网络安全与防火墙配置

网络安全基础概念

网络安全是保护网络系统免受未经授权访问、破坏或泄露的关键措施。在MongoDB环境中，网络安全尤为重要，因为数据库通常存储着敏感信息。常见的网络威胁包括SQL注入、跨站脚本攻击(XSS)、拒绝服务攻击(DoS)等。例如，攻击者可能通过未经验证的输入直接操作数据库查询：

// 不安全的查询示例
const userInput = req.query.username;
db.collection('users').find({ username: userInput });

这种代码容易受到注入攻击，应该使用参数化查询：

// 安全的参数化查询
const userInput = req.query.username;
db.collection('users').find({ username: { $eq: userInput } });

MongoDB的默认安全配置

MongoDB安装后的默认配置并不安全。默认情况下，MongoDB不启用身份验证，监听所有网络接口(0.0.0.0)。这可能导致数据库暴露在公共网络中。查看当前绑定IP配置：

// 查看MongoDB网络配置
db.adminCommand({getCmdLineOpts: 1}).parsed.net

建议修改配置只监听内部网络接口，并启用身份验证：

# mongod.conf示例
net:
  bindIp: 127.0.0.1,192.168.1.100
security:
  authorization: enabled

防火墙策略设计

有效的防火墙策略应该遵循最小权限原则。对于MongoDB服务器，典型的防火墙规则包括：

1. 限制访问源IP
2. 只开放必要端口(默认27017)
3. 设置连接速率限制防止暴力破解

Linux系统使用iptables的示例：

# 只允许特定IP访问MongoDB端口
iptables -A INPUT -p tcp --dport 27017 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 27017 -j DROP

# 限制连接速率
iptables -A INPUT -p tcp --dport 27017 -m connlimit --connlimit-above 20 -j DROP

MongoDB认证机制

MongoDB支持多种认证机制，包括SCRAM、x.509证书和LDAP集成。SCRAM是默认的认证方法：

// 创建管理员用户
use admin
db.createUser({
  user: "admin",
  pwd: "complexPassword123!",
  roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
})

对于生产环境，建议使用x.509证书认证：

# mongod.conf配置
security:
  authorization: enabled
  clusterAuthMode: x509

网络加密传输

明文传输数据容易被中间人攻击窃取。MongoDB支持TLS/SSL加密通信：

1. 生成证书：

openssl req -newkey rsa:2048 -new -x509 -days 365 -nodes -out mongodb-cert.crt -keyout mongodb-cert.key
cat mongodb-cert.key mongodb-cert.crt > mongodb.pem

2. 配置MongoDB使用TLS：

net:
  ssl:
    mode: requireSSL
    PEMKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/ca.pem

审计与监控

完善的审计日志可以帮助发现潜在的安全威胁。启用MongoDB审计功能：

# mongod.conf配置
auditLog:
  destination: file
  format: JSON
  path: /var/log/mongodb/audit.json

监控查询性能和安全事件：

// 设置慢查询日志
db.setProfilingLevel(1, { slowms: 100 })

// 查看当前连接
db.currentOp()

// 检查认证尝试
db.getLog('auth')

副本集与分片集群安全

分布式MongoDB部署需要额外的安全考虑：

1. 内部成员通信加密
2. 配置服务器安全
3. 分片间认证

配置副本集内部认证：

# 每个节点的mongod.conf
security:
  keyFile: /path/to/keyfile
  clusterAuthMode: keyFile

生成密钥文件：

openssl rand -base64 756 > /path/to/keyfile
chmod 400 /path/to/keyfile

客户端安全连接

应用程序连接MongoDB时也应采取安全措施：

Node.js示例：

const { MongoClient } = require('mongodb');

const client = new MongoClient('mongodb://user:password@host:27017/dbname', {
  ssl: true,
  sslValidate: true,
  sslCA: fs.readFileSync('/path/to/ca.pem'),
  authSource: 'admin',
  connectTimeoutMS: 5000,
  socketTimeoutMS: 30000
});

定期安全评估

建立定期安全检查机制：

1. 用户权限审查

// 列出所有用户及其权限
db.getUsers()

2. 数据库漏洞扫描

mongodb-consistent-backup --check

3. 日志分析异常模式

grep "authentication failed" /var/log/mongodb/mongod.log

备份与灾难恢复

安全配置应包括数据备份策略：

1. 加密备份文件

mongodump --uri="mongodb://user:pwd@host:27017" --gzip --archive=backup.gz --ssl

2. 测试恢复流程

mongorestore --uri="mongodb://user:pwd@host:27017" --gzip --archive=backup.gz --ssl

3. 离线备份存储

openssl enc -aes-256-cbc -salt -in backup.gz -out backup.enc