保護 MySQL 核心資料安全的六大實戰策略

背景

企業最有價值資產往往在資料庫：客戶資料、產品資訊。軟硬體故障可靠備份機制解決；外部駭客入侵需管理員手動建立防線。

六大防護策略

1. 移除權限表中的萬用字元
   避免使用 % 通配符授予整庫/整表權限。審查每個帳號僅擁有必要最小權限，特別謹慎授予 SUPER 權限。
   SHOW GRANTS FOR 'user'@'host'; 定期稽核。
2. 強制使用強密碼
   安裝後立即設定 root 密碼（預設為空）。拒絕生日、帳號名、字典單詞等弱密碼。
   啟用 --secure-auth 避免舊版不安全密碼格式。
3. 保護設定檔權限
   客戶端 .my.cnf 明文儲存密碼，檔案權限必須設為 0600，放置於非公開目錄（如用戶家目錄）。
4. 加密客戶端-伺服器傳輸
   啟用 MySQL SSL 或 SSH 隧道 (OpenSSH) 建立加密通道，防止網路封包竊聽洩露敏感資料。
5. 禁止不必要的遠端存取
   若無遠端需求，啟動參數加入 --skip-networking 僅允許本地 Unix Socket 連線。
   或在 my.cnf 設定 bind-address=127.0.0.1 限制僅本機連線。
6. 主動監控存取日誌
   啟用一般查詢日誌 (general_log)，記錄每次連線、斷線、查詢語句與時間戳記。疑似入侵時快速追蹤來源。

持續作業

資料庫安全非一次性工作，需持續關注安全公告、套用修補、審計權限、監控異常行為。