[[354756]]

本文轉(zhuǎn)載自微信公眾號(hào)「三太子敖丙」，作者三太子敖丙。轉(zhuǎn)載本文請(qǐng)聯(lián)系三太子敖丙公眾號(hào)。

MySQL這么多章節(jié)了，前前后后20多篇了，我看了下自己本地的目錄，已經(jīng)可以說(shuō)是很全了，但是有一點(diǎn)我發(fā)現(xiàn)很關(guān)鍵但是我還沒(méi)提過(guò)，那就是安全。

安全對(duì)任何一個(gè)系統(tǒng)都至關(guān)重要，只有在保證安全的前提下，才能追求穩(wěn)定性和高性能。

對(duì)于一個(gè)企業(yè)來(lái)說(shuō)，數(shù)據(jù)就是企業(yè)的財(cái)富，之前我們也看到過(guò)微盟刪庫(kù)以及順豐刪庫(kù)導(dǎo)致服務(wù)長(zhǎng)時(shí)間不可用的慘案，那么如何保證數(shù)據(jù)的安全變得尤為重要，這期就聊聊跟MySQL安全相關(guān)的那些事，希望對(duì)大家有所幫助咯。

MySQL服務(wù)器安全

對(duì)于自建機(jī)房的MySQL服務(wù)器安裝都會(huì)經(jīng)歷網(wǎng)絡(luò)配置，存儲(chǔ)規(guī)劃，安裝服務(wù)器以，安裝MySQL。

 

存儲(chǔ)安全

自建MySQL服務(wù)器

對(duì)于自建MySQL服務(wù)器來(lái)說(shuō)，為了磁盤不出現(xiàn)單點(diǎn)故障，一般都會(huì)使用RAID磁盤冗余陣列的方式。

有兩種模式：硬件RAID和軟件RAID，硬件RAID需要購(gòu)買RAID卡支撐，軟件RAID通過(guò)軟件包mdadm生成即可，生產(chǎn)環(huán)境建議選擇硬件RAID，一般需要對(duì)多塊盤先做RAID，對(duì)于數(shù)據(jù)庫(kù)服務(wù)器來(lái)說(shuō)，通常選擇RAID10(也稱為RAID 1 + 0，先進(jìn)行鏡像RAID1，再進(jìn)行條帶化RAID0存儲(chǔ))，讀寫性能都比較好。

 

在實(shí)際的生產(chǎn)環(huán)境，一般都會(huì)有8塊盤，每塊盤800G，在服務(wù)器啟動(dòng)的時(shí)候，先做磁盤RAID劃分，通常劃分兩個(gè)卷組(volume group)，一個(gè)是操作系統(tǒng)內(nèi)置目錄使用rootvg，一個(gè)就是MySQL的數(shù)據(jù)相關(guān)的卷組datavg，LVM操作主要的步驟如圖：

 

通過(guò)以上的存儲(chǔ)劃分及配置RAID10，MySQL產(chǎn)生的數(shù)據(jù)都會(huì)寫到/data目錄下，同步到邏輯卷lvdata中，進(jìn)而同步到物理卷中，最終同步到物理磁盤中鏡像存儲(chǔ)，有效避免了單盤損壞導(dǎo)致的數(shù)據(jù)不可用。

公有云RDS

對(duì)于RDS來(lái)說(shuō)，線上環(huán)境一般都選擇高可用版，即一主一從模式，默認(rèn)情況下Slave只做failover(故障切換)，主要是由于Master和Slave服務(wù)器的磁盤沒(méi)有做RAID。

 

網(wǎng)絡(luò)安全

• 設(shè)置白名單

對(duì)于自建機(jī)房，一般都會(huì)使用硬件防火墻來(lái)做網(wǎng)絡(luò)隔離以及IP白名單限制，只允許指定的應(yīng)用服務(wù)器通過(guò)3306端口連接MySQL Server，其他的惡意請(qǐng)求應(yīng)該在防火墻層面進(jìn)行攔截，例如RDS控制臺(tái)的數(shù)據(jù)安全可以添加指定IP。

 

• 外網(wǎng)訪問(wèn)

數(shù)據(jù)庫(kù)服務(wù)器只需要內(nèi)網(wǎng)訪問(wèn)，禁止開(kāi)通外網(wǎng)地址或者公網(wǎng)地址。

 

操作系統(tǒng)安全

安裝完操作系統(tǒng)(例如CentOS 7.4)后，要進(jìn)行安全漏洞掃描及定期巡檢，主要有以下幾個(gè)方面需要注意：

root啟動(dòng)MySQL

MySQL Server安裝完之后，如果用root啟動(dòng)MySQL，則任何具有FILE系統(tǒng)權(quán)限的用戶都可以讀寫root用戶下的文件，會(huì)造成嚴(yán)重的安全隱患，應(yīng)該將軟件目錄屬主設(shè)置成root用戶，數(shù)據(jù)目錄屬主設(shè)置成mysql用戶，使用mysql用戶啟動(dòng)MySQL實(shí)例。

賬號(hào)弱密碼

Linux服務(wù)器的所有賬號(hào)密碼不能是弱密碼(例如密碼是純數(shù)字，純字母，賬號(hào)的一部分等，長(zhǎng)度太短)，建議所有的賬號(hào)都設(shè)置20位長(zhǎng)度，包括數(shù)字，大寫字母，小寫字母以及特殊字符。

 

對(duì)外開(kāi)放端口

對(duì)于MySQL數(shù)據(jù)庫(kù)服務(wù)器，除了3306端口開(kāi)發(fā)給指定的應(yīng)用服務(wù)器訪問(wèn)外，其他的端口都應(yīng)該禁用掉，例如ssh， ftp， telent服務(wù)端口。

服務(wù)漏洞

在用綠盟或者其他工具進(jìn)行安全掃描時(shí)，都會(huì)發(fā)現(xiàn)一些系統(tǒng)漏洞，常見(jiàn)的有ntp漏洞，vsftpd的漏洞等。這時(shí)就需要停機(jī)去打patch修復(fù)，再次進(jìn)行掃描，直到全部通過(guò)才能安裝MySQL。

密碼登錄

對(duì)于生產(chǎn)服務(wù)器，嚴(yán)禁本地通過(guò)密碼直接登錄，建議采用跳板機(jī) jumpserver 的方式，每個(gè)用戶都用自己 jumpserver 賬號(hào)去登錄，然后選擇自己要訪問(wèn)的服務(wù)器(需要提前告知管理員添加)，默認(rèn)的登錄用戶(例如 server 用戶)只有只讀權(quán)限，不能做任何修改操作。

 

審計(jì)功能

用戶通過(guò) jumpserver 登錄到生產(chǎn)服務(wù)器的所有操作都應(yīng)該被審計(jì)和錄屏，并且定時(shí)回放這些操作，確認(rèn)每一步都是最優(yōu)的，沒(méi)有不必要的多操作。

操作命令歷史

用戶登錄到 Linux 服務(wù)器上的所有操作命令都會(huì)記錄到 history 中，將 history 設(shè)置大一點(diǎn)，保存更多的操作命令記錄。

 

資源限制

通過(guò)配置/etc/security/limits.conf文件限制用戶資源使用，例如打開(kāi)進(jìn)程數(shù)，文件數(shù)，文件大小及內(nèi)存等。

 

服務(wù)器備份

定期的對(duì)服務(wù)器進(jìn)行備份，備份內(nèi)容主要包括 Linux 內(nèi)置目錄(/usr /var /lib)和MySQL數(shù)據(jù)目錄(數(shù)據(jù)文件，binlog，undolog， redolog)，同時(shí)要定期檢查備份的有效性以及恢復(fù)演練，以下是阿里云 ECS 的快照，建議每天一個(gè)快照，保留7天。

 

MySQL數(shù)據(jù)庫(kù)安全

賬號(hào)安全

 

賬號(hào)密碼

建議所有的賬號(hào)都設(shè)置20位長(zhǎng)度，包括數(shù)字，大寫字母，小寫字母以及特殊字符，如^N9UxOR&ydQWCBvIwqql

賬號(hào)分離

對(duì)于分布式系統(tǒng)來(lái)說(shuō)，會(huì)有多個(gè)服務(wù)，且服務(wù)之間存在調(diào)用關(guān)系，比如交易 trade-service 會(huì)調(diào)用支付 payment-service。

為了安全起見(jiàn)，給每個(gè)服務(wù)創(chuàng)建一個(gè)數(shù)據(jù)庫(kù)，同時(shí)分配自己的賬號(hào)，禁止跨庫(kù)訪問(wèn)。

 

賬號(hào)權(quán)限

保證賬號(hào)權(quán)限最小化原則，對(duì)于業(yè)務(wù)賬號(hào)來(lái)說(shuō)，只需要授予連接，查詢，新增，修改的權(quán)限即可。

使用SSL連接

對(duì)于數(shù)據(jù)安全性要求比較高的業(yè)務(wù)，建議啟用SSL連接，這樣即使用抓包工具分析，也不能看到具體的SQL文本。但從SSL實(shí)現(xiàn)方式來(lái)看，建立連接時(shí)需要進(jìn)行握手、加密、解密等操作，連接建立階段比較耗時(shí)，如果使用連接池或者長(zhǎng)連接不會(huì)有太大影響，如果是短連接性能損耗比較大。

系統(tǒng)權(quán)限

mysql.user權(quán)限

除了MySQL root賬號(hào)之外，其他任何賬號(hào)對(duì)mysql.user的表有修改權(quán)限，會(huì)帶來(lái)安全風(fēng)險(xiǎn)：賬號(hào)密碼被修改和認(rèn)證插件修改。

修改賬號(hào)密碼

 

修改密碼認(rèn)證方式

MySQL默認(rèn)都是本地密碼認(rèn)證插件 mysql_native_password，如果改成auth_socket，則不需要密碼，只檢查用戶是否使用UNIX套接字進(jìn)行連接，然后比較用戶名即可。

 

權(quán)限風(fēng)險(xiǎn)

一般允許普通開(kāi)發(fā)人員通過(guò) jumpserver 登錄到中轉(zhuǎn)機(jī)，然后用mysql -h -u -p以只讀賬號(hào)的方式訪問(wèn)數(shù)據(jù)庫(kù)，有時(shí)也想看一下information_schema下長(zhǎng)事務(wù)(innodb_trx)等相關(guān)的信息，需要授予process系統(tǒng)管理權(quán)限，會(huì)帶來(lái)一些安全隱患。

 

這樣只讀賬號(hào)也能查看innodb_trx表中所有業(yè)務(wù)賬號(hào)正在執(zhí)行的SQL語(yǔ)句，SQL可能包含敏感信息。

 

在以前的MySQL版本，擁有process系統(tǒng)權(quán)限的用戶還可以鎖定系統(tǒng)表，比如lock table mysql.user read，導(dǎo)致正常修改用戶的操作

FILE權(quán)限

具有FILE權(quán)限可以將數(shù)據(jù)通過(guò)SELECT…..INTO OUTFILE…..寫到服務(wù)器上有寫權(quán)限的目錄下，作為文本格式存放，也可以通過(guò)LOAD DATA INFILE…將文本文件數(shù)據(jù)導(dǎo)入到數(shù)據(jù)表中。

 

審計(jì)功能

安裝 MySQL Server 之后，應(yīng)該配置和開(kāi)啟 Audit Plugin，這樣經(jīng)過(guò) MySQL Server 執(zhí)行所有的 SQL 都會(huì)被記錄下來(lái)，一方面可以排除問(wèn)題，另一方面可以做性能監(jiān)控分析(例如一段時(shí)間內(nèi)某個(gè)SQL的QPS，TPS)。

數(shù)據(jù)備份

需要定時(shí)備份數(shù)據(jù)文件和 binlog，對(duì)于自建 MySQL 服務(wù)器，可以使用xtrabackup去做每天的物理全備，對(duì)于RDS來(lái)說(shuō)，需要配置備份策略，同時(shí)也要定期的檢查的備份完整性和有效性。

 

異地容災(zāi)

對(duì)于核心的業(yè)務(wù)系統(tǒng)，比如交易，支付等，要做好數(shù)據(jù)庫(kù)的異地容災(zāi)，避免由于地震等自然災(zāi)害造成數(shù)據(jù)不可恢復(fù)。

 

數(shù)據(jù)安全

數(shù)據(jù)是企業(yè)寶貴的資源，每個(gè)業(yè)務(wù)域產(chǎn)生的數(shù)據(jù)以及需要的數(shù)據(jù)都不一樣，如何保證安全的訪問(wèn)數(shù)據(jù)是非常重要的，一般大公司都有自己的數(shù)據(jù)管理平臺(tái)，比如阿里的iDB，現(xiàn)在已經(jīng)是一個(gè)服務(wù)DMS(數(shù)據(jù)管理服務(wù))，可以管理各種類型的數(shù)據(jù)庫(kù)。

數(shù)據(jù)訪問(wèn)范化

所有數(shù)據(jù)變更都應(yīng)該走審批流程，發(fā)起人和審批人不能是同一個(gè)，重要敏感的數(shù)據(jù)操作需要提交工單，進(jìn)行多級(jí)審批，確認(rèn)沒(méi)有問(wèn)題才能執(zhí)行，執(zhí)行之前要先做好備份，以便回滾時(shí)使用。

建議使用數(shù)據(jù)庫(kù)管理平臺(tái)來(lái)管理數(shù)據(jù)庫(kù)，一般需要用戶注冊(cè)賬號(hào)，申請(qǐng)權(quán)限(數(shù)據(jù)導(dǎo)出，結(jié)構(gòu)變更，數(shù)據(jù)變更)，服務(wù)Owner審批，提交工單進(jìn)入審批流程等操作，所有的操作環(huán)節(jié)都會(huì)記錄操作日志。

 

數(shù)據(jù)脫敏

對(duì)核心業(yè)務(wù)表的敏感字段要進(jìn)行脫敏處理，例如姓名，郵箱，電話號(hào)碼，身份證號(hào)碼，可以利用中間平臺(tái)去處理，例如阿里云的DMS可以配置數(shù)據(jù)脫敏，支持?jǐn)?shù)據(jù)庫(kù)，表，字段三個(gè)級(jí)別，默認(rèn)在平臺(tái)上查詢都是以*號(hào)顯示，如果想要查看明文，需要申請(qǐng)敏感數(shù)據(jù)權(quán)限，并提交工單，審批通過(guò)后才可以查看，權(quán)限時(shí)間默認(rèn)為一天，最長(zhǎng)不超過(guò)7天。

在做營(yíng)銷活動(dòng)之前，都會(huì)做數(shù)據(jù)庫(kù)性能壓測(cè)，需要把PROD數(shù)據(jù)庫(kù)全量導(dǎo)入U(xiǎn)AT環(huán)境，會(huì)涉及一些敏感數(shù)據(jù)，一般需要通過(guò)中間層做脫敏處理，例如手機(jī)號(hào)可以前3位后3位進(jìn)行打碼處理，15222210123脫敏成152****123。

 

數(shù)據(jù)加密

從MySQL 5.7開(kāi)始，InnoDB支持對(duì)獨(dú)立表空間靜態(tài)數(shù)據(jù)加密，是引擎內(nèi)部數(shù)據(jù)頁(yè)級(jí)別的加密手段，當(dāng)數(shù)據(jù)頁(yè)寫入文件系統(tǒng)時(shí)加進(jìn)行加密，從數(shù)據(jù)文件讀到內(nèi)存中時(shí)解密，基于旋轉(zhuǎn)秘鑰文件而起作用，對(duì)于數(shù)據(jù)保護(hù)非常有用。

 

主秘鑰文件存儲(chǔ)在磁盤上，同時(shí)要做好備份，對(duì)于加密的表，表空間秘鑰由主秘鑰并存儲(chǔ)在表空間文件的頭部中，使用的加密算法是AES，加密模式是塊加密。

我們來(lái)看一下**加密ENCRYPTION='Y'和未加密ENCRYPTION='N'**的區(qū)別在哪

 

從這里就可以看出，通過(guò)Keyring的加密方式，主秘鑰是存儲(chǔ)表空間文件的頭部信息中，這樣增強(qiáng)了數(shù)據(jù)文件的安全性，對(duì)于一些社交軟件產(chǎn)生的聊天消息，可以采用這種方式來(lái)加密數(shù)據(jù)文件，防止數(shù)據(jù)文件被竊取之后進(jìn)行恢復(fù)。

延遲從庫(kù)

 

Oracle數(shù)據(jù)庫(kù)有兩個(gè)特性：回收站(recyclebin)和閃回(flashback)功能，drop table如果不加purge選項(xiàng)，Oracle會(huì)把這個(gè)表rename一個(gè)新的表名存放到回收站里，需要還原時(shí)執(zhí)行flashback table即可。

那如果delete能恢復(fù)嗎?

也是可以的，利用flashback query去Undo Log里獲取刪除時(shí)間前的數(shù)據(jù)，回插到原表即可，這兩個(gè)功能是很棒的，可惜MySQL里都沒(méi)有。

通常MySQL的主從復(fù)制是實(shí)時(shí)的一致性復(fù)制，Master執(zhí)行的變更會(huì)立刻通過(guò)binlog復(fù)制同步到Slave執(zhí)行。

如果不想讓Slave那么快的執(zhí)行Master的變更，可以配置延遲從庫(kù)，利用它可以實(shí)現(xiàn)數(shù)據(jù)誤刪的快速恢復(fù)，例如延遲一個(gè)小時(shí)。

 

總結(jié)

安全存在于系統(tǒng)的方方面面，涉及安全的都是大事，今天主要聊的是MySQL安全的那些事，主要包括MySQL服務(wù)器安全，數(shù)據(jù)庫(kù)安全以及數(shù)據(jù)安全，聊完之后發(fā)現(xiàn)安全的東西還蠻多，這些能夠讓我們對(duì)MySQL安全有更加深刻的認(rèn)識(shí)，同時(shí)也能規(guī)避一些安全風(fēng)險(xiǎn)，讓系統(tǒng)安全穩(wěn)定的運(yùn)行。

作為開(kāi)發(fā)可能更多關(guān)注的是代碼安全和質(zhì)量，其實(shí)MySQL的安全也很重要，需要更多的關(guān)注和了解咯。

以上就是本期的全部?jī)?nèi)容了，我是敖丙，你知道的越多，你不知道的越多，我們下期見(jiàn)。