mysql資料庫的安全配置,mysql資料庫安全性如何

本文目錄一覽：

• 1、安全最重要！MySQL配置主從複製，主主複製
• 2、如何做好MySQL安全策略
• 3、如何提高mysql的安全性

安全最重要！MySQL配置主從複製，主主複製

為了保障數據的安全與穩定性，我們常用資料庫的主從複製與主主複製來實現。主從複製為從機實時拷貝一份主機的數據，當主機有數據變化時，從機的數據會跟著變，當從機數據有變化時，主機數據不變；同樣地，主主複製就是，多個主機之間，只要有一個主機的數據變化了，其它主機數據也會跟著變化。

添加以下內容

如果你是使用我之前那種方式啟動的MySQL，那麼你只需要去你相關聯的宿主機的配置文件夾裡面去建立一個 my.cnf 然後寫入上面的類容就好了。

比如：我的啟動命令如下（不應該換行的，這裡為了方便查看，我給它分行了）

那麼我只需要在 /docker/mysql_master/conf 這個目錄下創建 my.cnf 文件就好了。

這個命令是需要在容器裡面執行的

docker重啟mysql會關閉容器，我們需要重啟容器。

確保在主伺服器上 skip_networking 選項處於 OFF 關閉狀態, 這是默認值。 如果是啟用的，則從站無法與主站通信，並且複製失敗。

我的命令如下

在從伺服器配置連接到主伺服器的相關信息 （在容器裡面的mysql執行）

上面代碼的xxxxx你需要換成你的IP，docker 查看容器 IP 的命令如下：

啟動的那個從伺服器的線程

測試的話，你可以在主伺服器裡面，創建一個資料庫，發現從伺服器裡面也有了，就成功了。

如果你還想要一個從伺服器，那麼你只需要按照上面配置從伺服器再配置一個就行了，新建的從伺服器，會自動保存主伺服器之前的數據。（測試結果） 如果你上面的主從複製搞定了，那麼這個主主複製就很簡單了。我們把上面的從伺服器也改成主伺服器

1）、修改上面的從伺服器的my.cnf文件，和主伺服器的一樣（注意這個server-id不能一樣）然後重啟伺服器 2）、在從伺服器裡面創建一個複製用戶創建命令一樣（這裡修改一下用戶名可以改為 repl2） 3）、在之前的主伺服器裡面運行下面這個代碼

上面主要是教你怎麼搭建一個MySQL集群，但是這裡面還有很多其它的問題。也是我在學習過程中思考的問題，可能有的小夥伴上來看到文章長篇大論的看不下去，只想去實現這樣一直集群功能，所以我就把問題寫在下面了。

1）、MySQL的replication和pxc MySQL的集群方案有replication和pxc兩種，上面是基於replication實現的。

replication: 非同步複製，速度快，無法保證數據的一致性。 pxc: 同步複製，速度慢，多個集群之間是事務提交的數據一致性強。

2）、MySQL的replication數據同步的原理 我們在配置的時候開啟了它的二進位日誌，每次操作資料庫的時候都會更新到這個日誌裡面去。主從通過同步這個日誌來保證數據的一致性。

3）、可否不同步全部的數據 可以配置，同步哪些資料庫，甚至是哪些表。

4）、怎麼關閉和開始同步

5）、我就我的理解畫出了，主從、主從從、主主、複製的圖。

往期推薦：

利用Docker僅花1分鐘時間安裝好MySQL服務

Linux下MySQL 5.7的離線與在線安裝（圖文）

Linux下安裝MySQL8.0（收藏！）

如何做好MySQL安全策略

摘至網頁鏈接

常見Mysql配置文件：linux系統下是my.conf，windows環境下是my.ini；

資料庫整體安全需求：機密性、完整性、可用性；

下面以mysql 5.7版本為例，介紹mysql常見的安全策略、配置、加固方式等等，有些策略可能只針對Linux操作系統，更多策略可以參考CIS Mysql Benchmark相關文檔：

1、操作系統級別安全配置

1.1不要將資料庫放在系統分區

Windows系統：直接檢查是否將資料庫放置在C盤。

Linux系統：

在終端連接上mysql資料庫，執行如下命令：

show variables where variable_name = ‘datadir’;

然後返回shell命令行：

df -h datadir

其中datadir是上一條命令的返回值。

上述命令的返回值不應是/、/var、/usr

1.2使用專用的最小許可權賬號運行mysql資料庫進程

Windows系統：直接打開任務管理器，查看運行mysql進程的操作系統賬號，不能為administrator賬號。

Linux系統：

Shell命令行運行如下命令：

ps -ef | grep mysql

查看mysql服務的運行賬號是否為root或其他高許可權賬號，如果是的，則需要創建一個非管理員專用賬號來運行mysql服務。

1.3禁止使用mysql命令行歷史記錄

Linux系統：

執行如下命令：

find / -name “.mysql_history”

查看是否存在mysql的歷史命令記錄文件，如果存在，則需要進行如下加固：

（1）刪除.mysql_history文件；

（2）設置環境變數MYSQL_HISTFILE為/dev/null，並添加到shell的初始化腳本中，創建mysql_history到/dev/null的鏈接：

ln -s /dev/null $HOME/.mysql_history

1.4 確保MYSQL_PWD環境變數未設置敏感信息

Windows系統下進入cmd命令行，使用如下命令：

Set

查看是否設置了環境變數MYSQL_PWD。

Linux系統下使用如下命令：

grep MYSQL_PWD /proc/*/environ

查看MYSQL_PWD環境變數是否設置了敏感信息。

確認那個配置文件或腳本設置了MYSQL_PWD環境變數。

2、安裝

2.1使用資料庫專用伺服器

使用專用的伺服器安裝mysql服務可以減少mysql服務的攻擊面，盡量卸載或刪除操作系統上的不必要的應用或服務，減少其他應用的安裝可能給mysql的運行帶來的安全風險。

2.2 不要復用資料庫賬號

運行mysql服務的操作系統賬號不要用來運行其他應用或服務，這樣可以避免其他應用或伺服器被攻擊給mysql服務帶來影響。

2.3 歷史命令行密碼設置為不可見

使用如下命令：

mysql -u admin -p password

連接mysql資料庫服務，退出後查看歷史命令，確認password是否為明文。

建議使用如下命令方式登錄：

（1）先輸入mysql -u admin -p

（2）根據命令行提示輸入密碼；

而不要在一整條命令中輸入密碼。

另外要控制mysql配置文件訪問許可權。

3、文件許可權控制

3.1 控制數據目錄的訪問許可權

數據目錄是mysql資料庫存放的位置，在mysql命令行界面下執行如下命令：

show variables where variable_name = ‘datadir’;

在終端命令行下執行如下命令：

ls -l datadir/.. | egrep “^d[r|w|x]{3}——\s*.\s*mysql\s*mysql\s*\d*.*mysql”

其中datadir是第一條命令的執行結果

如果存在問題，linux環境下在終端執行如下命令進行加固：

chmod 700 datadir

chown mysql:mysql datadir

3.2 控制二進位日誌文件的許可權

mysql的運行會產生很多日誌，例如二進位日誌、錯誤日誌、慢查詢日誌等等，Mysql命令行下執行如下命令：

show variables like ‘log_bin_basename’;

在終端命令行執行如下命令：

ls log_bin_basename.*

對於發現的每一個文件，執行如下命令：

ls -l log_bin_basename.nnnnn | egrep “^-[r|w]{2}-[r|w]{2}—-\s*.*$”

根據輸出確認日誌文件的許可權設置是否存在問題。

對於每個日誌文件，修改其許可權和屬組如下：

chmod 660 log file

chown mysql:mysql log file

3.3 控制錯誤日誌文件的許可權

Mysql命令行下執行如下命令：

show variables like ‘log_error’;

在終端命令行執行如下命令：

ls log_error.*

對於發現的每一個文件，執行如下命令：

ls -l log_error | egrep “^-[r|w]{2}-[r|w]{2}—-\s*.*$”

根據輸出確認日誌文件的許可權設置是否存在問題。

對於每個日誌文件，修改其許可權和屬組如下：

chmod 660 log file

chown mysql:mysql log file

3.4控制慢查詢日誌文件的許可權

Mysql命令行下執行如下命令：

show variables like ‘slow_query_log_file’;

在終端命令行執行如下命令：

ls slow_query_log_file.*

對於發現的每一個文件，執行如下命令：

ls -l slow_query_log_file | egrep “^-[r|w]{2}-[r|w]{2}—-\s*.*$”

根據輸出確認日誌文件的許可權設置是否存在問題。

對於每個日誌文件，修改其許可權和屬組如下：

chmod 660 log file

chown mysql:mysql log file

3.5控制通用日誌文件的許可權

Mysql命令行下執行如下命令：

show variables like ‘general_log_file’;

在終端命令行執行如下命令：

ls general_log_file.*

對於發現的每一個文件，執行如下命令：

ls -l general_log_file | egrep “^-[r|w]{2}-[r|w]{2}—-\s*.*$”

根據輸出確認日誌文件的許可權設置是否存在問題。

對於每個日誌文件，修改其許可權和屬組如下：

chmod 660 log file

chown mysql:mysql log file

3.6控制審計日誌文件的許可權

Mysql命令行下執行如下命令：

show global variables where variable_name =  ‘audit_log_file’;

在終端執行如下命令：

ls -l audit_log_file | egrep “^-rw[-x]rw[-x][-r][-w][-x][ \t]*[0-9][ \t]*mysql[

\t]*mysql.*$”

根據輸出確認日誌文件的許可權設置是否存在問題。

對於每個日誌文件，修改其許可權和屬組如下：

chmod 660 audit_log_file

chown mysql:mysql audit_log_file

4、通用安全

4.1安裝最新的補丁

在mysql命令行下查詢MySQL的版本：

SHOW VARIABLES WHERE Variable_name LIKE “version”;

確認是否由需要安裝的補丁包，如果有請安裝。

4.2 刪除test資料庫

Mysql資料庫默認安裝好後，存在一個名為test的資料庫，如果存在，請執行如下命令刪除：

Drop database 「test」

4.3 確保讀取本地文件的參數設置為失效

Mysql命令行下，使用如下命令：

SHOW VARIABLES WHERE Variable_name = ‘local_infile’;

查看結果是否為OFF。

如果該命令為ON，則資料庫用戶可以通過LOAD DATA INFILE 或者 SELECT local_file 讀取到資料庫所在操作系統本地的文件，在這種情況下，需要在mysql配置文件中新增一行：

Local-infile=0；

然後重啟資料庫服務。

5、許可權配置

5.1控制可以訪問所有資料庫的賬號

Mysql資料庫下的user表和db表中存放著可以授予資料庫用戶的許可權，確保只有管理員賬號才能訪問所有資料庫。可以訪問mysql資料庫的用戶或許可以查看密碼哈希值、修改用戶許可權等等。

使用如下sql語句：

SELECT user, host FROM mysql.user

WHERE (Select_priv = ‘Y’) OR (Insert_priv = ‘Y’) OR (Update_priv = ‘Y’)

OR (Delete_priv = ‘Y’)  OR (Create_priv = ‘Y’)  OR (Drop_priv = ‘Y’);

SELECT user, host FROM mysql.db WHERE db = ‘mysql’

AND ((Select_priv = ‘Y’) OR (Insert_priv = ‘Y’) OR (Update_priv = ‘Y’)

OR (Delete_priv = ‘Y’) OR (Create_priv = ‘Y’) OR (Drop_priv = ‘Y’));

確保返回結果只能是資料庫管理員賬號。

5.2限制非管理員用戶的許可權

Mysql.user表中的許可權列有：

file_priv：表示是否允許用戶讀取資料庫所在主機的本地文件；

Process：表示是否允許用戶查詢所有用戶的命令執行信息；

Super_priv：表示用戶是否有設置全局變數、管理員調試等高級別許可權；

Shutdown_priv：表示用戶是否可以關閉資料庫；

Create_user_priv：表示用戶是否可以創建或刪除其他用戶；

Grant_priv：表示用戶是否可以修改其他用戶的許可權；

應確保只有資料庫管理員才有上述許可權，使用如下sql語句查看擁有各個許可權的資料庫賬號：

select user, host from mysql.user where File_priv = ‘Y’;

select user, host from mysql.user where Process_priv = ‘Y’;

select user, host from mysql.user where Process_priv = ‘Y’;

SELECT user, host FROM mysql.user WHERE Shutdown_priv = ‘Y’;

SELECT user, host FROM mysql.user WHERE Create_user_priv = ‘Y’;

SELECT user, host FROM mysql.user WHERE Grant_priv = ‘Y’;

SELECT user, host FROM mysql.db WHERE Grant_priv = ‘Y’;

確保查詢結果中不存在非管理員用戶。

如果存在非管理員用戶，使用如下命令進行許可權回收：

REVOKE FILE ON *.* FROM ‘user’;

REVOKE PROCESS ON *.* FROM ‘user’;

REVOKE SUPER ON *.* FROM ‘user’;

REVOKE SHUTDOWN ON *.* FROM ‘user’;

REVOKE CREATE USER ON *.* FROM ‘user’;

REVOKE GRANT OPTION ON *.* FROM user;

其中user為上述查詢到的非管理員用戶。

5.3合理控制DML/DDL操作授權

DML/DDL語句包括創建或修改資料庫結構的許可權，例如insert、update、delete、create、drop和alter語句，在任何資料庫中都要控制用戶的此類許可權，確保只授權給有業務需求的非管理員用戶。Mysql命令行下執行如下命令：

SELECT User,Host,Db FROM mysql.db WHERE Select_priv=’Y’

OR Insert_priv=’Y’ OR Update_priv=’Y’ OR Delete_priv=’Y’ OR Create_priv=’Y’

OR Drop_priv=’Y’ OR Alter_priv=’Y’;

上述查詢到的用戶只能對特地的資料庫才有相關的許可權，使用如下命令進行相關許可權的回收：

REVOKE SELECT ON host.database FROM user;

REVOKE INSERT ON host.database FROM user;

REVOKE UPDATE ON host.database FROM user;

REVOKE DELETE ON host.database FROM user;

REVOKE CREATE ON host.database FROM user;

REVOKE DROP ON host.database FROM user;

REVOKE ALTER ON host.database FROM user;

其中user為查詢到的未授權的用戶，host為相關主機，database為相關資料庫。

6、審計和日誌

6.1開啟錯誤日誌審計功能

錯誤日誌包括資料庫運行和停止過程中的一系列活動信息，有助於分析資料庫運行過程中的一些異常活動，一般情況下需要開啟錯誤日誌記錄功能，使用如下命令查詢：

SHOW variables LIKE ‘log_error’;

確保返回結果為非空，如果為空，需要在mysql資料庫配置文件中增加相關配置。

6.2確保日誌存放在非系統區域

日誌文件隨著資料庫的運行會不斷增加，如果存放在系統區域，則會影響系統的正常運行，使用如下命令進行查詢：

SELECT @@global.log_bin_basename;

確保返回結果不是如下路徑：/、/var、/usr

6.3關閉原始日誌功能

原始日誌選項會決定一些敏感信息是否會被明文寫進日誌中，例如查詢日誌、慢查詢日誌、二進位日誌，確保資料庫配置文件中存在如下配置項：

Log-raw = OFF

7、認證

7.1 Old_passwords環境變數設置

Old_passwords決定了使用PASSWORD()函數和IDENTIFIED BY 、CREATE USER 、GRANT 等語句是時的hash演算法：

0 – authenticate with the mysql_native_password plugin

1 – authenticate with the mysql_old_password plugin

2 – authenticate with the sha256_password plugin

設置為mysql_old_password代表弱hash演算法，可以快速通過密碼字典進行暴力破解。使用如下命令查詢相關值：

SHOW VARIABLES WHERE Variable_name = ‘old_passwords’;

確保返回值不為1。

7.2 secure_auth 選項設置

如果客戶端採用Old_passwords發起連接請求，如果伺服器端設置了secure_auth，則客戶端會拒絕連接請求，可以根據安全需求在配置文件中做相應配置。

7.3 密碼保存

確保密碼沒有明文保存在全局配置文件中。

7.4 確保所有用戶都要求使用非空密碼登錄

執行如下語句查詢是否有用戶不需要密碼即可登錄：

SELECT User,host

FROM mysql.user

WHERE (plugin IN(‘mysql_native_password’, ‘mysql_old_password’)

AND (LENGTH(Password) = 0

OR Password IS NULL))

OR (plugin=’sha256_password’ AND LENGTH(authentication_string) = 0);

7.5不存在空賬號

使用如下命令查詢是否存在空賬號：

SELECT user,host FROM mysql.user WHERE user = ”;

8、網路設置

如果mysql資料庫伺服器與應用是跨信任域部署的，則需要考慮在資料庫伺服器與應用伺服器之間建立ssl通道進行數據傳輸，不過這種場景一般很少見，在此不詳細描述。

9、資料庫備份

如何提高mysql的安全性

一 作為最流行的開源資料庫引擎，MySQL本身是非常安全的。即便如此，你仍然需要添加額外的安全層來保護你的MySQL資料庫不受攻擊，畢竟任何經營網上

在線業務的人都不想冒資料庫受到損壞的風險。接下來，我們將介紹一些實用的辦法，你可以利用這些辦法來保護MySQL資料庫，以便加強網站的安全性。

二 保護操作系統

確保操作系統的安全是保護資料庫安全的前提，因為如果整個運行環境不安全，那麼網站上所有的東西都脆弱，很容易暴露於攻擊者。為了維護操作系統和MySQL伺服器，你可以使用以下方法：

2.1 主機資料庫伺服器和web伺服器分別在不同的物理機器上，如果可能，在一個單獨的伺服器上運行資料庫伺服器，以預防由其他應用程序或服務的漏洞造成的伺服器問題。

安裝殺毒軟體，防火牆以及所有推薦的補丁和更新，防火牆能有效地把流量過濾到MySQL伺服器。為了更好的提高安全性，你還可以實行入口封鎖。

禁用所有不必要的服務，而且這樣的服務越少越好。

2.2 保護所有帳戶和密碼

攻擊者侵入MySQL資料庫最常見的一種方法是竊取有安全隱患的賬戶信息。為了降低出現這種風險的可能性，你不妨試一試下面的方法：

2.2.1. 給所有MySQL賬戶設置密碼

客戶程序並不是每次都能識別用戶，因此，如果用戶知道資料庫名但是沒有這個用戶名的密碼，那他可以指定任何其他用戶名連接到MySQL資料庫。讓每個MySQL用戶名都設置密碼，這樣一來，要想利用匿名賬戶建立連接將會變得很困難。

2.2.2. 不要使用根用戶運行MySQL伺服器

在安裝MySQL的時候，默認情況下創建了一個命名為「root」的管理用戶。每個人都知道這一點，所以攻擊者通常試圖侵入這個「root」用戶來獲取訪問許可權。為了保障這個重要帳戶的安全，你需要給它重新命名，然後更改一個長並且複雜的密碼。

2.2.3你可以在MySQL控制台使用mysql RENAME USER root TO new_username;

指令給根用戶重命名，使用mysql SET PASSWORD FOR ‘username’@’%hostname’ =

PASSWORD(‘newpassword’);//這是很重要的一條命令

指令來修改密碼。

三. 減少管理員賬戶

管理員賬戶越多，風險越大，所以你應該保持儘可能最少的帳戶數量，只有為那些真正需要它的人創建賬戶。此外，記得要刪除未使用的和匿名的賬戶。如果你有很多管理員賬戶，那你需要定期檢查並清理那些不必要的賬戶。

四. 加強所有的密碼

除了管理員帳戶，你還需要加強所有其他用戶的密碼。你可以檢查所有的用戶名和密碼，必要的時候你還可以重置安全強度低的賬戶密碼。雖說這樣做會有點費時，但卻是有必要的。

五 限制資料庫許可權

每個用戶都應該被授予適當的許可權以便資料庫能夠正常運行，但這樣一來也加大了資料庫的安全隱患。就資料庫許可權而言，我們有以下幾點建議：

5.1. 不要授予非管理員用戶文件/高級/程序許可權

文件，高級和程序許可權都不應該被濫用。文件許可權讓用戶可以在文件系統中的任何一個地方編寫文件，而程序許可權讓用戶在任何時候都能夠查看伺服器活動，終止客戶端連接甚至更改伺服器操作。為了你的資料庫安全，這些許可權只能授予給管理員賬戶。

5.2. 限制或禁用顯示資料庫許可權

顯示資料庫特權可以用於收集資料庫信息，所以攻擊者通常利用它來竊取數據並準備進一步攻擊。你應該把這個許可權授予那些真正需要的人，或者直接禁用這個權

限，你只需要把skip-show-database添加到MySQL資料庫中的/etc/my.cnf配置文件中。對於Windows操作系統來說，則

需要添加到my.ini文件中。

5.3. 限制管理員和所有其他用戶的許可權

即使是管理員，也不要在同一賬戶中授予所有許可權。因此我們建議你最好降低管理員賬戶訪問數據的許可權。至於其他的用戶，你最好檢查所有他們擁有的許可權，以確保一切都是合適的。

六 刪除風險組件

MySQL資料庫的默認配置有一些不必要的組件，你可以考慮以下建議：

6.1. 禁用LOAD DATA LOCAL INFILE指令

這個命令允許用戶讀取本地文件甚至訪問其他操作系統上的文件，這可能幫助攻擊者收集重要的信息並利用應用程序的漏洞侵入你的資料庫。你需要做的是把set-variable=local-infile=0插入到MySQL資料庫的my.cnf文件中，來禁用這個指令。

6.2. 刪除測試資料庫

有一個默認的「測試」資料庫用於測試目的。由於這個資料庫有安全風險，匿名用戶也可以訪問，你應該使用mysql DROP database test;指令儘快把它清除掉。

6.3. 刪除歷史文件

MySQL伺服器有一個歷史文件，它可以幫助你在安裝出錯的時候找到問題所在。歷史文件包含敏感信息，比如說密碼，如果這些信息被攻擊者獲得，那麼將會給

你的資料庫帶來巨大的安全隱患。在安裝成功後，歷史文件並沒有什麼用，因此你可以使用cat /dev/null

~/.mysql_history指令來刪除文件當中的內容。

七 限制遠程訪問MySQL伺服器

對於大多數用戶來說，不需要通過不安全的開放網路來訪問MySQL伺服器。你可以通過配置防火牆或硬體，或者迫使MySQL只聽從localhost來限制主機。此外，需要SSH隧道才能進行遠程訪問。

八 如果你想僅僅從本地主機來限制用戶建立連接，你需要在在配置文件中添加bind-address=127.0.0.1。

8.1利用日誌記錄

啟用日誌記錄讓你可以檢測伺服器上的活動，這樣你就可以分析失敗的登錄嘗試和敏感文件的訪問記錄，以便了解是否存在向你的伺服器和資料庫發起的惡意活動。

你只需要把log =/var/log/mylogfile指令添加到MySQL配置文件中，就可以手動啟用日誌記錄功能。

8.2至於日誌記錄，需要注意以下兩點：

8.2.1日誌記錄僅適用於查詢數量有限的資料庫伺服器。對於信息量大的伺服器，這可能會導致高過載。

8.2.2由於「hostname.err」文件包含敏感數據表名和密碼，只有「root」和「mysql」才有訪問和記錄這個文件的許可權。