安全基线检测

1. 登录DAS控制台。

2. 在左侧导航栏中，选择安全中心 > 安全巡检。

   • 发起巡检：单击发起巡检，在弹出窗中勾选需要进行巡检的实例，单击将其移动到右侧，单击确定即可对选定的数据库实例进行安全巡检。

     说明

     • 巡检需要在实例列表中完成安全中心授权。

     • 安全巡检是一个耗时的操作，具体耗时取决于您实例的数量和复杂度，可能需要几分钟到几十分钟不等。您无需等待任务完成，可稍后返回此页面查看巡检结果。

     

   • 巡检列表：巡检结果将以列表形式展示在页面上（每个实例，对应一行数据）。

     说明

     检测结果系统会以醒目的标记进行提示（红色表示存在风险，黄色表示警告，绿色则为安全）。

     

   • 查看详情：单击对应巡检实例任务操作列下的详情，查看巡检详情。

     说明

     在弹出窗中，单击下方的再次巡检，即可对当前实例进行再次巡检。

     

   • 下载：单击巡检列表右上方的下载按钮，下载您当前列表中的巡检结果。

     

   • 巡检订阅：您可以在右上角订阅开关，启用巡检订阅服务。

     说明

     启用订阅服务后，阿里云会在以下重要节点，通过站内信及短信等多渠道，及时向您推送安全通告。

     • 阿里云收到或发现新的安全威胁情报等。

     • 国家网信办等监管部门发布最新合规要求。

     

若数据库巡检结果中出现了非安全的巡检结果，您可参考如下方案进行修复：

• 弱口令：请确保您的数据库密码复杂度符合数据库安全标准，这对于必须暴露于公网的数据库尤为重要。

  说明

  若您使用的是RDS MySQL，建议您开启validate_password的插件。修改密码后，可通过SHOW VARIABLES LIKE 'validate_password%'命令检查策略是否生效"。

  • 长度为8~32个字符。

  • 由大写字母、小写字母、数字和特殊字符中的任意三种组成。

  • 特殊字符为!@#$%^&*()_+-=。

  • 数据库修改密码参考：

    • RDS MySQL

    • PolarDB-X 2.0

    • PolarDB MySQL

• 白名单：建议优先修复暴露于公网的数据库白名单设置，移除不必要的白名单IP。确保仅信任的IP地址能够访问您的数据库，以降低潜在的安全风险。

• SSL证书：如您已启用数据库的公网访问，强烈建议您启用SSL加密，以确保数据在传输过程中的安全性。这将有助于防止传输中的数据被截获，篡改等安全风险。

• 数据库备份：为应对突发情况并确保业务连续性，需提前做好数据库备份。根据业务需求，可选择每日、每周或更长时间的备份周期，以确保数据的安全性和可恢复性。

• 审计日志：强烈建议您启用数据库审计日志功能。这不仅有助于事后追责与合规，还能提供实时安全风险检测能力，从而提升数据库的安全级别。

• TDE加密：为保证数据安全，强烈建议启用TDE加密，以确保落盘数据安全。

• KMS密钥：可在密钥管理控制台，选择对应实例地域，启用对应密钥。