在Linux系统下对MongoDB进行安全防护，可以遵循以下关键步骤：
启用身份验证
- 在
mongod.conf文件中设置security.authorization: enabled以启用身份验证。
- 创建管理员账户并分配适当的角色。
配置基于角色的访问控制（RBAC）
- 创建角色并分配适当的权限，遵循最小权限原则。
- 使用内置角色或自定义角色来限制用户对数据库的访问。
加密通信（TLS/SSL）
- 配置MongoDB使用TLS/SSL加密所有传入和传出连接。
- 生成或获取有效的SSL证书和私钥文件，并在
mongod.conf中配置net.ssl.mode和PEMKeyFile等参数。
限制网络暴露
- 修改
mongod.conf中的bind_ip配置以限制访问来源，只允许受信任的IP地址或网络访问。
- 配置防火墙规则以控制MongoDB实例的入站和出站流量。
审计日志
- 启用审计日志记录所有用户的操作，配置
systemLog.destination和logAppend等参数。
使用非特权专用服务帐户
- 创建一个用于执行MongoDB数据库活动的专用用户，并使用该用户启动MongoDB。
禁用不必要的接口
- 禁用HTTP状态接口和REST接口，以防止未经认证的访问。
定期更新和补丁管理
- 定期检查并应用MongoDB的最新补丁，以修复已知的安全漏洞。
文件系统权限
- 设置MongoDB数据文件和配置文件的权限，确保只有授权用户可以访问。
使用非默认端口
- 修改MongoDB使用的端口，使得攻击者难以找到数据库并将其定位。
禁用REST接口和JSONP访问
- 在
mongod.conf中配置net.http.RESTInterfaceEnabled和net.http.JSONPEnabled为false。
物理和设备隔离
- 限制对数据库的物理访问，使用专用服务账户运行MongoDB。