目录
- 引出
- 数据库加固
- 加固思路
- MySQL
- Redis
- Redis冲冲冲——缓存三兄弟:缓存击穿、穿透、雪崩
- 缓存击穿
- 缓存穿透
- 缓存雪崩
- 总结
引出
数据库进阶——如何提升数据库的安全性,以MySQL和Redis加固为例
数据库加固
加固思路
- 账号配置
- 应按照用户分配账号,避免不同用户间共享账号
- 应删除或锁定与数据库运行、维护等工作无关的账号
- 删除过期账号
- 权限配置
- 在数据库权限配置能力内,根据用户的业务需要,配置其所需的最小权限
- 口令安全
- 对于采用静态口令进行认证的数据库,口令长度至少8位,并包括数字、小写字母、大写字母和特殊符号4类中至少3类
- 日志配置
- 数据库应配置日志功能,记录相关日志。
- 安全补丁
- 在保证业务可用性的前提下,经过分析测试后,可以选择更新使用最新版本的补丁
- 访问控制
- 通过数据库所在操作系统或防火墙限制,只有信任的IP地址才能通过监听器访问数据库
MySQL
-
账号配置
-
删除不需要的数据库账号。
DROP USER user
-
应按照用户分配帐号,避免不同用户间共享帐号。
-
-
口令安全
-
不使用默认密码和弱密码。
#修改密码命令 mysql> UPDATE user set password=PASSWORD('test!p3’) WHERE user='root’;
-
-
权限配置
-
禁止MySQL以系统管理员账号权限运行,使用非管理员专用账号来运行mysql服务。
-
Windows系统
直接打开任务管理器,查看运行mysql进程的操作系统账号,不能为administrator账号
-
Linux系统
#查看mysql服务的运行账号是否为root或其他高权限账号 ps -ef | grep mysql
-
-
数据库账户权限配置
MySQL数据库下的user表和db表中存放着可以授予数据库用户的权限,确保只有管理员账号才能访问所有数据库。可以访问mysql数据库的用户或许可以查看密码哈希值、修改用户权限等等。
#查看数据库授权情况。 mysql> use mysql; mysql> select * from user; mysql> select * from db; #授予指定用户权限指定表的权限 mysql> Grant select,insert,update,delete on tablename to ‘username’@’hostname’;
-
-
日志配置
-
根据需求开启对应日志的审计功能。
#开启错误日志审计,打开my.ini(Windows)或my.cnf(Linux),在[mysqld]下添加 log-error="/var/log/mysqld.log"
-
-
访问控制
-
修改MySQL默认端口3306。
#打开my.ini或者my.cnf,在[mysqld]下修改 port=3306 #修改成合适端口
-
网络访问限制,在防火墙中做限制,只允许与指定的 IP 地址与3306端口(或MySQL数据库的指定端口)通讯。
#创建指定IP的远程用户 mysql> GRANT ALL privileges on 库名.表名 to '用户名'@'IP地址' identified by '密码' with grant option; mysql> flush privileges;
-
-
其他配置。
- 安装最新的安全补丁日志,通过SELECT VERSION()查看版本。
Redis
-
口令配置
-
开启redis密码,并设置高复杂度密码。
#编辑redis.conf requirepass test123!@#;
-
-
授权管理
-
禁止使用root启动redis,使用普通账户启动redis。
-
限制redis文件目录访问权限。
$chmod 700 /var/lib/redis #redis目录 $chmod 600 /etc/redis/redis.conf #redis配置文件
-
禁用或重命名危险命令。
#在redis.conf配置文件添加 rename-command CONFIG CONFIG_1 #重命名命令CONFIG为CONFIG_1 rename-command FLUSHDB "" #禁用此命令
-
-
访问控制
-
修改默认端口6379。
#修改redis.conf配置文件: port 5656
-
配置redis仅监听在指定IP地址。
#修改redis.conf配置文件: bind 127.0.0.1 192.168.1.12
-
Redis冲冲冲——缓存三兄弟:缓存击穿、穿透、雪崩
缓存击穿
缓存击穿:redis中没有,但是数据库有
顺序:先查缓存,判断缓存是否存在;如果缓存存在,直接返回数据;如果缓存不存在,則查询数据库,将数据库的数据存入到缓存
解决方案:将热点数据设置过期时间长一点;针对数据库的热点访问方法上分布式锁;
缓存穿透
缓存穿透:redis中没有,数据库也没有
解决方案:
(1)将不存在的key,在redis设置值为null;
(2)使用布隆过滤器;
原理:https://zhuanlan.zhihu.com/p/616911933
布隆过滤器:
如果确认key不存在于redis中,那么就一定不存在;
它说key存在,就有可能存在,也可能不存在! (误差)
布隆过滤器
1、根据配置类中的 key的数量 ,误差率,计算位图数组【二维数组】
2、通过布隆过滤器存放key的时候,会计算出需要多少个hash函数,由hash函数算出多少个位图位置需要设定为1
3、查询时,根据对应的hash函数,判断对应的位置值是否都为1;如果有位置为0,则表示key一定不存在于该redis服务器中;如果全部位置都为1,则表示key可能存在于redis服务器中;
缓存雪崩
缓存雪崩:
Redis的缓存雪崩是指当Redis中大量缓存数据同时失效或者被清空时,大量的请求会直接打到数据库上,导致数据库瞬时压力过大,甚至宕机的情况。
造成缓存雪崩的原因主要有两个:
1.相同的过期时间:当Redis中大量的缓存数据设置相同的过期时间时,这些数据很可能会在同一时间点同时失效,导致大量请求直接打到数据库上。
2.缓存集中失效:当服务器重启、网络故障等因素导致Redis服务不可用,且缓存数据没有自动进行容错处理,当服务恢复时大量的数据同时被重新加载到缓存中,也会导致大量请求直接打到数据库上。
预防缓存雪崩的方法主要有以下几种:
1.设置不同的过期时间:可以将缓存数据的过期时间分散开,避免大量缓存数据在同一时间点失效。
2.使用加锁:可以将所有请求都先进行加锁操作,当某个请求去查询数据库时,如果还没有加载到缓存中,则只让单个线程去执行加载操作,其他线程等待该线程完成后再次进行判断,避免瞬间都去访问数据库从而引起雪崩。
3.提前加载预热:在系统低峰期,可以提前将部分热点数据加载到缓存中,这样可以避免在高峰期缓存数据失效时全部打到数据库上。
4.使用多级缓存:可以在Redis缓存之上再使用一层缓存,例如本地缓存等,当Redis缓存失效时,还能够从本地缓存中获取数据,避免直接打到数据库上。
本地缓存:ehcache oscache spring自带缓存 持久层框架的缓存
总结
数据库进阶——如何提升数据库的安全性,以MySQL和Redis加固为例