【臺灣資安大會直擊】導入熱門開源資料庫PostgreSQL的第一步，安全管理政策得先強化防呆才能杜絕自己人不當操作

開源資料庫PostgreSQL可說是近兩年來最熱門的資料庫軟體之一，根據資料庫流行度排行榜DB-Engines的統計，PostgreSQL流行度從2017年初超越MongoDB後，就蟬聯第4至今，名列Oracle、MySQL、Microsoft SQL Server之後，若以開源資料庫來看，排名更僅次於MySQL，因成本低、開源、社群活躍的特性，受到許多開發者青睞。不過，隨者PostgreSQL用戶越來越多，伴隨而來的安全管理問題也需更加重視，PostgreSQL臺灣使用者社群召集人古永忠就在今年的臺灣資安大會上，分享企業使用PostgreSQL時，應採取的安全管理策略。

「在發展初期，駭客攻擊機率沒那麼高，比較容易出問題的反而是自己人。」古永忠表示，談到安全性，許多人都先聯想到外部的惡意入侵，但現實上，多數時候造成資料庫無法運作的原因，是內部工程師操作失誤使然，因此，企業使用資料庫需要遵循一套安全策略，來協助開發者自然防呆。

連線前：需避免不慎連入資料庫的風險

古永忠將這套安全策略分為資料庫連線前、連線中、連線後三個階段來討論。

首先，在連線前，最主要的任務，就是要避免工程師在多應用程式的開發環境下，不小心連入、連錯資料庫。古永忠解釋，由於工程師在開發多個資料庫時，都會有命名及結構設定的慣性，導致有時連錯資料庫而不自知，一旦改錯資料，就會造成資料損壞的風險。

要防止用戶連錯資料庫，古永忠提出3項作法。第一，在網路限制方面，建議將資料庫主機兜在同一個子網路，訂定較嚴格的管理規則，比如將防火牆需設定為正面表列，預設為拒絕。此外，PostgreSQL也具有資料庫連線管理的機制pgBouncer，也就是連線池（Connection Pool）的功能，能用來保護資料庫不受異常連線影響、維持正常作業。

第二，在連線主機的操作環境上，古永忠表示，資料庫操作這類重要的任務，應離開原先熟悉的辦公環境，在虛擬桌面（VDI）或特定實體主機來執行，以免喝個咖啡、聊個天就忘了正在進行的作業流程或任務。

第三，由於PostgreSQL預設可供所有使用者登入，應重新授權，設定每個資料庫可登入的使用者白名單。同時，古永忠也建議，若要完全避免攻擊者或非白名單者透過遠端連線登入的風險，可以限制​資料庫系統管理者（postgres）的登入途徑，不要設定密碼，而是讓管理者只能透過作業系統的一般使用者登入，再授權管理者以sudo（Superuser Do）的功能切換登入權限，來提高系統安全性。

連線中：需避免用戶越權更新資料的風險

而在資料庫連線中容易碰到的安全問題，則是要避免使用者不小心越權更新資料，以免對資料庫帶來巨大損害。

首先，在權限方面，古永忠建議將大部分的權限最小化。由於PostgreSQL預設任何使用者都能建立資料庫物件，為了提高安全性，應盡量縮小權限，調整為僅資料庫擁有者能建立資料庫物件，再依使用者需求額外授權操作資料庫物件。且資料庫結構（schema）維護者，與資料存取者也應分開授權，限制存取者無法隨意調整資料庫結構。

第二，應使用statement_timeout指令，限制查詢的最長回應時間，因為過長時間的查詢，可能代表查詢程式邏輯與資料分布不一致，限制查詢時間，才能在資源互相排擠之前提早回報錯誤。

第三，則是可以安裝側錄軟體，來紀錄使用者操作行為，包含操作畫面、SSH傳輸內容等。古永忠表示，有些操作不容易透過log看出來，運用側錄軟體，不僅能在事件發生後追蹤用戶行為，有些軟體也具備即時告警的功能，比如在用戶下特殊指令時先行通報。

第四，是部分行業可能會碰到資料遮蔽的問題。古永忠指出，真實的資料與遮蔽後的資料，最好獨立放置在不同的資料庫中，或者依權限顯示真假資料，且在應用時，只有在必須存取個資時才接觸個資，應用程式設計也不應與特定個資有關聯。若需要進行系統測試，用戶可以自定遮蔽函數，使用遮蔽過的資料來測試，保持正式系統使用正式資料、測試系統使用測試資料的習慣，來減少正式資料被竄改或外洩的意外發生。

連線後：透過備份、版本還原將可能的損害降到最低

不過，縱使已經建立了完整一套安全管理機制，還是不可能達到全然的安全，需要考量到意外發生後的彌補措施，盡量將傷害降到最低。

首先，永遠必須要備份，即使有增量備份的功能可以使用，還是必須時常重新完整備份，因為增量備份只要發生一次失敗，部分備份資料就可能損壞、無法還原。古永忠也提醒，備份資料也可能成為竊取目標，因此，備份主機的安全等級甚至要比資料庫本身來的更高，來保障資料安全。

第二，要盡量將資料庫更新到最新版本，在安全性與效能才更有優勢。第三，由於pgdata磁碟空間不足時，可能會連刪除資料都無法運作，因此，需要在儲存空間8成滿就限制使用，或擴充磁碟空間，否則若磁碟用盡，會造成資料不一致、影響資料安全。最後，則是要將config檔案納入版本管理，若不慎因設定出錯而影響資料庫運作時，才能快速回復可用的設定。

古永忠認為，資料庫安全的三個要素分別是保密（Confidentiality）、完整（Integrity）及可用性（Availability），任何一項被破壞，都可能代表資料庫安全性已經不足。而企業的安全策略，也隱含了重視客戶資料的程度，他也建議，企業制訂的策略不應打高空，應循序漸進、制定能實際能執行的內容，一步步讓使用者養成具有安全意識的操作習慣。