一场安全专家与网络犯罪分子之间的较量，胜者往往是掌握更多知识的一方。

基于此，以下为你介绍 10 个数据库安全最佳实践，助你领先攻击者一步。

1. 部署物理数据库安全措施

数据中心或企业自身的服务器可能面临外部人员甚至内部人员的物理攻击。如果网络犯罪分子获得了物理数据库服务器的访问权限，他们可能会窃取数据、破坏数据，甚至植入恶意软件以获取远程访问权。由于这类攻击可以绕过数字安全协议，若缺乏额外的安全措施，往往很难被检测到。

如果企业自行托管服务器，强烈建议添加物理安全措施，如摄像头、安全锁和安保人员。此外，所有对物理服务器的访问都应记录在案，且仅授权特定人员访问，以降低恶意活动的风险。服务器机房的物理安全标准包括：

（1）ISO 27001（2）ISO 20000-1（3）NIST SPs（SP 800-14、SP 800-23 和 SP 800-53）（4）美国国防部信息保障技术框架（IATF）（5）SSAE 18 SOC 1 Type II、SOC 2 Type II 和 SOC 3

2. 分离数据库服务器

数据库需要专门的安全措施来防范网络攻击。此外，若将数据与网站部署在同一服务器上，会使数据暴露于针对网站的各种攻击媒介之下。

假设你运营一家在线商店，将网站、非敏感数据和敏感数据都存储在同一服务器上。诚然，你可以利用托管服务提供的网站安全措施和电子商务平台的安全功能来防范网络攻击和欺诈，但你的敏感数据现在会通过网站和在线商店平台面临攻击风险。任何针对网站或在线商店平台的攻击一旦成功，网络犯罪分子都有可能进而访问你的数据库。

为降低这些安全风险，应将数据库服务器与其他所有系统分离。此外，可使用专门针对数据库安全的实时安全信息与事件管理（SIEM）系统，以便在发生潜在攻击时能立即采取行动。同时，漏洞管理解决方案能有效评估每个网络资产的安全风险，也值得采用。

3. 设置 HTTPS 代理服务器

代理服务器会先对工作站发送的请求进行评估，再允许其访问数据库服务器。从某种意义上说，该服务器就像一个 “守门人”，旨在阻止未授权的请求。

最常见的代理服务器基于 HTTP 协议。但如果涉及密码、支付信息或个人信息等敏感数据，建议设置 HTTPS 服务器。这样一来，通过代理服务器传输的数据也会被加密，为你增加一层额外的安全保障。

4. 避免使用默认网络端口

服务器之间传输数据时会用到 TCP 和 UDP 协议。这些协议在设置时会自动使用默认网络端口。

默认端口因广泛使用，常成为暴力攻击的目标。若不使用默认端口，攻击服务器的网络犯罪分子就必须通过反复试验来尝试不同的端口号。这会增加攻击者的工作量，可能使其放弃攻击。

不过，在分配新端口时，需查阅互联网号码分配机构（IANA）的端口注册表，确保该端口未被其他服务占用。

5. 采用实时数据库监控

主动扫描数据库以检测攻击尝试，不仅能增强安全性，还能让你对潜在攻击做出快速反应。

你可以使用监控软件记录数据库服务器上的所有操作，并在发生数据泄露时向你发出警报。此外，应为潜在攻击制定升级处理流程，以进一步保护敏感数据。

另一个需要考虑的方面是定期审计数据库安全并组织网络安全渗透测试。这些措施能帮助你发现潜在的安全漏洞，并在可能发生的数据泄露前进行修补。

6. 使用数据库和 Web 应用防火墙

防火墙是抵御恶意访问尝试的第一道防线。除了保护网站，良好的数据库安全还意味着需安装防火墙以防范各种攻击媒介。

常用于保护网络的防火墙有三种类型：

（1）数据包过滤防火墙（2）状态检测防火墙（SPI）（3）代理服务器防火墙

务必正确配置防火墙，以覆盖所有安全漏洞。同时，保持防火墙更新至关重要，因为这能保护你的网站和数据库免受新型网络攻击手段的侵害。

7. 部署数据加密协议

加密数据不仅在保护商业机密时很重要，在传输或存储敏感用户信息、防范勒索软件，或遵守《通用数据保护条例》（GDPR）等数据隐私法规时也同样关键。

设置数据加密协议可降低数据泄露的风险。这意味着即便网络犯罪分子获取了你的数据，信息仍能保持安全。同时，这也能确保数据无论是在静态存储还是在传输过程中（传输时往往最脆弱）都能得到保护。

8. 定期创建数据库备份

虽然为网站创建备份是常见做法，但定期为数据库创建备份也同样重要，且应将其中一份备份加密。自动数据备份可降低因恶意攻击或数据损坏而丢失敏感信息的风险。最佳实践建议遵循 “3-2-1 备份规则”：

（1）存储三份数据副本（2）使用两种不同类型的存储介质（3）将其中一份存储在异地

CIS 控制 11（数据恢复）概述了数据恢复计划的步骤，并强调不仅要创建备份，还要测试团队恢复数据的能力。如前所述：“对于关键任务基础设施的备份，应定期进行测试。这不仅是为了验证备份的完整性，也是为了确保工作人员具备及时恢复数据的知识和经验。”

9. 保持应用程序更新

研究表明，88% 的代码库包含过时的软件组件。此外，过时的插件容易成为恶意软件利用的目标，会产生安全漏洞，让黑客有机可乘，进而攻击网络的其他区域。因此，对于用于管理数据库甚至运行网站的软件，这会带来严重的安全风险。

你应只使用经过验证的可信数据库管理软件，并保持其更新，在新补丁发布时及时安装。对于第三方应用程序也应如此，另外，建议避免使用那些未定期更新的应用程序，以确保数据库安全。

10. 采用强用户认证方式

根据《2022 年威瑞森数据泄露调查报告》，去年 67% 的数据泄露事件源于凭证被盗。单因素认证（SFA）方法众所周知是不安全的，甚至有人认为密码已失效。即便是社交媒体网站，至少也建议采用双因素认证（2FA），而多因素认证（MFA）如今已被普遍视为安全用户认证的标准，它在帮助企业获得网络保险资格方面也起着关键作用。

然而，情况仍在变化 —— 犯罪分子正绕过 MFA 检查点以获取云资源的访问权，对于大多数企业而言，无密码的未来可能即将到来。

此外，可考虑仅允许经过验证的 IP 地址访问数据库，以进一步降低潜在的数据泄露风险。尽管 IP 地址可能被复制或伪装，但这会给攻击者增加额外的工作量。

加强数据库安全以降低数据泄露风险

采用行业标准的最佳实践来保护数据库，能为你的零信任策略增加一层深度防御。随着数据泄露事件持续增加，威胁行为者入侵企业网络的可能性越来越大。而那些提前做好准备、对数据进行存储和加密的企业，将最有可能从数据泄露中恢复过来。