問答專欄Q & A COLUMN
感謝邀請！
這種問題，個人給你的建議是：
1.如果你懂IPSEC來做一下端口限制，比如只允許訪問服務(wù)器指定的1433端口，以及軟件必須的端口和你遠程的端口外，其他都不允許訪問。
2.使用的SQL版本盡量打上所有安全補丁，同時SA密碼盡量復(fù)雜化，大小寫字母加數(shù)字全用上，再一個SQL的GUEST客戶訪問權(quán)限也要設(shè)置好，不要給他多權(quán)限，除了基本的讀取和寫入就不要再給了。
3.如果客戶端訪問是固定IP，可以ipsec，只允許這個IP訪問，這樣效果是最好的。
4.如果有軟件允許還可以云服務(wù)器架設(shè)VPN服務(wù)器來進行訪問這種就更安全了。
3.
評論0
加載中...
云服務(wù)器開端口給“非公網(wǎng)用戶”訪問？“非公網(wǎng)用戶”是什么用戶？你的“云服務(wù)器”是“公有云”還是“私有云”？“非公網(wǎng)用戶”是怎么訪問的？需要什么級別的權(quán)限？是全數(shù)據(jù)庫服務(wù)器的訪問？特定數(shù)據(jù)庫的訪問？特定表的訪問？特定字段的訪問？增、刪、改、查全要有？還是部分？你為什么不能把他要的數(shù)據(jù)推送過去？為什么非要他進來訪問呢？
評論0
加載中...
限制訪問IP，或者在內(nèi)網(wǎng)訪問 ，數(shù)據(jù)庫盡量不要開放公網(wǎng)直接訪問，可以說說你的應(yīng)用場景，便于針對性提出更好方案
評論0
加載中...
方案有幾種，對于公網(wǎng)，首先修改默認端口，越不常用越好，然后設(shè)置防火墻該端口僅限某些ip訪問，某些域名解析平臺是可以針對某些區(qū)域解析出指定的IP，可以用來保護數(shù)據(jù)庫服務(wù)器的真實IP
評論0
加載中...
自己開發(fā)webapi接口，所有操作均通過接口完成，同時接口采用令牌方式進行驗證，另外，使用https方式訪問接口。
評論0
加載中...
一：保證客戶端密碼安全
1. 通過dll/so/dylib對密碼加密也就是說客戶鏈接1433端口的密碼并不是實際密碼，提升破解成本；
2. 增大密碼復(fù)雜度防止猜解；
3. 增加密碼錯誤次數(shù)，如超過則鎖定ip；
4. 使用動態(tài)密碼通過一定算法獲取；
二：服務(wù)（器）層防御
5. 修改默認端口，增加入侵成本；
6. 防火墻策略白名單限制防止其他ip攻擊；
7. 服務(wù)器口令與數(shù)據(jù)庫口令不要設(shè)置一樣，增加侵入者入侵服務(wù)器的成本；
三：保證數(shù)據(jù)安全
8. 給內(nèi)網(wǎng)客戶使用的數(shù)據(jù)庫用戶權(quán)限盡可能??；
9. 數(shù)據(jù)庫做好日志記錄以及定期備份，被刪等意外情況下緊急恢復(fù)
10. 對數(shù)據(jù)操作進行審計，發(fā)現(xiàn)異常操作進行告警，及早干預(yù)防止損失擴大
以措施基本是用來增加入侵成本的。最佳方式就是實時風控和審計，發(fā)現(xiàn)異常請求立即終止，但此類成本較高。
對于內(nèi)網(wǎng)用戶從成本和難度方面考慮除了審計/風控外其他都可以
評論0
加載中...
