Bất kỳ tổ chức nào, dù nhỏ, đều phải giảm thiểu rủi ro và bảo vệ dữ liệu của mình khỏi các mối đe dọa bảo mật
Để triển khai bảo mật trong cơ sở dữ liệu MongoDB [hoặc bất kỳ], bạn nên xem xét bức tranh toàn cảnh và đánh dấu vào từng ô trong danh sách kiểm tra bảo mật
[email protected]]host[:port1][/[defaultauthdb]and not just mongodb://host[:port1]/[defaultauthdb]
2. Định cấu hình Kiểm soát truy cập dựa trên vai trò
Sau khi thêm người dùng có quyền quản trị, hãy giới hạn vai trò được chỉ định cho những người dùng này bằng cách sử dụng Kiểm soát truy cập dựa trên vai trò [RBAC]. Các vai trò mà người dùng có thể có bao gồm. đọc, ghi hoặc cả hai đối với các bộ sưu tập cụ thể hoặc tất cả. Do đó, người dùng không thể thực hiện vai trò không được chỉ định cho họ hoặc chỉ có thể thực hiện các thao tác đối với bộ sưu tập được chỉ định
Quản trị viên người dùng được tạo trước sau đó là người dùng bổ sung. Nếu người dùng có đặc quyền trên các cơ sở dữ liệu khác nhau, bạn có thể tạo một người dùng với các vai trò cấp đặc quyền cơ sở dữ liệu phù hợp thay vì tạo người dùng nhiều lần trong các cơ sở dữ liệu khác nhau
Nên có một số lượng nhỏ người dùng truy cập cơ sở dữ liệu, theo đó người dùng có thể là người hoặc ứng dụng khách
Để tạo và cấp quyền cho người dùng cho một số vai trò nhất định trong MongoDB, bạn có thể sử dụng ví dụ này trong mongo shell
use finance
db.createUser[
{
user: "manager",
pwd: passwordPrompt[], // or cleartext password
roles: [
{ role: "read", db: "loans" },
{ role: "read", db: "interests" },
{ role: "read", db: "useraccounts" },
{ role: "readWrite", db: "wages" }
]
}
]Ngoài ra, hãy chọn các tùy chọn xác thực bên ngoài như LDAP và Kerberos
3. Hạn chế tiếp xúc với mạng
Cấu trúc liên kết mạng lưu trữ cơ sở dữ liệu cần được bảo mật rộng rãi và quan trọng nhất là chỉ lắng nghe giao diện máy chủ cục bộ. Điều này là để tránh tiếp xúc với các kết nối bên ngoài như trường hợp của MongoDB phiên bản cũ hơn. Đảm bảo rằng MongoDB chạy trong môi trường mạng đáng tin cậy với tường lửa bảo mật được bật. Kiểm soát lưu lượng truy cập vào và ra với các nhóm bảo mật có thể không được sử dụng với các phiên bản khác. Sử dụng danh sách IP cho phép để cho phép truy cập từ các địa chỉ IP đáng tin cậy, do đó cho phép kết nối với các phiên bản MongoDB bằng giao diện mạng và cổng chỉ từ các máy khách đáng tin cậy.
Bên cạnh đó, vô hiệu hóa quyền truy cập root SSH trực tiếp
4. mã hóa thông tin liên lạc
MongoDB chỉ nên hạn chế các kết nối đến và đi ở TLS/SSL. TLS/SSL mã hóa giao tiếp giữa các thành phần mongod và mongos của triển khai MongoDB và tất cả các ứng dụng được kết nối với nó.
Trong môi trường sản xuất, việc triển khai MongoDB nên sử dụng các chứng chỉ hợp lệ được tạo và ký bởi một cơ quan cấp chứng chỉ duy nhất
5. Mã hóa dữ liệu
Dữ liệu cơ sở dữ liệu có hai dạng. dữ liệu ở trạng thái nghỉ và đang chuyển tiếp. Dữ liệu đang truyền có thể được bảo mật bằng cách sử dụng Mã hóa cấp độ trường phía máy khách nhưng chỉ khả dụng trong phiên bản 4. 2. Mã hóa TLS/SSL cũng xử lý dữ liệu khi truyền.
The Công cụ lưu trữ WiredTiger từ phiên bản 3. 2 Doanh nghiệp cung cấp dữ liệu ở dạng mã hóa lớp lưu trữ. Điều này khẳng định rằng chỉ những người dùng được xác thực bằng khóa giải mã mới có thể truy cập dữ liệu. Nếu bạn không sử dụng mã hóa của WiredTiger khi nghỉ ngơi, hãy sử dụng mã hóa Hệ thống tệp. Mã hóa dữ liệu ở trạng thái nghỉ sẽ ngăn một người truy cập vào nội dung cơ sở dữ liệu của bạn nếu họ có quyền truy cập vào máy chủ vật lý, do đó, đây là một phần quan trọng trong việc bảo mật MongoDB.
6. Hoạt động hệ thống kiểm toán
Đây là một tùy chọn doanh nghiệp cho phép theo dõi tất cả các thay đổi đối với dữ liệu và cấu hình cơ sở dữ liệu. Các sự kiện được ghi vào một kết nối nhật ký hệ thống hoặc một số tệp nhật ký. Nhật ký có thể chứa các lần thử xác thực DB bao gồm địa chỉ IP nguồn và thông tin có thể giúp xác định máy chủ nào sẽ bị tường lửa chặn truy cập vào cơ sở dữ liệu. Bên cạnh đó, người ta có thể biết những sự kiện nào cần ghi lại
Nhật ký kiểm tra nói chung sẽ giúp quản trị viên thực hiện một số phân tích pháp y và do đó thiết lập các biện pháp kiểm soát bảo mật tiêu chuẩn.
7. Sử dụng Người dùng chuyên dụng để chạy MongoDB
MongoDB phải được chạy bằng tài khoản người dùng hệ điều hành chuyên dụng phải được bật quyền truy cập.
8. Sử dụng các gói MongoDB chính thức và được cập nhật
Vượt qua kiểm tra tính xác thực đối với các gói của bạn để đảm bảo chúng là gói chính thức của MongoDB. Sử dụng trình điều khiển MongoDB mới nhất và phiên bản mới nhất của cơ sở dữ liệu mang lại sự ổn định bảo mật hơn so với phiên bản tiền nhiệm. Ví dụ, phiên bản 4. 2 cung cấp Mã hóa cấp trường phía máy khách. Do đó, đảm bảo bạn chuyển sang phiên bản MongoDB mới nhất.
9. Vô hiệu hóa thực thi Javascript nếu không cần thiết
mapReduce và $where là một số mã JavaScript có thể thực thi trong MongoDB và nếu không được quản lý tốt .
Nói chung, mã JavaScript này sẽ cho phép việc đưa từ bên ngoài vào, do đó dữ liệu chưa được xác thực sẽ xâm nhập vào cơ sở dữ liệu của bạn. Bạn cũng có thể chọn sử dụng các gói như cầy mangut để xác thực và kết nối với cơ sở dữ liệu của mình. Sử dụng toán tử MongoDB thay vì biểu thức JavaScript.
10. Được cập nhật với các bản sửa lỗi bảo mật MongoDB
Các giao thức bảo mật có thể bị kẻ tấn công phá vỡ theo thời gian, do đó cần một giao thức liên quan đến các quy trình nâng cao. Luôn cập nhật các bản cập nhật bảo mật hàng đầu và sửa lỗi từ ghi chú phát hành MongoDB là rất quan trọng. Trang cảnh báo MongoDB về cơ bản được tạo cho mục đích đó.
Yêu cầu hướng dẫn triển khai kỹ thuật bảo mật nếu có thể và đảm bảo việc triển khai của bạn phù hợp với việc tuân thủ các tiêu chuẩn bảo mật
Sự kết luận
Cơ sở dữ liệu trong sản xuất dễ bị tấn công bảo mật, do đó cần đầu tư nhiều vào việc bảo vệ dữ liệu nhạy cảm. Các quy trình bảo mật bao gồm từ dữ liệu đang truyền, dữ liệu ở trạng thái nghỉ và các ứng dụng khách được kết nối. Bên cạnh các phương pháp được đề cập ở trên, các cam kết tăng cường máy chủ sẽ cung cấp một lớp bảo vệ dữ liệu khác