MariaDB日志审计 帮你揪出内个干坏事儿的小子

MySQL · suifu · 于 9个月前发布 · 435 次阅读
Part1:谁干的?
做DBA的经常会遇到,一些表被误操作了,被truncate、被delete、甚至被drop。引起这方面的原因大多数都是因为人为+权限问题导致的。一些公共账户,例如ceshi账户,所有的人都可以进行操作,由这些公共账户引起的误操作,你在办公室大喊:谁把我的表删了?8成不会有人回应你。

审计日志功能,该技术主要在MariaDB10.0/10.1和Percona 5.6版本里实现。该功能在MySQL5.6/5.7企业版里也支持。本文主要介绍和演示MariaDB10.1中如何开启审计日志,帮你揪出内个干坏事儿的小子~

Part2:构建环境
本文中,我们采用的MariaDB版本为10.1.16,当然用其他版本的MariaDB亦可,如何安装MariaDB数据库环境本文不做赘述,如果需要的可移步:
http://suifu.blog.51cto.com/9167728/1830575

下面介绍在MariaDB10.1.16中,安装审计Audit Plugin插件的方法
在MariaDB数据库中执行如下命令:
NSTALL PLUGIN server_audit SONAME 'server_audit.so';
具体代码如下图所示。
wKioL1fsYOqyR4VhAAD9zQVbwLs526.jpg

Warning:警告
这里值得注意的是,server_audit.so名字不是随意取的,因为它会读/usr/local/mariadb/lib/plugin目录下的文件,如果说将其给明为mariadb-audit.so,就会抛出如下错误,因为plugin目录下没有该文件。
wKioL1fsYb2iSN-9AAEgvCrxd6w821.jpg

Part2:参数解释
server_audit_events='CONNECT,QUERY,TABLE'表示惠济路链接进来的IP、用户名和表的DML/DDL/DCL操作。
server_audit_logging=ON 表示开启审计日志服务。
server_audit_excl_users=helei 表示只记录helei用户的所有操作。
server_audit_file_rotate_size=1G 表示超过定义的1GB,日志会自动轮训。
server_audit_file_path=server_audit.log 表示审计日志的路径。

更多相关参数可以利用show variables like 'server_audit%';来查看,如下图所示。
wKioL1fsYyzyL37_AAF7wyAmOiM317.jpg

Part3:开启相关参数
server_audit_events、server_audit_logging等参数均为全局动态参数,可以直接在数据库更改,命令如下:
set global server_audit_events='CONNECT,QUERY,TABLE';
set global server_audit_logging=ON;
wKiom1fsZH7CliSlAAHhMBHs5Ho029.jpg


Part4:检查效果
在开启相关参数后,无需重启数据库,可直接看到相关的操作已经被记录到server_audit.log ,如下图所示。
wKioL1fsZSOgGtCZAALxEbz5bss436.jpg

——总结——
自从有了审计功能,妈妈再也不用担心我找不到“坏人”啦。由于笔者的水平有限,编写时间也很仓促,文中难免会出现一些错误或者不准确的地方,不妥之处恳请读者批评指正。


本文出自 “岁伏” 博客,请务必保留此出处http://suifu.blog.51cto.com/9167728/1857594

本文由 suifu 创作,采用 知识共享署名 3.0 中国大陆许可协议 进行许可。 可自由转载、引用,但需署名作者且注明文章出处。


如果这篇文章对您有帮助,不妨微信小额赞助我一下,让我有动力继续写出高质量的帖子。

共收到 0 条回复 mariadb 审计
没有找到数据。
回复本帖 (需要登录)