AWS公有RDS数据库安全风险咨询：公网访问与防护疑问

一、公网地址根本藏不住，攻击者有多种获取方式 #

• 端口扫描：攻击者会批量扫公网中开放的数据库常用端口（比如MySQL的3306、PostgreSQL的5432），只要你的RDS公网IP开了对应端口，就会被扫描工具揪出来，保密地址没用。
• 间接泄露：如果你的Lambda代码、配置文件或者运行日志里不小心带了RDS地址，一旦代码托管平台漏了、日志被公开，地址直接就给攻击者送上门了。
• DNS枚举：公有RDS的访问地址是AWS分配的域名（比如xxx.rds.amazonaws.com），攻击者可以通过枚举RDS域名格式，或者用DNS工具解析出对应的公网IP。

二、仅靠IP地址过滤完全没用 #

• Lambda的出口IP是动态变的，你根本没法精准配置允许的IP范围，只能放开0.0.0.0/0，等于白做过滤。
• 攻击者可以用代理、肉鸡主机伪装成任意IP，轻松绕开IP规则。
• IP过滤只是最外层的摆设，一旦密码被破解、泄露，或者数据库有SQL注入漏洞，IP过滤起不到任何防护作用。

三、公有RDS还有这些隐藏风险 #

• 暴力破解：公网可访问的数据库是攻击者的重点目标，他们会用字典库对账号密码暴力破解，弱密码很快就会被攻破，强密码也可能遭遇撞库。
• 明文传输风险：如果没给RDS开SSL加密，用户名、密码和数据都会明文在公网传输，很容易被窃听截获。
• 合规风险：很多行业合规标准（比如PCI-DSS、HIPAA）明确要求数据库不能暴露在公网，这么部署会直接违反合规，带来法律或业务风险。

四、低成本替代方案（无需付费NAT Gateway） #

把Lambda函数部署到RDS所在的VPC里，只要Lambda不需要访问公网资源，就不用配NAT Gateway（完全免费）。然后改RDS的安全组，只允许Lambda所在的安全组访问数据库端口，所有通信都在VPC内部进行，彻底规避公网暴露的风险，本地也能通过VPN或Direct Connect接入VPC连接数据库。

内容的提问来源于stack exchange，提问作者JVanced