一个专业运维
技术分享网站!

MySQL 服务安全加固

漏洞发现

您可以使用购买安全产品自动检测您的服务器上是否存在 MySQL 漏洞问题,或者您也可以自己排查您服务器上的 MySQL 服务是否存在安全问题。

安全加固

帐号安全

禁止 Mysql 以管理员帐号权限运行

以普通帐户安全运行 mysqld,禁止以管理员帐号权限运行 MySQL 服务。在 /etc/my.cnf 配置文件中进行以下设置。

[mysql.server]
user=mysql
  1. 避免不同用户间共享帐号
  2. 参考以下步骤。
  3. 创建用户。
mysql> mysql> insert into mysql.user(Host,User,Password,ssl_cipher,x509_issuer,x509_sub  ject) values("localhost","pppadmin",password("passwd"),'','','');
  1. 执行以上命令可以创建一个 phplamp 用户。
  2. 使用该用户登录 MySQL 服务。
mysql>exit;  @>mysql -u phplamp -p  @>输入密码  mysql>登录成功
  1. 删除无关帐号
  2. DROP USER 语句可用于删除一个或多个 MySQL 账户。使用 DROP USER 命令时,必须确保当前账号拥有 MySQL 数据库的全局 CREATE USER 权限或 DELETE 权限。账户名称的用户和主机部分分别与用户表记录的 User 和 Host 列值相对应。
  3. 执行DROP USER user;语句,您可以取消一个账户和其权限,并删除来自所有授权表的帐户权限记录。
  4. 口令
  5. 检查账户默认密码和弱密码。口令长度需要至少八位,并包括数字、小写字母、大写字母和特殊符号四类中的至少两种类型,且五次以内不得设置相同的口令。密码应至少每 90 天进行一次更换。

您可以通过执行以下命令修改密码。

 mysql> update user set password=password('test!p3') where user='root';  mysql> flush privileges;
  1. 授权
  2. 在数据库权限配置能力范围内,根据用户的业务需要,配置其所需的最小权限。
  3. 查看数据库授权情况。
mysql> use mysql; mysql> select * from user; mysql>select * from db; mysql>select * from host; mysql>select * from tables_priv; mysql>select * from columns_priv;
  1. 通过 revoke 命令回收不必要的或危险的授权。
mysql> help revoke Name: 'REVOKE' Description: Syntax: REVOKE priv_type [(column_list)]    [, priv_type [(column_list)]] ...  ON [object_type]      {          *        | *.*        | db_name.*        | db_name.tbl_name        | tbl_name        | db_name.routine_name       }  FROM user [, user] ...

         开启日志审计功能

  1. 数据库应配置日志功能,便于记录运行状况和操作行为。
  2. MySQL服务有以下几种日志类型:
  3. 错误日志: -log-err
  4. 查询日志: -log (可选)
  5. 慢查询日志: -log-slow-queries (可选)
  6. 更新日志: -log-update
  7. 二进制日志: -log-bin
  8. 找到 MySQL 的安装目录,在 my.ini 配置文件中增加上述所需的日志类型参数,保存配置文件后,重启 MySQL 服务即可启用日志功能。例如,
#Enter a name for the binary log. Otherwise a default name will be used.  #log-bin=  #Enter a name for the query log file. Otherwise a default name will be used.  #log=  #Enter a name for the error log file. Otherwise a default name will be used.  log-error=  #Enter a name for the update log file. Otherwise a default name will be used.  #log-update=
  1. 该参数中启用错误日志。如果您需要启用其他的日志,只需把对应参数前面的 “#” 删除即可。
  2. 日志查询操作说明
  3. 执行show variables like 'log_%';命令可查看所有的 log。
  4. 执行show variables like 'log_bin';命令可查看具体的 log。
  5. 安装最新补丁
  6. 确保系统安装了最新的安全补丁。
  7. 注意: 在保证业务及网络安全的前提下,并经过兼容性测试后,安装更新补丁。
  8. 如果不需要,应禁止远程访问
  9. 禁止网络连接,防止猜解密码攻击、溢出攻击、和嗅探攻击。
  10. 注意: 仅限于应用和数据库在同一台主机的情况。
  11. 如果数据库不需要远程访问,可以禁止远程 TCP/IP 连接,通过在 MySQL 服务器的启动参数中添加--skip-networking参数使 MySQL 服务不监听任何 TCP/IP 连接,增加安全性。
  12. 您可以使用 安全组 进行内外网访问控制,建议不要将数据库高危服务对互联网开放。
  13. 设置可信 IP 访问控制
  14. 通过数据库所在操作系统的防火墙限制,实现只有信任的 IP 才能通过监听器访问数据库。
 mysql> GRANT ALL PRIVILEGES ON db.*  ·-> -> TO 用户名@'IP子网/掩码';
  1. 连接数设置
  2. 根据您的机器性能和业务需求,设置最大、最小连接数。
  3. 在 MySQL 配置文件(my.conf 或 my.ini)的 [mysqld] 配置段中添加max_connections = 1000,保存配置文件,重启 MySQL 服务后即可生效。
历史上的今天
November
18
    哇哦~~~,历史上的今天没发表过文章哦
赞(6) 打赏
本站资源仅供个人学习交流,请于下载后24小时内删除,不允许用于商业用途,否则法律问题自行承担。小柳实验室 » MySQL 服务安全加固

评论 抢沙发

评论前必须登录!

 

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏