安全基线检测

安全基线检测

• 检测范围

  • 数据库配置：密码策略复杂度（例如RDS MySQL可以开启强密码策略）。

  • 网络配置：白名单访问控制、SSL安全配置。

  • 访问控制：弱口令检测。

  • 存储池：备份设置。

    说明

    在数据库遭遇锁定或删除等事件时，备份尤为重要。

  • 事后安全：审计日志，提供追踪与检测功能。

• 执行机制

  即时检测：支持手动触发专项合规检查。

弱口令检测

• 检测模型

  • 配合字典库匹配（包含互联网常见的10,000,000+弱口令组合，并与云安全合作提供新发现的弱口令）。

  • 支持多种密码强度策略的快速批量检测。

• 防护措施

  检测到弱口令账号时触发安全告警。

1. 登录DAS控制台。

2. 在左侧导航栏中，选择安全中心 > 安全巡检。

   • 发起巡检：单击发起巡检，在弹出窗中勾选需要进行巡检的实例，单击将其移动到右侧，单击确定即可对选定的数据库实例进行安全巡检。

     说明

     安全巡检是一个耗时的操作，具体耗时取决于您实例的数量和复杂度，可能需要几分钟到几十分钟不等。您无需等待任务完成，可稍后返回此页面查看巡检结果。

     

   • 巡检列表：巡检结果将以列表形式展示在页面上（每个实例，对应一行数据）。

     说明

     检测结果系统会以醒目的标记进行提示（红色表示存在风险，黄色表示警告，绿色则为安全）。

     

     检测项	检测规则	说明

     检测项	检测规则	说明
     弱口令	危险：存在弱口令的用户。 警告：不涉及。 安全：未发现弱口令用户。	是否存在使用弱口令的账户。
     白名单	危险：白名单存在0.0.0.0/0全通配置。 警告：配置了公网IP下大范围的 /8 的网段。 安全：无高风险的白名单配置。	是否存在不符合安全规范的IP白名单。 说明 白名单安全风险定义：实例开启了公网访问，且白名单配置了0.0.0.0/0或大范围的公网 IP 地址段i.e. /8。
     SSL证书	危险：不涉及。 警告：实例SSL未开启。 安全：实例SSL已开启。	数据库连接是否启用了SSL加密。
     备份	危险：检测最近7天内未产生备份集。 警告：检测2-7天内产生备份集。 安全：近1天内存在备份集。	最新备份集产生时间（受备份策略的影响）。 说明 暂不支持PolarDB-X 2.0。 若实例未配置自动备份策略，连续7天无备份集则标记为危险。
     审计	危险：不涉及。 警告：未开启审计日志。 安全：已开启审计日志。	是否开启了审计日志功能。

   • 查看详情：单击对应巡检实例任务操作列下的详情，查看巡检详情。

     说明

     在弹出窗中，单击下方的再次巡检，即可对当前实例进行再次巡检。

     

   • 下载：单击巡检列表右上方的下载按钮，下载您当前列表中的巡检结果。

     

   • 巡检订阅：您可以在右上角订阅开关，启用巡检订阅服务。

     说明

     启用订阅服务后，阿里云会在以下重要节点，通过站内信及短信等多渠道，及时向您推送安全通告。

     • 阿里云收到或发现新的安全威胁情报等。

     • 国家网信办等监管部门发布最新合规要求。

     

若数据库巡检结果中出现了非安全的巡检结果，您可参考如下方案进行修复：

• 弱口令：请确保您的数据库密码复杂度符合数据库安全标准，这对于必须暴露于公网的数据库尤为重要。

  说明

  若您使用的是RDS MySQL，建议您开启validate_password的插件。修改密码后，可通过SHOW VARIABLES LIKE 'validate_password%'命令检查策略是否生效"。

  • 长度为8~32个字符。

  • 由大写字母、小写字母、数字和特殊字符中的任意三种组成。

  • 特殊字符为!@#$%^&*()_+-=。

  • 数据库修改密码参考：

    • RDS MySQL

    • PolarDB-X 2.0

    • PolarDB MySQL

• 白名单：建议优先修复暴露于公网的数据库白名单设置，移除不必要的白名单IP。确保仅信任的IP地址能够访问您的数据库，以降低潜在的安全风险。

• SSL证书：如您已启用数据库的公网访问，强烈建议您启用SSL加密，以确保数据在传输过程中的安全性。这将有助于防止传输中的数据被截获，篡改等安全风险。

• 数据库备份：为应对突发情况并确保业务连续性，需提前做好数据库备份。根据业务需求，可选择每日、每周或更长时间的备份周期，以确保数据的安全性和可恢复性。

• 审计日志：强烈建议您启用数据库审计日志功能。这不仅有助于事后追责与合规，还能提供实时安全风险检测能力，从而提升数据库的安全级别。