经得起真实事件考验的数据库安全最佳实践

Bishop Fox 红队负责人总结数百次实战中反复出现的五类错误：密钥管理不善、权限过大、网络分段缺失、过度依赖用户培训、检测能力薄弱，约 90% 的红队项目至少中招一项，并附修复建议。

AWS 安全系列第二篇聚焦主机加固：EBS 全盘加密注意事项（按卷单独生成密钥、默认分区也需加密）、最小权限原则，以及以物理服务器同等的严谨度管理云主机。

GitLab Secrets Manager（基于 OpenBao）新增 External Secrets Operator、Terraform 与 API 支持：CI/CD、Kubernetes 与 IaC 可从同一密钥源检索，轮换后按刷新周期自动同步、无需重新部署。

一次代码审计在 20 个账户中发现 30 处硬编码数据库密码。文章演示 XXE 等漏洞如何把泄露的源码变成直连数据库的跳板，并给出密钥管理、最小化分发等更安全的替代方案。

NetSPI 剖析 MS SQL Server 的常见受信入口：应用账号常被授予 sysadmin 甚至直接使用 SA，本地管理员组在 2008 之前默认继承 sysadmin，DBA 与服务账号权限也普遍过大；攻击者可借这些受信账号执行任意查询，建议落实最小权限与审计。

SQL 注入最有效的防线在数据库层：强制所有数据访问经由参数化的存储过程，并将用户权限限制在 CONNECT 与 EXECUTE，让任意 SQL 语句直接失败。