2026年数据库安全运维试题(含答案)

2026年数据库安全运维试题(含答案)1.以下哪项是数据库静态脱敏和动态脱敏的核心区别？A.静态脱敏处理的是离线数据，动态脱敏处理的是实时访问的在线数据B.静态脱敏不能处理生产数据，动态脱敏可以处理生产数据C.静态脱敏不改变原始数据存储，动态脱敏改变原始数据存储D.静态脱敏仅支持关系型数据库，动态脱敏仅支持非关系型数据库参考答案：A2.当发现数据库存在未授权访问日志，IP地址为已知攻击者地址，以下哪项处置动作优先级最高？A.导出日志留存证据B.临时封禁该IP的数据库访问权限C.通知安全管理部门开展溯源D.升级数据库补丁修复对应漏洞参考答案：B3.针对MySQL数据库，以下哪个配置可以从访问层面有效防止外部攻击者暴力破解root账号密码？A.配置bind-address限制可访问IP段B.开启general_log记录所有访问行为C.配置max_connections调整最大连接数D.给root账号设置长度大于8位的密码参考答案：A4.以下哪项不属于数据库安全基线检查的必备检查项？A.检查是否存在无口令/弱口令账号B.检查数据库端口是否对公网全域开放C.检查数据库数据文件的操作系统存储权限配置D.检查数据库查询缓存命中率是否符合性能要求参考答案：D5.针对云原生环境下的容器化部署数据库，以下哪项安全配置是最容易被忽略且风险等级最高？A.数据库容器未设置CPU内存资源限制B.数据库默认服务端口未修改C.数据库配置文件中明文存储管理员账号密码D.数据库未开启自动备份策略参考答案：C1.数据库注入攻击防护中，属于运维层面可落地的有效防护措施有哪些？A.对所有用户输入做严格的参数校验和特殊字符转义B.部署Web应用防火墙(WAF)对SQL注入特征做实时拦截C.给数据库应用账号分配最小权限，禁止赋予DROP、ALTER、GRANT等高权限给业务应用账号D.关闭数据库不必要的扩展功能，移除预置的危险存储过程参考答案：BCD解析：参数校验和转义属于开发层面的防护措施，不属于运维层面的落地措施。2.数据库备份的安全要求包含以下哪些选项？A.所有备份数据都需要加密存储B.备份介质需要定期开展恢复验证，确保备份可用性C.异地备份需要采用和本地备份不同的独立加密密钥D.备份数据的访问权限需要严格控制，仅允许授权人员访问参考答案：ABCD3.以下哪些操作属于生产数据库运维中的危险操作，操作前需要提前备份数据并走正式审批流程？A.在线删除大表的批量数据B.生产库批量更新业务数据C.修改数据库全局核心配置参数D.清理过期的binlog日志文件参考答案：ABCD4.等保2.0第三级要求中，针对数据库安全的合规要求包含以下哪些项？A.数据库访问应实现身份鉴别，高权限账号访问至少采用两种组合鉴别方式B.对数据库的所有管理员操作和敏感访问进行审计，日志留存不少于六个月C.数据库应实现细粒度访问控制，限制不同用户的数据访问范围D.应对存储的敏感个人数据、重要业务数据进行加密处理参考答案：ABCD5.当发生数据库数据泄露安全事件后，正确的应急处置流程包含哪些环节？A.第一时间管控风险，断开泄露数据库的非授权外部连接，控制影响范围B.排查泄露入口，确认泄露范围、泄露数据的类型和量级C.留存完整的日志、攻击痕迹等证据，按照监管要求及时上报D.完成漏洞修复、权限加固后评估风险，恢复正常服务，后续持续跟进影响参考答案：ABCD1.数据库开启安全审计功能会明显影响数据库性能，因此生产环境应该默认关闭审计，仅在排查问题时临时开启。参考答案：错误解析：合规要求生产环境必须持续开启安全审计，性能损耗可以通过优化审计规则、采用异步存储、分离审计节点等方式平衡，不能默认关闭审计。2.只要数据库使用了透明数据加密(TDE)，就可以完全避免数据库数据泄露风险。参考答案：错误解析：TDE仅加密静态存储层的数据，无法防护运行阶段内存数据窃取、合法账号越权访问泄露、应用层攻击拖库等风险。3.非关系型NoSQL数据库不存在类似SQL注入的攻击风险，因此不需要做注入攻击防护。参考答案：错误解析：NoSQL数据库同样存在NoSQL注入等类似注入攻击，针对非授权查询、命令注入等风险同样需要做防护配置。4.为了方便运维人员远程排障，运维人员可以长期在生产数据库中保留通用远程运维账号，密码统一由运维负责人保管无需定期修改。参考答案：错误解析：生产数据库的临时运维账号用完后需要及时回收，长期留存的运维账号需要限制访问IP、设置强密码并定期轮换，不能长期固定留存通用账号。5.脱敏处理后的数据库数据不存在敏感信息，因此可以直接开放给开发测试人员自由访问，不需要再做权限控制。参考答案：错误解析：脱敏操作存在脱敏不彻底的风险，同时脱敏后的批量数据仍属于企业重要资产，需要按照数据分级分类要求配置对应的访问权限，不能随意开放访问。某互联网企业的用户中心核心业务数据库部署在公有云，采用MySQL8.0版本，最近一次安全巡检发现以下问题：①业务应用使用的连接数据库账号被授予了ALLPRIVILEGES全库全权限；②生产数据库中留存了三个项目上线后未清理的测试账号，三个账号均为弱口令，最近一周检测到多次来自境外IP的登录尝试；③数据库安全审计功能未开启，无法溯源所有操作记录；④数据库采用每日自动全量备份策略，备份文件存储在同可用区的对象存储中，备份数据未做加密处理。请回答以下两个问题：1.请分别说明上述四个问题带来的具体安全风险。2.请针对每个问题给出对应的可落地整改方案。参考答案：1.各问题的安全风险如下：①业务账号拥有全库全权限，属于典型的过度权限授权问题，一旦业务应用存在SQL注入漏洞、或者应用账号信息泄露，攻击者可以直接获得整个数据库的最高操作权限，完成拖库、删库、篡改数据等高危害操作，会直接导致核心业务瘫痪和全量用户数据泄露，风险等级极高。②生产库留存未清理的弱口令测试账号，本身就不符合安全规范，加上已经存在境外IP的暴力破解尝试，一旦账号被攻击者攻破，攻击者就可以非法访问生产数据，甚至篡改、删除核心业务数据，造成数据泄露和服务中断。③未开启数据库安全审计，一方面不符合网络安全等级保护的合规要求，无法通过合规测评；另一方面发生安全事件后，无法溯源攻击者的操作路径、确认攻击影响范围，给应急处置和事件排查带来极大阻碍。④备份数据存储在同可用区且未加密，存在两方面风险：一是如果该可用区发生自然灾害、网络故障等灾难事件，会导致原始数据和备份数据同时不可用，业务无法恢复；二是未加密的备份数据一旦被未授权人员访问，会直接导致全量生产数据泄露，且泄露数据无法被管控。2.对应的整改方案如下：①针对过度权限问题：立即回收业务应用账号的全权限，按照最小权限原则，仅开放业务运行必需的增删改查权限，回收DROP、ALTER、GRANT、CREATEUSER等高风险管理权限；针对不同业务模块拆分独立的数据库账号，实现业务间的权限隔离，避免一个业务被攻破影响全库。②针对弱口令测试账号问题：立即删除生产库中不需要留存的测试账号，如果确因业务维护需要保留测试账号，需要将密码修改为符合复杂度要求的强密码，配置访问控制规则仅允许测试账号从内部指定IP段访问，要求账号密码每90天轮换一次，运维人员离职后立即更新密码。③针对未开启审计问题：开启数据库安全审计功能，配置审计规则覆盖所有账号登录操作、敏感数据查询修改操作、权限变更操作、结构变更操作，将审计日志异步存储到独立的日志存储服务，配置日志留存时间不低于6个月，配置异常访问检测规则，发现多次登录失败、异常数据导出等行为时自动告警，定期巡检审计