提示词商城
AI 写作
图片
视频
热门角色
热门业务
模型专用
提示词工具
×
¥元
查看详情
首页 / 数据库安全加固建议
🔥 会员专享 文生文 其它

数据库安全加固建议

👁️ 99 次查看
📅 Dec 3, 2025
💡 核心价值： 本提示词专为数据库安全管理场景设计，通过系统化分析数据库类型、部署环境及合规要求，生成针对性安全防护方案。涵盖访问控制、加密机制、漏洞防护等核心维度，结合最佳实践与风险预警机制，为数据库管理员提供可落地的安全配置指南与应急响应策略，有效提升数据资产防护能力。

🎯 可自定义参数（4个）

数据库类型
数据库产品类型
部署环境
数据库部署环境
合规要求
需要满足的合规标准
防护等级
安全防护强度等级

🎨 效果示例

PostgreSQL（容器环境）等保三级核心防护加固方案

安全风险概述（TOP3）

风险 典型攻击路径 影响 容器相关触发因素 等保三级要求映射
弱认证/未授权访问（未启用SCRAM、pg_hba配置宽松、默认超级用户暴露） 暴力破解、密码喷射、利用trust/ident、默认端口暴露 数据库被控、数据泄露/篡改 镜像内默认配置、环境变量泄密、容器网络暴露端口 身份鉴别、访问控制
传输未加密/证书验证不严 中间人攻击、会话劫持、凭据截获 敏感数据泄露、会话劫持 跨节点容器网络、缺省明文连接 通信传输保密性、完整性
容器安全基线缺失（特权运行、可写根FS、弱隔离的数据卷）+ 审计不足 卷挂载直接读取数据文件、容器逃逸、缺审计追溯 批量数据泄露且难以追踪责任 以root运行、capabilities过多、未启用审计日志 安全审计、入侵防范、最小权限

分级防护方案

核心防护（本次实施重点，对应等保三级必备）

  • 身份认证

    • 启用 SCRAM-SHA-256：password_encryption = scram-sha-256，禁止MD5/明文。
    • pg_hba.conf 仅允许 hostssl + scram-sha-256；按网段白名单放行，默认拒绝。
    • 管理员与业务账户分离：禁止业务账号SUPERUSER/CREATEDB/REPLICATION/INHERIT，逐项授权。
    • 启用官方密码复杂度校验（passwordcheck）并强制最短长度、复杂度与到期更换策略。

  • 访问控制与最小权限

    • 严格Schema划分，REVOKE PUBLIC的默认权限；使用ALTER DEFAULT PRIVILEGES控制新建对象。
    • 对涉及个人信息/敏感表启用RLS（行级安全）；默认DENY，仅对白名单角色放行。
    • 限制 network 入口：仅内网Service访问；容器只暴露必要端口（5432）。

  • 加密通信

    • 启用SSL/TLS（建议TLSv1.3，至少TLSv1.2），服务器证书由企业CA签发；客户端强制sslmode=require/verify-full。
    • 禁止非SSL连接（hostnossl reject）。

  • 审计与日志

    • 启动 logging_collector，log_destination=csvlog；记录连接/断开/DDL/慢SQL（log_min_duration_statement）。
    • 统一日志格式：log_line_prefix包含时间、用户、DB、客户端IP/端口、PID、会话ID、错误码。
    • 若环境提供官方打包的pgaudit扩展，可按最小范围启用DDL/WRITE审计。

  • 容器与运行时基线

    • 非root运行（runAsNonRoot、runAsUser）；readOnlyRootFilesystem=true；no-new-privileges；capabilities: drop all。
    • 使用默认seccomp/AppArmor/SELinux限制；数据目录独立只读根FS之外的持久卷。
    • 机密（DB密码、TLS私钥）通过Kubernetes Secret挂载，禁用通过环境变量传递。

  • 数据静态保护与备份

    • 持久卷加密（宿主机LUKS或云盘加密）；日志文件权限0600。
    • 备份加密传输与存储；对备份文件设置最小访问权限并记录审计。

增强防护

  • 双向TLS（mTLS）：客户端证书校验verify-full，基于企业CA分发短周期证书。
  • 全量关键表RLS策略和最小列权限；对高敏感列使用pgcrypto进行列级加密（密钥在KMS/内管平台，非代码中）。
  • 严控网络边界：Kubernetes NetworkPolicy仅允许来自指定命名空间/Pod标签的入站。
  • 运行时限制：statement_timeout、idle_in_transaction_session_timeout、log_lock_waits，防止长事务与锁等待放大风险。
  • 变更双人复核：生产权限审批与审计留痕。

高级防护

  • 密钥全生命周期与轮换自动化（KMS集成K8s Secret包封加密）；证书短周期与自动续签。
  • 行为基线与异常检测：启用pg_stat_statements并定期分析异常模式（大表全扫、突增DML）。
  • 双机房多副本、延时只读副本用于容灾与取证；WAL归档加密与跨域存储。
  • 细粒度脱敏/最小化返回集（视图+RLS）对分析类账号隔离访问。

配置操作指南（含命令示例）

说明：以下示例以PostgreSQL 13+、Linux容器、Kubernetes为例。带“需重启”为必须重启生效参数。

  1. 核心参数配置（postgresql.conf）

  • 编辑配置（需重启项已标注）

    • 基础安全
      • password_encryption = scram-sha-256 （需重启）
      • shared_preload_libraries = 'passwordcheck,pg_stat_statements' （需重启；pgaudit如采用则一并加入）
      • log_line_prefix = '%m [%p] %u@%d %r %c %e '
      • logging_collector = on
      • log_destination = 'csvlog'
      • log_filename = 'postgresql-%Y-%m-%d_%H%M.log'
      • log_file_mode = 0600
      • log_connections = on
      • log_disconnections = on
      • log_hostname = on
      • log_statement = 'ddl'
      • log_min_duration_statement = 500 （按需调整阈值ms）
    • TLS
      • ssl = on （需重启）
      • ssl_min_protocol_version = 'TLSv1.2'
      • ssl_ciphers = 'HIGH:!aNULL:!MD5'
      • ssl_cert_file = 'server.crt'
      • ssl_key_file = 'server.key'
      • ssl_ca_file = 'rootCA.crt' （启用客户端校验/verify时）
    • 运行时约束（增强建议）
      • statement_timeout = '30s'
      • idle_in_transaction_session_timeout = '300s'
    • 审计（可选—官方pgaudit已安装时）
      • shared_preload_libraries += ',pgaudit' （需重启）
      • pgaudit.log = 'ddl,write'
      • pgaudit.log_parameter = on

  • 生效与验证

    • 重启容器/实例后执行：
      • SELECT name, setting FROM pg_settings WHERE name IN ('password_encryption','ssl','ssl_min_protocol_version');
      • SHOW shared_preload_libraries;
  1. 生成与部署TLS证书（示例）
  • 生成自签企业CA（示范用，生产应使用企业CA）
    • openssl genrsa -out rootCA.key 4096
    • openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 3650 -out rootCA.crt -subj "/CN=Corp-DB-CA"
  • 服务器证书
    • openssl genrsa -out server.key 2048
    • openssl req -new -key server.key -out server.csr -subj "/CN=postgres.svc.cluster.local"
    • 创建openssl.cnf并在SAN中列出主机名/IP
    • openssl x509 -req -in server.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out server.crt -days 825 -sha256 -extfile openssl.cnf -extensions v3_req
    • chmod 600 server.key; chown postgres:postgres server.*
  • 部署到容器
    • 使用Kubernetes Secret（tls类型或generic）挂载到/var/lib/postgresql/certs，配置postgresql.conf中ssl_*路径为挂载路径。
  • 验证
    • openssl s_client -connect :5432 -starttls postgres -servername postgres.svc.cluster.local -CAfile rootCA.crt
    • 在psql客户端设置 sslmode=verify-full 并连接验证。
  1. 访问控制（pg_hba.conf）
  • 推荐规则（从上到下）：
    • hostnossl all all 0.0.0.0/0 reject
    • hostssl all all 0.0.0.0/0 reject
    • hostssl all +app_net 10.10.0.0/16 scram-sha-256
    • hostssl replication repl_user 10.10.0.0/16 scram-sha-256
    • local all postgres peer
    • local all all scram-sha-256
  • 变更后执行：SELECT pg_reload_conf();
  • 验证
    • SELECT * FROM pg_hba_file_rules; 确认规则顺序与生效 auth_method。
    • 非白名单网段连接应失败。
  1. 账户与权限最小化
  • 基础角色与Schema
    • CREATE ROLE app_login LOGIN NOSUPERUSER NOCREATEDB NOCREATEROLE NOINHERIT CONNECTION LIMIT 50 PASSWORD '********';
    • CREATE ROLE app_rw NOLOGIN;
    • CREATE ROLE app_ro NOLOGIN;
    • CREATE SCHEMA app AUTHORIZATION postgres;
    • GRANT USAGE ON SCHEMA app TO app_ro, app_rw;
    • ALTER ROLE app_login IN ROLE app_ro; （按需：只读或改为app_rw）
  • 限制PUBLIC与默认权限
    • REVOKE ALL ON SCHEMA public FROM PUBLIC;
    • REVOKE CREATE ON DATABASE FROM PUBLIC;
    • ALTER DEFAULT PRIVILEGES IN SCHEMA app REVOKE ALL ON TABLES FROM PUBLIC;
    • ALTER DEFAULT PRIVILEGES IN SCHEMA app GRANT SELECT ON TABLES TO app_ro;
    • ALTER DEFAULT PRIVILEGES IN SCHEMA app GRANT SELECT,INSERT,UPDATE,DELETE ON TABLES TO app_rw;
  • 行级安全（示例）
    • ALTER TABLE app.orders ENABLE ROW LEVEL SECURITY;
    • CREATE POLICY p_app_orders ON app.orders FOR SELECT TO app_ro,app_rw USING (tenant_id = current_setting('app.tenant_id')::int);
    • ALTER TABLE app.orders FORCE ROW LEVEL SECURITY;
    • 连接时由中间件设置 SET app.tenant_id = '';
  • 强制密码复杂度（官方passwordcheck）
    • 确保shared_preload_libraries加载passwordcheck后重启。
    • 创建或修改口令时将按策略校验；为配合等保，实施口令轮换（人员/周期）制度。
  • 验证
    • \du 检查角色属性；尝试使用app_login执行DDL应被拒绝。
    • 对非所属租户查询，应被RLS拒绝。
  1. 审计与日志
  • 原生日志
    • 已在postgresql.conf配置；确保log_directory可写且权限受控（0600/0700）。
    • 设置 log_rotation_age=1d, log_rotation_size=100MB，定期归档。
  • pgaudit（官方包可用时）
    • CREATE EXTENSION pgaudit;
    • ALTER SYSTEM SET pgaudit.log='ddl,write';
    • SELECT pg_reload_conf();
  • 验证
    • 触发一次DDL/写操作，查看pg_log/csvlog中是否记录主体、对象、结果。
  1. 容器与Kubernetes基线
  • Pod安全上下文（示例）
    • securityContext: runAsNonRoot: true runAsUser: 999 fsGroup: 26 allowPrivilegeEscalation: false readOnlyRootFilesystem: true seccompProfile: type: RuntimeDefault capabilities: drop: ["ALL"]
  • 挂载
    • 数据卷：仅/var/lib/postgresql/data（读写）；其余根文件系统只读。
    • 证书与配置：以Secret/ConfigMap只读挂载。
  • 网络边界（增强）
    • NetworkPolicy 仅允许来自应用命名空间、指定labels的Pod访问5432。
  • 验证
    • kubectl auth can-i exec/attach到该Pod必须受RBAC限制。
    • kubectl get pods -o yaml 检查securityContext生效；尝试写根FS应失败。
  1. 数据静态加密与备份
  • 持久卷加密：启用云盘加密或宿主机LUKS（密钥受管）；备份文件加密存储。
  • 备份与还原流程必须通过加密通道（例如使用SSL的物理/逻辑备份），并记录审计。
  • 验证：备份文件权限0600；从脱机环境验证可恢复性。
  1. 客户端强制
  • 连接串统一要求 sslmode=require/verify-full。
  • 禁止在容器环境变量中明文存储密码；使用.pgpass（600权限）或Secret挂载。
  • 验证：拦截一次非SSL连接，应失败；检查容器环境变量不含敏感口令。
  1. 关键检查清单（可验证）
  • SHOW password_encryption = scram-sha-256
  • SHOW ssl = on; SHOW ssl_min_protocol_version >= TLSv1.2
  • SELECT * FROM pg_hba_file_rules 确认仅hostssl + scram，默认拒绝
  • \du 无业务账户具备SUPERUSER/CREATEDB/REPLICATION
  • logging_collector=on 且日志文件权限0600
  • 尝试非白名单IP连接失败；非SSL连接失败
  • 容器以非root、只读根FS、capabilities已清空
  • NetworkPolicy生效，仅指定来源可连通
  • RLS测试跨租户访问被拒绝
  • 备份可恢复性演练记录在案

应急响应流程（流程图 + 关键步骤）

流程图（ASCII）： [告警触发/异常检测] | v [事件分级研判] | v [立即遏制与隔离] | v [取证与审计] | v [修复与恢复] | v [复盘与加固]

关键步骤说明

  • 告警触发/异常检测

    • 触发条件：失败登录暴增、异常来源IP、DDL在非变更窗口、慢SQL突增、数据导出行为。
    • 数据来源：csvlog/pgaudit、pg_stat_activity、pg_stat_statements、K8s事件与网络策略命中日志。

  • 事件分级研判

    • 快速确认影响范围：受影响角色/库/表、来源IP、时间窗口。
    • 分级标准：未授权访问成功（高）、暴力破解但未成功（中）、审计异常但无落地（低）。

  • 立即遏制与隔离（优先不影响业务数据完整性）

    • 账号处置：ALTER ROLE NOLOGIN; 强制会话下线 SELECT pg_terminate_backend(pid) FROM pg_stat_activity WHERE usename='';
    • 网络阻断：临时修改pg_hba.conf拒绝可疑网段；K8s NetworkPolicy临时封禁来源Pod/IP。
    • 保护现场：冻结日志与WAL归档路径权限，禁止覆盖与删除。

  • 取证与审计

    • 立刻快照：SELECT * FROM pg_stat_activity, pg_locks；备份相关日志与配置文件。
    • 导出审计：收集csvlog/pgaudit日志、K8s事件、容器镜像与Pod定义（用于还原环境）。
    • 时间线：标记事件起止点，保留WAL归档以供重放分析。

  • 修复与恢复

    • 根因修复：修正pg_hba、轮换口令/证书、打补丁、撤销错误权限、更新RLS策略。
    • 数据恢复（如需）：使用最近一致性备份 + WAL重放到安全时间点；双人复核。
    • 验证：回归测试与安全基线复核。

  • 复盘与加固

    • 更新基线、完善监控规则与告警阈值；将本次IOC加入阻断清单。
    • 安全文档与培训更新；补充演练项。

提示

  • 高危时可设置只读保护：ALTER SYSTEM SET default_transaction_read_only = on; SELECT pg_reload_conf(); 事后恢复为off。
  • 所有操作需审计留痕并双人复核，符合等保三级可追溯性要求。

——

实施路径建议（核心防护优先顺序）

  1. 容器基线加固（非root、只读根FS、capabilities、seccomp、Secrets）与网络白名单
  2. TLS开启与强制，pg_hba最小放行（hostssl+scram）
  3. 账户体系与最小权限（角色分离、RLS、撤销PUBLIC默认权限）
  4. 日志/审计与慢SQL监控上线（原生日志，pgaudit可用时启用）
  5. 卷/备份加密与恢复演练
  6. 检查清单全量验收与交付（含脚本化SHOW/SELECT验证）

MongoDB（虚拟机环境）等保二级-基础防护安全加固方案

安全风险概述（TOP3）

风险名称 攻击面/触发场景 影响 等保二级控制点映射 处置优先级
未启用认证或弱授权（最小权限缺失） 默认开放或误配（未开启authorization）、应用共用高权限账号 未授权访问、越权操作、数据破坏 身份鉴别、访问控制 高
明文传输与对外暴露 未配置TLS，0.0.0.0绑定，防火墙放通公网 凭证被窃听、中间人攻击、扫描撞库 通信保密、边界防护 高
审计与日志不可用或不可追溯 社区版未配置系统审计，日志未留存/未集中 事后无法溯源与问责、难以响应合规检查 安全审计、监控与审计 中高

注：NoSQL注入主要发生在应用层，数据库侧需关闭危险特性（server-side JavaScript）并通过最小权限与审计兜底。

分级防护方案（核心/增强/高级）

  • 适配目标：等保二级；防护等级：基础防护（重点优先“核心”项，确保可落地）

核心（必须立即落实，基础合规与安全基线）

  • 认证与加密
    • 启用基于角色的访问控制（security.authorization: enabled）
    • 认证机制使用SCRAM-SHA-256
    • 开启TLS 1.2+ 双向至少服务端证书校验（requireTLS）
  • 授权与账户
    • 最小权限：为应用创建专用DB与自定义角色，仅授予读写目标库
    • 禁止共享账号与跨环境复用凭据，强制密钥轮换流程
  • 网络与边界
    • 仅绑定内网IP（net.bindIp），关闭公网直连
    • 主机防火墙仅放通必要业务源IP的27017/TCP
  • 审计与日志
    • 社区版：启用系统日志、操作日志规范；Linux auditd监控关键文件与端口访问
    • 设定日志轮转与≥6个月留存策略
  • 安全基线
    • 禁用server-side JavaScript（$where、mapReduce JS）
    • 文件系统权限最小化，数据目录独立分区，定期备份校验
    • 变更双人复核，配置纳入版本管理

增强（提高抗攻击与可观测性）

  • 传输与存储安全
    • 强制客户端证书校验（可选双向TLS）
    • 磁盘加密（LUKS/dm-crypt）保护数据落地
  • 授权细化
    • 基于集合级别分权与操作白名单化（自定义role聚焦必要动作）
    • 生产禁用dropDatabase/killAnySession等高危权限
  • 审计强化
    • 如使用Enterprise版，启用MongoDB原生日志审计（auditLog）
    • Linux auditd增加对认证失败、多次失败的特定告警
  • 运行与变更
    • 启用基线漂移检测（文件哈希、配置校验）
    • 预案演练：季度演练备份恢复与入侵响应

高级（合规可加分/高敏数据场景）

  • 身份与集中认证
    • 集成企业CA与集中证书生命周期管理
    • Enterprise版集成LDAP/AD统一认证与账号治理
  • 数据与密钥
    • 存储引擎级透明加密（Enterprise）或HSM托管密钥
    • 细粒度字段级加密（FLE2）保护敏感字段
  • 监控与异常检测
    • 异常行为基线（连接失败率、写入异常突增、慢查询异常）
    • 账户与权限变更的实时告警与审批闭环

配置操作指南（含命令示例）

以下以Linux（systemd，mongod服务）、MongoDB 4.4+/6.x为例；如版本差异，请据实调整。命令需以root或有sudo权限执行；MongoDB命令使用mongosh。

0. 前置与目录权限

  • 独立系统用户与目录
    • useradd -r -M -s /sbin/nologin mongod
    • mkdir -p /var/lib/mongo /var/log/mongodb
    • chown -R mongod:mongod /var/lib/mongo /var/log/mongodb
    • chmod 700 /var/lib/mongo

1. 网络与边界防护（核心）

  • 仅绑定内网IP，关闭公网暴露（/etc/mongod.conf）
    • net: port: 27017 bindIp: 127.0.0.1,10.0.0.10 # 替换为实际内网IP
  • 主机防火墙仅允许业务网段访问
    • iptables -A INPUT -p tcp -s 10.0.0.0/24 --dport 27017 -j ACCEPT
    • iptables -A INPUT -p tcp --dport 27017 -j DROP
    • 保存规则并持久化（视发行版而定）

验证：

  • ss -lntp | grep 27017 仅监听在127.0.0.1与内网IP
  • 从非授权源IP访问应被拒绝

2. 启用认证与最小权限（核心）

  • 第一次初始化（利用localhost异常窗口创建admin）
    1. 暂不启用authorization启动（若新部署）
      • 在mongod.conf暂不配置security.authorization
      • systemctl start mongod
    2. 本机创建管理员（仅在localhost）
      • mongosh --host 127.0.0.1 use admin db.createUser({ user: "adminSec", pwd: "Strong-Admin-Password-#2025", roles: [ { role: "userAdminAnyDatabase", db: "admin" }, { role: "readWriteAnyDatabase", db: "admin" } ] })
    3. 启用授权（/etc/mongod.conf）
      • security: authorization: enabled authenticationMechanisms: ["SCRAM-SHA-256"]
      • systemctl restart mongod
  • 创建应用最小权限角色与账号
    • mongosh -u adminSec -p '...' --authenticationDatabase admin use targetdb db.runCommand({ createRole: "app_rw_targetdb", privileges: [ { resource: { db: "targetdb", collection: "" }, actions: [ "find","insert","update","remove","createIndex","listCollections" ] } ], roles: [] }) use targetdb db.createUser({ user: "app_user", pwd: "Strong-App-Password-#2025", roles: [ { role: "app_rw_targetdb", db: "targetdb" } ] })
  • 禁止高危权限：
    • 不为应用授予dbAdmin、clusterAdmin、backup/restore等非必需权限
  • 密码轮换：
    • mongosh -u adminSec -p '...' --authenticationDatabase admin use targetdb db.changeUserPassword("app_user","New-Strong-Password-#2025Q2")

验证：

  • 未认证操作应被拒绝：db.runCommand({connectionStatus:1}) 返回authenticatedUsers为空
  • 认证后仅能访问targetdb且无dropDatabase权限

3. 启用TLS 1.2+（核心）

  • 生成自签CA与服务端证书（示例；生产推荐企业CA签发）
    • mkdir -p /etc/ssl/mongo && cd /etc/ssl/mongo
    • openssl genrsa -out ca.key 4096
    • openssl req -x509 -new -nodes -key ca.key -sha256 -days 3650 -subj "/CN=Mongo-CA" -out ca.crt
    • openssl genrsa -out server.key 4096
    • openssl req -new -key server.key -subj "/CN=mongo.internal" -out server.csr
    • openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 825 -sha256
    • cat server.key server.crt > server.pem
    • chmod 600 server.pem; chown mongod:mongod server.pem ca.crt
  • mongod.conf
    • net: tls: mode: requireTLS certificateKeyFile: /etc/ssl/mongo/server.pem CAFile: /etc/ssl/mongo/ca.crt allowInvalidCertificates: false disabledProtocols: ["TLS1_0","TLS1_1"] # minTLSVersion: TLS1_2 # 新版可用
  • 重启服务
    • systemctl restart mongod

验证：

4. 禁用危险功能与参数基线（核心）

  • mongod.conf
    • security: authorization: enabled javascriptEnabled: false # 禁止server-side JS（$where/mapReduce JS）
    • setParameter: enableLocalhostAuthBypass: false # 禁止本地免认证（依据版本支持） ttlMonitorEnabled: true maxIncomingConnections: 10000 # 按容量评估
  • 验证 $where 被拒绝
    • mongosh -u app_user -p '...' --authenticationDatabase admin targetdb db.test.find({$where:"return true"}) # 预期失败（JS被禁用）

注意：若版本不支持上述参数，请参照对应版本文档进行等效配置。

5. 审计与日志（核心：社区版以Linux审计补足）

  • MongoDB系统日志
    • systemLog: destination: file path: /var/log/mongodb/mongod.log logAppend: true
  • 日志轮转（/etc/logrotate.d/mongod）
    • /var/log/mongodb/mongod.log { daily rotate 180 compress missingok create 640 mongod mongod postrotate /bin/kill -USR1 cat /var/run/mongod.pid 2>/dev/null 2>/dev/null || true endscript }
  • Linux审计（auditd）关键监控
    • 安装并启用：yum/apt install auditd; systemctl enable --now auditd
    • 规则示例（/etc/audit/rules.d/mongo.rules）
      • -w /etc/mongod.conf -p wa -k mongo_cfg
      • -w /var/lib/mongo -p rwa -k mongo_data
      • -w /var/log/mongodb -p wa -k mongo_log
      • -a always,exit -F arch=b64 -S connect -F a0=2 -F a2=6 -F dir=2 -F exit=-13 -k mongo_denied # 拒绝连接事件（示例，按发行版核验）
    • 加载规则：augenrules --load
    • 查看审计：ausearch -k mongo_cfg | aureport -f -i
  • 如为Enterprise版，可启用原生审计（择一）
    • auditLog: destination: file format: JSON path: /var/log/mongodb/audit.log filter: '{ atype: { $in: ["authenticate","createUser","dropUser","grantRolesToUser","revokeRolesFromUser","insert","update","remove"] } }'

验证：

  • 修改配置、用户管理、认证失败均应产生日志/审计事件
  • 审计与日志保留≥6个月（等保二级建议）

6. 备份与恢复（核心）

  • 在线一致性备份（独占连接窗口或从节点）
    • mongodump --host 10.0.0.10 --username adminSec --password '...' --authenticationDatabase admin --db targetdb --gzip --archive=/backup/targetdb_$(date +%F).archive.gz
  • 恢复演练（季度）
    • mongorestore --gzip --archive=/backup/targetdb_2025-01-10.archive.gz --nsInclude="targetdb.*" --drop
  • 备份完整性校验
    • 校验归档哈希：sha256sum /backup/*.gz > /backup/sha256.txt
  • 存储加密（增强，推荐）
    • 使用LUKS为/var/lib/mongo加密
      • cryptsetup luksFormat /dev/vdb
      • cryptsetup open /dev/vdb mongo_crypt
      • mkfs.xfs /dev/mapper/mongo_crypt
      • mount /dev/mapper/mongo_crypt /var/lib/mongo
      • 更新/etc/fstab与/etc/crypttab以便重启自动挂载
    • 确保密钥受控且开机解锁流程合规

验证：

  • 演练恢复后数据校验通过
  • 加密卷未解锁时物理介质不可读

7. 持续监控与基线检查（基础）

  • 核心指标（每分钟采集/告警阈值示例）
    • 认证失败率（>10/min告警）：grep -c "Authentication failed" /var/log/mongodb/mongod.log
    • 连接数、可用连接：db.serverStatus().connections
    • 操作延迟与慢查询：启用慢日志（operationProfiling）
      • operationProfiling: mode: slowOp slowOpThresholdMs: 200
    • 磁盘/文件句柄/内存
  • 配置基线校验
    • 对/etc/mongod.conf和证书文件定期计算哈希并比对
    • 文件权限扫描（expect: 600/700）

8. 验证与检查清单（可直接执行/核对）

  • 网络
    • ss -lntp | grep 27017 仅内网监听
    • 外网主机无法telnet 27017
  • 认证/授权
    • 未认证命令被拒绝
    • app_user仅能访问targetdb且无法dropDatabase
  • TLS
    • 非TLS连接失败
    • openssl s_client校验证书链通过、协议≥TLS1.2
  • 危险功能
    • $where执行失败（JS禁用）
  • 日志/审计
    • 管理操作、失败登录可检索到审计记录
    • 日志每日轮转并保留≥180份
  • 备份
    • 最近一次备份文件存在、hash校验通过、最近一个季度完成过恢复演练
  • 权限与文件
    • /var/lib/mongo权限700，属主mongod

应急响应流程（基础版）

流程图（ASCII）： [告警/异常发现] | v [初步分级与取证保全] |--P1: 数据外泄/核心库被篡改/被控 |--P2: 暴力破解/异常失败率飙升 |--P3: 单点告警/可控异常 | v [隔离与遏制] | +--> 阻断可疑IP/账号 | v [现场取证] | v [根因分析与修复] | v [数据恢复与业务验证] | v [复盘与改进]

关键步骤与命令示例：

  • 发现与分级
    • 触发条件：认证失败率异常、未知源IP连接、审计到高危操作、数据校验失败
    • 立刻冻结高危账号：db.updateUser("app_user",{pwd:""}) 或临时撤权
  • 隔离与遏制
    • 立即阻断可疑源IP：
      • iptables -I INPUT -s <suspicious_ip> -j DROP
    • 将mongod切至仅内网维护窗口（必要时短时只绑定127.0.0.1）
    • 强制TLS：确认net.tls.mode=requireTLS
  • 现场取证（先取证后清理）
    • 备份日志与审计：
      • tar czf /ir/mongo_logs_$(date +%s).tar.gz /var/log/mongodb /var/log/audit
    • 快照/物理副本（VM快照，或LVM快照）
  • 根因分析与修复
    • 分析异常账户、来源IP、涉及集合与操作类型
    • 补齐配置：authorization/TLS/防火墙、禁用JS
    • 漏洞修复：升级MongoDB安全版本，修正弱口令策略
  • 数据恢复与验证
    • 依据最后可信备份进行point-in-time恢复（有oplog/从节点时）
    • 业务回归测试：读写、索引、延迟、完整性校验
  • 密钥与凭据轮换
    • 重签发服务器证书（如怀疑私钥泄露）
    • 全量轮换受影响的DB用户密码
  • 报告与复盘
    • 形成事件报告：时间线、影响范围、数据量、处置过程、改进项
    • 更新基线与监控告警阈值，补充演练

备注与合规要点

  • 本方案遵循最小权限原则，满足等保二级在身份鉴别、访问控制、通信保密、安全审计、入侵防范与备份恢复的基本要求。
  • 社区版无法启用MongoDB原生审计时，须以Linux auditd与系统日志组合满足“可审计、可追溯”要求，并确保日志集中与留存。
  • 存储加密在等保二级非强制，但强烈建议对涉敏数据启用（LUKS或Enterprise透明加密）。
  • 涉及参数可能存在版本差异，部署前请核对目标版本文档并先在测试环境演练。

示例详情

📖 如何使用

⚡ 30秒出活：复制 → 粘贴 → 搞定
与其花几十分钟和AI聊天、试错，不如直接复制这些经过千人验证的模板，修改几个 {{变量}} 就能立刻获得专业级输出。省下来的时间，足够你轻松享受两杯咖啡！
加载中...
💬 不会填参数？让 AI 反过来问你
不确定变量该填什么？一键转为对话模式，AI 会像资深顾问一样逐步引导你，问几个问题就能自动生成完美匹配你需求的定制结果。零门槛，开口就行。
转为对话模式 →
🚀 告别复制粘贴，Chat 里直接调用
无需切换，输入 / 唤醒 8000+ 专家级提示词。 插件将全站提示词库深度集成于 Chat 输入框。基于当前对话语境，系统智能推荐最契合的 Prompt 并自动完成参数化，让海量资源触手可及，从此彻底告别"手动搬运"。
即将推出
🔌 接口一调，提示词自己会进化
手动跑一次还行，跑一百次呢？通过 API 接口动态注入变量，接入批量评价引擎，让程序自动迭代出更高质量的提示词方案。Prompt 会自己进化，你只管收结果。
发布 API →
🤖 一键变成你的专属 Agent 应用
不想每次都配参数？把这条提示词直接发布成独立 Agent，内嵌图片生成、参数优化等工具，分享链接就能用。给团队或客户一个"开箱即用"的完整方案。
创建 Agent →

✅ 特性总结

按数据库类型与环境一键生成专属加固方案，真正对症下药，避免落地困难
从认证授权审计全链路梳理重点，给出分级方案与清晰实施路径指引
内置最佳实践与最小权限原则，一键校对权限边界，减少越权误配风险
提供可直接执行的配置示例与检查清单，快速落地并可复核效果与证据
按合规要求自动映射控制点，生成可审计说明与整改优先级与跟踪状态
内置风险预警思路，提前识别未授权访问、注入与泄露等高风险场景
云上与自建环境均可适配，覆盖多租户与弹性扩缩等复杂运行场景需求
内置应急响应流程与联动指引，异常发生时按图操作迅速止损与复盘
按保护等级切换核心增强高级方案，灵活平衡安全与成本，贴合业务需求
提供可持续监控指标与告警阈值建议，帮助建立长期可运营机制闭环

🎯 解决的问题

让数据库与安全团队在最短时间内获得一套可直接落地的安全加固方案。通过输入数据库类型、部署环境与合规要求，自动生成分级策略与操作步骤，覆盖访问控制、传输与存储加密、漏洞防护、审计监控与应急演练，确保高优先级风险先被处理，配置有据可查，实施可验证，帮助企业快速通过审计与合规检查，降低数据泄露与停机风险，提升安全投入的产出比。

🕒 版本历史

当前版本
v2.1 2024-01-15
优化输出结构，增强情节连贯性
  • ✨ 新增章节节奏控制参数
  • 🔧 优化人物关系描述逻辑
  • 📝 改进主题深化引导语
  • 🎯 增强情节转折点设计
v2.0 2023-12-20
重构提示词架构，提升生成质量
  • 🚀 全新的提示词结构设计
  • 📊 增加输出格式化选项
  • 💡 优化角色塑造引导
v1.5 2023-11-10
修复已知问题，提升稳定性
  • 🐛 修复长文本处理bug
  • ⚡ 提升响应速度
v1.0 2023-10-01
首次发布
  • 🎉 初始版本上线
COMING SOON
版本历史追踪，即将启航
记录每一次提示词的进化与升级，敬请期待。

💬 用户评价

4.8
⭐⭐⭐⭐⭐
基于 28 条评价
5星
85%
4星
12%
3星
3%
👤
电商运营 - 张先生
⭐⭐⭐⭐⭐ 2025-01-15
双十一用这个提示词生成了20多张海报，效果非常好！点击率提升了35%，节省了大量设计时间。参数调整很灵活，能快速适配不同节日。
效果好 节省时间
👤
品牌设计师 - 李女士
⭐⭐⭐⭐⭐ 2025-01-10
作为设计师，这个提示词帮我快速生成创意方向，大大提升了工作效率。生成的海报氛围感很强，稍作调整就能直接使用。
创意好 专业
COMING SOON
用户评价与反馈系统，即将上线
倾听真实反馈，在这里留下您的使用心得，敬请期待。
加载中...
敬请期待...