小研究 - MySQL 数据库安全加固技术的研究（一）

随着信息系统的日益普及，后台数据库的安全问题逐步被人们重视起来。以当下热门的MySQL 数据库为例，通过分析数据库的安全机制以及总结数据库面临的安全风险，针对性地提出了相应的加固策略，为数据库的安全加固工作提供了技术支撑。

目录

1 MySQL 数据库简介

2 MySQL 数据库的安全机制

2.1 MySQL 数据库内部安全机制

2.2 MySQL 数据库外部安全机制

3 MySQL 数据库面临的主要风险

---

随着信息技术的日新月异，信息系统在人们日常生活中扮演着越来越重要的角色。作为信息系统数据存储载体的数据库，在安全方面受到越来越严峻的挑战。本文以目前应用广泛的 MySQL 数据库为例，对MySQL 数据库常见的安全问题进行了研究与归纳，并在此基础上有针对性地提出了安全加固策略，以期为业内人士提供技术上的参考。

1 MySQL 数据库简介

MySQL 是一款安全、跨平台、高效的，并与 PHP、Java 等主流编程语言紧密结合的数据库系统。目前大多数 Internet 上的中小型网站都采用 MySQL 作为后台数据库，这是因为 MySQL 具有体积小、速度快、总体拥有成本低的特点。另外开放源码也使得 MySQL 数据库获得了很多公司的青睐。除了上述优点之外，MySQL数据库还具有一个吸引人的优势：它是一款完全免费的产品，用户在使用 MySQL 数据库的过程中不必支付任何的费用。这些都使得 MySQL 数据库的应用越来越广泛，但随之而来的安全问题也不容小视。

2 MySQL 数据库的安全机制

2.1 MySQL 数据库内部安全机制

MySQL 数据库的内部安全机制建立在 MySQL 数据库内部服务器层面上，依靠合理运用操作系统的相关权限，在文件系统级别上为数据库的安全提供保障。MySQL 数据库在安装和运行过程中会产生相应的数据库文件，数据库管理人员应对这些文件进行加密处理，保证外部人员无法轻易获取数据库文件的内容，从而避免数据库文件遭受拥有数据库服务器操作权限的用户所进行的不良攻击。

在众多的数据库文件中，配置文件和日志文件需要得到重点保护，数据库管理人员只有通过对配置文件和日志文件采取多重保护措施，才能达到不断提升数据库安全性能的目的，具体原因如下。

第一，数据库配置文件中包含诸如数据库数据文件存储路径、数据库日志文件存储路径等敏感信息。数据库管理人员对数据库配置文件采取加密处理后，将有效提高数据库信息的专享性和专有性，同时降低敏感数据泄露的风险。

第二，数据库日志文件中包含错误日志、查询日志等诸多日志内容，且均以文本文件的形式存在。系统攻击者通过扫描、分析数据库日志文件，便能快速获得数据库系统在运行过程中产生的重要信息。因此，数据库管理人员必须赋予日志文件更高的访问等级，通过只允许具备文件操作权限的用户访问文件等设置，让日志文件的安全性得到有效保障。

2.2 MySQL 数据库外部安全机制

MySQL 数据库的外部安全机制建立在外部数据与内部服务器相连的基础上，通过控制外部访问者与内部服务器的连接权限，间接地达到提高数据库安全性能的目的。MySQL 数据库利用权限表给相应的用户赋权，只有具有相应权限的访问者才能访问数据库。

在日常管理中，数据库管理人员通过维护数据库权限表来保证数据库安全性能，最常见的方式就是及时对数据库权限表进行修改和更新，这是目前为止应用较为广泛的一种安全保护措施。此外，数据库管理人员利用用户访问权限控制机制以及数据库开启权限控制机制可以进一步提高数据库的数据隐私保护力度。

3 MySQL 数据库面临的主要风险

来自网络层面的风险。MySQL 数据库目前基本是基于网络环境运行的，而网络由于其自身的开放性随时存在着被入侵的风险。在网络环境中，连接 MySQL数据库的通路可能存在很多条，入侵者通过扫描和不断尝试攻击，最终选择一条安全防御能力最薄弱的路径入侵，入侵成功后即可开始攻击数据库。

来自主机层面的风险。MySQL 数据库不仅面临着来自网络的各种攻击，还要承受来自内部（比如局域网内）的恶意攻击。如内部入侵者登录主机后，可以通过某些工具窃取数据库设置的弱登录口令，继而达到非法获取数据的目的；可以通过一个未删除且未设置密码的无用户名本地账户轻易登入数据库，甚至可以 通 过 MySQL 安 装 时 就 存 在 的 无 密 码 的“root@localhost”用户登录数据库并获得数据库最高控制权限。

来自数据存储物理介质或逻辑映像失窃的风险。与上述通过技术手段入侵数据库系统相比，人为偷窃存储物理介质或逻辑映像的破坏行为更为直接，对数据库的危害也更大，能够造成数据库核心数据的全面泄露。例如，无论是攻击者还是背叛的运维人员，只要能够有机会接触到数据库服务器主机，就可以利用拆卸硬盘等暴力手段强行获取敏感信息。而对于业务应用部署在云上的情况，如果云服务商主动违规或云服务商被攻击，攻击者便可以将虚机化部署的数据存储主机的镜像全部拿走。