MySQL 核心資料保護策略：六大實務防護措施

企業級 MySQL 資料安全：從備份到入侵防禦的六關鍵設定

資料庫核心資產（客戶資料、產品資訊）面臨雙重威脅：軟硬體故障與外部攻擊。備份機制解決前者，但防禦駭客需管理員主動建立防線。以下六大 MySQL 內建功能可顯著降低風險。

1. 移除授權表通配符——最小化存取範圍

• 通配符（%、_）授權易被濫用，駭客可利用受限帳號橫向移動
• **原則：** 每個帳號僅授予必要資料庫、資料表、欄位權限
• **檢查指令：** SHOW GRANTS FOR 'user'@'host'; 審查所有帳號
• 超級權限（SUPER、FILE、PROCESS、SHUTDOWN、GRANT）極度謹慎授予

2. 強制安全密碼政策

• 安裝後**立即設定 root 密碼**（預設為空）
• 所有帳號強制設密碼，拒絕生日、帳號名、字典字等弱密碼
• 啟用 --secure-auth 選項，禁止舊式 16 字元密碼格式

3. 保護設定檔權限

• 用戶設定檔（~/.my.cnf）含明文密碼，權限必須設為 600
• 存放於非公開目錄（用戶家目錄），避免被其他帳號讀取

4. 加密 Client-Server 傳輸

• 預設傳輸為明文，易遭封包側錄竊取敏感資料
• **方案一：** 啟用 MySQL 內建 SSL（需憑證設定）
• **方案二：** 使用 SSH 通道（ssh -L 3306:localhost:3306 user@db_server）建立加密連線

5. 禁止遠端存取（若不需要）

• 啟動參數 --skip-networking 關閉 TCP/IP 監聽，僅允許 Unix Socket 連線
• 或設定 bind-address=127.0.0.1 僅綁定本地回環介面
• 大幅縮小攻擊面，僅本機程式可連線

6. 主動監控存取日誌

• 啟用一般查詢日誌（general_log=1），記錄所有連線、查詢、斷線時間戳
• 定期分析異常模式：非預期 IP、非工作時段、大量失敗登入、可疑查詢（SHOW GRANTS、SELECT * FROM mysql.user）
• 錯誤日誌（log_error）與慢查詢日誌（slow_query_log）同步啟用

結語： 資料庫安全非一次性設定，需持續審查權限、更新補丁、監控日誌、演練應變。MySQL 提供完整工具鏈，關鍵在於「用起來」並「持續用」。