什么是MySQL？MySQL是一个开源的RDBMS（关系数据库管理系统）。它基于结构化查询语言(SQL)，可在许多平台上运行，包括Windows、Linux和UNIX。MySQL还在所有流行的公共云平台上作为服务提供，包括Amazon、Azure和GoogleCloud。

MySQL是LAMP的一部分，LAMP是一个开源Web开发平台。LAMP企业堆栈由Linux（操作系统）、Apache（Web服务器）、MySQL(RDBMS)和PHP（面向对象的脚本语言）、Perl或Python组成。

MySQL有助于支持各种用例，包括Web应用程序和在线发布场景。它为网站、面向消费者和基于企业网络的应用程序提供支持，例如Twitter、YouTube和Facebook。

数据库安全威胁

数据库存储敏感信息，这些信息容易受到许多威胁——包括数据丢失和被盗、隐私侵犯、可用性问题以及恶意或意外修改。这些问题可能由于各种原因而发生，包括外部攻击者、恶意内部人员和意外操作。MySQL等开源数据库通常会带来与安全通信和访问控制相关的安全问题，以及已知漏洞和零日漏洞等开源安全风险。

访问和特权

例如，过多的权限可以让用户获得对机密信息的不必要的访问权限。此问题可能会升级为权限滥用，使授权用户能够滥用其权限来执行未经授权的操作。虽然您可以使用访问控制策略和查询级访问控制来缓解这些威胁，但可能会出现更多问题。例如，它可能无法阻止威胁参与者将低级别访问升级为高级权限。

漏洞和攻击

平台和操作系统通常包含漏洞，可能导致泄漏和数据损坏。您可以使用补丁管理流程和漏洞评估来缓解这种情况。漏洞评估无法阻止威胁行为者使用SQL注入发送未经授权的数据库查询以诱骗服务器泄露信息。您需要使用准备好的SQL语句来减轻这种威胁。数据库也会受到拒绝服务(DoS)攻击，这些攻击会使资源和数据库不可用，从而拒绝用户访问数据或应用程序。

MySQL安全最佳实践

以下最佳实践可以帮助您增强MySQL数据库的安全性。

修改端口映射

MySQL的默认映射是在端口3306上运行。您应该在安装MYSQL后更改此设置以隐藏运行关键服务的端口。攻击者通常首先针对默认设置，因此修改它们以避免漏洞利用非常重要。

避免使用root权限运行MySQL

您应该在包含运行服务所需的最小权限的专用用户帐户下运行MySQL。不要让MySQL直接作为根服务器运行。除了日志记录和审计的优势之外，避免root级权限有助于确保攻击者无法劫持root用户帐户以获得访问权限。

在云中保护MySQL

禁用和删除您的MySQL历史记录

默认情况下，MySQL在安装时会创建一个历史文件，将其存储在~/.mysql_history下。您应该删除此文件，因为它详细说明了您的安装和配置历史。如果受到破坏，恶意行为者可以使用它来暴露关键的数据库用户密码。您还应该创建从历史文件到空设备的软链接，以防止MySQL将事件记录到文件中。

锁定可疑活动的用户帐户

MySQL8.0.19引入了临时帐户锁定功能。您可以将MySQL设置为根据登录尝试失败次数和帐户锁定时间等变量来锁定用户帐户。

在创建用户帐户时运行以下脚本以启用帐户锁定：CREATEUSER‘demo_user’@’localhost’IDENTIFIEDBY‘userpassword’FAILED_LOGIN_ATTEMPTS4PASSWORD_LOCK_TIME10;

失败登录尝试变量后面的值指定锁定帐户之前所需的失败尝试次数。密码锁定时间变量后面的值指定帐户将被锁定的时间（以天为单位）。您还可以将“无界”指定为密码锁定时间值，以使帐户无限期锁定，直到手动解锁为止。

使用身份验证插件

身份验证插件使用户能够选择他们喜欢的身份验证方法。MySQL支持许多可插入的身份验证选项，您可以将它们组合起来以获得更高的安全性。您可以在ALTERUSER或CREATEUSER等语句旁边使用身份验证插件。

例如：CREATEUSER‘user_7’@’localhost’IDENTIFIEDWITHmysql_native_passwordBY‘password’;

此查询使用本机密码散列来实现身份验证。

限制或禁用数据库可见性

SHOWDATABASES命令允许用户查看敏感信息。您应该限制使用此命令以防止远程用户和恶意行为者收集有关您的数据库的数据。您可以通过在[mysqld]部分中指定“skip-show-database”来限制或删除MYSQL配置文件中的此功能。

加密静态和传输中的数据

默认情况下，MySQL在服务器和客户端之间使用未加密的通信，这为攻击者提供了通过中间人(MitM)攻击拦截数据的机会。同样，数据库中未加密的任何用户数据都可能危及用户的完整性和隐私。

您可以使用TLS/SSL加密来保护网络之间的MySQL通信。受保护网络内的通信可能不需要加密。MySQL还允许您对静态数据进行加密，以在服务器遭到破坏时保护您存储的数据。

实施安全密码策略

MySQL允许您应用密码策略，要求非特权用户在输入当前密码时设置新密码。此功能可以保护您的数据库免受多种威胁，例如入侵主机并尝试使用WebShell访问用户数据库会话的攻击者。启用密码策略更改后，攻击者无法锁定目标用户，除非他们拥有用户的现有密码。

MySQL默认不启用ChangeCurrentPassword策略。您可以基于单个用户或全局控制此策略（在所有非特权用户帐户中强制执行）。建议全局设置策略，或至少覆盖所有非特权用户。使用my.cnf服务器文件启用全局当前密码策略。