PmaControl logo PmaControl
موارد › مركز تحسين MySQL › الشيكات الأمنية MySQL

الشيكات الأمنية MySQL

وثائق Markdown المنظمة لتشخيص MySQL وقياسها وتحسينها.

الشيكات الأمنية MySQL

هذه الصفحة هي وثائق PmaControl الأصلية. ويستخدم بنية فهرس عملية للعمل على تحسين MySQL، دون نسخ محتوى جهة خارجية أو الاعتماد على منتج خارجي.

الهدف

تعمل فحوصات الأمان MySQL على تقليل سطح الهجوم: الحسابات القوية للغاية، والاتصالات غير المشفرة، وكلمات المرور الضعيفة، والامتيازات العالمية غير الضرورية، والتعرض للشبكة.

الشيكات الأولوية

  • حسابات مجهولة أو حسابات بدون كلمة مرور.
  • المستخدمون الذين لديهم SUPER، FILE، PROCESS، GRANT OPTION أو حقوق عالمية غير مبررة.
  • الوصول إلى % عندما يكون هناك مضيف محدد كافٍ.
  • لا يتم فرض TLS على التدفقات الحساسة.
  • local_infile مفعل بدون الحاجة.
  • سجلات البيانات والنسخ الاحتياطية التي يمكن قراءتها بواسطة حسابات النظام الكبيرة جدًا.

SQL الأساسية

SELECT user, host, account_locked, password_expired
FROM mysql.user
ORDER BY user, host;

SHOW GRANTS FOR 'app_user'@'%';

للتذكر

المبدأ بسيط: يجب أن يكون لكل امتياز مالك ومبرر وعمر افتراضي.

تحديد النطاق وجمع أدلة الحسابات

اجرد خوادم قواعد البيانات والوكلاء وحسابات التطبيقات والمديرين والنسخ وأدوات النسخ الاحتياطي. اربط كل حساب بمسؤول وبالمضيف المصدر المتوقع. أعمدة الحسابات التالية تخص MySQL؛ تخزن MariaDB هذه المعلومات بطريقة تختلف حسب الإصدار. استخدم حساب تدقيق مخولاً ولا تصدّر تجزئات كلمات المرور أو بيانات الاعتماد إلى التقارير.

SELECT VERSION() AS server_version,
       CURRENT_USER() AS matched_account, USER() AS connection_identity;

SELECT user, host, plugin, account_locked, password_expired, ssl_type
FROM mysql.user
ORDER BY user, host;

SELECT grantee, privilege_type, is_grantable
FROM information_schema.user_privileges
ORDER BY grantee, privilege_type;

يحدد CURRENT_USER() الحساب المستخدم لفحص الصلاحيات، بينما يصف USER() هوية الاتصال. جرد الصلاحيات العامة وحده غير مكتمل: افحص SHOW GRANTS لصلاحيات القواعد والجداول والصلاحيات الديناميكية والأدوار الممنوحة، بما فيها الافتراضية والنشطة. سلسلة مصادقة فارغة لا تثبت أن الحساب غير آمن لاختلاف الإضافات. تحقّق من الإضافة وقيد المضيف وحالة القفل والسياسة الفعلية.

التحقق من النقل على الاتصال الفعلي

SHOW GLOBAL VARIABLES WHERE Variable_name IN (
  'require_secure_transport', 'tls_version', 'local_infile',
  'secure_file_priv', 'bind_address', 'port'
);
SHOW SESSION STATUS WHERE Variable_name IN ('Ssl_cipher', 'Ssl_version');

تصف حقول TLS للجلسة هذا الاتصال فقط. قد يكون مقبس Unix نقلاً محلياً آمناً دون خوارزمية TLS. في TCP افحص التشفير والتحقق من الشهادة واسم المضيف في مشغل التطبيق. عند إنهاء TLS في الوكيل اختبر المسارين: العميل إلى الوكيل والوكيل إلى الخادم. قبول الخادم TLS لا يعني أن جميع العملاء يشترطونه.

mysql --host=db.example --user=app_reader --password \
  --ssl-mode=VERIFY_IDENTITY --ssl-ca=/path/to/ca.pem

يطلب مثال عميل MySQL كلمة المرور ويتحقق من الهوية؛ استبدل المضيف ومسار CA. راجع خيارات الموصل للعملاء الآخرين. خطط لتدوير الشهادات واختبر اتصالات تطبيق جديدة قبل فرض السياسة كي لا تخفي الجلسات القائمة فشل إعادة الاتصال.

مراجعة التعرض خارج صلاحيات SQL

الضابط الدليل المطلوب حفظه
الوصول الشبكي الاستماع والجدار الناري والوصول من المصادر المقصودة
الملفات والنسخ الاحتياطية الأذونات والتشفير وحفظ المفاتيح والوصول للاستعادة
التدقيق والأسرار سجلات محمية واحتفاظ وتدوير بيانات الاعتماد وإزالة الحسابات القديمة

طبّق أقل صلاحيات حسب المهمة: افصل حركة التطبيق العادية عن الترحيل والمراقبة والنسخ الاحتياطي. اختبر إزالة الصلاحيات وقيود المضيف باتصالات جديدة، واحتفظ بالمنح الأصلية للتراجع وراقب العمليات المرفوضة. حدّث الخادم والموصلات بمسار موثق؛ دعم إضافات المصادقة يعتمد على الإصدار. يجب أن ينتهي كل بند بمسؤول وموعد إصلاح ونتيجة متحقق منها.

متابعة التشخيص

المراجع الرسمية