譯者 | 晶顏

審校 | 重樓

MySQL以其可靠性和效率在各種可用的數據庫系統中脫穎而出。然而，與任何保存有價值數據的技術一樣，MySQL數據庫也是網絡罪犯有利可圖的目標。

這使得MySQL的安全性不再僅是一種選擇，而是一種必要。這份全面的指南將深入研究保護MySQL數據庫的最佳實踐。

從初始設置到高級配置，我們將介紹有效保護數據的所有必要步驟。無論您是數據庫管理員還是開發人員，本指南都將是您了解MySQL安全性的路線圖。

第一部分：初始安全措施

保護MySQL數據庫的第一道防線始于初始設置。在這個階段采取正確的步驟可以防止大量的安全問題。在本節中，我們將關注三個關鍵領域：MySQL安全安裝、限制遠程登錄以及用戶和特權管理。

MySQL安全安裝

mysql_secure_installation命令是一個簡單但功能強大的工具，可以幫助您確保MySQL安裝的安全性。執行該命令可以實現如下操作：

• 設置根（Root）密碼：設置一個強大的根密碼以防止未經授權的訪問是至關重要的。
• 禁止遠程Root登錄：Root用戶只能在本地訪問數據庫，降低了遭遇勒索軟件攻擊的風險。
• 刪除匿名用戶：匿名用戶可能會造成重大的安全風險，這個步驟可以確保將其刪除。
• 刪除測試數據庫：默認情況下會創建一個測試數據庫，這可能是一個潛在的安全漏洞，建議刪除。

限制遠程登錄

遠程登錄可能很方便，但也可能使數據庫暴露于風險之中。您可以遵循下述操作以緩解此類風險：

• 配置Bind-Address參數：通過將該參數設置為127.0.0.1，可以限制對本地計算機的數據庫訪問。
• 禁用Skip-Networking：這確保MySQL監聽傳入的TCP/IP連接，使其更安全。

用戶和特權管理

適當的用戶和特權管理可以在保護MySQL數據庫方面發揮很大作用。下述方法可以幫助實現這一點：

• 創建特定于應用程序的數據庫用戶：與其為每個應用程序使用Root用戶，不如只創建具有必要權限的特定用戶。
• 避免不必要的權限授予：不要分配不必要的權限。根據用戶的角色限制用戶權限的范圍。
• 撤銷不必要的權限：定期檢查和撤銷不再需要的全局、數據庫和表級（table-level）權限。

通過采取這些初始安全措施，能夠為安全的MySQL數據庫奠定堅實的基礎，同時為更高級的安全配置奠定基礎。

第二部分：高級安全配置

一旦為初始安全措施奠定了基礎，就可以深入研究更高級的配置了。這些步驟將進一步加強MySQL數據庫抵御復雜攻擊和漏洞的能力。在本節中，我們將介紹以下關鍵配置：更改MySQL默認端口，啟用日志記錄，文件和目錄權限，禁用危險功能和特性，避免在帳戶名中使用通配符以及密碼策略。

更改MySQL默認端口

默認的MySQL端口是3306，更改它將通過混淆增加一層額外的安全性。

• 更改方式：您可以通過編輯my.cnf或my.ini文件，然后重新啟動MySQL服務來更改端口。
• 更改原因：攻擊者通常針對默認端口，因此更改它會降低自動攻擊的效率。

啟用日志記錄

日志對于審計和識別可疑活動是無價的。

• 啟用MySQL日志：您可以啟用不同類型的日志，如錯誤日志、常規查詢日志和慢速查詢日志。
• 設置適當的權限：確保只有經過授權的用戶才能訪問這些日志文件，以保持其完整性。

文件和目錄權限

不適當的文件和目錄權限會使數據庫暴露于各種風險中。

• 設置適當的權限：使用Linux文件權限來限制MySQL文件和目錄的讀、寫、執行權限。

禁用危險功能和特性

一些MySQL特性可以被惡意活動利用。

• 禁用LOCAL INFILE：這可以防止攻擊者從服務器的文件系統加載文件。
• 禁用特定功能：可以禁用load_file、outfile、dumpfile等功能，以防止非法操作文件。

避免帳戶名中的通配符

在帳戶名中使用通配符（wildcard）可能存在風險。

• 風險：像%這樣的通配符可以允許用戶從任何主機連接，使您的數據庫更容易受到攻擊。
• 正確定義主機名：使用特定的主機名或IP地址來限制用戶可以從哪里連接。

密碼策略

強大的密碼策略對于保護數據庫至關重要。

• 定期修改密碼：鼓勵或強制定期修改密碼。
• 使用MySQL的密碼驗證插件：這些插件可以強制執行密碼復雜度要求，使攻擊者難以猜測密碼。

通過實現這些高級安全配置，不僅可以增強MySQL數據庫應對常見漏洞的能力，還可以為不可預見的安全挑戰做好準備。

第三部分：額外的安全層

在設置了初始配置和高級配置之后，下一步是向MySQL數據庫添加額外的安全層。這些額外的措施進一步加強了數據庫的安全性，以防止復雜的攻擊，并確保數據在各種威脅場景下保持安全。在本節中，我們將探討數據加密，使用安全插件和庫，以及定期更新的重要性。

數據加密

數據加密是數據庫安全的一個關鍵方面，可以確保未經授權的用戶無法讀取您的數據。

• 傳輸中的加密：使用SSL/TLS協議加密在MySQL服務器和客戶端之間移動的數據。
• 靜態加密：這涉及到對實際的數據庫文件和備份進行加密，使攻擊者即使獲得對文件系統的訪問權也難以讀取它們。

使用安全插件和庫

您可以使用各種各樣的插件和庫來增強MySQL的安全性。

• 可用安全插件概述：一些流行的選項包括MySQL企業防火墻、MySQL企業審計和開源插件，如GreenSQL。這些插件提供了SQL注入保護、實時監控等功能。

定期更新

使MySQL數據庫保持最新是提高安全性的一種簡單且有效的方法。

• 保持MySQL最新的重要性：新的更新通常包括已知漏洞的安全補丁，因此定期更新至關重要。
• MySQL軟件包更新方式：使用軟件包管理器，如Ubuntu的apt或CentOS的yum來更新MySQL。在執行更新之前始終備份數據庫，以避免數據丟失。

通過合并這些額外的安全層，您將采用一種全面的方法來實現MySQL安全性。這可確保數據的完整性和機密性，并為數據庫應對不斷變化的安全威脅做好準備。

第四部分：監控和維護

持續監控和維護是實現MySQL數據庫安全性的最后一塊拼圖。即使采用了最嚴格的安全措施，持續的警惕對于識別和緩解新的威脅仍是必不可少的。在這一部分中，我們將討論監視工具和實踐以及備份和恢復的重要性。

監控工具和實踐

持續監控對于維護MySQL數據庫的安全性至關重要。

• 監控MySQL安全性的工具：可用的工具有很多，如MySQL企業監控，Percona監控和管理，以及開源選項，如Zabbix。這些工具可以提醒您注意可疑活動、性能問題和其他與安全相關的事件。

備份和恢復

擁有強大的備份和恢復策略對于任何數據庫系統都是至關重要的。

• 安全備份和恢復的最佳實踐：始終對備份進行加密并將其存儲在安全位置。使用mysqldump等工具進行邏輯備份，或者使用Percona xtraback3等第三方解決方案進行物理備份。定期測試您的恢復程序，確保它們是有效和可靠的。

通過實現持續且強大的監控和維護方案，您可以確保MySQL數據庫長期保持安全。這可以保護您的數據，并讓您安心地為可能出現的任何安全挑戰做好準備。

結語

在這份全面的安全指南中，我們探討了多層的MySQL安全策略，范圍涵蓋安全安裝和用戶管理等初始措施，以及涉及數據加密和端口更改的高級配置。我們還深入研究了其他安全層以及持續監控和維護的重要性。安全性不是一次性設置，而是一個持續的過程。在此過程中，定期更新、持續監控以及定期的用戶權限和配置檢查都是必不可少的。

通過實現這些最佳實踐，您可以保護MySQL數據庫并加強與之交互的整個生態系統。記住，“驕兵必敗”，在網絡安全領域亦是如此。保持警惕，保持更新，MySQL數據庫將成為抵御安全威脅的堡壘。

原文標題：MySQL Security Best Practices Guide – 2024