Linux 上保障 Informix 安全性的实用方案
一 身份与访问控制
- 使用专用的系统账户（如 informix）运行数据库，禁止以 root 日常运维；通过 PAM 实施强口令策略：长度不少于 8 位、包含至少 3 类字符（大小写字母、数字、特殊字符）、口令有效期不超过 90 天、保留最近 5 次历史；配置失败登录锁定（如连续失败 6 次锁定）；必要时限制 su 使用范围。
- 在数据库层实施 RBAC（基于角色的访问控制），仅授予最小必要权限；对高权账户（如 DBSA/DBSSO）启用细粒度审计；结合 MFA 提升关键账户安全。
- 审计配置建议：启用数据库审计并将 ADTMODE 设为 7，覆盖 DBSSO/DBSA 关键活动；为敏感用户/对象设置自定义审计掩码，便于合规取证。
二 网络与传输安全
- 通过 firewalld/iptables 仅放通必要端口与来源网段，最小化暴露面；对客户端与服务器之间的通信启用 SSL/TLS 加密，防止明文传输与中间人攻击。
- 在复制/高可用场景中加密链路：对 HDR 主备间流量，启用 ENCRYPT_HDR 并统一 ENCRYPT_CIPHERS/ENCRYPT_MAC/ENCRYPT_SWITCH 等参数；若使用可更新备机向主机的更新流量，需启用 ENCRYPT_SMX；注意同一连接上不可同时启用 HDR 与 CSM 客户端/服务器加密。
- 如网络不可信，启用 ENCCSM（通信支持模块）为客户端/服务器通信提供加密，避免口令以明文传输。
三 存储与数据加密
- 启用表空间级加密：设置 DISK_ENCRYPTION 后，新建存储空间的默认行为为加密；可在创建时选择不加密，并可在 ontape/ON-Bar 备份恢复过程中执行加密或解密；通过 onstat -d、oncheck -pr 检查加密状态。
- 在列级对敏感数据做应用侧加密：使用内置 ENCRYPT_AES / ENCRYPT_TDES 与 DECRYPT 函数；口令长度 6–128 字节，可设置提示信息；注意加密列若参与索引/约束将影响约束与索引使用，且分布式操作需各参与端支持相同函数。
- 对备份介质实施离线/异地保存与完整性校验，防止数据泄露与篡改。
四 主机与进程加固
- 启用 SELinux 或 AppArmor 实施强制访问控制（MAC），限制数据库进程对文件、目录与套接字的访问；禁用不必要的内核模块、服务与端口，减少攻击面。
- 加固系统账户与关键文件：将非登录系统账号的 shell 设为 /sbin/nologin、锁定长期未用账号；对 /etc/passwd、/etc/shadow 等关键文件设置不可变属性（如 chattr +i）；配置命令历史与会话超时，降低残留与暴力破解风险。
- 保持系统与数据库补丁及时更新，优先修复高危漏洞；对安全事件实施集中日志采集（如 auditd）与定期审计分析。
五 审计、备份与持续运营
- 启用并校核数据库审计策略（如 ADTMODE=7），对登录、权限变更、DDL/DML 关键操作进行持续审计；结合系统审计日志进行关联分析，及时发现异常行为。
- 制定并执行全量/增量备份策略，定期验证备份的完整性与可恢复性；对审计配置、权限矩阵与加密密钥实施变更管理与定期复核。
- 建立安全基线与应急预案，开展定期演练与培训，形成“检测—响应—恢复”的闭环；在涉及跨境或敏感数据时，确保满足 GDPR/HIPAA 等合规要求。
