Аудит безопасности базы данных MySQL или PostgreSQL
Аудит безопасности базы данных отвечает на практические вопросы: кто способен подключиться, какие таблицы и операции доступны каждой роли, как передаются пароли и данные, где лежат дампы и какие события попадут в журнал. Мы проверяем MySQL или PostgreSQL вместе с приложением и сетью, поскольку открытый порт, широкий grant и общий пароль образуют один риск. После выбранных изменений сайт и служебные подключения проходят контроль, а команда получает матрицу доступов и инструкции.
Когда стоит обратиться
Обычно к нам обращаются в таких ситуациях:
- База получила публичный адрес или доступ через VPN, а список разрешённых сетей и пользователей давно растёт без единого владельца.
- Сайт, отчётность, интеграции и подрядчики используют общую учётную запись с широкими правами на все схемы и таблицы.
- После миграции MySQL или PostgreSQL требуется проверить TLS, роли, резервные копии, журналы и работу приложения в новой среде.
Что именно мы сделаем
Собираем схему базы, приложения, реплик, резервирования, сетей и всех законных способов подключения.
Проверяем внешний доступ, TLS, правила MySQL или pg_hba.conf, аккаунты, роли и фактические привилегии.
Разбираем владельцев схем и объектов, сервисные секреты, дампы, журналы и опасные административные возможности.
Согласуем и применяем приоритетные усиления с резервом доступа и контрольными подключениями приложения.
Передаём матрицу ролей, изменения, протокол проверки и порядок регулярного пересмотра доступов.
Что входит в стоимость
34 900 ₽ за всю работу
Проверяем сетевую доступность, bind и listen-настройки, firewall или security groups, TLS, учётные записи, роли, grants, схемы, default privileges, расширения, владельцев объектов и сервисные подключения. Для PostgreSQL разбираем pg_hba.conf, hostssl, наследование ролей и Row Level Security. Для MySQL анализируем hosts аккаунтов, активные роли, REQUIRE SSL, привилегии и безопасный транспорт. Дополнительно смотрим дампы, журналы и секреты приложения.
Что будет готово
Передадим вам
- Матрица подключений и прав по ролям, базам, схемам, таблицам и административным операциям с владельцами доступов.
- Список подтверждённых рисков и применённых изменений для сети, TLS, аккаунтов, grants, дампов, секретов и журналов.
- Протокол контрольных подключений приложения и администраторов, инструкция ротации и чек-лист регулярного пересмотра.
Перед сдачей проверим
- Выбранные источники подключаются по ожидаемой роли, а посторонний адрес или лишний аккаунт получает отказ на выбранном защитном уровне.
- Приложение выполняет рабочие операции с минимально достаточными правами, административные действия закреплены за отдельной ролью.
- TLS, резервные сценарии и журналы проверены фактическими соединениями и событиями, результаты внесены в итоговую матрицу.
Как это выглядит на практике
Общая роль приложения разделяется по рабочим задачам
- 01
Интернет-магазин, импорт каталога и BI подключаются к PostgreSQL одним пользователем, который владеет схемой и способен изменять структуру таблиц.
- 02
Карта соединений разделяет чтение отчётов, запись приложения, миграции и обслуживание, а pg_hba.conf связывает роли с нужными сетями и TLS.
- 03
Создаём отдельные роли, переносим владение, задаём grants и default privileges, обновляем секреты сервисов по очереди.
- 04
Контроль подтверждает работу заказов, импорта и отчётности, а каждая роль выполняет только предусмотренные операции.
Что понадобится для работы
От вас
- Версия MySQL или PostgreSQL, схема размещения, адреса, реплики, способы резервирования и список потребителей базы.
- Временный аудиторский доступ, конфигурация подключения, pg_hba.conf или MySQL grants, сетевые правила и доступные журналы.
- Тестовый сценарий сайта, миграций, фоновых заданий, отчётности и административного обслуживания для проверки после изменений.
Если у вас немного другая ситуация
Небольшие уточнения, которые помогают довести согласованный результат до рабочего состояния, уже учитываем в цене. Если по ходу работы появится отдельный крупный блок или понадобится платная лицензия, сначала обсудим варианты и стоимость. Расскажите о своей ситуации — подстроим план под неё.
- 3 000 ₽после подписания договора через Диадок
- 31 900 ₽после выполнения, демонстрации и приёмки результата
Предоплата входит в общую стоимость. Оставшуюся сумму оплачиваете после демонстрации и приёмки готовой работы.
Часто спрашивают
Об этой услуге
Подходит услуга для MySQL и PostgreSQL?
Да. Общая методика охватывает сеть, TLS, роли, секреты и резервирование, а конкретные проверки используют штатные механизмы выбранной СУБД.
Можно проверить облачную управляемую базу?
Да. В управляемой базе дополнительно рассматриваем cloud IAM, security groups, публичный доступ, сертификаты, сервисные аккаунты, снимки и журналы провайдера.
Потребуется ли останавливать сайт?
Большинство проверок выполняется во время работы. Изменения ролей, сети и TLS применяем поэтапно с контрольными соединениями и выбранным окном для чувствительных переключений.
Проверяются ли дампы и резервные копии базы?
Да. Смотрим места хранения, права, шифрование, срок хранения, доступ подрядчиков и возможность безопасного тестового восстановления выбранной копии.
Входит ли PostgreSQL Row Level Security?
При наличии RLS проверяем включение политики, роли владельцев, обход через служебные функции и контрольные запросы от разных клиентов или организаций.
Исправляете ли найденные избыточные права?
Да, выбранные усиления выполняем с резервом административного доступа и проверкой приложения. Крупное перераспределение схем можно провести отдельными безопасными этапами.
Как проверяется шифрование соединения?
Проверяем серверную настройку, требования учётной записи, режим клиента и сертификат, затем фиксируем фактический протокол в контрольном подключении.
Что получит администратор базы после аудита?
Администратор получит матрицу ролей, список изменений, команды или конфигурационные фрагменты, протокол подключений и порядок ротации и регулярного пересмотра.
Цена и изменения по ходу работы
Цена на странице окончательная?
Да. Перед началом мы сверяем исходные данные и фиксируем результат в договоре. Указанная на странице сумма покрывает согласованную работу целиком, даже если её техническая реализация потребует больше времени, чем ожидалось при оценке.
Что означает резерв незапланированных работ?
Это уже включённый в цену запас времени на небольшие связанные уточнения заказчика, которые появляются после старта: например, добавить поле, изменить формат уведомления или учесть ещё одно условие обработки.
Резерв рассчитывается по формуле: стоимость услуги × 30% ÷ 1 500 ₽. Для услуги за 30 000 ₽ это 6 часов. Эти часы относятся только к дополнительным, заранее незапланированным уточнениям. Они не являются сроком проекта и не ограничивают время на основную работу: согласованный результат мы выполняем полностью.
Можно уточнять детали уже во время работы?
Да. Небольшие связанные изменения обычно помещаются во включённый резерв и не требуют доплаты. Если новая идея заметно меняет результат или превращается в самостоятельную задачу, сначала обсудим подход и стоимость. Любое решение согласуем до выполнения.
Начало работы и оплата
Как оформляются договор и оплата?
Подписываем договор через Диадок. Предоплата составляет 3 000 ₽ и входит в общую стоимость услуги. Остаток оплачивается после демонстрации и приёмки готового результата.
Когда начинается срок выполнения?
Срок отсчитывается после согласования задачи, получения необходимых доступов и материалов, подписания договора и поступления предоплаты. Конкретную дату старта и плановый день готовности подтверждаем перед началом.
Как учитываются платные лицензии и внешние сервисы?
До старта проверяем, нужны ли тарифы, лицензии, сертификаты или дополнительные ресурсы внешних систем. Если они потребуются, заранее покажем варианты и стоимость. По возможности аккаунты и лицензии оформляются сразу на заказчика.
Проверка результата и гарантия
Как принимается готовая работа?
Вместе проверяем согласованные сценарии на контрольных данных или тестовой копии, а затем демонстрируем результат. Для интеграций сверяем передачу данных и обработку ошибок, для сайта — работу нужных страниц и действий пользователя, для отчёта — расчёты и обновление данных.
Какая гарантия действует после сдачи?
На выполненные изменения действует гарантия 3 месяца. Если в изменённой нами части обнаружится ошибка нашей реализации, проверим и исправим её без дополнительной оплаты. Переданные материалы, настройки и код остаются у заказчика.
Следующие шаги по защите
Связанные работы выстроены в практическом порядке. Можно начать с текущей задачи или перейти к соседнему этапу.
- 01Укрепление Linux/VPS-сервера сайта
Проверить сервер базы
- 02Аудит безопасности базы данных MySQL или PostgreSQL
Разобрать права и настройки СУБД
- 03Повторная проверка исправленных уязвимостей
Подтвердить исправления