CN115658662A - 一种基于数据库安全质检及自动整改的方法 - Google Patents

Abstract

本发明涉及数据库处理技术领域，具体是一种基于数据库安全质检及自动修改的方法。依据国家标准，由运维安全人员根据项目运行实际情况可灵活调整对应，调整项目中各项配置要求调整需要配置的等级，自动执行修复低于配置等级的检查项，修复完成后，自动执行扫描脚本，并再次与等保要求项进行比对，直至修复达到项目要求数据库安全质量标准。本发明实施例提供是一种基于数据库安全质检及自动整改的方法，所述mysql数据库安全性检测通过数据库设计、数据库开发、数据库运行、数据库安全四个方面基于shell脚本执行mysql数据库的命令，所述命令是基于sql语言编写，根据预设的格式将所述运行数据保存成文本文件，得到反映数据库运行的健康状态的运维数据，共同检测mysql数据库的安全质量等级，并出具扫描报告。

Description

一种基于数据库安全质检及自动整改的方法

技术领域

本发明涉及数据库处理技术领域，具体是一种基于数据库安全质检及自动修改的方法。

背景技术

mysql数据库是一种关系型数据库管理系统，由于其体积小、速度快、总体拥有成本低，尤其是开放源码这一特点，开源也就意味着带来了更多的安全问题，数据库集中了重要数据，容易引起不法分子的攻击导致数据的泄露，或者由于系统以及网络的崩溃导致数据丢失等等，因此安全质量审计越来越受到人们的重视，但目前现有专利多为mysql数据库安全审计，针对mysql数据库发现的安全问题都需要人工进行一一修复，该方式耗时较大，效率低，且受人为因素影响而准确性低，且无法按照国家标准去提升数据库安全等级。

现有专利发明大多数主要是通过检索MySQL数据库的用户信息、安装配置信息、目录信息或日志信息，判断是否存在安全风险，对有风险的检查项，并未给修改建议并自动化修复或者给出修复标准。

本发明主要通过获取的数据信息和数据库信息进行分析，从而判断是否存在安全风险，若存在高中低三种类型的风险报告提示，则按照国家标准对不符合的检查项进行自动修复，安全检查员可根据项目本身要求，选择对应的修复标准进行修复，修复完成后再次扫描，直至修复达到项目要求数据库安全质量标准。

发明内容

本发明提供是一种基于数据库安全质检及自动修改的方法，所述mysql数据库安全性检测通过数据库设计、数据库开发、数据库运行、数据库安全四个方面基于shell脚本执行mysql数据库的命令，所述命令是基于sql语言编写，根据预设的格式将所述运行数据保存成文本文件，得到反映数据库运行的健康状态的运维数据，共同检测mysql数据库的安全质量等级，并出具扫描报告，并将扫描的各项结果与国家标准GB/T 22239-2019《信息安全技术网络安全等级保护基本要求》和GB/T 28448-2019《信息安全技术网络安全等级保护测评要求》，得出每一条检查项得分（威胁级别定义W）,依据国家标准，由运维安全人员根据项目运行实际情况可灵活调整对应，调整项目中各项配置要求调整需要配置的等级，自动执行修复低于配置等级的检查项，修复完成后，自动执行扫描脚本，并再次与等保要求项进行比对，直至修复达到项目要求数据库安全质量标准。目前其他专利中更多的为需要安装对应的系统或需要对应的电子设备，无法在节省人力和设备的前提下进行检测。

为解决上述技术问题，提供一种基于数据库安全质检及自动修改的方法，包括有如下步骤：

S1、使用root账号高权限账号登陆mysql数据库服务器；

S2、上传脚本至对应服务器，执行信息保存到tmp文件夹下；

S3、授权chmod 700 *.sh；

S4、依据信息安全技术网络安全等级保护测评要求分五个等级，分别为五级、四级、三级、二级、一级，根据项目实际情况选择对应需要扫描的等级；

S5、执行mysqlcheck扫描脚本——./为sh文件执行命令；

S6、将扫描报告与信息安全技术网络安全等级保护测评要求的各项指标进行比对，指出需要调整各个指标项；

检测以上任一一种或多种信息，判断是否存在安全风险，当有安全风险时，计算所有单个扫描mysql数据库安全配置的最高标准，设标准规范值为A1，设各个扫描项A1的相似检测项标准为A2、A3.....An；其中设扫描出结果为B1，设各个扫描项B1的相似检测项标准为B2、B3.....Bn；

Kn为每一项占比分Kn=K/100 (0<K<10，K∈N)

利用每一条检查项得分

综合每一条检查项得分后得出最后的

当检查项得分W≤60%时，该检查项为高危；

当检查项得分W≤80%时，该检查项为中危；

当检查项得分W≤90%时，该检查项为低危；

当检查项得分W=100%时，该检查项为合格；

整体项目报告合格率

当检查项得分P=100%时，该检查项为合格；

当检查项得分P≤60%时，该检查项为高危；

当检查项得分P≤80%时，该检查项为中危；

当检查项得分P≤90%时，该检查项为低危；

S7、由安全员核实后，进行自动修复各个检测项，并设定检测项的高危系数、中危系数、低危系数；

S8、自动修复方式均为Shell语句自动执行或保障系统达到合格标准。

当检测完成后，整体项目报告合格率，当检查项得分处于高危时，即可执行以上操作，直至项目处于合格后，再次产生扫描报告，此方法不但提高了检测的全面性和检测效率；也可以处理多种安全风险。本发明的具体优点：本发明实施例通过对所述获取的数据库信息和网络信息进行分析，本领域的技术人员一方面可以提升数据库安全质量审计，另一方面可以提升现有数据库安全等级是否符合基本等保测评。

附图说明

图1为本发明执行方法流程图。

具体实施方式

结合具体案例详细说明本技术方案：

一种基于数据库安全质检及自动修改的方法，包括有如下步骤：

S1、使用root账号高权限账号登陆mysql数据库服务器；

S2、上传脚本至对应服务器，执行信息保存到tmp文件夹下；

S3、授权chmod 700 *.sh；

S4、依据信息安全技术网络安全等级保护测评要求分五个等级，分别为五级、四级、三级、二级、一级，根据项目实际情况选择对应需要扫描的等级；

S5、执行mysqlcheck扫描脚本——./为sh文件执行命令；

S6、将扫描报告与信息安全技术网络安全等级保护测评要求的各项指标进行比对，指出需要调整各个指标项；

检测以上任一一种或多种信息，判断是否存在安全风险，当有安全风险时，计算所有单个扫描mysql数据库安全配置的最高标准，设标准规范值为A1，设各个扫描项A1的相似检测项标准为A2、A3.....An；其中设扫描出结果为B1，设各个扫描项B1的相似检测项标准为B2、B3.....Bn；

Kn为每一项占比分Kn=K/100 (0<K<10，K∈N)

利用每一条检查项得分

综合每一条检查项得分后得出最后的

当检查项得分W≤60%时，该检查项为高危；

当检查项得分W≤80%时，该检查项为中危；

当检查项得分W≤90%时，该检查项为低危；

当检查项得分W=100%时，该检查项为合格。

整体项目报告合格率

当检查项得分P=100%时，该检查项为合格；

当检查项得分P≤60%时，该检查项为高危；

当检查项得分P≤80%时，该检查项为中危；

当检查项得分P≤90%时，该检查项为低危。

S7、由安全员核实后，进行自动修复各个检测项，并设定检测项的高危系数、中危系数、低危系数；

通过数据库的charType对应字符集character_set、character-set-server、collation-server是否一致，若不一致，执行自动修复即可；检测值K₁定为高危系数为1，中危系数为2，低危系数为3；

通过检测mysql数据库所有的tables表，去除schema、mysql、bin三项,再与字符集table_collation相比较是否一致；检测值K₂定为高危系数为2，中危系数为4，低危系数为6；

检测mysql数据库存储类型是否为innodb，buffer_pool_size大小、存储引擎使用固定大小的Redo日志空间log_file_size、及写入缓存大小log_buffer_size；检测值K₃定为高危系数为1，中危系数为2，低危系数为3；

检测数据库是否存在多个存储引擎，若存在多个存储引擎，影响mysql库查询速度；测值K₄定为高危系数为1，中危系数为2，低危系数为3；

获取到业务系统对数据库的库表：检查表索引个数大于8的表，多个索引可提高查询速度，索引过多会导致索引文件过大，而且会影响库表增删改速度，一个表里索引过多反而会导致查询速度稍快但导致写入速度减缓，反而会降低体验感，检测值K₅定为高危系数为2，中危系数3，低危系数为4；

获取到业务系统对数据库的库表信息：检查列名称column_name长度是否存大于32字节，若大于32个会造成NUM_DISTINCT值错误；检测值K₆定为高危系数为1，中危系数为2，低危系数为3；

获取数据库配置信息检查key_buffer及key_buffer_size大小，参索引块的缓存大小，会影响提升索引处理速度；检测值K₇定为高危系数为2，中危系数为3，低危系数为4；

获取数据库信息检测query_cache_type配置，是控制着查询缓存功能的开启与关闭，query_cache_size不建议设置过大，过大的空间不但挤占实例其他内存结构的空间，而且会增加在缓存中搜索的占用比例；检测值K₈定为高危系数为3，中危系数为5，低危系数为7；

获取业务系统的网络数据信息：对所述获取的网络数据信息和数据库信息进行分析，当前mysql进程是否为实际运行数据库进程、该服务器开放TCP端口以及对应的服务、检查TCP高危端口、检查否存在非法网络连接情况，通过5个方面的检测对mysql数据库的链接是否异常，开放的TCP高危端口是否存在非法的网络连接的情况，可避免数据外泄；检测值K₉定为高危系数为1，中危系数为3，低危系数为5；

获取业务系统的网络数据信息，检查对于非交互连接，在关闭数据库之前的等待时间wait_timeout，小于8h的符合行业标准，小于1h符合等保入门标准，小于600s符合三级标准，此方法可防止人员在长时间未使用数据情况下，自动断开数据连接，保障数据不被泄露；检测值K₁₀定为高危系数为2，中危系数为3，低危系数为5。

获取业务系统的网络数据信息：客户端数量max_connection，最大连接数max_user_connections，查询及控制服务器允许同时连接的最大，现有配置默认为0无上限。检测值K₁₁定为高危系数为2，中危系数为3，低危系数为5；

获取业务系统对数据库系统访问的数据库信息：检查对mysql数据库的my.cnf获得默认端口号，检验数据库的是否默使用默认端口及常用端口，可避免在自动端口扫描的服务下暴露mysql服务，可降低被暴力破解的几率；检测值K₁₂定为高危系数为2，中危系数为3，低危系数为5；

检查linux下mysql进程信息，核验服务器进程信息是否正常、当前数据库数据文件存放地址、检测mysql数据库的安装配置信息、判断是否启用mysql命令行历史记录功能、当启用mysql命令行历史记录功能时存在安全风险；检测值K₁₃定为高危系数为2，中危系数为4，低危系数为6；

扫描err_log日志，核验错误关键词：对数据库错误日志信息mysqld.log，可对最近数据库错误日志，检测mysql数据库的日志信息，判断是否开启错误日志记录功能，当未开启错误日志记录功能时存在安全风险；检测值K₁₄定为高危系数为2，中危系数为4，低危系数为6；

检查是否开启bin-log日志，记录所有更新了数据或者已经潜在更新了数据的所有语句，log_bin状态为ON时，可将所有数据改变进行记录，当有了数据更新的binlog，所以可以用于实时备份，与master/slave主从复制结合，从而符合等保备份的前提条件。检测值K₁₅定为高危系数为2，中危系数为4，低危系数为7；

Mysql备份机制扫描：扫描备份脚本的创建本地备份机制，核验备份至本地文件数量，每60天进行一次更新迭代；核心关键数据扫描，异地数据备份至其他服务器。检测值K₁₆定为高危系数为1，中危系数为2，低危系数为3；

检测数据库的访问权限和管理权限：针对root用户，只保留root@localhost用户，对数据库的访问权限进行分别设置为用户数据访问和团队群组数据访问。用户只能访问、删除和编辑自己的用户数据，而对其他用户的用户数据则只有阅读权限；通过对数据根据业务权限的不同进行分组，属于该组的用户才可以访问团队群组数据，避免非授权用户的访问。业务系统访问通过指定IP绑定，服务器之间进行绑定，可将多次陌生访问ip进行封禁处理，可将mysql风险降至最低；检测值K₁₇定为高危系数为3，中危系数为5，低危系数为7；

检测数据库的sql注入信息：深入扫描在库中是否含有sql注入的敏感信息。检测针对数据库自身的SQL注入漏洞，在正常的sql语句select、delete、insert、update语句入函数、注入匿名pl/sql块、游标注入、通过嵌入、注释、转义符等手段加入针对数据库漏洞或数据库设置缺陷的畸形字符串或其他畸形输入，注入 ，通过单次或多次这种畸形输入逐步获取数据库中更高权限，最终获取数据库中敏感信息或直接夺取数据库DBA权限；检测值K₁₈定为高危系数为5，中危系数为7，低危系数为10；

检测数据库的弱口令扫描、撞库、暴力解除三种方式：先对密码强度进行检测，确保其可靠性。针对内网数据库，手动下载弱口令动态库至所在mysql数据库，通过已收集到的在其他服务中注册的用户名和密码，使用SNETCracker进行全面扫描，对目标数据库进行访问尝试登陆；检测值K₁₉定为高危系数为2，中危系数为5，低危系数为7；

数据库密码明文扫描，整个服务器包含jdbc、yml等一系列数据库配置文件，包含mysql数据库的用户及密码信息，当获取到用户名及密码字段提醒，数据库有被暴露的风险，可使用mysql_config_editor技术进行模糊处理。通过这种方式，密码以非明文格式存储在文件中并在以后使用，而无需在命令行或环境变量中公开；检测值K₂₀定为高危系数为1，中危系数为3，低危系数为5。

S8、自动修复方式均为Shell语句自动执行或保障系统达到合格标准。

K₁ 自动修复：ALTER DATABASE 库表DEFAULT CHARACTER 自动获取待修复名称DEFAULT COLLATE 修复格式；

K₂自动修复：ALTER 标准库表DEFAULT CHARSE自动获取原格式COLLATE=修复格式；

K₃自动修复：ALTER TABLE 存储引擎名称 ENGINE = 修复文件格式；设置nnodb_buffer_pool_size为系统系统内存的50%至75%；默认缓冲池大小为128 MB，为了避免潜在的性能问题，buffer_pool_size/buffer_pool_chunk_size不应超过1000；

K₄自动修复：ALTER TABLE 自动获取待修复引擎名称 ENGINE = INNODB；

K₅自动修复：针对索引过多的表，发送针对性的意见，在条件WHERE和排序ORDERBY命令上涉及的列建立索引，根据EXPLAIN来查看是索引还是全表扫描；

K₆自动修复：UPDATE 被改表名称 SET 自动获取超出列名称 = 新值 WHERE 列名称 = 某值；

K₇自动修复：自动获取服务器的内存大小，设key_reads/key_read_requests之比控制在0.1%以下为较佳；

K₈自动修复：修改配置文件query_cache_type on并保存，根据实例规格，将初始值设置为10MB-100MB之间为宜，根据运行情况调整符合业务大小；

K₉自动修复：分为两部分高危端口的处理，对已使用的高危端口进行标记说明。对未使用的高危端口进行封禁处理 iptables -A OUTPUT -p tcp --dport 已获取的高危端口号 -j DROP加入很名单；

K₁₀自动修复：依据项目要求的等保要求，自动修改my.cnf文件的非交互连接wait_timeout时间；

K₁₁自动修复：自动设置thread_concurrency上限，首先获取本身服务器的CPU核数，设定并发线程数（thread_concurrency）设为CPU核数最大的两倍，既不浪费服务器本身的性能，最大化利用系统的连接数；

K₁₂自动修复：检测是否剩余低危端口，若存在低危端口，备份mysql数据库文件的my.cnf，修改端口配置，并向报告文件中向安全人员提示修改为该端口，修改应用服务的端口后，自动重启mysql服务；

K₁₃自动修复：依据安全条款，给出mysql数据库的安装配置不合理的路径建议，开启数据日志历史记录功能；

K₁₄自动修复：自动开启mysqld.log错误日志记录功能；

K₁₅自动修复：自动开启bin-log日志状态为ON，将所有数据改变进行记录，数据更新的binlog实时备份，与master/slave主从复制结合；

K₁₆自动修复：利用mysqlhotcopy -uxxzx -ppassword mysql /backup/mysql

K₁₇自动修复：业务系统访问通过指定IP绑定，服务器之间进行绑定，可将多次陌生访问ip进行封禁处理iptables -I INPUT -s 陌生ip -j DROP，通过创建 '账户'@'所要访问ip地址' 找到mysql_native_password '密码'，并将所有该有的权限赋予'账户'@'所要访问ip地址'；

K₁₈自动修复：利用lateral提权技术限制CREATE ANT TRIGGER权限提DBA，限制CREATE ANT VIEW权限提DBA、限制EXECUTE ANY PROCEDURE权限提DBA、限制CREATEPROCEDUER权限提DBA；

K₁₉自动修复：按照等保要求，设置新密码最小长度大于8，至少包含1个数字、1个小写字母、1个大写字母、1个其他等，符合至少三种不同密码类型,允许的新、旧密码存在相同字符的个数小于3；设置如下Minlen>8，difok<3、Dcredit>-1、lcredit>-1，Ucredit>-1、ocredit=-1；

K₂₀自动修复：对检测jdbc、yml配置文件，包含mysql数据库的用户及密码信息的明文位置进行获取，并对每一个文件使用mysql_config_editor对 .mylogin.cnf 文件进行模糊处理，并在客户端程序未混淆时，其内容仅在内存中使用。通过这种方式，密码以非明文格式存储在文件中并在以后使用，而无需在命令行或环境变量中公开。mysql_config_editor提供了一个 print 用于显示登录路径文件内容的命令，但即使在这种情况下，密码值也会被屏蔽，以免以其他用户可以看到的方式出现。

当项目需要完成对mysql数据库等保三级评定时，安全检查员执行开始对mysql数据库进行基于数据库安全质检及自动整改：

使用root账号等最高权限账号登陆mysql数据库服务器；上传脚本至对应服务器，执行扫描脚本；授权chmod 700 *.sh；出具扫描报告查看整体项目报告合格率

，P是否小于90%，若小于90%，依据项目情况报告W合格率，针对每一项的

，核验检测项的K值处于何种等分，如修改密码，安全员根据实际情况设置符合规则的密码即可。

本发明比较高效、精准地为用户的mysql数据库发现的安全问题都需要人工进行一一修复，该方式耗时短，效率高，受人为因素影响低且准确性低，并且按照国家标准去提升Mysql数据库安全等级动态调节，具有一定的创新型。

Claims (1)

1.一种基于数据库安全质检及自动修改的方法，其特征在于包括有如下步骤：

S1、使用root账号高权限账号登陆mysql数据库服务器；

S2、上传脚本至对应服务器，执行信息保存到tmp文件夹下；

S3、授权chmod 700 *.sh；

S4、依据信息安全技术网络安全等级保护测评要求分五个等级，分别为五级、四级、三级、二级、一级，根据项目实际情况选择对应需要扫描的等级；

S5、执行mysqlcheck扫描脚本——./为sh文件执行命令；

S6、将扫描报告与信息安全技术网络安全等级保护测评要求的各项指标进行比对，指出需要调整各个指标项；

检测以上任一一种或多种信息，判断是否存在安全风险，当有安全风险时，计算所有单个扫描mysql数据库安全配置的最高标准，设标准规范值为A1，设各个扫描项A1的相似检测项标准为A2、A3.....An；其中设扫描出结果为B1，设各个扫描项B1的相似检测项标准为B2、B3.....Bn；

Kn为每一项占比分Kn=K/100 (0<K<10，K∈N)

利用每一条检查项得分

综合每一条检查项得分后得出最后的

当检查项得分W≤60%时，该检查项为高危；

当检查项得分W≤80%时，该检查项为中危；

当检查项得分W≤90%时，该检查项为低危；

当检查项得分W=100%时，该检查项为合格；

整体项目报告合格率

当检查项得分P=100%时，该检查项为合格；

当检查项得分P≤60%时，该检查项为高危；

当检查项得分P≤80%时，该检查项为中危；

当检查项得分P≤90%时，该检查项为低危；

S7、由安全员核实后，进行自动修复各个检测项，并设定检测项的高危系数、中危系数、低危系数；

S8、自动修复方式均为Shell语句自动执行或保障系统达到合格标准。

Images