MySQL 網絡安全六大最佳實踐：從賬戶到 SSL 加密全方位防護

MySQL 敏感數據安全防護六大核心措施

資料庫是企業核心資產，備份解決硬體故障，但安全需人工建立多層防線。以下六大措施可顯著降低風險。

1. 消除授權表通配符

• 精確授權：僅給完成任務所需的最小權限，避免 %、_ 通配符濫用。
• 嚴控 SUPER 權限：允許操控服務器配置、訪問所有庫，極度危險。
• 稽核命令：SHOW PRIVILEGES 檢視各帳號權限，審計通配符使用。

2. 強制安全密碼

• 安裝後首要任務：給 root 設強密碼 (預設為空)。
• 所有帳號必須有密碼，拒絕生日、姓名等弱密碼。
• 啟動參數 --secure-auth 禁止舊式不安全密碼格式。

3. 保護配置文件權限

• my.cnf / 用戶 .my.cnf 含明文密碼。
• 權限設為 0600 (僅擁有者讀寫)。
• 存放於非公開目錄 (用戶家目錄最佳)。

4. 啟用傳輸加密 (SSL/SSH)

• 預設 Socket 傳輸明文，極易竊聽。
• MySQL 4.1+ 支援 OpenSSL。啟用 have_openssl。
• 或用 OpenSSH 建立加密通道。
• 強制特定帳號走 SSL：

GRANT ALL ON ssl_db.* TO 'user'@'%' IDENTIFIED BY 'pwd' REQUIRE SSL;
-- 或 REQUIRE X509 / SUBJECT / ISSUER / CIPHER

5. 禁用遠程訪問 (如非必要)

• 啟動參數 --skip-networking 關閉 TCP/IP，僅允許 Unix Socket 本地連接。
• 或 bind-address=127.0.0.1 綁定本地回環。
• 大幅降低網絡攻擊面。

6. 積極監控通用查詢日誌

• general_log 記錄每次連接、斷開、查詢 (含時間戳)。
• 異常活動 (暴力破解、非常態查詢) 可由此追溯源頭。
• 定期審計日誌，建立基線告警。

總結

安全是持續過程，非一次性配置。持續查閱官方文檔、社區最佳實踐，主動檢測更新防禦體系。