MySQL数据库敏感数据安全保护六大措施

以技术为基础的企业里最有价值的资产通常是客户或者其数据库中的产品信息。因此，在这样的企业中，保证数据库免受外界攻击并防止出现软件和硬件方面的故障是数据库管理的重要环节。

大多数情况下，硬件和软件故障都通过数据库备份方案进行处理。大部分数据库都配备有内置的工具来自动执行整个过程，使得备份任务不需要花费很大力气，也不会出现什么差错。不过，数据安全问题解决起来就不那么简单了。要保护敏感数据的安全，必须确保外部的黑客无法侵入系统，也无法盗取或破坏数据库里包含的信息。事实上，没有什么自动化的方法来解决这个问题;相反，要确保企业数据安全，数据库管理员必须要实打实的人工设立一些能够阻止潜在的黑客侵入的屏障。

很多数据库管理员并没有实施什么数据库保护措施，只是因为这做起来很“棘手”并且太“复杂”。虽然情况确实如他们所述，但如果你使用的使MySQL，你只需要用一些简单的方法就能够大大减少你所面临的风险。本文列举了其中六大防范措施，不过你还可以在MySQL的说明手册和相关论坛找到更多类似的方法。

第一步：消除授权表的通配符

MySQL的访问控制系统是通过一系列所谓授权表进行运作的，这些授权表使我们能够在数据库、表和列水平上定义每一位用户的访问级别。而这些表也能够让管理员授予某用户普适许可(即总是允许)或授予表使用通配符的权限，这样做相当危险，因为黑客有可能会使用一个被盗帐号来获取访问系统其他部分的权限。因此，在分配用户权限时要谨慎行事，做到准确无误，并且始终确保用户获得的访问权限恰好足够他们完成任务即可。此外，还要谨防给个人用户分配SUPER特权，因为这个级别的权限允许用户操纵基本服务器配置并访问所有数据库。

提示：使用SHOW PRIVILEGES命令显示每一个用户帐号的权限，以便审计你的授权表并检查通配符的使用权限是否得当。

第二步：使用安全密码

只有在使用密码的情况下，用户帐户才能得到安全保障。因此，当你安装MySQL时要做的第一件事就是给MySQL的根帐户设置一个密码(默认情况下密码为空)。当你堵住这个大漏洞之后，下一步就是要求每一个用户帐户都设置好自己的密码，并确保没有使用具有启发式信息的容易被识破的密码，例如生日、用户姓名字母等。

提示：启用MySQL的--secure-auth选项以防止用户使用任何老式的不太安全的MySQL密码格式。

第三步：检查配置文件的许可

很多时候，为了使服务器连接更加快捷方便，无论是个人用户还是服务器管理员都把他们的用户帐号密码存储在MySQL的per-user选项文件中。但是，这个密码是以纯文本形式存储在这个文件中的，很容易就会被读取。因此，确保系统的其他用户无法查看类似于per-user这种配置文件，并把这些文件存储在非公共区域就显得至关重要。最好是把per-user配置文件存储在用户帐户的私人主目录下，并将权限设置为0600(只能被根用户读写)。

第四步：对客户端服务器传输进行加密

在MySQL的客户端服务器架构(对于任何此类架构也是如此)中，关于在网络中传输数据时保证数据安全的问题非常重要。如果客户端服务器事务是以明文(信息未加密)的方式进行的，那么黑客很容易就能发现这些传输中的数据包，并从中获取敏感信息。想要堵住这个漏洞，你可以激活MySQL设置中的SSL，或者使用OpenSSH这类的安全外壳实用程序，以便为通过的数据创造一个安全的加密通道。通过这种方式对客户端服务器连接进行加密，未经授权的用户就很难读取这些不断在通道中往来传输的数据了。

第五步：禁用远程访问功能

如果你的用户不需要对服务器进行远程访问，那你就可以通过强制所有的MySQL连接都通过UNIX的socket文件进行，这样做可以大大降低受到网络攻击的风险。设置服务器使用了--skip-networking选项启动，这样做能够屏蔽MySQL的TCP/IP网络连接，并确保没有用户能够远程连接到系统。

提示：如果想要更加保险，可以在MySQL服务器设置里添加bind-address=127.0.0.1指令，将MySQL强制绑定到本地机器的IP地址，从而确保只有同一系统的用户才能连接到MySQL。

第六步：积极监控MySQL的访问日志

MySQL里具有很多不同的日志文件，用来记录客户端连接、查询和服务器错误。其中最重要的就是通用查询日志(general query log)，其中以时间戳记录了每一个客户端连接和断开连接，并记录了客户端执行每一次查询的情况。如果你怀疑MySQL出现了不寻常的活动，例如和网络侵入有关的活动，那么最好对这个日志进行监控，往往就可以查出此类活动的源头。

总结

MySQL数据库的保护工作是一项需要持之以恒的任务，一旦你已经开始实施了上面的保护措施，就不要轻易的中断。查阅MySQL的相关说明文献或者访问MySQL的论坛，你可以获得更多关于安全方面的信息，然后应用到实际行动中，积极主动的检测和更新系统的安全设置。