Javier A.

SEGURIDAD EN POSTGRESQL 👇👇👇👇👇 En una de mis últimas auditorías en las que todo estaba más o menos bien de seguridad, pude dar con una base de datos Postgresql, que encima era el principal activo del negocio. En esta base de datos, tan importante era precisamente la menos protegida, así que os doy unas recomendaciones para empezar a proteger vuestras bases de datos Postgresql. Actualizaciones y parches: Asegúrate de tener siempre la última versión de PostgreSQL y de aplicar parches de seguridad. Control de acceso: Cambia la contraseña del usuario postgres por una fuerte y única. Usa pg_hba.conf para controlar quién puede acceder y desde dónde. Prefiere autenticación md5 o scram-sha-256 a la autenticación trust. Limita el acceso a redes o IPs específicas. Deshabilita o restringe conexiones remotas si no son necesarias. Crea usuarios con el mínimo privilegio necesario. Usa GRANT y REVOKE para administrar permisos. Cifrado: Activa el cifrado de datos en reposo usando data_directory cifrado a nivel de sistema operativo o partición. Usa SSL para cifrar datos en tránsito: Configura PostgreSQL con ssl = on en postgresql.conf. Asegúrate de que los certificados SSL estén protegidos. Auditoría: Usa pg_stat_statements para monitorizar consultas. Configura logs de auditoría y monitoriza con regularidad. Establece alertas para actividades sospechosas. Copias de seguridad: Realiza copias de seguridad regularmente y pruébalas para garantizar que puedan ser restauradas. Protege tus backups. Si es posible, cifra las copias de seguridad. Otras configuraciones de seguridad: Desactiva o limita funciones superusuario. Considera usar un firewall para proteger aún más el acceso a tu base de datos. Deshabilita servicios y características innecesarios. Monitorización: Considera herramientas como pgBadger para análisis detallado de logs. Monitoriza el rendimiento y la actividad inusual. Protección contra inyección SQL: Siempre usa consultas parametrizadas o ORMs para evitar inyecciones SQL. Nunca construyas consultas SQL mediante concatenación directa con entrada del usuario. Prueba de seguridad: Considera realizar auditorías de seguridad y pruebas de penetración. Plan de respuesta a incidentes: Prepara y prueba un plan de respuesta a incidentes para estar listo en caso de un ataque o brecha de seguridad. Acciones y recursos adicionales: Revisad la documentación oficial de PostgreSQL. pgAudit para una auditoría más detallada. Comunidad PostgreSQL: hay muchos recursos y herramientas proporcionadas por la comunidad que pueden ayudar a mejorar la seguridad. Tened en cuenta que esto es un resumen de las mejores practicas al respecto, y que cada organización y sistema tienen un contexto especifico en el que debemos de adoptar las medidas de seguridad necesarias.