Số lượng ngày càng tăng của các cuộc tấn công mạng vào việc triển khai cơ sở dữ liệu nguồn mở làm nổi bật các phương thức hoạt động và quản trị kém của ngành.
Nếu năm 2016 dạy cho chúng ta bất cứ điều gì, thì đó là tầm quan trọng của các biện pháp vận hành và biện pháp bảo mật hợp lý trong việc triển khai cơ sở dữ liệu nguồn mở. Trong vài năm, các nhà nghiên cứu đã cảnh báo về các cơ sở dữ liệu bị lộ công khai - với ước tính lên tới hàng chục nghìn máy chủ. Nếu quy mô của vấn đề không rõ ràng hoặc đáng sợ, thì chắc chắn là bây giờ.
Gần đây, các nhóm ransomware đã xóa hơn 10.000 cơ sở dữ liệu MongoDB chỉ trong vòng vài ngày. Các cơ sở dữ liệu nguồn mở khác (ElasticSearch, Hadoop, CouchDB) cũng bị ảnh hưởng. Trong khi đó, số lượng cơ sở dữ liệu bị lộ đã lên đến khoảng 100.000 phiên bản.
Điều gì đã dẫn đến điều này? Cơ sở dữ liệu nguồn mở và phần mềm nguồn mở nói chung, đóng vai trò quan trọng trong các dịch vụ trực tuyến ngày nay. Nhờ việc sử dụng ngày càng nhiều các vòng đời phát triển nhanh, đám mây đã trở thành nơi có nhiều ứng dụng được triển khai nhanh chóng. Nhiều doanh nghiệp cũng đã vượt ra ngoài việc sử dụng đám mây cho các chức năng không quan trọng và giờ đây dựa vào đám mây để lưu trữ dữ liệu có giá trị. Điều này có nghĩa là nhiều cơ sở dữ liệu hơn đang được triển khai trên các đám mây công cộng, trong các môi trường tiếp xúc trực tiếp với Internet.
MongoDB nói riêng rất phổ biến trong số các nhà phát triển, vì sự tiện lợi và hiệu quả của nó. Nhưng đây là vấn đề - nhanh chóng tạo ra một môi trường để phát triển không giống như thiết lập cho sản xuất trực tiếp. Cả hai đều đòi hỏi trình độ chuyên môn rất khác nhau. Hàng nghìn trường hợp cơ sở dữ liệu không được bảo mật và bất kỳ ai cũng có thể có quyền truy cập đọc và ghi vào cơ sở dữ liệu (bao gồm bất kỳ dữ liệu nhạy cảm nào) mà không cần bất kỳ công cụ đặc biệt nào hoặc không cần phải phá vỡ bất kỳ biện pháp bảo mật nào. Đây không phải là sự mất tập trung của một vài cá nhân đã đưa chúng tôi đến đây, chúng tôi đang phải đối mặt với một vấn đề phổ biến hơn bất kỳ ai có thể tưởng tượng. Chúng ta cần phải thừa nhận rằng rất khó tìm thấy điểm trung gian giữa tính dễ sử dụng, tốc độ triển khai và sự sẵn sàng hoạt động / bảo mật. Vì vậy, điều này đặt ra một câu hỏi - làm thế nào chúng ta có thể cùng nhau vượt qua loại vấn đề này?
Nếu chúng tôi có thể đào tạo từng cá nhân triển khai MongoDB thành một kỹ sư triển khai, thì điều đó có thể hữu ích. Ít nhất, sẽ có một số cấp độ bảo vệ để không chỉ bất kỳ ai cũng có thể bước vào qua cánh cửa mở.
Hoạt động không phải là khoa học tên lửa, nhưng có thể không hợp lý khi mong đợi tất cả các nhà phát triển, những người là người dùng chính của MongoDB, trở thành các kỹ sư triển khai / hệ thống chính thức. Ngành công nghiệp CNTT đang tiến tới việc triển khai và triển khai các dịch vụ nhanh hơn, gọn gàng hơn. Nền tảng trung gian giữa tính dễ sử dụng, tốc độ triển khai và các hoạt động vận hành hiệu quả có thể còn xa hơn. Tự động hóa có thể chỉ là thứ giúp chúng ta tìm thấy điểm trung gian đó.
Vài người trở thành MongoDB DBA - Đưa MongoDB vào Sản xuất Tìm hiểu về những điều bạn cần biết để triển khai, giám sát, quản lý và mở rộng MongoDBDownload miễn phíCác cấu hình cơ sở dữ liệu phù hợp cho quá trình sản xuất có xu hướng phức tạp hơn một chút, nhưng sau khi được thiết kế, chúng có thể được nhân bản nhiều lần với sự thay đổi tối thiểu.
Tự động hóa có thể được áp dụng cho việc cung cấp và cấu hình ban đầu, cũng như các bản vá đang diễn ra, sao lưu, phát hiện bất thường và các hoạt động bảo trì khác. Đây là cơ sở cho nền tảng tự động hóa của riêng chúng tôi cho MongoDB, ClusterControl. Một hệ thống được triển khai và quản lý tốt có thể giảm thiểu rủi ro hoạt động và chắc chắn sẽ ngăn hàng nghìn cơ sở dữ liệu này bị tấn công.
