mysql安全-数据库审计（audit）
1 简介
数据库审计（简称DBAudit）能够实时记录网络上的数据库活动，对数据库操作进行细粒度审计的合规性管理，对数据库遭受到的风险行为进行告警，对攻击行为进行阻断。它通过对用户访问数据库行为的记录、分析和汇报，用来帮助用户事后生成合规报告、事故追根溯源，同时加强内外部数据库网络行为记录，提高数据资产安全。在MySQL数据库中（5.5版本），增加了一个新的插件：Audit plugin，用于对数据库连接和数据库操作进行审计。该插件在mysql5.6.20 企业版及其后续版本才比较完善。
2 audit插件安装
可通过两种方式加载2.1 配置my.cnf文件
[mysqld]
plugin-load=audit_log.so[mysqld]
plugin-load=audit_log.so
audit-log=FORCE_PLUS_PERMANENT2.2 在mysql中动态加载
进入mysql数据库执行如下sql语句
mysql> INSTALL PLUGIN audit_log SONAME 'audit_log.so';
加载成功后查看状态
注：演示使用的mysql版本为5.6.21企业版
2.3 查看所有加载的插件
可通过如下两个命令查看所有已经加载的插件
mysql> SHOW PLUGINS;
mysql> select * from INFORMATION_SCHEMA.PLUGINS;
mysql> SHOW PLUGINS;
3 audit.log日志文件格式
3.1 格式变更方法：audit.log文件格式有两种，OLD和NEW，5.6.14之后增加了新的日志格式，通过参数audit_log_format 来控制。更改日志格式需要以下三个步骤：
step1：关闭数据库
step2：重命名当前的audit.log文件
step3：更改audit_log_format参数，并重启mysql，重启后会自动生成一个新的audit.log文件
3.2 文件介绍（NEW格式）
文件内容举例
2013-09-17T15:03:24 UTC
1_2013-09-17T15:03:24
Audit
1
1
/usr/local/mysql/bin/mysqld
--socket=/usr/local/mysql/mysql.sock
--port=3306
x86_64-osx10.6
5.7.2-m12-log
2013-09-17T15:03:40 UTC
2_2013-09-17T15:03:24
Connect
2
0
0
root
localhost
127.0.0.1
connect
root
test
...
2013-09-17T15:03:41 UTC
4_2013-09-17T15:03:24
Query
2
0
0
root[root] @ localhost [127.0.0.1]
localhost
127.0.0.1
drop_table
DROP TABLE IF EXISTS t
...
2013-09-17T15:03:47 UTC
10_2013-09-17T15:03:24
Quit
3
0
0
connect
2013-09-17T15:03:49 UTC
11_2013-09-17T15:03:24
NoAudit
1
以下标签audit record类型决定是否出现
4 日志文件控制
Audit日志文件名称可以通过参数audit_log_file来控制日志文件名称和存放路径，默认路径为mysql的data目录，默认名称为audit.log。
Audit日志审计策略
可以通过参数audit_log_strategy来控制日志审计策略，默认为ASYNCHRONOUS（异步），可选值为SYNCHRONOUS，SEMISYNCHRONOUS和PERFORMANCE。
ASYNCHRONOUS：先将日志写进buffer，buffer写满后才刷进磁盘。
SYNCHRONOUS：同步刷盘，每次事件都调用sync()
SEMISYNCHRONOUS：半同步方式刷盘，使用操作系统的缓存。
PERFORMANCE：buffer写满后会丢掉后面的事件，在高负载的机器上使用该参数会丢掉部分事件。
Audit日志存储空间管理
审计日志提供了3个系统参数来控制日志文件的大小，分别是。
audit_log_buffer_size：缓冲区大小，该缓冲区是一个单缓冲区，初始化时创建，程序结束时移除，该参数仅在audit_log_strategy为ASYNCHRONOUS（异步）模式下有效。
audit_log_rotate_on_size：日志文件增长到多大开始轮换，记写新的日志文件，该参数默认为0。该参数不为0时会，当文件增长到制定大小时便重命名为一个后缀带时间戳的文件，然后创建新的日志文件记录审计日志。
audit_log_flush：该参数仅在audit_log_rotate_on_size为0时有效，例如我们重命名了audit.log日志文件，该参数由OFF变为ON时，会产生一个新的audit.log日志文件。
日志过滤
我们可以过滤的事件包括用户账户以及状态。
对账户的过滤主要通过audit_log_include_accounts和audit_log_exclude_accounts，即记录列表包含用户的审计日志和不记录列表包含用户的审计日志。这两个参数默认都为NULL，且同时只能有一个生效。例如设置仅记录如下用户的审计日志：
SET GLOBAL audit_log_include_accounts = 'user1@localhost,user2@localhost';
状态过滤信息主要由3个参数来控制，分别是audit_log_policy，audit_log_connection_policy 及audit_log_statement_policy。
5 mysql audit使用限制
审计文件audit.log默认存放在mysql安装目录的data目录下，且没有加密，应指定一个对数据库和用户有合法权限的安全目录。对存储过程和触发器不做审计。
对load data infile操作不做审计。
****************************************************************************************
原文地址：http://blog.csdn.net/jesseyoung/article/details/41116867
博客主页：http://blog.csdn.net/jesseyoung
****************************************************************************************