MySQL等保测评实战：从零配置到合规检查的完整指南
MySQL等保测评实战：从零配置到合规检查的完整指南
在金融、政务等对数据安全要求极高的领域，数据库系统的合规性不仅是法律要求，更是业务连续性的基础保障。等保测评作为国内权威的安全评估体系，其标准之严格、流程之复杂常让技术团队望而生畏。本文将打破传统测评文档的教条式罗列，以CentOS 8+MySQL 8.0实战环境为例，手把手演示从基础配置到高级防护的完整落地过程。不同于市面上泛泛而谈的理论指南，我们特别设计了可复用的Bash检查脚本和SQL模板，帮助您在48小时内完成90%的合规改造。
1. 环境准备与基线加固
1.1 安全安装MySQL 8.0
在CentOS 8上推荐使用官方YUM源安装最新稳定版，避免源码编译带来的潜在风险：
# 添加MySQL官方仓库 sudo rpm -Uvh https://dev.mysql.com/get/mysql80-community-release-el8-4.noarch.rpm # 安装服务端与客户端 sudo dnf install -y mysql-community-server mysql-community-client # 启用SSL自动配置 sudo openssl rand -hex 32 > /var/lib/mysql/auto.cnf安装完成后立即执行以下加固操作：
- 删除匿名账户：
DELETE FROM mysql.user WHERE User=''; - 移除测试数据库：
DROP DATABASE IF EXISTS test; - 重命名root账户：
RENAME USER 'root'@'localhost' TO 'mysql_admin'@'localhost';
1.2 密码策略配置
MySQL 8.0默认启用validate_password组件，但需要根据等保要求调整参数：
-- 查看当前策略 SHOW VARIABLES LIKE 'validate_password%'; -- 修改策略（等保三级要求） SET GLOBAL validate_password.length = 12; SET GLOBAL validate_password.mixed_case_count = 2; SET GLOBAL validate_password.number_count = 2; SET GLOBAL validate_password.special_char_count = 1; SET GLOBAL validate_password.policy = 'STRONG';密码过期策略配置表
| 参数 | 等保二级要求 | 等保三级要求 | 配置命令 |
|---|---|---|---|
| default_password_lifetime | 90天 | 60天 | SET GLOBAL default_password_lifetime = 60; |
| password_history | 记住5次 | 记住10次 | SET GLOBAL password_history = 10; |
| password_reuse_interval | 365天 | 180天 | SET GLOBAL password_reuse_interval = 180; |
2. 访问控制与权限管理
2.1 最小权限原则实施
创建业务账户时应遵循"按需分配"原则，推荐使用角色(Role)进行权限管理：
-- 创建只读角色 CREATE ROLE 'db_read_only'; GRANT SELECT ON *.* TO 'db_read_only'; -- 创建DML角色 CREATE ROLE 'db_dml_operator'; GRANT SELECT, INSERT, UPDATE, DELETE ON *.* TO 'db_dml_operator'; -- 将角色赋予用户 CREATE USER 'app_user'@'192.168.1.%' IDENTIFIED BY 'Complex@Pass123'; GRANT 'db_dml_operator' TO 'app_user'@'192.168.1.%';2.2 网络访问控制
通过防火墙和MySQL白名单实现双重防护：
# 防火墙规则（仅允许应用服务器访问） sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="3306" accept' sudo firewall-cmd --reloadMySQL端配置访问限制：
-- 查看当前远程访问用户 SELECT user,host FROM mysql.user WHERE host NOT IN ('localhost','127.0.0.1'); -- 限制特定IP段访问 UPDATE mysql.user SET host='192.168.1.%' WHERE user='app_user'; FLUSH PRIVILEGES;3. 审计与日志管理
3.1 开启全量审计日志
MySQL企业版自带审计插件，社区版可使用开源替代方案：
-- 安装审计插件 INSTALL PLUGIN server_audit SONAME 'server_audit.so'; -- 配置审计参数 SET GLOBAL server_audit_events='CONNECT,QUERY,TABLE'; SET GLOBAL server_audit_logging=ON; SET GLOBAL server_audit_file_rotate_size=100000000; SET GLOBAL server_audit_file_rotations=10;审计日志检查清单
- [ ] 记录所有管理操作（CREATE/ALTER/DROP）
- [ ] 包含完整的SQL语句文本
- [ ] 记录操作用户和客户端IP
- [ ] 日志文件权限设置为600
- [ ] 每日定时归档到专用存储
3.2 实时监控配置
使用Percona监控工具实现异常登录检测：
# 安装Percona监控插件 curl -s https://packagecloud.io/install/repositories/percona/release/script.rpm.sh | sudo bash sudo dnf install -y percona-toolkit # 设置登录失败报警 pt-query-digest --type=binlog --filter '$event->{arg} =~ /Access denied/' /var/log/mysql/mysql-bin.0000014. 自动化检查与整改
4.1 等保合规检查脚本
保存为mysql_security_check.sh并定期执行：
#!/bin/bash # 密码复杂度检查 mysql -e "SHOW VARIABLES LIKE 'validate_password%'" | grep -q "validate_password_length=12" || echo "密码长度不符合要求" # 审计功能检查 mysql -e "SHOW PLUGINS" | grep -q "SERVER_AUDIT.*ACTIVE" || echo "审计插件未启用" # 检查SSL连接 mysql -e "SHOW VARIABLES LIKE '%ssl%'" | grep -q "have_ssl=YES" || echo "SSL未启用" # 版本漏洞检查 mysql -V | awk '{print $5}' | grep -qv "8.0.3[0-9]" && echo "存在已知漏洞版本"4.2 常见问题快速修复
连接控制插件配置：
INSTALL PLUGIN connection_control SONAME 'connection_control.so'; SET GLOBAL connection_control_failed_connections_threshold=5; SET GLOBAL connection_control_min_connection_delay=3000;会话超时设置：
SET GLOBAL interactive_timeout=1800; SET GLOBAL wait_timeout=600;SSL证书强制启用：
# 在my.cnf中添加 [mysqld] require_secure_transport=ON ssl-ca=/etc/mysql/ca.pem ssl-cert=/etc/mysql/server-cert.pem ssl-key=/etc/mysql/server-key.pem在完成所有配置后，建议使用mysql_secure_installation工具进行最终检查。实际项目中我们发现，约70%的等保不符合项源于未及时更新的密码策略和缺失的审计日志，通过本文的自动化脚本可以快速定位这些问题。对于金融客户，还需要特别注意数据库备份加密和存储过程权限控制等额外要求。