事实上，千万别刚一开始就跟我说起诸如SOX的事情，又或者是HIPAA方面的情况，再不然就是PCI DSS相关的内容。
那些所谓的合规性条文，听起来觉得特别专业，然而实际上相当虚浮。就如同你在谈恋爱之前背了数量众多的《恋爱指南》，真正碰到让自己心动的人时，脑子却依旧是一片空白。数据库安全这件事情，第一步根本不是技术方面的内容，而是该死的“心虚”。你必须先害怕，要怕到骨子里才行。
怕什么？
生怕那个凌晨三点的时候，你打着哈欠去给测试库进行授权，而后手一抖，生产库的门就被踹开了。生怕那个被你裁走的程序员，在临走之前回头看了你一眼，那眼神并非是留恋，而是在默默记住你服务器的端口。生怕你的备份好似个植物人，躺在那儿有着呼吸，却永远醒不过来。
你不怕，策略就是废纸。
你在保护哪个“爹”？
偏偏是这儿，致使大多数公司走向灭亡。你觉得你守护的是核心生产库？简直幼稚至极。
藏在角落之处的测试库，由开发人员随随便便创建的“貌似不太起眼的表”，为赶项目从生产环境直接照搬过来、连密码都未曾更改的如同“复制体”般的数据库，那才是有着极大危害的。
相较于你家保洁阿姨所知，攻击者对家中哪处角落最脏且藏灰最多更为清楚。非生产环境中的数据，如同未上锁的日记本，其上记满了你最为见不得人的秘密。
你需要去进行一种类似“变态”般的盘点行为，将所有的数据库都彻彻底底地清查一番，去查看究竟哪些属于亲生的范畴，哪些又是属于捡来的类别，只有当你把它们全部都当作活生生的人那样去看待了，贼才不会有机可乘，从而钻了空子。
那个所谓的“基础”，其实是个无底洞
好多人将“身份验证、授权、访问控制”，视作装修刷墙，刷一回便管十年。
放屁。
这玩意儿是养孩子，你得天天盯着，看它是不是长歪了。
尤为是权限这方面。那些手中紧握着一大把钥匙的人 ，你认为他们是保安吗？说不定人家乃是暗地里搞破坏的家贼呢。最小权限原则 ，可不是被写在PPT里用来摆门面显示自己有本事的 ，而是要求你去做会得罪人的事情。当有人冲着你大声叫嚷 “这样会让我干活变得不方便 ” ，你就得大声回击回去：“要是你方便了 ，那黑客可就更加方便啦！”。
还有打补丁。
半年进行一回？听闻起来是不是有熟悉之感呀？就好似你每半年才开展一次体检，一旦检查出病症那直接便是晚期阶段。那些利用漏洞的代码在网络上宛如菜市场里的烂白菜那般，轻而易举便可获取。而你却还在那里“测试、测试、再测试”，测试个啥呀，黑客可不会等着你。
预防措施，别只穿一条内裤就上街
加密、脱敏、变更管理。
这三件套，听着特安全是吧？
不过你要清楚地思考一下，加密究竟是针对谁而言的？那是为了防范那些好似趴在网线上偷听的所谓“顺风耳”！脱敏又是做什么用的？它是在让那些被外包的小弟干活之际，使其无法看到你家银行卡号的！
变更管理简直更具滑稽色彩了。究竟有多少公司，嘴上宣称着 “标准化流程” ，暗地里却依旧是 “人肉运维”？那个身处控制台前 ，因眼花缭乱 ，手抖之下将 “private” 写成 “public” 的兄弟 ，他所遭遇的悲剧 ，并非源于他自身愚蠢 ，而是由于你们的流程 ，竟允许他仅凭一人犯错 ，便能够致使整个公司陷入困境。
千万别等出了事才去“查监控”
审计和监测，不是让你当马后炮的。
你要等那些数据全部都被删得一干二净了，才去查清楚究竟是谁干的，这能有一丁半点的用处吗？等到那个时候，除了把那个运气差到极点的家伙给开除掉，你还能够做些别的什么呢？那些被删掉的数据难道还能够恢复回来吗？公司的股价难道还能够恢复到原来的水平吗？客户之前给予的信任难道还能够再次回来吗？
你所需求的乃是那种具备“盯着你瞧”这般特质的实时感受，恰似在你身形背后站立着一位行事严苛的教导主任，只要你一旦拿出手机，他便随即发出咳嗽声。
没错，正是这种压力，致使那些企图于半夜悄无声息地导出几百万条数据的家伙，当他们的手刚刚触碰到鼠标之时，警报声即刻将值班室的人从睡梦中急剧炸醒。
最后，请记住这个画面
有个身为意大利人的程序员，在从之前工作的公司离职以后，一次接着一次地去登录那家公司的数据库，进行删除相关东西的操作，还去看那些令人觉得好笑的内容。
你以为他技术多牛？
否。他仅是借助了在职之际所遗留下的通道，借助了公司秉持的那种“离去之人便不会再度折返”的愚笨惯性。
究竟而言，数据库安全实则是一场围绕“人性”展开的博弈，你既要与外部的黑客进行对抗，又要同自身人员存有的人性弱点作较量，有懒惰、贪婪、心存侥幸以及自负这些弱点。
策略写得再漂亮，不把这些人性的毛刺捋顺了，都是白搭。
因而，在去制定策略以前，要先对着镜子照一照，瞧瞧自身是不是属于那个极易显现出漏洞的“个人”。
Comments NOTHING