数据库进阶——如何提升数据库的安全性，以MySQL和Redis加固为例

news2024/12/25 1:26:05

在这里插入图片描述

引出

数据库进阶——如何提升数据库的安全性，以MySQL和Redis加固为例

数据库加固

加固思路

账号配置
- 应按照用户分配账号，避免不同用户间共享账号
- 应删除或锁定与数据库运行、维护等工作无关的账号
- 删除过期账号
权限配置
- 在数据库权限配置能力内，根据用户的业务需要，配置其所需的最小权限
口令安全
- 对于采用静态口令进行认证的数据库，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号4类中至少3类
日志配置
- 数据库应配置日志功能，记录相关日志。
安全补丁
- 在保证业务可用性的前提下，经过分析测试后，可以选择更新使用最新版本的补丁
访问控制
- 通过数据库所在操作系统或防火墙限制，只有信任的IP地址才能通过监听器访问数据库

MySQL

账号配置
- 删除不需要的数据库账号。
```
  DROP USER user
```
- 应按照用户分配帐号，避免不同用户间共享帐号。

口令安全

不使用默认密码和弱密码。

  #修改密码命令  
  mysql> UPDATE user set password=PASSWORD('test!p3’) WHERE user='root’;

权限配置
- 禁止MySQL以系统管理员账号权限运行，使用非管理员专用账号来运行mysql服务。
  - Windows系统
    
    直接打开任务管理器，查看运行mysql进程的操作系统账号，不能为administrator账号
  - Linux系统
```
  #查看mysql服务的运行账号是否为root或其他高权限账号  
  ps -ef | grep mysql
```
- 数据库账户权限配置
  
  MySQL数据库下的user表和db表中存放着可以授予数据库用户的权限，确保只有管理员账号才能访问所有数据库。可以访问mysql数据库的用户或许可以查看密码哈希值、修改用户权限等等。
```
  #查看数据库授权情况。  
  mysql> use mysql;  
  mysql> select * from user;  
  mysql> select * from db;  
  #授予指定用户权限指定表的权限  
  mysql> Grant select,insert,update,delete on tablename to ‘username’@’hostname’;
```

日志配置

根据需求开启对应日志的审计功能。

  #开启错误日志审计，打开my.ini(Windows)或my.cnf(Linux)，在[mysqld]下添加  
  log-error="/var/log/mysqld.log"

访问控制

修改MySQL默认端口3306。

  #打开my.ini或者my.cnf，在[mysqld]下修改  
  port=3306        #修改成合适端口

网络访问限制，在防火墙中做限制，只允许与指定的 IP 地址与3306端口（或MySQL数据库的指定端口）通讯。

  #创建指定IP的远程用户  
  mysql> GRANT ALL privileges on 库名.表名 to '用户名'@'IP地址' identified by '密码' with grant option;  
  mysql> flush privileges;

其他配置。
- 安装最新的安全补丁日志，通过SELECT VERSION()查看版本。

Redis

口令配置
- 开启redis密码，并设置高复杂度密码。
```
  #编辑redis.conf  
  requirepass test123!@#;
```

授权管理

禁止使用root启动redis，使用普通账户启动redis。

限制redis文件目录访问权限。

  $chmod 700 /var/lib/redis   #redis目录  
  $chmod 600 /etc/redis/redis.conf  #redis配置文件

禁用或重命名危险命令。

  #在redis.conf配置文件添加  
  rename-command CONFIG CONFIG_1        #重命名命令CONFIG为CONFIG_1          
  rename-command FLUSHDB ""              #禁用此命令

访问控制

修改默认端口6379。

  #修改redis.conf配置文件：  
  port 5656

配置redis仅监听在指定IP地址。

  #修改redis.conf配置文件：  
  bind 127.0.0.1 192.168.1.12

Redis冲冲冲——缓存三兄弟：缓存击穿、穿透、雪崩

缓存击穿

缓存击穿：redis中没有，但是数据库有

顺序：先查缓存，判断缓存是否存在；如果缓存存在，直接返回数据；如果缓存不存在，則查询数据库，将数据库的数据存入到缓存

在这里插入图片描述

解决方案：将热点数据设置过期时间长一点；针对数据库的热点访问方法上分布式锁；

缓存穿透

缓存穿透：redis中没有，数据库也没有

在这里插入图片描述

解决方案：

（1）将不存在的key，在redis设置值为null；

（2）使用布隆过滤器;

原理：https://zhuanlan.zhihu.com/p/616911933

在这里插入图片描述

布隆过滤器：

如果确认key不存在于redis中，那么就一定不存在；

它说key存在，就有可能存在，也可能不存在！（误差）

在这里插入图片描述

布隆过滤器

1、根据配置类中的 key的数量，误差率，计算位图数组【二维数组】

2、通过布隆过滤器存放key的时候，会计算出需要多少个hash函数，由hash函数算出多少个位图位置需要设定为1

3、查询时，根据对应的hash函数，判断对应的位置值是否都为1；如果有位置为0，则表示key一定不存在于该redis服务器中；如果全部位置都为1，则表示key可能存在于redis服务器中；