通过init-connect + binlog 实现MySQL审计功能

背景：

假设这么一个情况，你是某公司mysql-DBA，某日突然公司数据库中的所有被人为删了。

尽管有数据备份，但是因服务停止而造成的损失上千万，现在公司需要查出那个做删除操作的人。

但是拥有数据库操作权限的人很多，如何排查，证据又在哪？

是不是觉得无能为力？

mysql本身并没有操作审计的功能，那是不是意味着遇到这种情况只能自认倒霉呢？

本文就将讨论一种简单易行的，用于mysql访问审计的思路。

关键字：init—connect,binlog,trigger

概述：

其实mysql本身已经提供了详细的sql执行记录–general log ，但是开启它有以下几个缺点

无论sql有无语法错误，只要执行了就会记录，导致记录大量无用信息，后期的筛选有难度。

sql并发量很大时，log的记录会对io造成一定的印象，是数据库效率降低。

日志文件很容易快速膨胀，不妥善处理会对磁盘空间造成一定影响。

基本原理：

由于审计的关键在于DML语句，而所有的DML语句都可以通过binlog记录。

不过遗憾的是目前MySQL binlog 中只记录，产生这条记录的connection id（随连接数自增，循环使用），这对之后的反查没有任何帮助。

因此考虑通过init-connect，在每次连接的初始化阶段，记录下这个连接的用户，和connection_id信息。

在后期审计进行行为追踪时，根据binlog记录的行为及对应的connection-id 结合之前连接日志记录进行分析，得出最后的结论

声明：

本文只是探讨思路的可行性，并没有经过严格的线上测试。请慎重使用在生产环境！

正文：

1. 设置init-connect

1.1创建用于存放连接信息的表

create database AuditDB default charset utf8;
use AuditDB;
create table accesslog (ID int primary key auto_increment,ConnectionID int, ConnUserName varchar(30), PrivMatchName varchar(30), LoginTIme timestamp);

1.2 保证所有的用户对此表有写权限

insert into db (Host,Db,User,Insert_priv) values ('%','AuditDB','','Y');
flush privileges;

1.3 设置init-connect

在my.cnf 中的 [mysqld] 的block 添加以下配置；

init-connect='insert into AuditDB.accesslog (ConnectionID,ConnUserName,PrivMatchName,LoginTime) values(connection_id(),user(),current_user(),now());'
log-bin

1.4 重启数据库生效

service mysqld restart

2. 记录追踪

2.1 thread_id确认

假设想知道在2009年11月25日，上午9点多的时候，是谁吧test.dummy这个表给删了。可以用以下语句定位

mysqlbinlog –start-datetime=’2009-11-25 09:00:00′ –stop-datetime=’2009-11-25 09:00:00′ binlog.xxxx | grep ‘dummy’ -B 5

会得到如下结果(可见thread_id为5)：

    # at 300777#091124 16:54:00 server id 10  end_log_pos 301396       Query   thread_id=5     exec_time=0     error_code=0SET TIMESTAMP=1259052840;drop table test.dummy;

2.2 用户确认

thread_id 确认以后，找到元凶就只是一条sql语句的问题了。

select ID,LoginTime,PrivMatchName,ConnUserName fromAuditDB.accesslog where ConnectionID=5 ;

就能发现是testuser2@localhost干的了。

+——+——————————-+——————————-+—————————–+| ID   | LoginTime                        | PrivMatchName              | ConnUserName          |+——+——————————-+——————————-+—————————–+|   5  | 2009-11-25 10:57:39 | testuser2@localhost | testuser2@%        |+——+——————————-+——————————-+—————————–+