从MongoDB安全事件说起,找到了原因和解决方案,危机之后又该怎样反思呢?
更多深度文章,请关注:https://yq.aliyun.com/cloud 背景介绍 近期,大批量的MongoDB实例因为配置漏洞遭遇了攻击,黑客无需身份认证即可登录MongoDB实例,从而删除了大量数据,并勒索受害者支付赎金才能要回自己的数据。截止目前为止,被劫持的MongoDB实例已经达到了一个惊人的数量。更加可恶的是,黑客在删除完业务数据库后,在里面的数据库留下了这段嘲讽+敲诈的“战书”。简单翻译下:“你的数据库可以通过公网IP免密码登陆,你是怎么想的?” 面对赤裸裸的挑战,我们如何应对?我们如何保证数据的安全? 事件当天多家云计算服务商及时响应事件,在各云服务商控制台推送声明和处理办法,也通过官方微信等渠道对事件及出现数据库被入侵的原因,同时提供了应对办法。 被入侵原因 黑客攻击的MongoDB实例需要同时具备以下两个条件: MongoDB实例免密码登录 MongoDB实例开放了公网访问 其实熟悉MongoDB的同学会不难发现,被攻击原因非常简单,而且由来已久。从根本上说,这其实是MongoDB在设计之初的一个小疏忽。MongoDB为了让开发者能够更快地上手使用,支持免去复杂...

