备份就是全量数据
快照与追加日志都是明文的，且包含全部业务数据，从权限角度看，它们的敏感级别与数据库主文件完全相同。加固方向分三层：备份目录权限收紧到只有服务账号可访问；传输过程走加密通道；落到对象存储时开启服务端加密并保留访问审计。合规审计里，备份文件的权限往往是最常见的失分点。
基本信息
| 目录权限 | 目录设为仅属主可进入，文件仅属主可读写 |
|---|---|
| 属主要求 | 归属服务运行账号，而非普通用户 |
| 传输要求 | 走加密通道或支持加密的对象存储接口 |
| 存储要求 | 对象存储开启服务端加密并记录访问 |
| 合规口径 | 敏感级别等同数据库主文件 |
典型使用场景
- 安全扫描整改中清理备份目录的权限问题
- 备份出机房或上云之前确认传输与存储加密
- 多人共用一台机器时避免备份文件被其他账号读取
- 审计需要提供备份数据的访问控制与加密证据
- 容器与编排环境中确认挂载卷的权限与属主
权限加固示例
权限加固示例
chmod 700 /backup/redis # 目录仅属主可进入
chmod 600 /backup/redis/dump-2026-10-10.rdb # 文件仅属主可读写
chown redis:redis /backup/redis/dump-2026-10-10.rdb # 归属服务账号
ls -l /backup/redis # 复核权限与属主
find /backup/redis -perm -o+r -type f # 检查是否存在其他用户可读的文件三层加固
| 层面 | 做法 | 缺失的风险 |
|---|---|---|
| 本地权限 | 目录与文件收紧，属主为服务账号 | 同机其他账号可直接读取全量数据 |
| 传输过程 | 加密通道或加密接口 | 中间节点可截获完整数据 |
| 存储端 | 服务端加密与访问审计 | 存储被越权访问且无记录可查 |
| 密钥管理 | 密钥单独规划并妥善保管 | 备份在但密钥丢失，无法恢复 |
把备份放到站点可访问的目录或匿名可读的对象存储，是数据泄露的高发场景，扫描工具通常会直接标记这类问题。
加密的密钥要单独规划存放与轮换，避免出现备份完好、密钥丢失，最终仍然无法恢复的局面。