譯者 | 晶顏

審校 | 重樓

MySQL以其可靠性和效率在各種可用的數(shù)據(jù)庫系統(tǒng)中脫穎而出。然而，與任何保存有價值數(shù)據(jù)的技術(shù)一樣，MySQL數(shù)據(jù)庫也是網(wǎng)絡(luò)罪犯有利可圖的目標(biāo)。

這使得MySQL的安全性不再僅是一種選擇，而是一種必要。這份全面的指南將深入研究保護(hù)MySQL數(shù)據(jù)庫的最佳實踐。

從初始設(shè)置到高級配置，我們將介紹有效保護(hù)數(shù)據(jù)的所有必要步驟。無論您是數(shù)據(jù)庫管理員還是開發(fā)人員，本指南都將是您了解MySQL安全性的路線圖。

第一部分：初始安全措施

保護(hù)MySQL數(shù)據(jù)庫的第一道防線始于初始設(shè)置。在這個階段采取正確的步驟可以防止大量的安全問題。在本節(jié)中，我們將關(guān)注三個關(guān)鍵領(lǐng)域：MySQL安全安裝、限制遠(yuǎn)程登錄以及用戶和特權(quán)管理。

MySQL安全安裝

mysql_secure_installation命令是一個簡單但功能強(qiáng)大的工具，可以幫助您確保MySQL安裝的安全性。執(zhí)行該命令可以實現(xiàn)如下操作：

• 設(shè)置根（Root）密碼：設(shè)置一個強(qiáng)大的根密碼以防止未經(jīng)授權(quán)的訪問是至關(guān)重要的。
• 禁止遠(yuǎn)程Root登錄：Root用戶只能在本地訪問數(shù)據(jù)庫，降低了遭遇勒索軟件攻擊的風(fēng)險。
• 刪除匿名用戶：匿名用戶可能會造成重大的安全風(fēng)險，這個步驟可以確保將其刪除。
• 刪除測試數(shù)據(jù)庫：默認(rèn)情況下會創(chuàng)建一個測試數(shù)據(jù)庫，這可能是一個潛在的安全漏洞，建議刪除。

限制遠(yuǎn)程登錄

遠(yuǎn)程登錄可能很方便，但也可能使數(shù)據(jù)庫暴露于風(fēng)險之中。您可以遵循下述操作以緩解此類風(fēng)險：

• 配置Bind-Address參數(shù)：通過將該參數(shù)設(shè)置為127.0.0.1，可以限制對本地計算機(jī)的數(shù)據(jù)庫訪問。
• 禁用Skip-Networking：這確保MySQL監(jiān)聽傳入的TCP/IP連接，使其更安全。

用戶和特權(quán)管理

適當(dāng)?shù)挠脩艉吞貦?quán)管理可以在保護(hù)MySQL數(shù)據(jù)庫方面發(fā)揮很大作用。下述方法可以幫助實現(xiàn)這一點：

• 創(chuàng)建特定于應(yīng)用程序的數(shù)據(jù)庫用戶：與其為每個應(yīng)用程序使用Root用戶，不如只創(chuàng)建具有必要權(quán)限的特定用戶。
• 避免不必要的權(quán)限授予：不要分配不必要的權(quán)限。根據(jù)用戶的角色限制用戶權(quán)限的范圍。
• 撤銷不必要的權(quán)限：定期檢查和撤銷不再需要的全局、數(shù)據(jù)庫和表級（table-level）權(quán)限。

通過采取這些初始安全措施，能夠為安全的MySQL數(shù)據(jù)庫奠定堅實的基礎(chǔ)，同時為更高級的安全配置奠定基礎(chǔ)。

第二部分：高級安全配置

一旦為初始安全措施奠定了基礎(chǔ)，就可以深入研究更高級的配置了。這些步驟將進(jìn)一步加強(qiáng)MySQL數(shù)據(jù)庫抵御復(fù)雜攻擊和漏洞的能力。在本節(jié)中，我們將介紹以下關(guān)鍵配置：更改MySQL默認(rèn)端口，啟用日志記錄，文件和目錄權(quán)限，禁用危險功能和特性，避免在帳戶名中使用通配符以及密碼策略。

更改MySQL默認(rèn)端口

默認(rèn)的MySQL端口是3306，更改它將通過混淆增加一層額外的安全性。

• 更改方式：您可以通過編輯my.cnf或my.ini文件，然后重新啟動MySQL服務(wù)來更改端口。
• 更改原因：攻擊者通常針對默認(rèn)端口，因此更改它會降低自動攻擊的效率。

啟用日志記錄

日志對于審計和識別可疑活動是無價的。

• 啟用MySQL日志：您可以啟用不同類型的日志，如錯誤日志、常規(guī)查詢?nèi)罩竞吐俨樵內(nèi)罩尽?/span>
• 設(shè)置適當(dāng)?shù)臋?quán)限：確保只有經(jīng)過授權(quán)的用戶才能訪問這些日志文件，以保持其完整性。

文件和目錄權(quán)限

不適當(dāng)?shù)奈募湍夸洐?quán)限會使數(shù)據(jù)庫暴露于各種風(fēng)險中。

• 設(shè)置適當(dāng)?shù)臋?quán)限：使用Linux文件權(quán)限來限制MySQL文件和目錄的讀、寫、執(zhí)行權(quán)限。

禁用危險功能和特性

一些MySQL特性可以被惡意活動利用。

• 禁用LOCAL INFILE：這可以防止攻擊者從服務(wù)器的文件系統(tǒng)加載文件。
• 禁用特定功能：可以禁用load_file、outfile、dumpfile等功能，以防止非法操作文件。

避免帳戶名中的通配符

在帳戶名中使用通配符（wildcard）可能存在風(fēng)險。

• 風(fēng)險：像%這樣的通配符可以允許用戶從任何主機(jī)連接，使您的數(shù)據(jù)庫更容易受到攻擊。
• 正確定義主機(jī)名：使用特定的主機(jī)名或IP地址來限制用戶可以從哪里連接。

密碼策略

強(qiáng)大的密碼策略對于保護(hù)數(shù)據(jù)庫至關(guān)重要。

• 定期修改密碼：鼓勵或強(qiáng)制定期修改密碼。
• 使用MySQL的密碼驗證插件：這些插件可以強(qiáng)制執(zhí)行密碼復(fù)雜度要求，使攻擊者難以猜測密碼。

通過實現(xiàn)這些高級安全配置，不僅可以增強(qiáng)MySQL數(shù)據(jù)庫應(yīng)對常見漏洞的能力，還可以為不可預(yù)見的安全挑戰(zhàn)做好準(zhǔn)備。

第三部分：額外的安全層

在設(shè)置了初始配置和高級配置之后，下一步是向MySQL數(shù)據(jù)庫添加額外的安全層。這些額外的措施進(jìn)一步加強(qiáng)了數(shù)據(jù)庫的安全性，以防止復(fù)雜的攻擊，并確保數(shù)據(jù)在各種威脅場景下保持安全。在本節(jié)中，我們將探討數(shù)據(jù)加密，使用安全插件和庫，以及定期更新的重要性。

數(shù)據(jù)加密

數(shù)據(jù)加密是數(shù)據(jù)庫安全的一個關(guān)鍵方面，可以確保未經(jīng)授權(quán)的用戶無法讀取您的數(shù)據(jù)。

• 傳輸中的加密：使用SSL/TLS協(xié)議加密在MySQL服務(wù)器和客戶端之間移動的數(shù)據(jù)。
• 靜態(tài)加密：這涉及到對實際的數(shù)據(jù)庫文件和備份進(jìn)行加密，使攻擊者即使獲得對文件系統(tǒng)的訪問權(quán)也難以讀取它們。

使用安全插件和庫

您可以使用各種各樣的插件和庫來增強(qiáng)MySQL的安全性。

• 可用安全插件概述：一些流行的選項包括MySQL企業(yè)防火墻、MySQL企業(yè)審計和開源插件，如GreenSQL。這些插件提供了SQL注入保護(hù)、實時監(jiān)控等功能。

定期更新

使MySQL數(shù)據(jù)庫保持最新是提高安全性的一種簡單且有效的方法。

• 保持MySQL最新的重要性：新的更新通常包括已知漏洞的安全補丁，因此定期更新至關(guān)重要。
• MySQL軟件包更新方式：使用軟件包管理器，如Ubuntu的apt或CentOS的yum來更新MySQL。在執(zhí)行更新之前始終備份數(shù)據(jù)庫，以避免數(shù)據(jù)丟失。

通過合并這些額外的安全層，您將采用一種全面的方法來實現(xiàn)MySQL安全性。這可確保數(shù)據(jù)的完整性和機(jī)密性，并為數(shù)據(jù)庫應(yīng)對不斷變化的安全威脅做好準(zhǔn)備。

第四部分：監(jiān)控和維護(hù)

持續(xù)監(jiān)控和維護(hù)是實現(xiàn)MySQL數(shù)據(jù)庫安全性的最后一塊拼圖。即使采用了最嚴(yán)格的安全措施，持續(xù)的警惕對于識別和緩解新的威脅仍是必不可少的。在這一部分中，我們將討論監(jiān)視工具和實踐以及備份和恢復(fù)的重要性。

監(jiān)控工具和實踐

持續(xù)監(jiān)控對于維護(hù)MySQL數(shù)據(jù)庫的安全性至關(guān)重要。

• 監(jiān)控MySQL安全性的工具：可用的工具有很多，如MySQL企業(yè)監(jiān)控，Percona監(jiān)控和管理，以及開源選項，如Zabbix。這些工具可以提醒您注意可疑活動、性能問題和其他與安全相關(guān)的事件。

備份和恢復(fù)

擁有強(qiáng)大的備份和恢復(fù)策略對于任何數(shù)據(jù)庫系統(tǒng)都是至關(guān)重要的。

• 安全備份和恢復(fù)的最佳實踐：始終對備份進(jìn)行加密并將其存儲在安全位置。使用mysqldump等工具進(jìn)行邏輯備份，或者使用Percona xtraback3等第三方解決方案進(jìn)行物理備份。定期測試您的恢復(fù)程序，確保它們是有效和可靠的。

通過實現(xiàn)持續(xù)且強(qiáng)大的監(jiān)控和維護(hù)方案，您可以確保MySQL數(shù)據(jù)庫長期保持安全。這可以保護(hù)您的數(shù)據(jù)，并讓您安心地為可能出現(xiàn)的任何安全挑戰(zhàn)做好準(zhǔn)備。

結(jié)語

在這份全面的安全指南中，我們探討了多層的MySQL安全策略，范圍涵蓋安全安裝和用戶管理等初始措施，以及涉及數(shù)據(jù)加密和端口更改的高級配置。我們還深入研究了其他安全層以及持續(xù)監(jiān)控和維護(hù)的重要性。安全性不是一次性設(shè)置，而是一個持續(xù)的過程。在此過程中，定期更新、持續(xù)監(jiān)控以及定期的用戶權(quán)限和配置檢查都是必不可少的。

通過實現(xiàn)這些最佳實踐，您可以保護(hù)MySQL數(shù)據(jù)庫并加強(qiáng)與之交互的整個生態(tài)系統(tǒng)。記住，“驕兵必敗”，在網(wǎng)絡(luò)安全領(lǐng)域亦是如此。保持警惕，保持更新，MySQL數(shù)據(jù)庫將成為抵御安全威脅的堡壘。

原文標(biāo)題：MySQL Security Best Practices Guide – 2024