Zabezpečení MongoDB bylo tento týden ve zprávách ze všech špatných důvodů. Všechny řeči se týkaly asi 40 000 databází, které byly odhaleny skupinou studentů z Německa. Některé z databází dokonce obsahovaly údaje o výrobě. Je to hrozné na několika úrovních – nejen že máte produkční data v neověřené databázi, ale je to také otevřené pro internet. Jedinou překvapivou věcí je, že trvalo tak dlouho, než byl odhalen. Pokud nechcete, aby byly vaše servery MongoDB ve zprávách, zde jsou tři jednoduché kroky ke zlepšení zabezpečení vaší instalace MongoDB:
-
Vždy povolit ověřování
Je důležité povolit ověřování pro všechny vaše clustery MongoDB. I když se jedná o vývojovou instalaci, vždy povolte ověřování a ujistěte se, že jsou vaše pracovní postupy přizpůsobeny tak, aby podporovaly ověřování. Další podrobnosti o přidávání uživatelů a rolí naleznete zde.
Můžete také jít o krok dále a místo hesel pro ověřování používat certifikáty X509. To vás ochrání před jakýmikoli útoky na základě hesla, jako je útok „Slovník“. Pokud máte podnikové sestavení MongoDB, můžete k ověřování použít také Kerberos.
-
Uzamknutí přístupu pomocí brány firewall
Veškerý přístup k vašim databázovým serverům musí být na základě „potřeby“ a k zablokování přístupu můžete použít brány firewall. Typickou konfigurací je uzamčení přístupu, takže k serverům mají přístup pouze vaše aplikační servery a IT tým. Pokud používáte Amazon AWS, použijte bezpečnostní skupiny k uzamčení přístupu k serverům. A nakonec nejdůležitější bod – Nevystavujte svou databázi internetu! Existuje jen několik dobrých důvodů, proč někdy vystavit svou databázi internetu.
-
Používejte izolované sítě
Většina veřejných cloudů dnes nabízí možnosti nasazení vašich serverů v izolovaném síťovém prostoru, který není dostupný z veřejného internetu. Můžete oslovit internet, ale žádný internetový provoz se k vám nedostane. Například AWS nabízí virtuální privátní cloudy (VPC) a Azure nabízí virtuální sítě (VNET). Tyto izolované sítě poskytují hloubkovou ochranu pro vaši instalaci databáze. Na AWS můžete nasadit své databázové servery na privátní podsíti ve VPC – i když dojde k nesprávné konfiguraci, vaše databázové servery nejsou vystaveny internetu.
Níže jsou některé další relevantní články o zabezpečení MongoDB. Pokud máte další otázky, kontaktujte nás na adrese [email protected].
- Tři A zabezpečení MongoDB – autentizace, autorizace a audit
- 10 tipů, jak zlepšit zabezpečení MongoDB
- Bezpečné nasazení MongoDB na Amazon AWS
- Zabezpečte své clustery Mongo pomocí protokolu SSL