數(shù)據(jù)庫安然的那點事兒, 多是每個DBA城市碰著的標(biāo)題問題, 同時也是最等閑忽視的事。因為大年夜大都開辟團隊都將精力放在了功能的實現(xiàn)上，很少往考慮安然相干的事兒，這也就給了黑客可乘之機。
我最初在一家小型BBS社區(qū)工作，主如果治理BBS的數(shù)據(jù)庫系統(tǒng)。這家公司人數(shù)不多，主營營業(yè)在行業(yè)內(nèi)競爭比較狠惡。我還清晰的記得，某天午時正在吃飯，就被叫回公司，同事焦炙地說：“我們可能被黑了，所有BBS注冊用戶的金幣都多了10倍。”這意味著平空而來的金幣會導(dǎo)致社區(qū)用戶對人平易近幣充值的熱忱降落，直接影響公司的收進。
我起首想到的是有人進侵了數(shù)據(jù)庫點竄了數(shù)據(jù)，所以細心的查了一下數(shù)據(jù)庫的環(huán)境，看有沒有留下一點陳跡。其實對一個剛工作不久的DBA來講，我的經(jīng)驗不多，碰著標(biāo)題問題仍是有些措手不及。在慌亂中折騰了1個多小時，最后我終究想到了mysql的查詢?nèi)沼?query log)，細心查看這個日記，發(fā)現(xiàn)從10.10.1.23這個IP發(fā)過來如許一條sql語句：update account set jinbi=jinbi*10。對了!就是它了，恰是這個sql語句導(dǎo)致了所有BBS用戶的金幣都多了10倍。接下來我查抄了10.10.1.23這個IP，這臺機械其實是一臺備機，還沒有啟用，所以把持系統(tǒng)安然等方面做的不敷周全，黑客恰是經(jīng)由過程這臺機械來把持數(shù)據(jù)庫的。同時我又查抄了一下mysql的權(quán)限，此中主機IP寫的是10.10.*，寫的是一個段的IP，恰是因為這個設(shè)置，導(dǎo)致了黑客利用了有縫隙的機械來進行點竄數(shù)據(jù)庫的把持。
這個案例深切的奉告我mysql的權(quán)限節(jié)制有多首要。假定那時mysql的拜候權(quán)限將IP設(shè)置為只承諾利用辦事器來連接的話，也不會呈現(xiàn)如許的后果，所以此后的這幾年我都很正視mysql的拜候權(quán)限節(jié)制，僅承諾必需的辦事器來連接數(shù)據(jù)庫，沒有效的IP都樊籬掉落了。別的，就是query log的首要性，因為它記實了所有測驗測驗連接mysql的要求，假定某個IP不斷的發(fā)出連接要求，并且老是用戶名和暗碼弊端，那么DBA就應(yīng)當(dāng)正視了，如許的把持很有可能就是黑客在測驗測驗猜想mysql暗碼，這也是很危險的，應(yīng)當(dāng)及時采納辦法來應(yīng)對。
總之，安然無小事，必然要引發(fā)正視，同時要有杰出的安然意識，因為杰出的習(xí)慣是工作順利進行的包管。
啟明星斗公司數(shù)據(jù)庫審計專家點評
該案例很是活潑，對數(shù)據(jù)庫事務(wù)的排查闡發(fā)過程也很詳實。所采納的安然辦法除拜候節(jié)制外，還稀有據(jù)庫日記，這對一個DBA來講難能寶貴。假定擔(dān)憂開啟數(shù)據(jù)庫日記帶來的機能降落，也可考慮第三方審計產(chǎn)品。今朝主流審計產(chǎn)品除具有審計能力外，還具有異常行動闡發(fā)和監(jiān)控、權(quán)限治理等功能，乃至可以做拜候節(jié)制和背規(guī)阻斷，可協(xié)助安然治理人員做到數(shù)據(jù)庫拜候的事中防護和過后審計。