MongoDB 安全最佳实践

 新钛云服已累计为您分享808篇技术干货

你有没有花点时间思考一下MongoDB数据库可能面临的安全风险？

让我们想象一个场景。

你已经全心全意地投入到创建应用程序中，它的成功与MongoDB密切相关。但是，如果没有强大的安全措施，你的宝贵数据可能会成为网络犯罪分子的目标，他们渴望利用漏洞进行未经授权的访问。

因此，设置一系列安全配置来保持MongoDB的安全非常重要。

考虑到这个想法，这篇文章涵盖了与 MongoDB 相关的保护主题，并探讨了 5 大 MongoDB 安全最佳实践。这些技巧是为开发人员、数据库管理员和任何热衷于增强其 MongoDB 设置安全性的人设计的。

所以，让我们直接进入吧！

什么是 MongoDB 安全性？

MongoDB 是一种广泛使用的 NoSQL 数据库，由于其处理大量无组织数据的多功能性和可扩展性而被广泛接受。它消除了整个传统的数据库氛围，并采用面向文档的方法，使开发人员能够在类似于 JSON 的文档中存储和获取数据。

这种适应性使MongoDB引起关注，在从内容管理系统到深入研究大数据分析的一系列用例中都找到了其应用。

但这里有一个问题，所有这些灵活性都伴随着巨大的责任。你必须保持MongoDB安全无虞。我们应扎紧篱笆，以将坏人拒之门外，防止数据泄露并躲避网络威胁。随着越来越多的公司信任MongoDB的超级重要数据，确定可靠的安全实践是必须的。

那么，MongoDB安全性的关键方面是什么？我们进入下一个主题。

MongoDB 有哪些安全功能？

在保持 MongoDB 数据库的安全无虞时，掌握并充分利用其内置的安全功能至关重要。MongoDB 安全架构具有各种强大的功能来保护数据，其中，以下五个功能最引人注目，可以确保你的信息保持安全和机密。

认证：强大的身份验证实践是MongoDB的主要吸引力之一。它使用户在潜入数据库之前证明他们是谁，从而建立坚实的防御。

MongoDB提供了一系列身份验证方法：用户名/密码，X.509证书，LDAP，Kerberos，任你选择。为你的设置选择合适的产品是构建坚实安全基础的关键。

基于角色的访问控制 （RBAC）：现在，让我们来谈谈 RBAC。RBAC 是一个强大的工具，允许定义角色和分散特定权限。

它使你可以控制谁可以访问哪些内容，并确保人们只能获得他们需要的东西。通过遵循“最小权限”规则，RBAC 通过限制未经授权访问的潜在损害来提高安全性。

传输加密 （SSL/TLS）：必须在数据传输过程中确保数据的安全，对吧？MongoDB通过SSL / TLS加密技术为你提供支持。

它在数据库服务器和客户端之间设置了一条安全路径。启用此加密可以保护敏感信息免受网络犯罪分子的侵害，从而为MongoDB 设置增加一层额外的机密性。

审计和日志记录：持续监视和记录数据库在做什么，就像拥有一名私人侦探一样。

MongoDB 的审计功能可跟踪用户操作、系统事件和身份验证活动。定期深入研究这些日志有助于在安全问题变成大问题之前发现并解决它们。

网络隔离：网络隔离对于通过有效配置网络设置来保护 MongoDB 至关重要。将数据库服务器与未经授权的访问隔离开来，并限制对必要网络的暴露，可以减少攻击面。

利用防火墙、网络地址转换 （NAT） 和虚拟专用网络 （VPN） 可增强 MongoDB 部署的整体网络安全性。

MongoDB 安全最佳实践前 5 名

实施基于角色的访问控制

正如本文前面所讨论的，管理谁可以进入你的数据库至关重要，这就是访问控制发挥作用的地方。

自特定版本以来，MongoDB默认包含基于角色的访问控制（RBAC）。RBAC 允许你决定用户可以执行哪些操作以及他们可以访问哪些资源。开箱即用，MongoDB带有五个数据库角色：

• read – 非常适合只读访问。

• readWrite – 授予读取和编辑数据的权限。

• dbAdmin – 为索引等管理任务开绿灯。

• dbOwner – 允许执行任何管理操作（readWrite、dbAdmin 和 userAdmin 的混合）。

• userAdmin – 允许创建和修改角色和用户的角色。

猜怎么着？

并不局限于这些选项。你可以创建自定义角色并管理集群的自定义角色。这里的黄金法则是遵循最小特权原则。最低权限仅为你的团队提供其任务所需的访问权限。

限制与数据库的连接

数据泄露的最常见原因之一是未经授权的个人远程访问你的数据库。为了最大程度地降低这种风险，建议限制对数据库的远程访问。一种聪明的方法是仅允许来自指定 IP 地址的连接，这种技术通常称为白名单。

通过这样做，可以最大限度地降低因未经授权的入侵者远程访问数据库而导致的数据泄露风险。

对于那些使用MongoDB Atlas（MongoDB的综合托管服务）的人来说，Atlas中的每个项目都配备了自己的虚拟私有云（VPC）。为了获得额外的保护层，客户可以选择激活 VPC 对等连接，连接到托管其应用程序的私有网络，并阻止通过公共互联网进行的任何潜在访问。

密切关注用户操作

在增强 MongoDB 安全性方面，检查用户在做什么是一件大事。必须对事情保持警惕，并记录正在发生的事情，以捕捉任何可疑的事情或不应该发生的事情。这不仅仅是发现安全问题;它还使解决问题变得更加容易。

MongoDB通过其内置的审计解决方案“auditDestination”使该过程变得超级简单。可以设置审核首选项，并决定将这些审核事件发送到何处，以便更仔细地查看。

无论是喜欢在控制台上查看这些审计事件，将它们保存在JSON文件中，还是将它们隐藏在BSON文件中，MongoDB的审计功能都可以让你做自己的事情。如果你热衷于密切关注登录失败等重要事项，你将需要 MongoDB Enterprise。

设置可靠的审计实践对于提高 MongoDB 数据库的整体安全性有很大帮助。它提供了额外的保护层。

备份数据

定期备份 MongoDB 数据是加强安全措施的关键步骤。它确保你的数据保持可访问，即使面对网络威胁或意外灾难也是如此。

如果你不幸正在处理赎金要求或正在应对自然灾害的后果怎么办？保持最新的备份可以保证系统快速恢复到危机前的状态。

各种备份选项：

1. mongodump：此 MongoDB 工具为你提供了整个数据库或查询结果的快照。非常适合较小的设置，但对于较大的数据库，它可能有一些限制。

2. 文件系统快照：使用 LinuxLVM 等工具进行文件系统快照，为全面备份提供了一种可靠的方法。

3. MongoDB管理服务（MMS）：这种托管的在线备份服务持续流式传输 MongoDB oplog 数据，每 6 小时创建备份并拍摄快照，保留 24 小时。

4. 基于云的备份：利用 AWS 或 Azure 等云平台创建异地备份。即使你的本地基础设施面临挑战，这也能确保数据可用性。

5. 副本集：实施 MongoDB 的内置副本集，以实现高可用性和容错性。这些集会自动维护数据的重复副本，充当实时备份。

总而言之，在选择备份解决方案时，考虑数据库的大小至关重要。如果你正在处理一个较小的数据库，那么使用mongodump是有实际意义的。

然而，如果你的系统更大、更复杂，选择文件系统快照提供了一个坚固的解决方案。

同时，MMS 为关键数据带来不间断备份的优势，确保你有能力应对任何不可预见的挑战。

实施强大的加密措施

为了增强 MongoDB 数据库的安全性，请优先加密数据以保护其免受窥探。加密是防止未经授权访问的强大防御措施，使那些缺乏必要解密密钥的人无法破译数据。

加密策略：

1. 静态加密：通过对信息所在的位置进行加密来增强数据保护。请注意，对于 MongoDB 社区版用户，此功能仅供 MongoDB Enterprise      或 MongoDB Atlas 订阅者使用。

2. 传输中加密：作为 MongoDB 中的默认安全措施，所有数据在传输过程中都通过实施传输层安全性 （TLS） 进行加密。

遵守这些加密做法可以确保多层防御，降低数据泄露的风险，并使你的 MongoDB 部署符合严格的安全标准。

全面的 MongoDB 安全清单

现在我们已经讨论了 MongoDB 安全最佳实践，在让 MongoDB 用于实时情况之前，巩固安全措施至关重要。这是一个方便的 MongoDB 安全清单，涵盖了所有必须做的事情。

1、认证机制：

• 通过指定身份验证机制来启用访问控制。

• MongoDB支持默认的Salted Challenge Response      Authentication Mechanism（SCRAM），用于根据身份验证数据库验证用户凭据。

• 使用 X.509 证书身份验证增强功能，用于副本集成员和分片集群的客户端和内部身份验证。

2. 基于角色的访问控制 （RBAC）：

• 建立 RBAC，为每个应用或用户提供用于数据库访问的不同标识。

• 起草具有明确访问权限的特定角色，并根据其运营需求进行分配。

3. 加密通信：

• 使用 TLS/SSL 配置加密 mongod、mongos、应用程序和 MongoDB 之间的通信通道。

• 确保数据传输密封，防止窃听和未经授权的访问。

4. 数据保护：

• 如果你正在使用 WiredTiger 存储引擎，请采取额外的静态数据加密步骤。

• 对于其他存储引擎，请采用文件系统、物理或设备加密，以及严格的文件系统权限。

• 考虑使用客户端字段级加密来保护文档中的特定字段，然后再将其发送出去。

5. 安全网络操作：

• 将MongoDB保持在受信任的网络上，仅向受信任的客户端授予访问权限。

• 拒绝直接 SSH 根访问，并为进出 MongoDB 实例的流量设置安全组。

6. 审计系统活动：

• 实施审计机制以跟踪用户访问活动。

• 充分利用 MongoDB Enterprise 审计功能，例如用于身份验证等事件的过滤器，使取证分析变得轻而易举。

7. 安全配置选项：

• 在运行 MongoDB 时启用安全配置选项。

• 对于可能存在风险的 JavaScript 代码（如 mapReduce、$where 和 $function）请谨慎使用，请考虑使用 –noscripting 选项将其关闭。

• 使用 Mongoose 等模块验证输入字段，以加强对可疑输入的防御。

• 使用 net.writeObjectCheck 确保 mongod 实例存储的所有文档都是有效的 BSON。

8. MongoDB专用用户：

• 让MongoDB使用其独占系统用户账户进行滚动。

• 请确保此账户具有正确的数据访问权限，但不包括可能危及数据的额外权限。

• 将MongoDB从许多人可以访问的操作系统中移除，以增加安全性层。

通过坚持这些 MongoDB 安全技巧，你不仅可以确保数据安全，还可以为 MongoDB 设置打下坚实的基础，从而为你的运营创建一个安全的环境。

常见问题

MongoDB安全吗？

绝对！MongoDB非常重视其安全性。它的功能，如身份验证、授权、加密和审计，可以 24/7 全天候保护你的数据。只要确保遵循最佳实践，你就可以开始了。

如何启用 MongoDB 安全性？

为了提高 MongoDB 的安全性，请确保设置身份验证，设计具有最低权限的用户角色，激活网络绑定，并采用 TLS 加密。使用强密码并定期更新 MongoDB 以解决任何潜在的安全漏洞也很重要。确保你的数据库安全无虞！

MongoDB 比 MySQL 更安全吗？

啊，由来已久的竞争。MongoDB 和 MySQL 都有其安全性优势。MongoDB 带来了一些很棒的功能，例如灵活的架构、水平扩展和对索引的强大支持。另一方面，MySQL一直处于困境中，以其可靠性和性能而闻名。归根结底，这完全取决于你的需求。两者都是安全的，但MongoDB可能只是具有额外的复杂性。明智的选择！

结论

当涉及到MongoDB设置时，将安全性作为首要任务是关键，就像任何开源数据库一样。在部署 MongoDB 数据库时选择这些默认设置似乎是一种简单的方法，但这是一场安全噩梦的邀请。

因此，掌握 MongoDB 安全性的工作原理并坚持遵循 MongoDB 安全最佳实践以获得一流的保护至关重要。

原文链接：

https://www.clouddefense.ai/mongodb-security-best-practices/

参考文档

MongoDB官方安全检查清单 - MongoDB 手册 v7.0，

https://www.mongodb.com/zh-cn/docs/manual/administration/security-checklist/

    推荐阅读   

    推荐视频