أساس أمني لنظام PostgreSQL لأنظمة المؤسسات

تقليل السطح المعرض

حافظ على نظام PostgreSQL على الشبكات الخاصة واسمح فقط بمسارات التطبيق والإدارة والتكرار والمراقبة والنسخ الاحتياطي المطلوبة. يجب أن تفرض قواعد الجدار الناري وملف pg_hba.conf هذا التصميم معًا. تجنّب نطاقات CIDR الواسعة، والوصول إلى قواعد البيانات باستخدام النجمة، والمستمعين العاميين. يجب أن يمر الوصول الإداري عبر بوابة bastion مُدارة، أو شبكة VPN، أو طبقة وصول خالية من الثقة.

فصل الهويات والملكية

امنح كل تطبيق ودالة أتمتة دور تسجيل دخول خاصًا به. استخدم أدوار مالك NOLOGIN لقواعد البيانات والمخططات، ثم امنح صلاحيات محدودة النطاق لأدوار التشغيل. اسحب صلاحيات CREATE الافتراضية على المخطط العام عندما لا تكون مطلوبة. يجب على المديرين البشريين استخدام حسابات مسماة، والتبديل إلى أدوار مرفوعة فقط لمدة العمل المعتمد.

حماية بيانات الاعتماد والنقل

استخدم SCRAM-SHA-256 بدلاً من تخزين كلمات المرور القديم، وقم بتدوير بيانات الاعتماد، واحتفظ بها في مدير أسرار بدلاً من الشيفرة المصدرية أو الصور. اطلب TLS عبر الشبكات غير الموثوقة وتحقق من هوية الخادم، وليس فقط التشفير. أتمت تجديد الشهادات وأطلق تنبيهات قبل انتهاء الصلاحية بوقت كافٍ.

مراجعة النشاط ذي القيمة العالية

سجّل فشل المصادقة، وتغييرات الأدوار والصلاحيات، وتغييرات المخططات، وتغييرات الإعدادات، والعبارات البطيئة أو الفاشلة وفقًا للسياسة. يمكن لـ pgaudit إضافة تدقيق منظم للجلسات والكائنات حيث تبرر متطلبات الامتثال ذلك. مركز السجلات، وقيد التعديل، وحدد مدة الاحتفاظ، واختبر وصول التنبيهات إلى مالك مسؤول.

التحديث والتحقق باستمرار

تتبع التحديثات الأمنية لنظام PostgreSQL، ونظام التشغيل، والإضافات، وموزّع الاتصال، وأدوات النسخ الاحتياطي. تدرّب على التحديثات الثانوية والصيانة المتدحرجة في بيئة تمثيلية. راجع بانتظام المستخدمين الخارقين، والعضويات، والأدوار غير المستخدمة، وقواعد pg_hba المسموحة، والإضافات الضعيفة، والتعرض للإنترنت. الأمان حالة تشغيلية مُدارة، وليس وثيقة تقوية لمرة واحدة.