MongoDB黑客勒索事件，官方终于做出回应

【IT168点评】日前，DB-Engines发布了2016年DBMS榜单，MongoDB无缘前三。 近日，MongoDB数据库实例遭到多个黑客团伙的攻击，朋友圈再次被刷爆。 许多用户的数据库内容被加密，他们必须支付赎金才能检索数据。 这个冬天对于MongoDB来说真是多事之秋。

MongoDB黑客勒索事件

2015年底，有专家指出，至少有3.5亿个MongoDB数据库暴露在互联网上，近684.8T的数据在裸奔。 据统计，今年 1 月 Shodan 上公开的 MongoDB 数据库多达 47000 个。 知名安全专家 John Matherly 观察到，不安全的数据正以惊人的速度增长。 从2015年7月到2015年12月，不安全数据库实例在短短四个月内增加了5000个。 Matherly 在 2015 年提出论点，认为这些暴露的数据存在巨大风险。

果然，2016年12月27日，GDI基金会安全研究员Victor Gevers首次发现攻击者利用配置有缺陷的开源数据库MongoDB进行勒索。 自称Harak1r1的黑客组织将网上公开的MongoDB数据库中的数据导出，删除了MongoDB服务器上的数据黑客要求转比特币，然后向数据库所有者索要0.2比特币（约合208美元）的赎金。 据悉，Harak1r1在短短几天内攻击了2000多个MongoDB数据库，已有十多位所有者支付了赎金。

▲黑客发出的赎金要求

Harak1r1的攻击似乎点燃了黑客的攻击本能，一时间众多鬣狗围了上来，own3d（杀死了近千个数据库，赎金金额为0.5个比特币），0704341626asdf（据统计至少杀死了740个数据库，以及赎金金额为 0.5 BTC）。 金额为0.15比特币）、kraken0、3lix1r（这两个是后来者，但攻击速度不容小觑）。 目前，MongoDB被黑事件已经闹得沸沸扬扬，甚至有黑客篡改其他黑客勒索信的案例。

MongoDB官方如何回应

对MongoDB数据库的攻击愈演愈烈，连BBC都报道了此事。 美国MongoDB也对此事进行了官方回应：

最近有黑客恶意攻击在互联网上公开运行的MongoDB数据库的报道。 攻击者声称备份数据后删除整个数据库，并要求受害者支付赎金以恢复被删除的数据。 事实上，这些攻击完全可以通过MongoDB内置的完善的安全机制来阻止。 只要您按照我们的安全文档正确使用这些功能，就可以避免攻击的发生。

默认情况下，最流行的 MongoDB (RPM) 安装程序将对 MongoDB 实例的访问限制为本地主机。 如果您通过其他方式安装，也可以使用此配置。 MongoDB Cloud Manager 和 MongoDB OpsManager 提供连续备份和时间点恢复，用户可以启用警报来检测他们的部署是否暴露在 Internet 上。

最新的 MongoDB 3.4 版本允许您在不停机的情况下启用身份验证。 MongoDB Atlas是MongoDB官方提供的MongoDB云数据库服务，为您的数据库提供多层次的安全保障。 这些功能包括强大的访问控制、使用 Amazon VPC 和 VPC 对等互连的网络隔离、IP 白名单、使用 TLS/SSL 的数据加密以及底层文件系统的其余部分加密。

此外，我们鼓励经历过 MongoDB 安全事件的用户创建漏洞报告。 如果您有兴趣了解有关安全最佳实践的更多信息，请阅读我们的安全架构白皮书。

以下作者总结了官方回应的内容： 1、被攻击的MongoDB数据库没有按照安全文档进行正确配置； 2、新版MongoDB提供多级安全保障，用户只需升级即可规避攻击； 3. 如果您受到攻击，欢迎您创建漏洞报告，以便我们改进漏洞。

如何防止此类事件再次发生

安全事件虽然时有发生，但并未真正引起人们的重视。 大多数人对安全仍然抱有侥幸心理。 MongoDB黑客勒索事件再次为我们敲响了警钟。 如果您不注意安全，那么 Facts 将永远砸在您的头上。

MongoDB事件其实暴露了安全问题的短板其实是用户。 第一，用户不重视数据库的安全。 第二，用户在使用过程中可能没有养成定期备份的好习惯。 最后，企业可能缺乏经验和技术。 专业人员。

对于被攻击的用户，MongoDB官方也给出了具体的解决方案：首要任务是保护你的集群免受进一步的未授权访问黑客要求转比特币，然后运行usersInfo查看是否有新增、删除或修改用户，查看日志找到攻击时间，检查删除数据库或表、修改用户或创建赎金票据的命令。 如果用户有定期备份的习惯就好了，因为只要恢复最新的备份，如果没有备份，数据可能会永久丢失。

写在最后：

MongoDB黑客勒索事件虽然给不少用户造成了损失，但这也是一件好事，在更严重的安全事件发生之前为企业敲响了警钟。 居安思危，世上没有绝对的安全，切不可掉以轻心。 毕竟这个世界上“细心的人”太多了。