データベースを外に出さない

レン

手元のパソコンからデータベースを直接見たくて、外部接続を許可したんだ。便利だよ！

ウィルスン

…それは朗報だ。インターネットに口を開けたデータベースは、常に探し回られている。専用の検索サービスすら存在するのだよ。初期設定のままなら、ワタシは何もせずデータを全部持ち出せる。

レン

探し回られてるの！？立てたばかりなのに！

プロクラ

残念ながら本当だよ。インターネット全体をスキャンして、開いているデータベースを探す仕組みがあるんだ。公開した数分後に見つかることもある。

原則：外から直接つながせない

• 同じサーバー内のアプリからだけつなぐ設定にする（外部からの接続を待ち受けない）
• ファイアウォールでもデータベースのポートを閉じる（二重に守る）
• 初期設定のパスワード・初期ユーザーは必ず変更する
• アプリ用のユーザーには、必要な操作の権限だけを与える

それでも外から見たいとき

プロクラ

ポートを開ける必要はないよ。SSHの接続を経由してつなぐ方法（ポートフォワード）がある。これならデータベースのポートはインターネットに出さないまま、手元のツールから見られる。

レン

開けなくてもいいんだ！

プロクラ

そう。「便利さのために開ける」前に、開けずに済む方法がないか考えてみて。たいていの場合、あるからね。