摘要：MySQL數(shù)據(jù)庫是當(dāng)前最流行的關(guān)系型數(shù)據(jù)庫系統(tǒng)，被廣泛應(yīng)用到各企業(yè)中小型網(wǎng)站中。當(dāng)前，日益增長的網(wǎng)絡(luò)攻擊已嚴(yán)重威脅到了數(shù)據(jù)庫安全，提高數(shù)據(jù)庫的安全性已成為網(wǎng)絡(luò)安全建設(shè)的最重要任務(wù)之一。該文從物理安全、網(wǎng)絡(luò)安全、主機安全、運行安全等四個方面對MySQL數(shù)據(jù)庫面臨的問題進行了詳細(xì)分析與研究，并針對性地提出了相應(yīng)解決方案。

關(guān)鍵詞：MySQL數(shù)據(jù)庫;物理安全;網(wǎng)絡(luò)安全;主機安全;運行安全

中國分類號：TP309.2 文獻(xiàn)標(biāo)識碼：A

文章編號：1009-3044（2020）09-0003-02

1 引言

MySQL是一個輕量級關(guān)系型數(shù)據(jù)庫管理系統(tǒng)，由瑞典MySQL AB公司開發(fā)，目前屬于Oracle公司。MySQL由于其開源、免費，維護簡單，使用成本低等特點被越來越多地應(yīng)用到web類服務(wù)器中。作為web應(yīng)用核心組成部分，MySQL數(shù)據(jù)庫的安全直接關(guān)系到整個應(yīng)用系統(tǒng)的安全，企業(yè)必須投入更多精力關(guān)注數(shù)據(jù)庫面臨的安全威脅，并制定相應(yīng)解決方案。

2 數(shù)據(jù)庫安全加固

2.1 物理安全保證數(shù)據(jù)庫安全，首先要保證數(shù)據(jù)庫服務(wù)器設(shè)備安全。數(shù)據(jù)庫服務(wù)器硬件的可靠性直接決定了整個數(shù)據(jù)庫系統(tǒng)的可靠性。因服務(wù)器磁盤數(shù)量較多，為了提高其可靠性通常不會直接采用直通模式，而是通過raid控制器將物理卷組合成一個或多個邏輯卷，不同的raid級別帶來完全不一樣的性能，常見的組合方式及性能如表1所示。

數(shù)據(jù)庫管理員應(yīng)在對成本、性能、可靠性進行綜合考慮后選擇最為合適生產(chǎn)環(huán)境的raid方案。

2.2 網(wǎng)絡(luò)安全

為充分保障數(shù)據(jù)庫服務(wù)器所在網(wǎng)絡(luò)的安全，企業(yè)內(nèi)網(wǎng)中應(yīng)配備以下幾種設(shè)備：

a）安全設(shè)備

主要包括IDS、IPS、防病毒網(wǎng)關(guān)等;

b）邊界網(wǎng)絡(luò)設(shè)備

主要包括路由器、防火墻、認(rèn)證網(wǎng)關(guān)和準(zhǔn)入控制設(shè)備等;

c）其他網(wǎng)絡(luò)設(shè)備

主要包括接人交換機、匯聚交換機、核心交換機、負(fù)載均衡等。

網(wǎng)絡(luò)層的訪問控制主要由防火墻來實現(xiàn)，管理員可以通過防火墻設(shè)備對訪問數(shù)據(jù)庫服務(wù)器的源地址和端口進行控制，應(yīng)當(dāng)只允許相關(guān)用戶IP地址訪問該數(shù)據(jù)庫服務(wù)器，訪問端口控制到3306，并對該條策略啟用防火墻日志記錄功能。訪問控制策略的設(shè)置應(yīng)遵循權(quán)限最小化原則。

2.3 主機安全

2.3.1 系統(tǒng)安全

為了提高數(shù)據(jù)庫的可靠性，必須提高操作系統(tǒng)的可靠性。如果使用linux作為數(shù)據(jù)庫服務(wù)器操作系統(tǒng)，則應(yīng)在安裝數(shù)據(jù)庫服務(wù)器操作系統(tǒng)過程中啟用lvm管理，lvm提供了邏輯卷快照功能，它允許管理員創(chuàng)建一個新的塊設(shè)備來呈現(xiàn)一個邏輯卷的精確副本，在某個時間凍結(jié)，管理員可以及時備份指定一致狀態(tài)下的數(shù)據(jù)，當(dāng)需要恢復(fù)刪除的數(shù)據(jù)時可以通過掛在快照卷迅速恢復(fù)。

2.3.2 身份鑒別

缺省安裝的MySQL的root用戶是空密碼的，必須修改默認(rèn)的密碼策略。

可以使用以下命令查看MySQL當(dāng)前密碼策略：

show variables like' validate_password%;

為提高數(shù)據(jù)庫安全性，我們必須將其設(shè)置為強密碼策略：口令長度需要至少八位，并包括數(shù)字、字母和特殊符號四類中，且五次以內(nèi)不得設(shè)置相同的口令。密碼應(yīng)至少每90天進行一次更換。可以通過修改以下幾個參數(shù)實現(xiàn)：

validate_password_length：密碼最少長度

validate_password_mixed_c ase_count：大小寫字符長度，至少1個

validate_password_number_count：數(shù)字至少1個

validate_password_special_char_count：特殊字符至少1個

default_password_lifetime：密碼過期時間

2.3.3 訪問控制

訪問控制是安全防護的主要手段之一，它不僅應(yīng)用于網(wǎng)絡(luò)層面，同樣適用于主機層面，它的主要目的是限制特定用戶對特定資源的訪問，防止對系統(tǒng)資源的非法訪問和使用。數(shù)據(jù)庫系統(tǒng)訪問控制主要分為以下幾點：

a）操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理員權(quán)限分離

數(shù)據(jù)庫服務(wù)器操作系統(tǒng)管理員和數(shù)據(jù)庫管理員不得兼任;

b）禁止MySQL以管理員賬戶運行

以普通賬戶安全運行MySQL服務(wù)，禁止以管理員賬號權(quán)限運行MySQL服務(wù)。在/etc/my.cnf'配置文件中進行以下設(shè)置。

[mysqld]

user=mysql

c）刪除MySQL數(shù)據(jù)庫多余賬戶

DROP USER語句可用于刪除一個或多個MySQL賬戶。使用DROP USER命令時，必須確保當(dāng)前賬號擁有MySQL數(shù)據(jù)庫的全局CREATE USER權(quán)限或DELETE權(quán)限。賬戶名稱的用戶和主機部分分別與用戶表記錄的User和Host列值相對應(yīng)。

執(zhí)行DROP USER user;語句，您可以取消一個賬戶和其權(quán)限，并刪除來自所有授權(quán)表的賬戶權(quán)限記錄。

d）刪除默認(rèn)數(shù)據(jù)庫

MySQL初始化后會自動生成test庫以進行安裝的測試，這會對數(shù)據(jù)庫的安全構(gòu)成威脅，有必要予以刪除，只保留必需的系統(tǒng)數(shù)據(jù)庫即可，以后可以根據(jù)需要增加數(shù)據(jù)庫。

2.3.4 安全審計

安全審計主要是通過系統(tǒng)日志功能實現(xiàn)。

數(shù)據(jù)庫應(yīng)配置并開啟日志功能，便于記錄運行狀況和操作行為。MySQL服務(wù)有以下幾種日志類型：

錯誤日志：-log-err

查詢?nèi)罩荆?log（可選）

慢查詢?nèi)罩荆?log-slow-queries（可選）

更新日志：-log-update

二進制日志：-log-bin

找到MySQL的安裝目錄，在my.1m配置文件中增加上述所需的日志類型參數(shù)，保存配置文件后，重啟MySQL服務(wù)即可啟用日志功能。

2.4 運行安全

2.4.1 系統(tǒng)漏洞分析

在企業(yè)內(nèi)部網(wǎng)絡(luò)環(huán)境中，可以配備數(shù)據(jù)庫漏洞掃描系統(tǒng)，綜合分析數(shù)據(jù)庫訪問控制、數(shù)據(jù)庫審計、資源管理、數(shù)據(jù)庫加密以及數(shù)據(jù)庫系統(tǒng)本身安全機制。漏洞掃描系統(tǒng)可以讀取數(shù)據(jù)庫的信息與安全策略并進行綜合分析，在查出數(shù)據(jù)庫中存在的漏洞后自動給出詳細(xì)的漏洞描述、漏洞來源及修復(fù)建議、并提供完整的數(shù)據(jù)庫漏洞報告、數(shù)據(jù)庫安全評估報告。數(shù)據(jù)庫管理員應(yīng)據(jù)此報告及時下載相應(yīng)補丁對數(shù)據(jù)庫進行漏洞修復(fù)，沒有補丁的應(yīng)及時修改安全策略，最大限度地保護數(shù)據(jù)庫的安全。

2.4.2 備份與恢復(fù)

MySQL數(shù)據(jù)庫作為應(yīng)用系統(tǒng)的核心促成部分，為其制定一個合適的、可操作的備份和恢復(fù)計劃至關(guān)重要。

數(shù)據(jù)庫備份可以分為物理備份和邏輯備份兩類。

物理備份是在操作系統(tǒng)層面上對數(shù)據(jù)庫的數(shù)據(jù)文件進行備份，物理備份分為冷備份和熱備份兩種。冷備份是將數(shù)據(jù)庫正常關(guān)閉，在停止?fàn)顟B(tài)下將數(shù)據(jù)庫的文件全部備份下來。熱備份分為兩種方式，一種是不關(guān)閉數(shù)據(jù)庫，將數(shù)據(jù)庫中需要備份的數(shù)據(jù)文件依次置于備份狀態(tài)，相對保持靜止，然后再將數(shù)據(jù)庫的文件備份下來，備份完畢后再將數(shù)據(jù)文件恢復(fù)為正常狀態(tài);另一種方式是利用備份軟件（如IBM公司的TSM）在數(shù)據(jù)庫正常運行的狀態(tài)下，將數(shù)據(jù)庫中的數(shù)據(jù)文件備份出來。

為了提高物理備份的效率，通常將完全、差異、增量三種備份方式相組合。完全備份是將數(shù)據(jù)庫的內(nèi)容全部備份，作為增量、累積的基礎(chǔ);差異備份是只備份上次完全備份以來修改的數(shù)據(jù);增量備份是備份自上次備份以來修改過的數(shù)據(jù)。一個備份周期通常由一個完全備份和多個增量、差異備份組成。

邏輯備份是指利用數(shù)據(jù)庫系統(tǒng)自帶的工具軟件備份和恢復(fù)數(shù)據(jù)庫的內(nèi)容。MySQL數(shù)據(jù)庫可以使用以下命令進行邏輯備份：

mysqldump AE> /dbbackuphuysqldump.、date +%u'

在數(shù)據(jù)庫容量不大的情況下可以選擇邏輯備份，針對大型數(shù)據(jù)庫則可結(jié)合磁帶庫采用物理的完全、增量、累積三種備份方式相組合來進行備份。

2.4.3 MySQL復(fù)制

復(fù)制是備份的一項技術(shù)補充，但復(fù)制既不是備份也不能夠取代備份。它夠幫助應(yīng)用程序避免MySQL單點失敗，一個包含復(fù)制的設(shè)計良好的故障切換系統(tǒng)能夠顯著地縮短宕機時間。

MySQL復(fù)制有三個步驟：

a）在主庫上把數(shù)據(jù)更改記錄到二進制文件（Binarylog）中;

b）備庫將主庫上的日志文件復(fù)制到自己的中繼日志（ Re-lay log）;

c）備庫讀取中繼日志中的事件，將其重放到備庫數(shù)據(jù)上。

復(fù)制細(xì)節(jié)如下圖所示：

重要業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫應(yīng)啟用MySQL復(fù)制功能，增加系統(tǒng)整體可靠性。

3 結(jié)束語

本文從物理安全、網(wǎng)絡(luò)安全、主機安全和運行安全等四個方面詳細(xì)分析了MySQL數(shù)據(jù)庫面臨的安全問題及相應(yīng)加固措施。在實際生產(chǎn)環(huán)境中，企業(yè)應(yīng)結(jié)合自身業(yè)務(wù)工作，制定出切實可行的數(shù)據(jù)庫系統(tǒng)安全保密工作方案，保障數(shù)據(jù)庫及應(yīng)用系統(tǒng)安全。

參考文獻(xiàn)：

[1]HarmeetKaurKhanuja. Database Securitv Threats and Challeng-es in Database Forensic：A Survey[A]. The proceedings of 2011International Conference on Advancements in InformationTechnology。2011：6.

[2]馮娜，韓淑芹.計算機網(wǎng)絡(luò)數(shù)據(jù)庫的安全管理技術(shù)研討[J].通訊世界，2017（3）：112.

[3]宣振國.基于Mysql的數(shù)據(jù)庫集群設(shè)計與實現(xiàn)[D].北京：北京郵電大學(xué)，2013.

[4]程文迪.計算機網(wǎng)絡(luò)安全技術(shù)探析[J].技術(shù)與市場，2016，23 （4）：119.

[5]嚴(yán)磊.高校教務(wù)管理系統(tǒng)中的數(shù)據(jù)庫安全問題與策略研究[Jl.信息技術(shù)與信息化，2016 （8）：76-78.

【通聯(lián)編輯：王力】

作者簡介：蔣睿，工程師。