AWS RDS PostgreSQL遭入侵：连接串泄露、日志异常及溯源疑问

核心入侵原因 #

• 公网暴露风险：实例直接面向公网，未通过VPC安全组、NACL限制访问源IP，给攻击者提供了扫描探测的入口
• 弱密码或密码泄露：使用易被暴力破解的弱密码，或密码通过代码仓库、配置文件、内部操作失误等渠道外泄
• 未启用强制SSL：未开启SSL连接要求，可能被攻击者通过中间人攻击窃取认证信息

黑客获取连接串URL的途径 #

• 全网扫描探测：攻击者利用Shodan、ZoomEye等工具扫描开放的Postgres默认端口（5432），获取实例公网IP后，就能构造基础连接串格式（postgresql://用户名:密码@实例IP:5432/数据库名），再搭配暴力破解尝试登录
• 配置信息泄露：应用代码、配置文件（如.env、application.properties）不慎上传至公开代码仓库，或内部系统泄露包含连接串的配置，攻击者可直接获取完整连接信息
• 内部横向渗透：若内部其他系统被攻破，攻击者可通过横向移动获取RDS的连接凭证

日志显示用户/IP为UNKNOWN的原因 #

• 日志参数配置错误：Postgres的log_line_prefix参数未包含%h（客户端IP）、%u（用户名）字段，或log_connections等日志开关未启用，导致无法记录完整连接信息
• 特殊连接绕过：极少数情况下，攻击者利用Postgres漏洞或代理转发方式绕过日志记录逻辑，但这种情况概率极低
• 服务端日志异常：AWS RDS服务端偶发的日志延迟或缺失，但优先排查自身日志配置问题

确定入侵根源的步骤 #

1. 审计访问控制：检查VPC安全组、NACL的IP开放规则，确认是否有不必要的公网段；排查IAM角色权限，避免过度授权的角色访问RDS
2. 核查认证体系：
   • 检查所有数据库用户的密码强度，清理弱密码账号
   • 排查是否有攻击者新增的异常数据库用户
   • 切换至IAM数据库认证，替代传统密码认证提升安全性
3. 深度分析日志：
   • 结合Postgres连接日志、慢查询日志的时间线，关联readme库创建、DROP操作的时间点，匹配CloudTrail中RDS相关的API操作记录（如修改安全组、参数组）
   • 即使部分日志显示UNKNOWN，也可通过操作行为的时间关联其他系统日志缩小范围
4. 排查关联系统：
   • 检查应用服务器日志，排查是否存在SQL注入、异常数据库连接请求
   • 核查第三方集成服务、工具的RDS访问权限，确认是否存在安全隐患
5. 对比备份快照：通过快照的时间节点定位入侵发生的大致时间段，结合该时段的所有操作日志锁定根源

内容的提问来源于stack exchange，提问作者user3747396