设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [13567] 2018-12-23_简单实现MySQL数据库的日志审计 ...
返回列表 发新帖
查看: 43|回复: 0

[13567] 2018-12-23_简单实现MySQL数据库的日志审计

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-54

积分

管理员

积分
-54
发表于 2025-1-18 16:01:53 | 显示全部楼层 |阅读模式
2018-12-23_简单实现MySQL数据库的日志审计 简 单 实 现 M y S Q L 数 据 库 的 日 志 审 计 s i 1 e n c e   F r e e B u f   2 0 1 8 - 1 2 - 2 3 0 x 0   背 景 背 景 由 于 由 于 M y S Q L 社 区 版 没 有 自 带 的 审 计 功 能 或 插 件 ， 对 于 等 级 保 护 当 中 对 数 据 库 管 理 的 要 求 的 就 存 在 一 定 的 不 满 足 社 区 版 没 有 自 带 的 审 计 功 能 或 插 件 ， 对 于 等 级 保 护 当 中 对 数 据 库 管 理 的 要 求 的 就 存 在 一 定 的 不 满 足 情 况 的 ， 抛 开 条 条 框 框 不 说 数 据 库 的 日 志 是 值 得 研 究 的 ， 通 过 收 集 数 据 库 的 日 志 到 企 业 情 况 的 ， 抛 开 条 条 框 框 不 说 数 据 库 的 日 志 是 值 得 研 究 的 ， 通 过 收 集 数 据 库 的 日 志 到 企 业 S O C 平 台 便 于 安 全 事 件 平 台 便 于 安 全 事 件 的 溯 源 与 故 障 分 析 ， 配 合 目 前 的 的 溯 源 与 故 障 分 析 ， 配 合 目 前 的 U E B A 技 术 能 够 轻 松 发 现 很 多 恶 意 事 件 。 技 术 能 够 轻 松 发 现 很 多 恶 意 事 件 。 根 据 等 级 保 护 内 容 第 四 章 “ 数 据 库 管 理 系 统 安 全 技 术 要 求 ” 中   第 四 节 “ 数 据 库 安 全 审 计 ” 中 明 确 提 出 数 据 库 管 理 系 统 的 安 全 审 计 应 ： 1 .   建 立 独 立 的 安 全 审 计 系 统 ； 2 .   定 义 与 数 据 库 安 全 相 关 的 审 计 事 件 ； 3 .   设 置 专 门 的 安 全 审 计 员 ； 4 .   设 置 专 门 用 于 存 储 数 据 库 系 统 审 计 数 据 的 安 全 审 计 库 ； 5 .   提 供 适 用 于 数 据 库 系 统 的 安 全 审 计 设 置 、 分 析 和 查 阅 的 工 具 。   0 x 1   部 署 插 件 部 署 插 件 为 了 节 省 购 买 一 些 安 全 设 备 的 费 用 ， 可 以 尝 试 使 用 一 些 开 源 的 日 志 审 计 插 件 。 M y s q l - a u d i t 是 m a c f e e 公 司 基 于 p e r c o n a 开 发 的 M y S Q L 的 S Q L 审 计 插 件 。 源 码 地 址 如 下 ： h t t p s : / / g i t h u b . c o m / m c a f e e / m y s q l - a u d i t 首 先 确 定 当 前 m y s q l 的 版 本 去 官 网 下 载 与 之 相 对 应 的 插 件 ：
解 压 插 件 后 需 要 确 认 m y s q l 插 件 的 安 装 目 录 ： 将 解 压 出 来 的 插 件 l i b a u d i t _ p l u g i n . s o 复 制 到 插 件 的 目 录 下 ：
使 用 m y s q l 的 函 数 i n s t a l l   p l u g i n 导 入 此 插 件 后 通 过 s h o w   p l u g i n 确 认 是 否 导 入 成 功 。 主 要 命 令 如 下 ： 安 装 完 成 之 后 并 不 会 立 马 开 始 审 计 内 容 ， 需 要 定 义 一 些 参 数 。 A u d i t _ j s o n _ f i l e 这 个 参 数 要 整 体 控 制 是 否 开 启 审 计 功 能 使 用 命 令 ： 开 启 审 计 功 能 ： i n s t a l l   p l u g i n   a u d i t   s o n a m e   ‘ l i b a u d i t _ p l u g i n . s o ’ S e t   v a r i a b l e s   a u d i t _ j s o n _ f i l e = o n
审 计 后 的 记 录 名 可 以 通 过 查 询 变 量 a u d i t _ j s o n _ l o g _ f i l e 获 取 ： 默 认 的 审 计 记 录 格 式 如 下 ： J s o n 格 式 如 下 ： 同 时 插 件 支 持 一 些 自 定 义 的 参 数 与 命 令 ， 包 括 白 名 单 与 黑 名 单 的 功 能 。 A u d i t _ w h i t e l i s t _ u s e r s :   不 审 计 u s e r 用 户 的 所 有 命 令 A d u i t _ r e c o r d _ c m d s :   需 要 进 行 审 计 的 命 令 种 类 S h o w   v a r i a b l e s   l i k e   “ a u d i t _ j s o n _ l o g _ f i l e ”
更 多 的 参 数 配 置 项 目 可 以 参 考 官 方 给 的 手 册 ： h t t p s : / / g i t h u b . c o m / m c a f e e / m y s q l - a u d i t / w i k i / C o n f i g u r a t i o n 0 x 2   总 结 总 结 1 .   通 过 插 件 的 方 式 可 以 实 现 m y s q l 日 志 的 审 计 通 过 E L K 的 框 架 实 现 日 志 的 保 存 与 分 析 ， 再 通 过 后 期 写 一 些 脚 本 分 析 可 以 实 现 安 全 检 测 与 业 务 分 析 等 多 个 功 能 ， 关 键 是 零 成 本 特 别 适 合 那 些 ” 一 个 人 的 安 全 部 ” 有 此 需 求 的 同 行 们 .
2 .   根 据 一 些 测 试 数 据 表 示 ， 插 件 对 性 能 的 影 响 是 比 较 大 的 约 有 2 0 % 左 右 的 消 耗 需 要 结 合 具 体 的 业 务 情 况 进 行 评 估 。 * 本 文 作 者 ： s i 1 e n c e ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-4-19 21:57 , Processed in 0.554708 second(s), 26 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表