MongoDBデータベースを安全にロックダウンする方法は？

Question

今年の初めには、lots of MongoDB databases were hackedです。これには私のデータベースも含まれていました。昨日、認可を有効にした私の新しいデータベースがハッキングされていることに気付きました。ユーザー名とパスワードは非常に安全です（ランダムな文字と記号のある16文字以上のパスワード）。

私は今それを完全に保護することに決めましたが、私は正直なところでどこを進めるべきか分かりません。

security: 
    authorization: enabled 

、それは（sudo service mongod restart後に）十分にする必要があります：私は既に持っています。 1つのデータベースと管理者ユーザーしかいないが、リモート接続からの匿名アクセスは引き続き許可されている。私はmongod --authのようなmongodを走らせるべきであると多くの場所を読んでいるが、これは上記のように認可を有効にするのと同じだ。

この時点で、私はサーバー上で匿名認証を無効にするのに苦労しています。私は何を取りこぼしたか？アカウントを使用せずに認証できるのはなぜですか？

Answer 1

セキュリティを有効にするには、MongoDB WebサイトのSecurity Checklistに従ってください。

Here you are provided with role based authorization and authentication instructions。また、すべてのイーサネットインターフェイスの受信を無効にし、MongoDBポートを公開したいインターフェイスにバインドすることをお勧めします。

For a guide to network hardening, you will want to review these instructions,しかし、最も重要な側面は、望ましくないネットワークへの暴露を避けることです。ファイアウォールまたはセキュリティグループの使用を検討してください（クラウドの場合）。