网络层面
1. 使用防火墙
- **硬件防火墙**：购置专业的硬件防火墙设备，像 Cisco ASA、Juniper SRX 等，将其部署在数据库服务器前端。在防火墙中配置访问规则，只允许特定 IP 地址和端口的流量访问数据库服务器，禁止其他未知来源的访问。
- **软件防火墙**：在数据库服务器操作系统上启用软件防火墙，例如 Linux 系统的 `iptables` 或 `firewalld`。以下是使用 `firewalld` 开放 MySQL 默认端口 3306 给特定 IP 的示例：
bash
# 允许特定 IP 访问 3306 端口
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="3306" accept'
# 重新加载防火墙规则
sudo firewall-cmd --reload
2. 配置虚拟专用网络（VPN）
搭建 VPN 服务，如 OpenVPN 或 IPSec VPN。让需要访问数据库的用户先通过 VPN 连接到企业内部网络，再从内部网络访问数据库。这样数据库服务器对外界隐藏，只有通过 VPN 认证的用户才能进入。
3. 采用负载均衡器
使用负载均衡器（如 Nginx、HAProxy）来分发流量。负载均衡器可隐藏数据库服务器的真实 IP 地址，同时对流量进行监控和过滤，防止恶意扫描。
数据库层面
1. 更改默认端口
MySQL 默认端口是 3306，攻击者通常会先扫描该端口。可在 `my.cnf`（Linux）或 `my.ini`（Windows）配置文件中修改端口，示例如下：
ini
[mysqld]
port = 3307
修改后重启 MySQL 服务使设置生效。
2. 限制远程访问
在 MySQL 中，默认允许远程访问可能带来安全风险。可通过修改用户权限，只允许特定 IP 地址的用户远程连接数据库。例如，创建一个只允许从 `192.168.1.100` 访问的用户：
sql
CREATE USER 'new_user'@'192.168.1.100' IDENTIFIED BY 'password';
GRANT ALL PRIVILEGES ON your_database.* TO 'new_user'@'192.168.1.100';
FLUSH PRIVILEGES;
3. 启用 SSL/TLS 加密
为 MySQL 启用 SSL/TLS 加密，确保数据在传输过程中的安全性。首先生成 SSL 证书和密钥，然后在 `my.cnf` 或 `my.ini` 中配置：
ini
[mysqld]
ssl-ca=/path/to/ca-cert.pem
ssl-cert=/path/to/server-cert.pem
ssl-key=/path/to/server-key.pem
同时，客户端连接时也需要配置相应的 SSL 参数。
系统管理层面
1. 及时更新系统和软件
定期更新数据库服务器的操作系统和 MySQL 软件，修复已知的安全漏洞，降低被攻击的风险。
2. 监控和审计
使用 MySQL 的审计功能记录所有数据库操作，同时部署入侵检测系统（IDS）或入侵防御系统（IPS），实时监控服务器的网络流量和系统活动，一旦发现异常扫描行为，及时采取措施。