安全计算环境-（五）系统管理软件-8

MySQL

 

控制点

4.

入侵防范

由于基于网络的入侵检测只是在被监测的网段内对网络非授权的访问、使用等情况进行防范，所以其无法防范网络内单台服务器等被攻击的情况。基于服务器的入侵检测可以说是对基于网络的入侵检测的补充——补充检测那些出现在“授权”的数据流或其他遗漏的数据流中的入侵行为。

a)

安全要求：应遵循最小安装的原则，仅安装需要的组件和应用程序。

要求解读：在安装MySQL数据库时，可能会默认安装一些非必要的组件。为了避免多余的组件带来的安全风险，通常应遵循最小安装的原则，仅安装需要的组件等。MySQL数据库的多余组件，需要结合被测系统的实际情况认定。

检查方法

根据被测系统的实际情况，查看MySQL数据库是否遵循最小安装的原则。

期望结果

MySQL数据库遵循最小安装的原则，未安装非必要的组件。

b)

安全要求：应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制。

要求解读：直接使用本地网络之外的计算机连接生产环境中的数据库是异常危险的。有时管理员会开启主机对数据库的访问，示例如下。

>GRANT ALL ON *.* TO 'root'@'%'

此时完全放开了对root的访问。因此，应把重要的操作权限赋予特定主机。

>GRANT ALL ON *.* TO 'root'@'localhost'

>GRANT ALL ON *.* TO 'root'@'myip.athome'

>FLUSH PRIVILEGES

此时仅允许指定的IP（不管是否为静态IP地址）访问服务器。

检查方法

执行 “show grants for root@localhost”命令，查看用户登录的IP地址，核查是否给所有用户加上了IP地址限制以拒绝所有未知主机的连接。

注意：当user表中的Host值不在本地主机IP地址范围内时，应为其指定IP地址，使其不为%；或者将user表中的Host值置为空。在host表中指定允许用户账户登陆访问的若干主机。在非信任的客户端以数据库账户登录的行为应被拒绝。用户从其他子网登录的行为也应被拒绝。

期望结果

已在防火墙上限制特定的终端（IP地址）连接（访问）数据库。

c)

安全要求：应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞。

要求解读：攻击者可能利用数据系统中的安全漏洞对数据库系统进行攻击。因此，应对数据库系统进行漏洞扫描，及时发现系统中的已知漏洞，并在经过充分的测试和评估后更新系统补丁，避免遭受由系统漏洞带来的风险。

检查方法

1.了解MySQL数据库的补丁升级机制，查看补丁安装情况。执行如下命令，查看当前补丁版本。

show variables where variable_name like "version"

2.核查数据库的版本是否为企业版，是否定期进行漏洞扫描，是否针对高风险漏洞安装了经过评估和测试的补丁。

期望结果

1.MySQL数据库目前不存在高风险漏洞，补丁更新及时。

2.MySQL数据库为企业版，定期进行漏洞扫描。对发现的数据库漏洞，已在测试和评估后进行修补。