MySQL 使用 MariaDB 审计插件

转自 https://mp.weixin.qq.com/s/vNcTb7IR_LpYlcZf_Y-aAA

Oracle 的 MySQL 社区版不带审计插件（Audit Plugin），要想使用审计功能，你可以用企业版，不过这需要银子。业界还有一些 GPL 协议的审计插件，这里我们选择 MariaDB 的审计插件。

一、迁移并安装

MariaDB 的 10.1 版本对应与 Oracle 的 MySQL 5.7，我们到它的官网上下载 Linux 的通用版本，下载下来解压大约 1.3G：

#ll-hmariadb-10.1.46-linux-x86_64.tar-rw-rw-r--1scutechscutech1.3GAug19 18:19mariadb-10.1.46-linux-x86_64.tar

我们找到需要的审计插件：

./mariadb-10.1.46-linux-x86_64/lib/plugin/server_audit.so

把这个 so 结尾的文件拷贝到 MySQL 的插件目录，例如：/usr/lib/mysql/plugin/ ，使用下面的命令加载：

mysql> install plugin server_audit SONAME'server_audit.so';

mysql> show plugins;

......

+----------------------------+----------+--------------------+----------------------+---------+

通过 SHOW PLUGINS 可以看到 SERVER_AUDIT 是最后一个 plugin。

二、配置

MariaDB 的审计插件的配置说明参见：https://mariadb.com/kb/en/mariadb-audit-plugin-configuration/

涉及到审计功能的参数如下：

mysql> show variables like'%audit%';

+-------------------------------+-----------------------+

| Variable_name |Value|

+-------------------------------+-----------------------+

|server_audit_events | |

| server_audit_excl_users| |

|server_audit_file_path | server_audit.log |

| server_audit_file_rotate_now |OFF|

|server_audit_file_rotate_size| 1000000 |

| server_audit_file_rotations |9 |

|server_audit_incl_users | |

| server_audit_loc_info | |

|server_audit_logging | OFF |

| server_audit_mode |1 |

|server_audit_output_type| file |

| server_audit_query_log_limit |1024 |

|server_audit_syslog_facility| LOG_USER |

| server_audit_syslog_ident |mysql-server_auditing|

|server_audit_syslog_info| |

| server_audit_syslog_priority |LOG_INFO|

+-------------------------------+-----------------------+

16 rowsinset (0.00 sec)

这些参数值可以用 SET 语句进行设置：

SETGLOBALserver_audit_logging=ON;SETglobalserver_audit_events='connect,query';

为了重新启动后也能生效，可以在 MySQL 的配置文件添加相应的设置：

[server]... server_audit_logging=ONserver_audit_events=connect,query…

server_audit_logging 这参数默认为 OFF，把这个参数设置为 ON 才能启动审计功能。

server_audit_events 决定记录的事件，这里我们记录 connect 和 query，也就是记录用户的连接和查询语句。

三、审计记录的文件和格式

使用下面的命令可以强制进行审计文件的切换：

mysql>setglobalserver_audit_file_rotate_now =on;Query OK,0rowsaffected(0.00sec)

生成一个新的审计文件，文件名后面数字表示文件的序号：

root@infokist:/var/lib/mysql# ll server_au*-rw-r-----1mysql mysql26163Aug2011:11server_audit.log-rw-r-----1mysql mysql326651Aug2011:09 server_audit.log.1

server_audit_file_rotate_size：决定每个审计记录文件的大小，到这个阀值时自动进行审计记录文件的切换。

server_audit_file_rotations：决定审计记录文件的数量，到这个阀值时会覆盖第一个审计记录文件，默认为 9。

server_audit_output_type：设置为 file 时，记录成文件，默认目录是 MySQL 的 datadir 目录，默认文件名是 server_audit.log。当设置为 syslog 时，审计记录会通过标准 <syslog.h> API 发送给本地的 syslogd daemon。

审计记录文件的格式是：

[timestamp],[serverhost],[username],[host],[connectionid],[queryid],[operation],[database],[object],[retcode]

一个对应的例子如下：

20200820 11:04:04,infokist,superuser,localhost,23,4759,QUERY,ds_db,'selectcount(*)fromvm_zfs_storage',0

最后编辑于：2020.09.11 11:02:10