Ubuntu服务器上按DigitalOcean教程部署的MongoDB运行数天自动清空数据问题咨询

最高概率场景：无认证公网MongoDB被自动化脚本恶意清库 #

• 你当前的配置存在明确安全敞口：为实现Robo3T远程访问，将/etc/mongod.conf内的bindIp修改为包含服务器公网IP，但全程没有配置MongoDB的身份认证机制。
• 无认证、公网开放27017端口的MongoDB实例是全网自动化扫描脚本的重点目标：这类脚本会持续探测全网开放的MongoDB端口，一旦发现无需登录即可读写数据，会直接执行全库删除操作，部分场景还会留下索要赎金的提示文档，是运维场景中非常普遍的被入侵清库场景。
• 你提到在OVH、DigitalOcean的多台独立云主机上复现完全相同的异常，和这类扫描脚本的行为特征完全匹配：只要公网27017端口无认证开放，通常24-72小时内就会被扫描命中并清库，刚好对应你描述的“运行数天后数据自动清空”的现象。

低概率非恶意原因排查方向 #

• 查阅MongoDB运行日志确认操作来源：默认日志路径为/var/log/mongodb/mongod.log，如果日志中出现大量来自境外陌生IP的连接记录、以及dropDatabase/drop类的操作记录，即可100%确认是外部入侵导致的数据清空。
• 排除数据目录加载异常：确认/var/lib/mongodb目录的属主始终为mongodb用户，避免因为权限错误导致mongod服务启动时无法读取原有数据文件，误加载为空数据目录的情况。
• 排查系统定时任务：检查crontab、系统级定时任务路径下是否存在误配置的、会自动清空/var/lib/mongodb目录的脚本。

• 优先修复安全配置：创建MongoDB管理员账号后，在配置文件中开启身份认证：

  security:
    authorization: enabled
  

• 不要将27017端口直接暴露在公网：优先通过SSH隧道方式连接Robo3T，或者在云平台安全组、主机本地防火墙层面，将27017端口的访问来源限制为你自己的固定IP，禁止全网开放访问。
• 重新导入业务数据后，建立定期本地备份机制，避免再次发生数据丢失。
• 配置MongoDB的日志轮转，留存足够长的操作日志，方便后续出现异常时溯源。

内容的提问来源于stack exchange，提问作者Sinox35-FR