Debian MySQL如何保障数据安全

Debian 上 MySQL 数据安全实践清单

一 基础加固

• 保持系统与数据库为最新安全补丁：执行 sudo apt update && sudo apt upgrade -y，及时修复已知漏洞。
• 安装后立即运行安全初始化：sudo mysql_secure_installation，完成设置 root 强密码、删除匿名用户、禁止 root 远程登录、移除测试库并刷新权限。
• 限制网络暴露：编辑配置文件（如 /etc/mysql/mysql.conf.d/mysqld.cnf 或 /etc/mysql/my.cnf），将 bind-address = 127.0.0.1，仅本地监听；如需远程仅放行白名单网段。
• 防火墙策略：使用 UFW 仅开放必要端口（如 22/SSH、80/HTTP、443/HTTPS），数据库端口 3306 默认不对外暴露；必要时仅对受控管理网段开放并配合强认证。
• 禁用危险功能：在 [mysqld] 中设置 local-infile=0，降低通过 LOAD DATA LOCAL 读取敏感文件的风险。

二 身份与访问控制

• 禁止 root 远程登录，仅允许本地 Unix 套接字或管理网段登录；创建专用于应用的低权限账户，遵循最小权限原则。
• 清理默认与匿名账户：删除空用户（如 User=‘’）及不再使用的账户，避免横向提权与隐蔽入口。
• 精细化授权：按库/表/列授予所需权限，避免使用 GRANT ALL；对敏感表设置行级安全或视图隔离。
• 强密码策略：为数据库账户设置足够复杂度与定期更换策略，避免复用与弱口令。

三 加密与网络安全

• 传输加密：在公网或不可信网络中启用 SSL/TLS 加密客户端与服务器通信，防止凭据与会话被窃听。
• 远程访问方式：优先通过 SSH 隧道/端口转发访问数据库，减少直接暴露 3306 端口的风险。
• 访问控制：结合 UFW/iptables 对数据库端口实施来源 IP 白名单与速率限制，仅允许受控主机连接。

四 审计、监控与备份恢复

• 日志与审计：启用并集中管理 MySQL 错误日志/通用查询日志；系统层面使用 auditd/rsyslog 收集与安全相关的审计日志，便于取证与告警。
• 入侵防护：部署 fail2ban 对暴力破解进行自动封禁，缩短攻击窗口。
• 完整性校验：定期检查数据目录（如 /var/lib/mysql）权限与属主，确保仅 mysql 用户可读写，防止未授权篡改。
• 备份与恢复：制定周期性备份（如每日全量/增量），并进行离线/异地存储与定期恢复演练，验证可用性与完整性；同时持续监控与告警关键指标与异常行为。

五 快速检查命令清单

• 查看监听地址与端口：ss -lntp | grep 3306
• 验证本地文件读取是否被禁用：mysql -e “SELECT LOAD_FILE(‘/etc/passwd’);”（预期应返回 NULL 或报错）
• 检查匿名账户：mysql -e “SELECT User,Host FROM mysql.user WHERE User=‘’;”
• 检查数据目录权限：ls -ld /var/lib/mysql /var/lib/mysql/*
• 查看防火墙状态与规则：sudo ufw status verbose
• 登录并执行安全初始化：sudo mysql_secure_installation
• 重启使配置生效：sudo systemctl restart mysql 或 sudo systemctl restart mariadb