设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [15162] 2020-03-22_等保测评2.0：MySQL安全审计 ...
返回列表 发新帖
查看: 2|回复: 0

[15162] 2020-03-22_等保测评2.0：MySQL安全审计

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-54

积分

管理员

积分
-54
发表于 2025-1-18 17:14:50 | 显示全部楼层 |阅读模式
2020-03-22_等保测评2.0：MySQL安全审计 等 保 测 评 2 . 0 ： M y S Q L 安 全 审 计 起 于 凡 而 非 于 凡   F r e e B u f   2 0 2 0 - 0 3 - 2 2 一 、 说 明 一 、 说 明 本 篇 文 章 主 要 说 一 说 本 篇 文 章 主 要 说 一 说 M y S Q L 数 据 库 安 全 审 计 控 制 点 的 相 关 内 容 和 理 解 。 数 据 库 安 全 审 计 控 制 点 的 相 关 内 容 和 理 解 。 M y S Q L 除 了 自 身 带 有 的 审 计 功 能 外 ， 还 存 在 着 一 些 其 它 的 审 计 插 件 。 除 了 自 身 带 有 的 审 计 功 能 外 ， 还 存 在 着 一 些 其 它 的 审 计 插 件 。 虽 然 遇 到 这 些 插 件 的 概 率 不 高 ， 我 还 是 把 这 些 插 件 的 基 本 参 数 都 列 出 来 ， 到 时 候 如 果 真 遇 到 了 ， 也 不 至 于 一 头 雾 水 。 二 、 测 评 项 二 、 测 评 项 a ) 应 启 用 安 全 审 计 功 能 ， 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 ； b ) 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 ；   c ) 应 对 审 计 记 录 进 行 保 护 ， 定 期 备 份 ， 避 免 受 到 未 预 期 的 删 除 、 修 改 或 覆 盖 等 ；   d ) 应 对 审 计 进 程 进 行 保 护 ， 防 止 未 经 授 权 的 中 断 。 三 、 测 评 项 三 、 测 评 项 a a ) 应 启 用 安 全 审 计 功 能 ， 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 ； 3 . 1 .   自 带 的 审 计 功 能 自 带 的 审 计 功 能 在 M y S Q L 中 自 带 了 审 计 功 能 — — g e n e r a l   l o g ， 它 会 记 录 所 有 关 于 m y s q l 的 s q l 语 句 （ 所 以 会 给 服 务 器 和 数 据 库 带 来 很 大 的 资 源 占 用 ） 。 不 过 仅 仅 从 测 评 要 求 的 角 度 来 说 ， 如 果 开 启 了 g e n e r a l   l o g ， 那 么 是 符 合 测 评 项 a 的 。 查 询 的 时 候 ， 可 以 使 用 l o g 或 者 g e n e r a l 关 键 词 ， 这 里 用 的 是 g e n e r a l （ 不 过 用 l o g 要 好 一 些 ） ： 图 中 的 g e n e r a l _ l o g 变 量 的 值 为 O F F ， 则 表 示 没 有 开 启 。 g e n e r a l l o g f i l e 则 表 示 日 志 存 储 在 哪 ， 图 中 是 存 储 在 一 个 文 件 中 。 M y S Q L   5 . 1 . 6 版 开 始 ， 可 以 将 日 志 存 储 在 表 当 中 ， 这 个 由 l o g o u t p u t 参 数 进 行 控 制 ， 值 为 f i l e ， 则 代 表 存 储 在 文 件 中 ， 为 t a b l e ， 则 代 表 存 储 在 g e n g e r a l o g 表 中 。 也 可 以 去 看 一 看 / e t c / m y . c n f 文 件 ， 查 看 是 否 启 用 了 g e n e r a l _ l o g ： 修 改 m y . c n f 文 件 和 设 置 g l o b a l 变 量 的 区 别 在 于 ， 设 置 g l o b a l 变 量 ， 则 数 据 库 重 启 后 设 置 就 失 效 了 。 而 修 改 m y . c n f 文 件 ， 数 据 库 每 次 启 动 后 ， 都 会 先 去 m y . c n f 读 取 变 量 的 值 ， 再 传 给 相 应 的 g l o b a l 变 量 。 下 面 其 它 变 量 也 是 如 此 。 另 外 要 说 的 一 点 是 ， 变 量 g e n e r a l _ l o g 的 类 型 是 b o o l ， 可 以 设 置 的 值 为 O F F （ 或 者 0 ） ， 以 及 O N （ 或 者 1 ） ， 所 以 设 置 为 O N 和 1 是 一 个 意 思 。   s h o w   g l o b a l   v a r i a b l e s   l i k e   ' % g e n e r a l % ' m y s q l >   s h o w   v a r i a b l e s   l i k e   ' l o g _ o u t p u t ' ; + - - - - - - - - - - - - - - - + - - - - - - - + |   V a r i a b l e _ n a m e   |   V a l u e   | + - - - - - - - - - - - - - - - + - - - - - - - + |   l o g _ o u t p u t         |   T A B L E   | + - - - - - - - - - - - - - - - + - - - - - - - + m y s q l >   s e l e c t   *   f r o m   g e n e r a l _ l o g ; |   2 0 1 8 - 0 7 - 1 7   2 3 : 0 0 : 1 2   |   r o o t [ r o o t ]   @   l o c a l h o s t   [ ]   |                   2   |   1 1 3 2 3 3 3 3 0 6   |   Q u e r y                 |   s e l e c t   *   f r o m   t e s t . s t u d e n t 3 [ m y s q l d ] g e n e r a l _ l o g   =   o n                                                                                     / /   o n 为 开 启 ； o f f 为 关 闭 g e n e r a l _ l o g _ f i l e   =   / v a r / l o g / g e n e r a l L o g . l o g                   / /   审 计 信 息 存 储 位 置 l o g _ t i m e s t a m p s   =   S Y S T E M                                                                 / /   设 置 日 志 文 件 的 输 出 时 间 为 地 方 时
3 . 2 .   M a r i a D B 的 的 A u d i t   P l u g i n 插 件 插 件 该 插 件 可 以 用 于 M y S Q L 的 一 些 版 本 上 ， 比 如 M y S Q L   5 . 7 . 1 8 。 该 插 件 的 相 关 变 量 为 ： 解 释 如 下 ： 这 里 我 们 比 较 关 注 的 是 s e r v e r a u d i t l o g g i n g 、 s e r v e r a u d i t e v e n t s 、 s e r v e r a u d i t o u t p u t t y p e 、 s e r v e r a u d i t f i l e p a t h 、 s e r v e r a u d i t f i l e r o t a t e s i z e 、 s e r v e r a u d i t f i l e r o t a t i o n s 、 s e r v e r a u d i t f i l e r o t a t e _ n o w 。 s e r v e r a u d i t l o g g i n g ： ： 即 为 是 否 开 启 ， b o o l 类 型 ， 值 为 O N （ 1 ） 以 及 O F F （ 0 ） 。 s e r v e r a u d i t e v e n t s ： ： 记 录 的 事 件 ， 如 果 为 空 字 符 串 ， 则 代 表 记 录 所 有 的 事 件 。 C O N N E C T ： 连 接 、 断 开 连 接 和 失 败 的 连 接 ， 包 括 错 误 代 码 Q U E R Y ： 以 纯 文 本 形 式 执 行 的 查 询 及 其 结 果 ， 包 括 由 于 语 法 或 权 限 错 误 而 失 败 的 查 询 T A B L E ： 受 查 询 执 行 影 响 的 表 Q U E R Y _ D D L ： 与 Q U E R Y 相 同 ， 但 只 筛 选 D D L 类 型 的 查 询 （ c r e a t e 、 a l t e r 、 d r o p 、 r e n a m e 和 t r u n c a t e 语 句 ， c r e a t e / d r o p [ p r o c e d u r e / f u n c t i o n / u s e r ] 和 r e n a m e u s e r 除 外 （ 它 们 不 是 D D L ） Q U E R Y _ D M L ： 与 Q U E R Y 相 同 ， 但 只 筛 选 D M L 类 型 的 查 询 （ d o 、 c a l l 、 l o a d   d a t a / x m l 、 d e l e t e 、 i n s e r t 、 s e l e c t 、 u p d a t e 、 h a n d l e r 和 r e p l a c e 语 句 ） S H O W   G L O B A L   V A R I A B L E S   L I K E   ' s e r v e r _ a u d i t % ' ; + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + - - - - - - - - - - - - - - - - - - - - - - - + |   V a r i a b l e _ n a m e                                   |   V a l u e                                   | + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + - - - - - - - - - - - - - - - - - - - - - - - + |   s e r v e r _ a u d i t _ e v e n t s                       |   C O N N E C T , Q U E R Y , T A B L E       | |   s e r v e r _ a u d i t _ e x c l _ u s e r s               |                                               | |   s e r v e r _ a u d i t _ f i l e _ p a t h                 |   s e r v e r _ a u d i t . l o g             | |   s e r v e r _ a u d i t _ f i l e _ r o t a t e _ n o w     |   O F F                                       | |   s e r v e r _ a u d i t _ f i l e _ r o t a t e _ s i z e   |   1 0 0 0 0 0 0                               | |   s e r v e r _ a u d i t _ f i l e _ r o t a t i o n s       |   9                                           | |   s e r v e r _ a u d i t _ i n c l _ u s e r s               |                                               | |   s e r v e r _ a u d i t _ l o g g i n g                     |   O N                                         | |   s e r v e r _ a u d i t _ m o d e                           |   0                                           | |   s e r v e r _ a u d i t _ o u t p u t _ t y p e             |   f i l e                                     | |   s e r v e r _ a u d i t _ q u e r y _ l o g _ l i m i t     |   1 0 2 4                                     | |   s e r v e r _ a u d i t _ s y s l o g _ f a c i l i t y     |   L O G _ U S E R                             | |   s e r v e r _ a u d i t _ s y s l o g _ i d e n t           |   m y s q l - s e r v e r _ a u d i t i n g   | |   s e r v e r _ a u d i t _ s y s l o g _ i n f o             |                                               | |   s e r v e r _ a u d i t _ s y s l o g _ p r i o r i t y     |   L O G _ I N F O                             | + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + - - - - - - - - - - - - - - - - - - - - - - - + s e r v e r _ a u d i t _ o u t p u t _ t y p e ： 指 定 日 志 输 出 类 型 ， 可 为 S Y S L O G 或 F I L E s e r v e r _ a u d i t _ l o g g i n g ： 启 动 或 关 闭 审 计 s e r v e r _ a u d i t _ e v e n t s ： 指 定 记 录 事 件 的 类 型 ， 可 以 用 逗 号 分 隔 的 多 个 值 ( c o n n e c t , q u e r y , t a b l e ) ， 如 果 开 启 了 查 询 缓 存 ( q u e r y   c a c h e ) ， 查 询 直 接 从 查 询 缓 存 返 回 数 据 ， 将 没 有 t a b l e 记 录 s e r v e r _ a u d i t _ f i l e _ p a t h ： 如 s e r v e r _ a u d i t _ o u t p u t _ t y p e 为 F I L E ， 使 用 该 变 量 设 置 存 储 日 志 的 文 件 ， 可 以 指 定 目 录 ， 默 认 存 放 在 数 据 目 录 的 s e r v e r _ a u d i t . l o g 文 件 中 s e r v e r _ a u d i t _ f i l e _ r o t a t e _ s i z e ： 限 制 日 志 文 件 的 大 小 s e r v e r _ a u d i t _ f i l e _ r o t a t i o n s ： 指 定 日 志 文 件 的 数 量 ， 如 果 为 0 日 志 将 从 不 轮 转 s e r v e r _ a u d i t _ f i l e _ r o t a t e _ n o w ： 强 制 日 志 文 件 轮 转 s e r v e r _ a u d i t _ i n c l _ u s e r s ： 指 定 哪 些 用 户 的 活 动 将 记 录 ， c o n n e c t 将 不 受 此 变 量 影 响 ， 该 变 量 比 s e r v e r _ a u d i t _ e x c l _ u s e r s 优 先 级 高 s e r v e r _ a u d i t _ s y s l o g _ f a c i l i t y ： 默 认 为 L O G _ U S E R ， 指 定 f a c i l i t y s e r v e r _ a u d i t _ s y s l o g _ i d e n t ： 设 置 i d e n t ， 作 为 每 个 s y s l o g 记 录 的 一 部 分 s e r v e r _ a u d i t _ s y s l o g _ i n f o ： 指 定 的 i n f o 字 符 串 将 添 加 到 s y s l o g 记 录 s e r v e r _ a u d i t _ s y s l o g _ p r i o r i t y ： 定 义 记 录 日 志 的 s y s l o g d   p r i o r i t y s e r v e r _ a u d i t _ e x c l _ u s e r s ： 该 列 表 的 用 户 行 为 将 不 记 录 ， c o n n e c t 将 不 受 该 设 置 影 响 s e r v e r _ a u d i t _ m o d e ： 标 识 版 本 ， 用 于 开 发 测 试
Q U E R Y _ D C L ： 与 Q U E R Y 相 同 ， 但 只 筛 选 D C L 类 型 的 查 询 （ c r e a t e   u s e r 、 d r o p   u s e r 、 r e n a m e   u s e r 、 g r a n t 、 r e v o k e 和 s e t   p a s s w o r d 语 句 ） Q U E R Y D M L N O S E L E C T ： 与 Q U E R Y D M L 相 同 ， 但 不 记 录 S E L E C T 查 询 。 （ 从 1 . 4 . 4 版 开 始 ） （ d o 、 c a l l 、 l o a d   d a t a / x m l 、 d e l e t e 、 i n s e r t 、 u p d a t e 、 h a n d l e r 和 r e p l a c e 语 句 ） s e r v e r a u d i t f i l e _ p a t h : 当 s e r v e r a u d i t o u t p u t t y p e 为 f i l e 时 ， 将 路 径 和 文 件 名 设 置 为 日 志 文 件 。 如 果 指 定 的 路 径 作 为 目 录 存 在 ， 那 么 将 在 该 目 录 内 创 建 名 为 “   s e r v e r a u d i t . l o g ” 的 日 志 。 否 则 ， 该 值 将 被 视 为 文 件 名 。 默 认 值 “   s e r v e r _ a u d i t . l o g ” ， 这 意 味 着 将 在 数 据 库 目 录 中 创 建 此 文 件 。 s e r v e r a u d i t f i l e r o t a t e s i z e 、 、 s e r v e r a u d i t f i l e r o t a t i o n s 、 、 s e r v e r a u d i t f i l e r o t a t e _ n o w ： ： 当 s e r v e r a u d i t o u t p u t t y p e 为 f i l e 时 ， 是 否 强 制 轮 转 （ s e r v e r a u d i t f i l e r o t a t e n o w ） ， 每 个 日 志 文 件 的 最 大 大 小 （ s e r v e r a u d i t f i l e r o t a t e s i z e ） ， 以 及 日 志 文 件 的 最 大 数 量 （ s e r v e r a u d i t f i l e r o t a t i o n s ） 。 更 多 变 量 的 相 关 的 解 释 可 以 查 看 官 方 文 档 ： M a r i a D B   A u d i t   P l u g i n   O p t i o n s   a n d   S y s t e m   V a r i a b l e s 那 么 ， 从 这 个 插 件 的 功 能 来 看 ， 基 本 上 默 认 配 置 就 可 以 满 足 测 评 项 的 要 求 。 3 . 3 .   M y S Q L   E n t e r p r i s e   A u d i t   P l u g i n M y S Q L   企 业 版 的   E n t e r p r i s e   E d i t i o n   中 自 带   A u d i t   P l u g i n   ， 名 为   a u d i t _ l o g . s o 。 对 于 该 插 件 ， 可 以 在 m y . c n f 文 件 中 加 入 以 下 参 数 启 用 它 ： 也 可 以 查 询 插 件 ， 看 到 插 件 的 状 态 ： 该 插 件 的 相 关 系 统 变 量 为 ： a u d i t l o g c o n n e c t i o n _ p o l i c y ： ： 控 制 审 核 日 志 插 件 如 何 将 连 接 事 件 写 入 其 日 志 文 件 的 策 略   a u d i t l o g e x c l u d e _ a c c o u n t s ： ： 不 应 记 录 事 件 的 帐 户 ， 除 此 之 外 的 账 户 的 事 件 都 会 被 记 录 。 该 值 应 为 N U L L 或 包 含 一 个 或 多 个 用 逗 号 分 隔 的 帐 户 名 列 表 的 字 符 串 。 a u d i t l o g f i l e ： ：         [ m y s q l d ]         p l u g i n - l o a d = a u d i t _ l o g . s o m y s q l >   S E L E C T   P L U G I N _ N A M E ,   P L U G I N _ S T A T U S               F R O M   I N F O R M A T I O N _ S C H E M A . P L U G I N S               W H E R E   P L U G I N _ N A M E   L I K E   ' a u d i t % ' ; + - - - - - - - - - - - - - + - - - - - - - - - - - - - - - + |   P L U G I N _ N A M E   |   P L U G I N _ S T A T U S   | + - - - - - - - - - - - - - + - - - - - - - - - - - - - - - + |   a u d i t _ l o g       |   A C T I V E                 | + - - - - - - - - - - - - - + - - - - - - - - - - - - - - - + m y s q l >   S H O W   V A R I A B L E S   L I K E   ' a u d i t _ l o g % ' ; + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + - - - - - - - - - - - - - - + |   V a r i a b l e _ n a m e                               |   V a l u e                 | + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + - - - - - - - - - - - - - - + |   a u d i t _ l o g _ b u f f e r _ s i z e               |   1 0 4 8 5 7 6             | |   a u d i t _ l o g _ c o n n e c t i o n _ p o l i c y   |   A L L                     | |   a u d i t _ l o g _ c u r r e n t _ s e s s i o n       |   O F F                     | |   a u d i t _ l o g _ e x c l u d e _ a c c o u n t s     |                             | |   a u d i t _ l o g _ f i l e                             |   a u d i t . l o g         | |   a u d i t _ l o g _ f i l t e r _ i d                   |   0                         | |   a u d i t _ l o g _ f l u s h                           |   O F F                     | |   a u d i t _ l o g _ f o r m a t                         |   N E W                     | |   a u d i t _ l o g _ i n c l u d e _ a c c o u n t s     |                             | |   a u d i t _ l o g _ p o l i c y                         |   A L L                     | |   a u d i t _ l o g _ r o t a t e _ o n _ s i z e         |   0                         | |   a u d i t _ l o g _ s t a t e m e n t _ p o l i c y     |   A L L                     | |   a u d i t _ l o g _ s t r a t e g y                     |   A S Y N C H R O N O U S   | + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + - - - - - - - - - - - - - - +
日 志 记 录 的 文 件 名 ， 可 以 是 相 对 路 径 （ 相 对 于 数 据 库 目 录 ） 和 完 整 路 径 。 a u d i t l o g f o r m a t ： ： 日 志 格 式 ， 可 以 是   O L D （ 旧 样 式 X M L ） ，   N E W （ 新 样 式 X M L ， 默 认 值 ） 和 （ 从 M y S Q L   5 . 7 . 2 1 开 始 ） J S O N 。 a u d i t l o g i n c l u d e _ a c c o u n t s ： ： 要 包 括 在 审 核 日 志 记 录 中 的 帐 户 。 如 果 设 置 了 此 变 量 ， 则 仅 审 核 这 些 帐 户 。 注 意 ， a u d i t l o g e x c l u d e a c c o u n t s 与 a u d i t l o g i n c l u d e a c c o u n t s 是 互 斥 的 ， 它 们 之 间 只 有 一 个 的 值 为 非 n u l l ， 不 能 同 时 为 非 n u l l 。 a u d i t l o g p o l i c y ： ： 事 件 记 录 策 略   a u d i t l o g r o t a t e o n s i z e ： ：   如 果   a u d i t l o g r o t a t e o n s i z e   值 为 0 ， 则 审 核 日 志 插 件 不 会 执 行 自 动 日 志 文 件 轮 换 。 而 是 手 动 使 用 a u d i t l o g f l u s h 刷 新 日 志 文 件 。 在 这 种 情 况 下 ， 请 在 刷 新 文 件 之 前 在 服 务 器 外 部 手 动 重 命 名 该 文 件 （ 要 不 然 原 来 的 记 录 就 没 了 ） 。 如 果 该   a u d i t l o g r o t a t e o n s i z e   值 大 于 0 ， 则 会 自 动 进 行 基 于 大 小 的 日 志 文 件 轮 换 。 每 当 写 入 日 志 文 件 导 致 其 大 小 超 过 该   a u d i t l o g r o t a t e o n s i z e   值 时 ， 审 核 日 志 插 件 都 会 关 闭 当 前 日 志 文 件 ， 将 其 重 命 名 ， 然 后 打 开 一 个 新 的 日 志 文 件 。 如 果 将 此 变 量 设 置 为 不 是 4 0 9 6 的 倍 数 的 值 ， 它 将 被 截 断 为 最 接 近 的 倍 数 。 （ 因 此 ， 将 其 设 置 为 小 于 4 0 9 6 的 效 果 是 将 其 设 置 为 0 且 不 进 行 旋 转 ， 除 非 手 动 进 行 。 ） a u d i t l o g s t a t e m e n t _ p o l i c y ： ： 应 该 被 记 录 的 语 句 事 件 ， 在 服 务 器 启 动 的 时 候 如 果 a u d i t l o g s t a t e m e n t p o l i c y 和 a u d i t l o g p o l i c y 都 显 示 赋 予 了 值 ， 那 么 a u d i t l o g s t a t e m e n t p o l i c y 可 能 会 被 a u d i t l o g p o l i c y 覆 盖 。   更 多 详 细 的 解 释 请 看 官 方 文 档 ： M y S Q L   E n t e r p r i s e   A u d i t 基 本 上 默 认 配 置 也 足 够 满 足 测 评 项 要 求 了 。 3 . 4 .   M c A f e e 的 的 l i b a u d i t _ p l u g i n 也 是 一 个 审 核 插 件 ， 其 相 关 参 数 如 下 ： 更 多 详 细 解 释 请 查 看 官 方 文 档 ： M c A f e e 的 a u d i t 基 本 上 启 用 后 就 满 足 测 评 项 要 求 了 。 四 、 测 评 项 四 、 测 评 项 b b ) 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 ； 只 要 启 用 了 审 计 功 能 ， 无 论 是 自 带 的 审 计 还 是 插 件 ， 在 记 录 的 信 息 上 都 能 满 足 这 个 要 求 。 4 . 1 .   自 带 的 审 计 功 能 自 带 的 审 计 功 能 其 记 录 内 容 如 下 ： S H O W   G L O B A L   V A R I A B L E S   L I K E   ' % a u d i % ' ; a u d i t _ j s o n _ f i l e 　 　 　 　 　 　 　   # 是 否 开 启 a u d i t 功 能 （ O N O F F ） a u d i t _ j s o n _ l o g _ f i l e 　 　 　 　 　 # l o g 日 志 名 称 及 存 储 位 置 ， 默 认 m y s q l 的 d a t a 目 录 a u d i t _ r e c o r d _ c m d s = ' ' 　 　 　 　 # 设 置 需 要 监 控 的 S Q L 命 令 ， 默 认 全 部 （ 即 该 值 为 n u l l ） a u d i t _ r e c o r d _ c m d s = ' i n s e r t , d e l e t e , u p d a t e , c r e a t e , d r o p , a l t e r , g r a n t , t r u n c a t e '       # 这 是 一 些 例 子 a u d i t _ r e c o r d _ o b j s = ' '                     # 设 置 需 要 监 控 的 数 据 库 名 称 和 表 名 ， 默 认 全 部 （ 即 该 值 为 n u l l ） a u d i t _ r e c o r d _ o b j s = ‘ m y s q l . * ’ 　 　     # 一 个 例 子 a u d i t _ w h i t e l i s t _ u s e r s 　 　 　 　 # 用 户 白 名 单 m y s q l >   s e l e c t   *   f r o m   g e n e r a l _ l o g ; |   2 0 1 8 - 0 7 - 1 7   2 3 : 0 0 : 1 2   |   r o o t [ r o o t ]   @   l o c a l h o s t   [ ]   |                   2   |   1 1 3 2 3 3 3 3 0 6   |   Q u e r y                 |   s e l e c t   *   f r o m   t e s t . s t u d e n t 3
4 . 2 .   M a r i a D B 的 的 A u d i t   P l u g i n 插 件 插 件 其 记 录 内 容 如 下 ：   日 志 的 格 式 解 释 可 看 官 方 文 档 ： M a r i a D B   A u d i t   P l u g i n   -   L o g   F o r m a t 4 . 3 .   M y S Q L   E n t e r p r i s e   A u d i t   P l u g i n 该 插 件 的 日 志 文 件 可 以 是 X M L 或 者 J S O N 格 式 ， 以 X M L 为 例 ： 相 似 的 格 式 介 绍 请 查 看 官 方 文 档 ： 审 核 日 志 文 件 格 式 4 . 4 .   M c A f e e 的 的 l i b a u d i t _ p l u g i n 该 插 件 日 志 文 件 的 格 式 是 j s o n ：   < A U D I T _ R E C O R D >     < T I M E S T A M P > 2 0 1 9 - 1 0 - 0 3 T 1 4 : 0 9 : 3 8   U T C < / T I M E S T A M P >     < R E C O R D _ I D > 6 _ 2 0 1 9 - 1 0 - 0 3 T 1 4 : 0 6 : 3 3 < / R E C O R D _ I D >     < N A M E > Q u e r y < / N A M E >     < C O N N E C T I O N _ I D > 5 < / C O N N E C T I O N _ I D >     < S T A T U S > 0 < / S T A T U S >     < S T A T U S _ C O D E > 0 < / S T A T U S _ C O D E >     < U S E R > r o o t [ r o o t ]   @   l o c a l h o s t   [ 1 2 7 . 0 . 0 . 1 ] < / U S E R >     < O S _ L O G I N / >     < H O S T > l o c a l h o s t < / H O S T >     < I P > 1 2 7 . 0 . 0 . 1 < / I P >     < C O M M A N D _ C L A S S > d r o p _ t a b l e < / C O M M A N D _ C L A S S >     < S Q L T E X T > D R O P   T A B L E   I F   E X I S T S   t < / S Q L T E X T >   < / A U D I T _ R E C O R D > {         " m s g - t y p e " :   " a c t i v i t y " ,         " d a t e " :   " 1 5 1 0 0 3 8 4 3 2 0 1 9 " ,         " t h r e a d - i d " :   " 4 3 " ,         " q u e r y - i d " :   " 1 8 9 1 " ,         " u s e r " :   " r o o t " ,         " p r i v _ u s e r " :   " r o o t " ,         " i p " :   " " ,         " h o s t " :   " l o c a l h o s t " ,         " c o n n e c t _ a t t r s " :   {                 " _ o s " :   " l i n u x - g l i b c 2 . 5 " ,                 " _ c l i e n t _ n a m e " :   " l i b m y s q l " ,                 " _ p i d " :   " 4 0 0 9 " ,                 " _ c l i e n t _ v e r s i o n " :   " 5 . 7 . 9 " ,                 " _ p l a t f o r m " :   " x 8 6 _ 6 4 " ,                 " p r o g r a m _ n a m e " :   " m y s q l "         } ,         " p i d " :   " 4 0 0 9 " ,         " o s _ u s e r " :   " r o o t " ,         " a p p n a m e " :   " m y s q l " ,         " r o w s " :   " 1 " ,         " c m d " :   " i n s e r t " ,         " o b j e c t s " :   [                 {                         " d b " :   " p a r t " ,                         " n a m e " :   " e " ,                         " o b j _ t y p e " :   " T A B L E "                 }         ] ,         " q u e r y " :   " i n s e r t   i n t o   e   v a l u e s   ( 9 8 9 8 , ' s m a r t ' , ' j a m e s ' ) " }
详 细 的 格 式 介 绍 请 查 看 官 方 文 档 ： m y s q l - a u d i t 五 、 测 评 项 五 、 测 评 项 c c ) 应 对 审 计 记 录 进 行 保 护 ， 定 期 备 份 ， 避 免 受 到 未 预 期 的 删 除 、 修 改 或 覆 盖 等 ； 5 . 1 .   要 求 要 求 1 对 审 计 记 录 进 行 保 护 ， 那 么 这 里 就 不 细 说 了 ， 说 一 下 大 概 的 原 则 。 无 论 是 自 带 的 审 计 还 是 审 计 插 件 ， 如 果 审 核 记 录 存 储 于 文 件 中 的 ， 应 该 在 操 作 系 统 上 对 这 些 日 志 文 件 的 权 限 进 行 限 定 ， 仅 允 许 数 据 库 管 理 员 可 对 这 些 文 件 进 行 访 问 、 修 改 等 。 同 时 也 要 限 制 M y S Q L 中 的 f i l e _ p r i v 权 限 。 如 果 审 核 记 录 存 储 于 数 据 库 表 中 ， 那 么 也 应 该 对 数 据 库 的 表 进 行 权 限 设 置 ， 仅 数 据 库 管 理 员 可 对 审 核 记 录 表 进 行 访 问 、 修 改 等 。 5 . 2 .   要 求 要 求 2 定 期 备 份 就 不 用 多 做 什 么 说 明 了 ， 检 查 备 份 文 件 和 备 份 策 略 即 可 。 在 这 里 有 一 个 地 方 想 探 讨 下 ， 在 等 级 保 护 2 . 0 试 行 稿 中 ， 对 日 志 的 留 存 时 间 有 要 求 ：   这 里 的 法 律 法 规 要 求 一 般 来 说 指 的 就 是 《 网 络 安 全 法 》 ， 其 中 有 关 日 志 留 存 时 间 的 条 款 如 下 ： （ 三 ） 采 取 监 测 、 记 录 网 络 运 行 状 态 、 网 络 安 全 事 件 的 技 术 措 施 ， 并 按 照 规 定 留 存 相 关 的 网 络 日 志 不 少 于 六 个 月 ； 在 等 保 正 式 2 . 0 正 式 稿 中 ， 这 个 测 评 项 被 删 除 了 ， 那 么 《 网 络 安 全 法 》 对 于 日 志 留 存 时 间 （ 6 个 月 ） 的 要 求 是 否 落 在 了 测 评 项 c 当 中 呢 ？ 从 基 本 要 求 来 看 ， 应 该 不 是 ， 其 中 没 有 这 个 要 求 ：   当 然 ， 既 然 网 络 安 全 法 这 么 规 定 了 ， 等 级 保 护 肯 定 还 是 有 测 评 项 来 实 现 该 要 求 的 ， 就 是 在 安 全 管 理 中 心 的 集 中 管 控 的 测 评 项 中 ：   按 照 我 的 个 人 理 解 ， 6 个 月 的 留 存 时 间 要 求 ， 应 该 是 在 集 中 管 控 的 c 测 评 项 中 去 落 实 。 怎 么 测 评 呢 ？ 首 先 肯 定 要 有 相 关 的 审 计 设 备 ， 也 就 是 数 据 库 审 计 以 及 综 合 日 志 审 计 设 备 ， 没 有 这 些 设 备 ， 集 中 管 控 d 测 评 项 的 第 一 个 要 求 就 没 法 满 足 。 然 后 在 这 些 设 备 中 ， 查 看 汇 总 的 审 计 记 录 留 存 时 间 是 否 满 足 了 法 律 法 规 的 要 求 。 也 就 是 ， 不 需 要 跑 去 单 个 的 设 备 上 ， 查 看 每 个 设 备 的 审 计 记 录 是 否 满 足 法 律 法 规 的 要 求 。 否 则 ， 等 级 保 护 2 . 0 正 式 稿 中 就 不 会 将 应 确 保 审 计 记 录 的 留 存 时 间 符 合 法 律 法 规 要 求 挪 到 集 中 管 控 里 面 去 了 。 为 什 么 说 到 这 个 呢 ？ 因 为 我 在 初 级 教 程 里 看 到 了 关 于 留 存 时 间 的 要 求 ：  
综 上 所 述 ， 我 个 人 觉 得 关 于 日 志 留 存 时 间 6 个 月 的 要 求 ， 应 该 再 集 中 管 控 的 d 测 评 项 中 进 行 统 一 描 述 ， 而 不 是 在 每 个 测 评 对 象 的 安 全 审 计 的 c 测 评 项 中 进 行 描 述 。 六 、 测 评 项 六 、 测 评 项 d d ) 应 对 审 计 进 程 进 行 保 护 ， 防 止 未 经 授 权 的 中 断 。 这 个 就 比 较 简 单 了 ， 有 两 个 地 方 可 以 对 审 计 进 程 进 行 配 置 。 一 个 是 m y . c n f ， 这 里 就 需 要 操 作 系 统 上 对 配 置 文 件 的 权 限 进 行 限 制 ， 只 允 许 数 据 库 管 理 有 权 限 进 行 修 改 。 （ 同 时 也 要 限 制 M y S Q L 中 的 f i l e _ p r i v 权 限 。 ） 另 外 一 个 就 是 那 些 变 量 了 ， 似 乎 是 需 要 s u p e r 权 限 才 可 以 设 置 全 局 变 量 ， 那 么 这 里 的 话 就 需 要 查 看 s u p e r 权 限 给 了 哪 些 账 户 。 * 本 文 原 创 作 者 ： 起 于 凡 而 非 于 凡 ， 本 文 属 于 本 文 原 创 作 者 ： 起 于 凡 而 非 于 凡 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-2-2 22:20 , Processed in 0.719935 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表