干貨 | MySQL數(shù)據(jù)庫安全之審計
每家公司都希望業(yè)務高速增長，***能出幾個爆款產(chǎn)品或者爆款業(yè)務，從而帶動公司營收高速攀升。但站在數(shù)據(jù)庫管理員的角度，這卻是實實在在的壓力，業(yè)務高速增長必然帶來數(shù)據(jù)量的暴增。數(shù)據(jù)庫系統(tǒng)的選型和設計是支撐整個業(yè)務系統(tǒng)的重要因素。
MySQL數(shù)據(jù)庫是基于云原生的數(shù)據(jù)庫產(chǎn)品之一，云原生為云數(shù)據(jù)庫提供了重要動力，相比于傳統(tǒng)自建數(shù)據(jù)庫，云數(shù)據(jù)庫比單個數(shù)據(jù)庫具有更大的彈性和可擴展性。
數(shù)據(jù)庫審計主要用于監(jiān)視并記錄對數(shù)據(jù)庫服務器的各類操作行為，并記入審計日志或數(shù)據(jù)庫中以便日后進行跟蹤、查詢、分析，以實現(xiàn)對用戶操作的監(jiān)控和審計。審計是一項非常重要的工作，也是企業(yè)數(shù)據(jù)安全體系的重要組成部分。
MySQL企業(yè)版自帶審計功能，但是需要付費。MySQL社區(qū)版沒有審計功能，基于成本的考慮，很多用戶采用社區(qū)版MySQL作為業(yè)務系統(tǒng)數(shù)據(jù)庫。采用社區(qū)版MySQL如何實現(xiàn)重要的審計功能，本文從自建和云服務兩種情況來解答這個問題。
自建MySQL數(shù)據(jù)庫的場景
本文自建數(shù)據(jù)庫所有實驗環(huán)境是基于window10下MySQL5.7這個版本。
方法一 Genreal Log
默認情況下，MySQL不開啟General log; 開啟General log后，MySQL將所有到達MySQL Server的SQL語句記錄下來。
開啟General log步驟：
1、查看General Log開啟情況：執(zhí)行SQL命令show variables like '%general_log%’ ;可以看到默認general_log是OFF的：
2、開啟General Log: 執(zhí)行SQL命令set global general_log=on 而后查看general_log打開了：
3、驗證：general_log打開后，所有SQL的訪問都會記錄在general_log_file指向的日志文件。我們執(zhí)行幾個SQL語句測試：
而后查看ZB-PF11H2E3.log日志文件里面的內(nèi)容，我們看到剛才做的操作都已經(jīng)記錄在日志里了：
開啟General Log只要用戶執(zhí)行了操作，無論對錯，MySQL就會記錄日志，這樣的話日志量會非常龐大，對數(shù)據(jù)庫效率有影響。所以我們一般不建議開啟開功能，個別情況下可能會臨時的開一段時間以供排查故障等使用。
方法二 BinLog+Init_connect
BinLog是MySQL操作時留下的日志，BinLog一方面可以用在數(shù)據(jù)庫的恢復與主從復制上，另外一方面可以用來做數(shù)據(jù)庫的審計。
由于BinLog日志里面無法查詢是誰在哪個時間段登錄的等信息，缺少審計必要的信息。在MySQL中，每個連接都會先執(zhí)行init_connect進行連接的初始化，我們可以在這里獲取用戶的登錄名稱和thread ID值。然后配合BinLog，就可以追蹤到每個操作語句的操作時間，操作人等信息,再加上BinLog的日志信息實現(xiàn)審計。
配置和驗證過程如下：
1、創(chuàng)建審計用的數(shù)據(jù)庫和表：
2、創(chuàng)建具有操作auditdb數(shù)據(jù)權限的用戶：
如果已經(jīng)有用戶，需要對現(xiàn)有用戶添加操作auditdb的權限：
- MySQL> insert into mysql.db (Host,Db,User1,Insert_priv) values ('%','auditdb','','Y');
- 2Query OK, 1 row affected (0.03 sec)
- 3MySQL> flush privileges;
- 4Query OK, 0 rows affected (0.00 sec)
3、設置init_connect,并重啟MySQL數(shù)據(jù)庫在初始化參數(shù)文件[mysql]部分添加如下內(nèi)容：
- log-bin=mysql-bin #開啟Binlog
- 2init_connect='insert into auditdb.accesslog(connectionid, connectionuser,logintime) values(connection_id(),user(),now());' #設置初始化連接參數(shù)
4、用user1用戶登錄，執(zhí)行一些寫入和刪除的操作;
5、用mysqlbinlog工具查看BinLog，根據(jù)delete操作找到相應的ThreadId,而后在前面創(chuàng)建的審計日志表auditdb.accesslog里面根據(jù)ThreadID找到用戶登錄信息：
查看當前binlog mysqlbin.000029的內(nèi)容，并找到delete操作對應的ThreadID D:\mysql57\bin>mysqlbinlog ../data/mysql-bin.000029
從Binlog中可以得知刪除Test2表對應的threadid是8，根據(jù)ThreadID在審計表里查看用戶的登錄信息，可以得知這個刪除操作是user1用戶在本機執(zhí)行的操作。
說明：采用這種方式進行審計，由于init-connect只會在連接時執(zhí)行，不會對數(shù)據(jù)庫產(chǎn)生大的性能影響，但是init-connect不會記錄擁有root權限的用戶記錄.
方法三 使用審計插件
除了商業(yè)版的審計插件外，常見的還有三類審計插件Percona Audit Log Plugin、MariaDB Audit Plugin、McAfee MySQL Audit Plugin。這幾個插件功能上大同小異，只是展示的內(nèi)容和格式略有不同。
我們以MariaDB Audit Plugin為例，給大家介紹如何采用插件的方式實現(xiàn)對Mysql數(shù)據(jù)的審計。
一、下載與安裝
1、下載MariaDB Audit Plugin插件(下載地址：https://downloads.mariadb.org/mariadb/5.5.64/)
2、安裝:把server_audit.dll復制到對應的mysql插件庫中D:\mysql57\lib\plugin，執(zhí)行install安裝命令：
3、安裝驗證：Mysql>show variables like '%audit%'
二、關鍵審計參數(shù)說明
- server_audit_logging：啟動或關閉審計
- server_audit_events：指定記錄事件的類型，可以用逗號分隔的多個值(connect,query,table) ，默認為空代表審計所有事件。
- server_audit_incl_users：指定哪些用戶的活動將記錄，默認審計所有用戶，該變量比server_audit_excl_users優(yōu)先級高
- server_audit_excl_users：指定哪些用戶行為不記錄
- server_audit_output_type：指定日志輸出類型，可為SYSLOG或FILE，缺省輸出至審計文件
三、審計過程示例
1、開啟審計mysql>set global server_audit_logging=on
由于是驗證測試，我們其余參數(shù)都按默認設置。
2、執(zhí)行一些數(shù)據(jù)庫操作：
3、查看審計記錄日志，server_audit.log，默認在data目錄下：
我們看見，剛才在Mysql數(shù)據(jù)庫的操作都已經(jīng)審計上了。
使用公有云RDS服務的場景
目前云計算的普及，云供應商都提供云數(shù)據(jù)庫服務，當然Mysql是云數(shù)據(jù)庫服務重要的一員。相比傳統(tǒng)數(shù)據(jù)庫，云數(shù)據(jù)庫易于部署、管理和擴展，提供數(shù)據(jù)可靠性、安全性、運行狀態(tài)監(jiān)控等全套解決方案。
那么在云數(shù)據(jù)庫Mysql上是如何實現(xiàn)對數(shù)據(jù)庫的審計的呢?我們以京東云云數(shù)據(jù)庫Mysql為例，京東云的Mysql審計功能是通過MariaDB Audit Plugin插件實現(xiàn)的。下面給大家介紹云數(shù)據(jù)庫Mysql審計的開啟、使用、關閉等功能。
1、登錄云數(shù)據(jù)庫 RDS 管理控制臺;
2、選擇需要查詢 SQL 審計的目標實例，點擊目標實例， 進入實例詳情頁，切換至 SQL 審計 Tab 頁;
3、點擊審計狀態(tài)開關就可以在線切換審計的開啟與關閉;
4、執(zhí)行一些數(shù)據(jù)庫的操作，而后看審計數(shù)據(jù)。審計開啟后，SQL 審計查詢功能說明如下：
- 執(zhí)行時間：可以選擇從當前時間往前推 7 天的時間區(qū)間，作為 SQL 審計查詢的時間段;
- 數(shù)據(jù)庫：可以查看指定數(shù)據(jù)庫的 SQL 語句;
- 賬號：可以查看指定賬號的 SQL 語句。
5、點擊查詢按鈕，查看符合要求的SQL審計結(jié)果列表：
通過上面的例子，可以看見，云數(shù)據(jù)庫的管理和運維比自建數(shù)據(jù)庫確實要簡單很多，用戶不用關心審計的方式、審計數(shù)據(jù)的存儲位置等等。只不過，云數(shù)據(jù)庫由于是以云服務的形式提供給最終用戶，用戶就需要按照云服務的要求和使用說明進行操作。
【本文為51CTO專欄作者“京東云”的原創(chuàng)稿件，轉(zhuǎn)載請通過作者微信公眾號JD-jcloud獲取授權】
