部署在云服務(wù)器的PostgreSQL,竟然被黑客攻擊了！

瞬間人麻了，敲響了一個警鐘，數(shù)據(jù)庫安全管理不是等開發(fā)好項目上線后才考慮，而是在項目落地的那一刻起就要重視起來，打戰(zhàn)糧草先行，開發(fā)安全先做，話不多說，接下來給大家分享一下PG數(shù)據(jù)庫安全管理。

當(dāng)前數(shù)據(jù)庫數(shù)據(jù)面臨的威脅模型如下：

?

1.客戶端接入認(rèn)證

數(shù)據(jù)庫用戶接入安全（客戶端接入認(rèn)證），是確保只有通過授權(quán)的客戶端才可訪問數(shù)據(jù)庫系統(tǒng)的關(guān)鍵安全措施之一。

可用SSL進行安全的TCP/IP連接。SSL協(xié)議是安全性更高的協(xié)議標(biāo)準(zhǔn)，它加入了數(shù)字簽名和數(shù)字證書來實現(xiàn)客戶端和服務(wù)器的雙向身份驗證，保證了通信雙方更加安全的數(shù)據(jù)傳輸。

SSL證書需要提前從CA認(rèn)證中心申請正式的服務(wù)器證書、客戶端證書和密鑰。

單向SSL認(rèn)證連接配置方式：
1）安裝openssl
yum -y install openssl openssl-devel
2)編譯安裝時指定開啟ssl
./configure --prefix=/pgccc/pgsql-16.4 --with-openssl 
驗證和證實你編譯的系統(tǒng)是否帶openssl
pg_config --configure | grep openssl
3)創(chuàng)建自簽名證書
先要為服務(wù)器創(chuàng)建一個有效期為365天的簡單自簽名證書：
openssl req -new -x509 -days 365 -nodes -text -out server.crt \
  -keyout server.key -subj "/CN=pgccc.centos"
修改權(quán)限：
chmod og-rwx server.key 或者 chmod 0600 server.key

4)修改postgreql.conf配置文件
vi $PGDATA/postgresql.conf
ssl=on
ssl_cert_file='/home/postgres/server.crt'
ssl_key_file='/home/postgres/server.key'
5)驗證連接
postgres=# select pg_reload_conf();

psql "host=192.168.3.8 user=postgres dbname=postgres sslmode=require"
psql postgresql://postgres:123456@192.168.3.8:5432/postgres?sslmode=require 

2.三權(quán)分立

在實際業(yè)務(wù)管理中，為了避免系統(tǒng)管理員擁有過度集中的權(quán)利帶來高風(fēng)險，可以設(shè)置三權(quán)分立。將系統(tǒng)管理員的部分權(quán)限分立給安全管理員和審計管理員，形成系統(tǒng)管理員、安全管理員和審計管理員三權(quán)分立。

3.行級訪問

行級訪問控制特性將數(shù)據(jù)庫訪問控制精確到數(shù)據(jù)表行級別，使數(shù)據(jù)庫達(dá)到行級訪問控制的能力。 不同用戶執(zhí)行相同的SQL查詢操作，讀取到的結(jié)果是不同的。 用戶可以在數(shù)據(jù)表創(chuàng)建行訪問控制（Row Level Security）策略

--創(chuàng)建表test，包含不同用戶數(shù)據(jù)信息
postgres=# CREATE TABLE test
(id int, role varchar(100), data varchar(100));
--打開行訪問控制策略開關(guān)
postgres=# ALTER TABLE test ENABLE ROW LEVEL;
--創(chuàng)建行訪問控制策略，當(dāng)前用戶只能查看用戶自身的數(shù)據(jù)
postgres=# CREATE ROW LEVEL SECURITY POLICY test_rls 
ON test USING(role = CURRENT_USER);

4.數(shù)據(jù)庫審計

PostgreSQL數(shù)據(jù)庫提供安全審計功能，對數(shù)據(jù)庫自身和用戶的行為進行監(jiān)控與審計。因?qū)徲嫊档蛿?shù)據(jù)庫性能，所以要限制審計的范圍，盡量減少審計的事件的數(shù)目。

制定審計策略時，請參考如下建議：
1、明確審計目的；
2、審計的命令、對象、用戶盡可能少；
3、先泛后精；
4、保護審計蹤跡。

5.密態(tài)等值查詢

PostgreSQL數(shù)據(jù)庫中的密態(tài)等值查詢是一種安全計算技術(shù)，允許在加密的數(shù)據(jù)上執(zhí)行查詢操作而無需解密數(shù)據(jù)。這意味著數(shù)據(jù)庫可以在保持?jǐn)?shù)據(jù)加密狀態(tài)的同時，執(zhí)行一些查詢操作，如等值查詢，而不會泄漏明文數(shù)據(jù)。

6.透明數(shù)據(jù)加密

透明數(shù)據(jù)加密（Transparent Data Encryption），是數(shù)據(jù)庫在將數(shù)據(jù)寫入存儲介質(zhì)時對數(shù)據(jù)進行加密，從存儲介質(zhì)中讀取數(shù)據(jù)時自動解密，防止攻擊者繞過數(shù)據(jù)庫認(rèn)證機制直接讀取數(shù)據(jù)文件中的數(shù)據(jù)，以解決靜態(tài)數(shù)據(jù)泄露問題。該功能對于應(yīng)用層幾乎透明無感知，用戶可根據(jù)需要決定是否啟用透明數(shù)據(jù)加密功能。

Cybertec為PG提供了一個透明數(shù)據(jù)加密（TDE）的補丁。是目前唯一支持透明加密數(shù)據(jù)（集群）級的實現(xiàn)，獨立于操作系統(tǒng)或文件系統(tǒng)加密。

7.賬本數(shù)據(jù)庫

賬本數(shù)據(jù)庫（Ledger Database）是一種特殊類型的數(shù)據(jù)庫，它專門用于記錄和管理事務(wù)、交易或數(shù)據(jù)的歷史變更，以支持可追溯性、不可篡改性和安全性的需求。這種數(shù)據(jù)庫通常與區(qū)塊鏈技術(shù)、分布式賬本技術(shù)以及與金融、供應(yīng)鏈、物聯(lián)網(wǎng)等領(lǐng)域相關(guān)的應(yīng)用程序密切相關(guān)。

。

賬本數(shù)據(jù)庫融合了區(qū)塊鏈思想，將用戶操作記錄至兩種歷史表中， 即：用戶歷史表和全局區(qū)塊表。

總結(jié)

如何保護數(shù)據(jù)，防止數(shù)據(jù)泄漏、盜竊或篡改，學(xué)習(xí)完本篇將有助于確保組織的數(shù)據(jù)完整性和保密性，還希望前輩們留言區(qū)多多提出寶貴的意見！

來源：https://mp.weixin.qq.com/s/19Qidp22WnC8EHbSP6bHpw