事情是這樣的，最近在做開源軟件供應鏈安全相關(guān)的項目，之前沒了解這方面知識的時候感覺服務器被黑，數(shù)據(jù)庫被刪，網(wǎng)站被攻，這些東西都離我們太遙遠了，因為感覺好像都輪不到我們，直到我開始做這個項目，才發(fā)現(xiàn)網(wǎng)絡安全，軟件安全問題真的是無處不在。

今天我們來聊聊刪庫跑路和代碼投毒。 我們從可操作性及易發(fā)現(xiàn)性還有后果及預防策略上來探討一下。

刪庫跑路

在軟件行業(yè)，“刪庫跑路”流傳已久，對，就是刪完庫，跑在監(jiān)獄的路上，這個對于安全來說簡直是小兒科。

可操作性

1. 權(quán)限控制

像數(shù)據(jù)這么敏感的權(quán)限會控制的比較嚴格，比如人員的權(quán)限控制及防范：

運維人員需進行雙因素認證；
防火墻或其他安全設(shè)備進行網(wǎng)絡限制，僅允許從堡壘機才可訪問至核心資產(chǎn)；
數(shù)據(jù)庫等系統(tǒng)資源賬號密碼托管在堡壘機中，堡壘機定期自動改密，運維人員無需知道數(shù)據(jù)庫等系統(tǒng)資源的賬號密碼；
嚴格控制后臺資源的訪問權(quán)限，做到訪問權(quán)限最小化原則，給不同運維人員分配最小訪問權(quán)限；
設(shè)置數(shù)據(jù)庫等高危操作命令的金庫模式，執(zhí)行高危命令時可觸發(fā)阻斷、二次審批等操作；
根據(jù)實際情況設(shè)置更高級別安全限制，比如登錄堡壘機時的IP地址、MAC地址限制，登錄堡壘機的時間限制等等。

看到了沒，首先第一步你讓007來也不一定能搞定。就算僥幸跨過了第一步。。。然后就被警察抓走了。。。豬角卒。。

2. 數(shù)據(jù)備份

數(shù)據(jù)定期備份。
云廠商數(shù)據(jù)防護。
異地多活。

就算刪了也能快速恢復。

綜上：你能刪庫的概率基本為0了，只要地球還在數(shù)據(jù)就還在。

易發(fā)現(xiàn)性

這個不用多講，即使能刪庫，有這個權(quán)限的人一根指頭都能數(shù)清，那就是你了。。

影響后果

刪庫跑路一般是只會影響自己的公司，對其他企業(yè)或者人員沒啥影響。但是對于你。。。。

相信你已經(jīng)做出了你的選擇。

代碼投毒

代碼投毒，是指攻擊者在合法軟件的開發(fā)、傳播和升級過程中進行劫持或篡改，從而達到非法目的的攻擊類型。鑒于當前超過99%的商業(yè)軟件包含開源軟件，一旦具有大規(guī)模用戶基礎(chǔ)的開源軟件存在安全漏洞，勢必會影響整個軟件產(chǎn)業(yè)、甚至其他重要行業(yè)的供應鏈安全。