MongoDB贖金事件給我們帶來了什么啟示？

如何讓你的數(shù)據(jù)庫更加安全可靠？有三點(diǎn)特別重要：安全配置、高可用部署、數(shù)據(jù)備份。

近日，在阿里云數(shù)據(jù)庫技術(shù)峰會上，阿里云數(shù)據(jù)庫技術(shù)專家張友東分析了2017年初的MongoDB黑客勒索贖金事件，并對當(dāng)前的數(shù)據(jù)庫安全保障問題提出了一些思路。

MongoDB黑客勒索贖金事件的大概描述就是，某一天，你發(fā)現(xiàn)自己的數(shù)據(jù)庫無法訪問了，登錄到數(shù)據(jù)庫上，發(fā)現(xiàn)數(shù)據(jù)庫中的數(shù)據(jù)消失殆盡，而只有黑客留下的一些記錄，上面寫著：“你的數(shù)據(jù)庫已經(jīng)被我黑掉了，而且我已經(jīng)對你的數(shù)據(jù)庫進(jìn)行了備份，如果你想拿回自己的數(shù)據(jù)，就需要向某個(gè)比特幣賬戶中轉(zhuǎn)一筆錢?！?/p>

MongoDB黑客勒索贖金事件發(fā)生對用戶有什么影響呢？在事件發(fā)生的 1月份，美國的MongoDB數(shù)據(jù)庫開放公網(wǎng)訪問端口數(shù)量大概有一萬七千個(gè)，中國則差不多一萬多個(gè)。而到8月份，美國的MongoDB數(shù)據(jù)庫開放公網(wǎng)訪問端口數(shù)量降到了其1月份數(shù)量的50%，而在中國則只降到了原本的80%。張友東分析認(rèn)為，這充分說明中國的技術(shù)人員在吸取經(jīng)驗(yàn)教訓(xùn)方面還是有所欠缺的。

那么，針對于MongoDB黑客勒索贖金事件，我們能夠從中得到什么經(jīng)驗(yàn)教訓(xùn)呢？

1.這些數(shù)據(jù)庫之所以會被黑客攻擊，原因之一是這些數(shù)據(jù)庫開放了公網(wǎng)訪問，使得任何一臺連接到公網(wǎng)的機(jī)器都能夠訪問到。除此之外，這些數(shù)據(jù)庫也沒有開啟鑒權(quán)，所以導(dǎo)致黑客能夠輕松地訪問用戶的數(shù)據(jù)庫，造成了用戶的數(shù)據(jù)損失。

2.受到影響的用戶對于數(shù)據(jù)的備份不夠重視，因?yàn)槿绻脩魧τ跀?shù)據(jù)進(jìn)行了備份，即使黑客將數(shù)據(jù)刪除了，用戶也可以通過備份數(shù)據(jù)來進(jìn)行恢復(fù)。

總結(jié)而言，數(shù)據(jù)庫安全中所需要面對的威脅主要分為以下幾個(gè)維度：

1.黑客攻擊。黑客攻擊存在不同層面，也有很多種攻擊方法。

2.硬件故障。如果數(shù)據(jù)庫服務(wù)只部署了單個(gè)節(jié)點(diǎn)，當(dāng)單個(gè)節(jié)點(diǎn)被攻克之后，整個(gè)數(shù)據(jù)庫就無法提供服務(wù)了。

3.軟件缺陷。數(shù)據(jù)庫服務(wù)畢竟是軟件系統(tǒng)，當(dāng)軟件存在漏洞的時(shí)候，也往往會造成安全問題。

4.運(yùn)維失誤。數(shù)據(jù)庫往往是由運(yùn)維人員管理的，而運(yùn)維人員可能會發(fā)生一些運(yùn)維上的失誤，這就可能造成數(shù)據(jù)的丟失。

5.自然災(zāi)害。

那么，如何讓你的數(shù)據(jù)庫更加安全可靠呢？有三個(gè)重點(diǎn)值得關(guān)注。

第一，安全配置，從單個(gè)數(shù)據(jù)庫節(jié)點(diǎn)的數(shù)據(jù)來看，應(yīng)該盡可能地進(jìn)行安全方面的配置來避免遭受黑客攻擊以及非法訪問等。

第二，高可用部署，盡可能地部署多節(jié)點(diǎn)來構(gòu)成高可用數(shù)據(jù)庫服務(wù)，這樣就能夠應(yīng)對硬件故障的問題，當(dāng)單個(gè)節(jié)點(diǎn)出現(xiàn)問題的時(shí)候，可以直接啟用備用節(jié)點(diǎn)來頂上；當(dāng)軟件出現(xiàn)Bug導(dǎo)致數(shù)據(jù)庫崩潰時(shí)，也可以通過高可用將故障進(jìn)行轉(zhuǎn)移。

第三，數(shù)據(jù)備份，做好數(shù)據(jù)備份就可以應(yīng)對運(yùn)維的失誤以及自然災(zāi)害等問題。

通過以上三個(gè)步驟，就可以使得數(shù)據(jù)庫達(dá)到比較安全的狀態(tài)。

（本文摘編整理自新浪、搜狐、知乎等網(wǎng)站）