概述
今天主要分享下蓋總所提的DBA 16條軍規，每條都說的挺不錯的，下面一起看看吧。
1、備份重於一切
DBA四大守則第一條就指出，『備份重於一切』，有了有效的備份，即使遭遇災難，也可以從容應對，對於重要的生產環境，適當建立備庫進行數據保護，查詢分擔，也會減少生產庫的風險；
唯一會讓DBA們從夢中驚醒的就是:沒有備份! 所以對於資料庫運維來說，第一重要的是做好備份!有備方能無患!
2、嚴格管控權限
過度授權即是為資料庫埋下安全隱患，在進行用戶授權時一定要遵循最小權限授予原則，避免因為過度授權而帶來的安全風險。本次安全風險，如果用戶只具備最低權限，如不具備DDL權限，那麼也不會遭到風險；
3、明確用戶職責
應當明確不同的資料庫用戶能夠用於的工作範圍，應當使用普通用戶身份的，就絕對不應該使用DBA的用戶身份，只有職權相稱，才能夠避免錯誤，降低風險。即便是擁有管理員職責的用戶，也應當遵循以不同身份執行不同任務的習慣，比如SYS和SYSTEM用戶的使用就應當進行區分和界定；
4、密碼策略強化
毫無疑問，資料庫用戶應當使用強化的密碼規則，確保弱口令帶來的安全風險，很多數據泄露問題來自弱口令攻擊和提權；
5、限制登錄工具
明確限制不同工具的使用場景，明確規定工具的準確來源，或者通過堡壘機等來限制資料庫訪問。對於工具也可以做出明確規則和限制，如限制僅能通過SQL Developer訪問生產，PL/SQL Developer工具僅能訪問測試環境，以減少安全風險甚至誤操作風險；
6、禁止遠程DDL
可以限制DDL操作僅能在資料庫伺服器本地進行，禁止遠程連接執行DDL操作，這一手段在很多公司被嚴格執行，如果具備這一規則，此次的事故可以被直接屏蔽掉；
7、使用綁定變量
在開發過程中，嚴格使用綁定變量，綁定變量可以防範SQL注入攻擊，減少資料庫安全風險；這次安全事故，很多用戶開始猜測是SQL注入，走了很多分析上的彎路；
8、監控監聽日誌
監聽日誌記錄了資料庫訪問的來源、程序等信息，包括惡意掃描，密碼嘗試等，一定要重視監聽日誌的作用，並對其進行分析和監控，以清楚的匯制資料庫訪問圖譜。
9、數據網絡隔離
資料庫的網絡環境應該一直隱藏在最後端，避免將資料庫置於直接的訪問連接之下，由此可以減少資料庫的訪問風險；
10、測試和生產隔離
互通就意味著同時可以訪問，也就可能帶來很多意想不到的安全風險，企業應當將測試環境和生產環境部署於不可互通，或者不可同時訪問的網絡環境中，避免因為錯誤連接而發生的資料庫災難。分離部署一方面可以降低誤操作的可能性，也可以屏蔽一些無關的訪問可能，從而從網絡鏈路上保證數據安全；
11、密碼差異設置
有些測試環境或者非產品環境是利用產品環境恢復得到的，DBA在建立了測試環境後，就沒有修改資料庫用戶的登錄密碼;經常性的，DBA也習慣在所有環境中設置通用的密碼;這些習慣為系統帶來了很多風險和不確定性。
建議用戶在不同環境中採用不同的密碼設置，這是因為一方面產品環境和測試環境面對的訪問用戶不同，密碼設置相同則意味著產品環境的安全性完全得不到保障;另一方面，DBA登錄到不同的資料庫需要使用不同的密碼，這進一步減低了DBA在錯誤的環境下執行命令的可能性。
12、重要數據加密
很多重要的數據，需要加密存儲，最典型的就是用戶和密碼信息，大量的泄密事件本質上是因為缺乏最基本的加密防範，對重要數據實施一定的安全防護加密，是應當予以適時考慮的安全方面之一。
13、適時的軟體升級
這裡的軟體指資料庫軟體，尤其是當Oracle已經發布了安全補丁，已知的安全漏洞被黑客利用，則更可能對資料庫產生致命的傷害；
14、防範內部風險
不可否認，絕大部分安全問題都來自於企業內部，來自最緊密、最輕易的接觸和訪問，企業的人員變動，崗位變更，都可能導致數據安全問題的出現，單存依靠對管理員的信任不足以保障數據安全，必須通過規章、制度與規 范的約束才能夠規避安全風險。
很多企業為了便利而捨棄規範、規章或者安全限制是得不償失的做法。安全防範應當從內部做起，從限制約束自我做起，當最緊密相關的訪問都遵從守則，那麼系統的安全性就能夠獲得大幅度的提升。
15、樹立安全意識
安全問題最大的敵人是僥倖，很多企業認為安全問題機率極低，不會落到自己的環境中，所以對於安全不做必要的投入，造成了安全疏忽。所以安全問題最大的敵人是我們自己，安全需要一點一滴的加強，逐步完善，雲和恩墨一直幫助核心客戶進行全面的安全評估，制定安全方案，守護數據安全。
16、開始安全審計
以Oracle資料庫為例，資料庫已經提供了很多安全防範的手段和方法，建議用戶適當展開安全防範措施，開啟部分任務審計，定期分析資料庫風險，由此逐步完善資料庫安全。
這裡每條軍規雖然偏向於Oracle，但是每一條都應該足夠重視。
後面會分享更多devops和DBA方面的內容，感興趣的朋友可以關注一下~