אבטחת MySQL ו-MariaDB משלבת prepared statements, משתמש יישום נפרד ורשת מוגבלת. דרשו TLS, מנעו כניסת root מרחוק וכבו LOCAL INFILE כשאינו נחוץ.
עודכן תוכן העמוד: · מערכת VibeSec · מדיניות המקורות
תוסף ביקורת קהילתי לרישום חיבורים, שאילתות ופעילות במסד הנתונים.
ביקורת חיבורים ושאילתות וסינון אירועים; דורש MySQL Enterprise Edition מסחרי.
הפקה, מיון והשוואת הרשאות MySQL לצורך סקירה ובקרת שינויים.
בדיקת הזרקות SQL בסביבות מורשות בלבד; כלי כללי ל־SQL Server, MySQL ו־PostgreSQL.
תיעוד רשמי להקשחה, הרשאות, הצפנה ומעקב אבטחה ב־MariaDB.
הנחיות Oracle לאבטחת שרת MySQL, חשבונות, הרשאות וקשרים.
הקשחה ראשונית של חשבונות root, משתמשים אנונימיים ומסד test; לא תחליף לסקירת תצורה.
מניעת SQLi באמצעות שאילתות פרמטריות, הפרדת נתונים מתחביר והרשאות מינימליות.
פעולה פשוטה אך הכרחית לאחר התקנת MySQL: הסרת משתמשים ברירת מחדל וסיסמאות ריקות. צעד מניעתי בסיסי כנגד תוקפים.
מדריך מקיף מאורקל על איך לנהל חשבונות, הרשאות וחיבורים מאובטחים ל-MySQL. חיוני כדי למנוע פרצות שכיחות בניהול השרת.
כל מה שצריך לדעת כדי להקשיח שרת MariaDB: מניהול הרשאות ועד הצפנה ומעקב. מדריך מומלץ למנהלי מערכות ומתכנתים.
הזרקת SQL היא אחת השיטות הכי נפוצות לפריצה לאתרים. המדריך מסביר איך לכתוב שאילתות בטוחות שמונעות מהאקרים להריץ פקודות על בסיס הנתונים שלכם.
אמ;לק: בדיקת חדירות (Penetration Test, PT) היא ניסיון פריצה מבוקר שעושה אדם מקצועי לאתר או לאפליקציה שלכם, כדי למצוא חולשות לפני שתוקף אמיתי ימצא אותן. היא שווה את הכסף כשיש לכם משתמשים אמיתיים, מידע רגיש או כסף שעובר במערכת, ואחרי שכבר עשיתם את הבדיקות הבסיסיות בעצמכם. לפני זה, רוב הממצאים יהיו דברים שסורק חינמי היה מוצא.
גיא אקרמן · 4 דקות קריאה
אמ;לק: ליווי אבטחה בזמן הפיתוח שווה את הכסף כשהמערכת מחזיקה מידע רגיש או כסף, כשאין בצוות אף אחד שמבין באבטחה, או כשבונים מהר עם AI ומשנים הרבה. לא חייבים ליווי צמוד: לרוב מספיקות כמה נקודות מפגש קבועות. לפרויקט קטן בלי מידע רגיש בדרך כלל מספיק צ'קליסט טוב, וליווי מלא יהיה בזבוז.
גיא אקרמן · 3 דקות קריאה
אבטחת MySQL ו-MariaDB משלבת prepared statements, משתמש יישום נפרד ורשת מוגבלת. דרשו TLS, מנעו כניסת root מרחוק וכבו LOCAL INFILE כשאינו נחוץ.
התחילו בבדיקות הבאות והתאימו אותן למערכת שלכם: כל שאילתה משתמשת ב-prepared statements; אין שרשור ערכים או שמות שדות ללא allowlist. ליישום משתמש נפרד עם ההרשאות הדרושות בלבד לכל מסד; אין שימוש ב-root.
לא. בודקים הרשאות לכל רשומה, סודות וקלט גם כאשר הקוד נוצר בעזרת AI או ספרייה מוכרת. הריצו בדיקה כאורח וכמשתמש שאינו בעל המידע.
בחרו כלי קוד ותלויות לפי הסביבה, הוסיפו סורק סודות ובדיקה פעילה רק באישור. הקטלוג בעמוד מציג כלים ותיעוד רלוונטיים; כלים משלימים בדיקה ידנית ולא מחליפים אותה.
מפתחות סודיים נשמרים בשרת או במנהל סודות, לא בקוד שמגיע לדפדפן ולא ביומני פעילות. תנו לחשבון היישום רק הרשאות נחוצות והחליפו מפתח שנחשף.
בדקו את המקור הרשמי, הגרסאות המושפעות וההגדרות הנדרשות לניצול. חדשות וסיכומי AI הם נקודת התחלה, ולא תחליף לייעוץ אבטחה או לקריאת הודעת הספק.
