阅读量:0
MySQL数据库安全配置包括设置强密码、限制用户权限、使用防火墙、定期备份数据等措施。
在当今互联网环境中，数据库安全是每个企业和开发者必须面对的重要课题，MySQL作为全球最受欢迎的开源关系型数据库之一，其安全性直接影响到企业的数据安全和业务稳定运行，本文将详细介绍MySQL 5.7 Community Server版本的安全配置规范，旨在帮助读者了解如何通过合理的配置来提升MySQL数据库的安全性。
基本安全配置
1、安装补丁
实施目的：确保数据库版本为最新并修复已知的安全漏洞。
问题影响：系统存在严重的安全漏洞，容易被黑客攻击利用。
升级要求：升级MySQL版本需要重启服务器。
判断依据：查看MySQL官网，比较补丁修复情况。
实施步骤：请慎重对数据库系统打补丁，补丁安装应当先在测试机上完成，补丁安装可能导致系统或某些服务无法工作正常，在下载补丁包时，一定要对签名进行核实，防止执行特洛伊木马。
2、删除默认安装数据库test
说明：MySQL安装时默认创建一个测试数据库test，完全的空数据库，没有任何表，可以删除。
问题影响：测试数据库可以被所有用户访问，并且可以用来消耗系统资源，删除测试数据库将减少MySQL服务器的攻击面。
检查方法：执行以下SQL语句以检查test数据库是否存在mysql> SHOW DATABASES LIKE 'test';。
参考值：无返回行（表示不存在）。
实施步骤：删除test数据库mysql>DROP DATABASE "test";。
3、修改root用户名
说明：MySQL默认用户root应该修改名称，以减小攻击面。
问题影响：防止黑客针对用户名进行密码猜测攻击。
检查方法：执行sql检查数据库是否有默认用户rootmysql> SELECT user from mysql.user where user='root;，如果有返回行则需要修改。
参考值：Empty set （0.00 sec）
实施步骤：修改root用户名mysql> update user set name='newname' where name='oldname';，然后刷新权限mysql> flush privileges;。
4、MySQL操作系统账号权限最小化
说明：MySQL在操作系统上的账号权限最小化有助于减小MySQL数据库漏洞造成的影响。
问题影响：防止黑客利用MySQL漏洞入侵操作系统，造成更大损失。
检查方法：假设MySQL账号为mysql，执行命令ps ef | egrep "^mysql.*$"，如果没有返回行，则权限存在问题。
参考值：存在返回行。
实施步骤：创建一个仅用于运行MySQL和直接相关进程的用户。
5、禁止MySQL链接历史记录
说明：MySQL会把客户端登陆的交互执行记录保存在.mysql_history文件中。
问题影响：该记录有可能会暴露登陆过程中的敏感信息，建议删除该记录。
检查方法：检查.mysql_history文件是否存在（默认在home下）：find /home name ".mysql_history"，如果有返回行说明存在.mysql_history文件，建议删除。
参考值：无返回行。
实施步骤：如果存在.mysql_history，则删除rm –f .mysql_history，创建链接，防止.mysql_history再次生成ln s /dev/null $HOME/.mysql_history或采用修改mysql_history的环境变量让他的值等于 /dev/null。
6、禁止MYSQL_PWD的使用
说明：MYSQL_PWD是一种用于存储mysql密码的环境变量。
问题影响：以明文形式存储mysql密码，存在安全隐患。
检查方法：检查MYSQL_PWD环境变量是否存在于某个进程中：grep MYSQL_PWD /proc/*/environ，如果有返回行说明那个进程使用了MYSQL_PWD环境变量。
参考值：无返回行。
实施步骤：对使用MYSQL_PWD环境变量变量的脚本和进程，建议不在使用该环境变量。
7、禁止MySQL操作系统账号登陆
说明：MySQL做系统账号在安装完数据库后，不应该有其他用途，建议禁止该账号登陆操作系统。
问题影响：此举在防止黑客利用MySQL数据库漏洞反射shell有极佳效果。
检查方法：假设MySQL数据库操作系统账号就是mysql，执行下列命令：getent passwd mysql | egrep "^.*[ \ /bin\ / false| \ / sbin \ / nologin]$"，如果没有返回行则说明存在安全隐患。
参考值：无返回行。
实施步骤：执行下列语句禁止mysql登陆：usermod s /sbin/nologin mysql，回退步骤：usermod s /bin/bash mysql。
8、更改MySQL默认端口
说明：使用默认端口，会更容易被黑客在网络中发现数据库。
问题影响：改成非默认端口可以提高安全性。
检查方法：查看配置文件my.cnf中的port参数。
参考值：非3306端口。
实施步骤：修改my.cnf文件中的port参数为其他非3306端口，如3307，然后重启MySQL服务。
数据库层面（db表）的权限分析
1、Select：可对其下所有表进行查询，建议给予。
2、Insert：可对其下所有表进行插入，建议给予。
3、Update：可对其下所有表进行更新，建议给予。
4、Delete：可对其下所有表进行删除，不建议给予。
5、Create：可在此数据库下创建表或者索引，建议给予。
6、Drop：可删除此数据库下的表，不建议给予。
7、Grant Option：赋予权限选项，不建议给予。
8、References：未来MySQL特性的占位符，不建议给予。
9、Index：可对其下的所有表进行索引，建议给予。
10、Alter：可对其下的所有表进行更改，如添加字段、索引等，建议给予。
11、Create View：可在此数据下创建视图，建议给予。
12、Show View：可在此数据下查看视图，建议给予。
13、Create Routine：可在此数据下创建存储过程，不建议给予。
14、Alter Routine：可在此数据下更改存储过程，不建议给予。
15、Execute：可在此数据下执行存储过程，不建议给予。
16、File：服务器主机上的文件访问，不建议给予。
17、Create Temporary Tables：服务器管理创建临时表，不建议给予。
18、Lock Tables：服务器管理锁表，不建议给予。
19、Create User：服务器管理创建用户，不建议给予。
20、Process：服务器管理查看进程，不建议给予。
21、Reload：服务器管理执行flushhosts, flushlogs, flushprivileges, flushstatus, flushtables, flushthreads, refresh, reload等命令的权限，不建议给予。
22、Replication Client：服务器管理复制权限，不建议给予。
23、Replication Slave：服务器管理复制权限，不建议给予。
24、Show Databases：服务器管理查看数据库权限，不建议给予。
25、Shutdown：服务器管理关闭数据库权限，不建议给予。
26、Super：服务器管理执行kill线程权限，不建议给予。
MySQL安全配置方案
1、限制访问MySQL端口的IP：Windows可以通过windows防火墙或者ipsec来限制，linux下可以通过iptables来限制。
2、修改MySQL的端口：Windows下可以修改配置文件my.ini来实现，linux可以修改配置文件my.cnf来实现。
3、对所有用户设置强密码并严格指定对应账号的访问IP：MySQL中可在user表中指定用户的访问可访问IP。
4、Root特权账号的处理：建议给root账号设置强密码，并指定只容许本地登录。
5、日志的处理：如需要可开启查询日志，查询日志会记录登录和查询语句。
6、MySQL进程运行账号：在windows下禁止使用local system来运行mysql账户，可以考虑使用network service或者自己新建一个账号，但是必须给与mysql程序所在目录的读取权限和data目录的读取和写入权限；在linux下，新建一个mysql账号，并在安装的时候就指定mysql以mysql账户来运行，给与程序所在目录的读取权限，data所在目录的读取和写入权限。
7、MySQL运行账号的磁盘权限：MySQL运行账号需要给予程序所在目录的读取权限，以及data目录的读取和写入权限；不容许给予其他目录的写入和执行权限，特别是有网站的；取消mysql运行账户对于cmd，sh等一些程序的执行权限。
8、网站使用的MySQL账户的处理：新建一个账户，给予账户在所使用数据库的所有权限即可，这样既能保证网站对所对应的数据库的全部操作，也能保证账户不会因为权限过高而影响安全。
FAQs
1、如何修改MySQL root用户的密码？：可以使用以下三种方式之一来修改root用户的密码：使用mysqladmin命令来改root用户口令＃ mysqladmin uroot password test；使用set password命令修改root用户口令mysql> set password for root@localhost=password('test');；直接修改user表的root用户口令mysql> use mysql; update user set password=password('test') where user='root'; flush privileges;，注意：“test”只是一个示例密码，实际使用时请确保密码复杂度足够高。
2、如何删除MySQL中的默认数据库和用户？：首先登录到MySQL服务器，然后执行以下SQL语句来删除默认的test数据库以及除了root以外的所有用户：删除test数据库mysql> drop database test;；切换到mysql数据库mysql> use mysql;；删除除root外的所有用户mysql> delete from user where not(host="localhost" and user="root");；刷新权限mysql> flush privileges;，这些操作可能会影响现有的数据库结构和数据，因此在执行前请确保已备份好相关数据。
MySQL数据库安全配置是一个非常重要的主题，以下是一些专业、准确且具有见地的配置建议：
1. 限制访问
关闭MySQL的root用户远程访问：将root用户的远程访问权限关闭，只允许本地访问。
```sql
删除root的远程访问权限
REVOKE ALL PRIVILEGES ON *.* FROM 'root'@'%' IDENTIFIED BY 'your_password';
为本地访问授权
GRANT ALL PRIVILEGES ON *.* TO 'root'@'localhost' IDENTIFIED BY 'your_password';
FLUSH PRIVILEGES;
```
使用特定用户访问数据库：为应用程序创建专门的数据库用户，并仅授予必要的权限。
2. 修改默认端口
将MySQL的默认端口（3306）修改为非标准端口，可以减少恶意扫描。
3. 配置防火墙
使用操作系统防火墙或MySQL的防火墙插件，限制对MySQL端口的访问。
4. 使用SSL连接
配置MySQL使用SSL加密客户端与服务器之间的通信。
5. 使用强密码策略
为MySQL用户设置强密码，避免使用常见的密码。
6. 定期更新和打补丁
保持MySQL数据库和操作系统软件的更新，及时安装安全补丁。
7. 使用安全的存储和传输密码
不要将密码明文存储或传输，使用加密的方式。
8. 使用安全的存储引擎
使用InnoDB存储引擎，因为它提供了更好的安全性和性能。
9. 配置MySQL日志
启用并配置MySQL的日志，记录数据库的访问和操作。
10. 监控和审计
定期检查MySQL日志，监控异常行为和潜在的安全威胁。
11. 定期备份
定期备份数据库，以防数据丢失或损坏。
12. 使用安全配置文件
使用专门的配置文件存储MySQL的安全设置，不要将配置信息直接写入MySQL配置文件。
13. 使用虚拟主机
如果可能，使用虚拟主机隔离不同的数据库实例，降低安全风险。
14. 禁用不必要的服务
关闭MySQL中不必要的服务，如远程管理服务。
15. 使用专业的安全工具
使用专业的安全工具进行定期安全检查和评估。
建议可以帮助您提高MySQL数据库的安全性，请根据实际情况选择适合您的配置方案。
