مقدمه

نکته مهم : این مقاله برای hardening سرویس mysql بروی لینوکس بدون کنترل پنل است ، بسیاری از موارد این مقاله را کنترل پنل هایی مانند cpanel یا directadmin مدیریت میکند و تغییرات آن باعث بهم ریختگی سرور خواهد شد .

MySQL یکی از محبوب‌ترین سیستم‌های مدیریت پایگاه داده است و بسیاری از وب‌سایت‌ها و نرم‌افزارهای تحت وب از آن استفاده می‌کنند. از آنجا که اطلاعات حساس کاربران، داده‌های مالی و تنظیمات برنامه‌ها معمولاً در MySQL ذخیره می‌شوند، ایمن‌سازی این سرویس اهمیت بالایی دارد.

تنظیمات پیش‌فرض MySQL برای همه محیط‌ها مناسب نیست و بهتر است پس از نصب، مجموعه‌ای از تنظیمات امنیتی روی آن اعمال شود. این فرآیند با عنوان MySQL Hardening شناخته می‌شود.

در این مقاله مهم‌ترین اقدامات برای ایمن‌سازی MySQL را بررسی می‌کنیم.

بررسی نسخه MySQL

ابتدا نسخه نصب‌شده را بررسی کنید:

mysql --version

یا:

mysql -V

همیشه از نسخه‌ای استفاده کنید که همچنان بروزرسانی‌های امنیتی دریافت می‌کند.

اجرای اسکریپت امنیتی MySQL

پس از نصب MySQL، اولین اقدام اجرای ابزار امنیتی داخلی آن است.

sudo mysql_secure_installation

این ابزار موارد زیر را انجام می‌دهد:

• حذف کاربران ناشناس
• غیرفعال کردن ورود Root از راه دور
• حذف دیتابیس Test
• بارگذاری مجدد سطح دسترسی کاربران

حذف کاربران ناشناس

برای بررسی کاربران:

SELECT User,Host FROM mysql.user;

در صورت وجود کاربر Anonymous:

DROP USER ''@'localhost';

حذف دیتابیس Test

بررسی:

SHOW DATABASES;

در صورت وجود:

DROP DATABASE test;

جلوگیری از ورود Root از راه دور

بررسی:

SELECT User,Host FROM mysql.user WHERE User='root';

در بیشتر سرورها بهتر است فقط مقدار زیر وجود داشته باشد:

root | localhost

استفاده از رمز عبور قوی

برای تغییر رمز:

ALTER USER 'root'@'localhost'
IDENTIFIED BY 'StrongPassword';

از رمزهای طولانی و غیرقابل حدس استفاده کنید.

استفاده از کاربران مجزا

به‌جای استفاده از Root برای اتصال برنامه‌ها، برای هر نرم‌افزار یک کاربر اختصاصی ایجاد کنید.

نمونه:

CREATE USER 'website'@'localhost'
IDENTIFIED BY 'StrongPassword';

اعطای حداقل سطح دسترسی

به‌جای:

GRANT ALL PRIVILEGES ON *.* TO 'website'@'localhost';

فقط دسترسی موردنیاز را بدهید:

GRANT SELECT, INSERT, UPDATE, DELETE
ON website_db.*
TO 'website'@'localhost';

حذف دسترسی‌های غیرضروری

بررسی سطح دسترسی:

SHOW GRANTS FOR 'website'@'localhost';

در صورت نیاز:

REVOKE privilege_name
ON database_name.*
FROM 'website'@'localhost';

محدود کردن اتصال از راه دور

بررسی فایل تنظیمات:

/etc/mysql/mysql.conf.d/mysqld.cnf

یا:

/etc/my.cnf

برای محدود کردن اتصال فقط به سیستم محلی:

bind-address = 127.0.0.1

در صورتی که نرم‌افزار روی همان سرور اجرا می‌شود، نیازی به باز بودن پورت MySQL روی اینترنت نیست.

محدود کردن دسترسی توسط Firewall

اگر اتصال از راه دور لازم نیست، پورت 3306 را روی فایروال مسدود کنید.

نمونه با UFW:

sudo ufw deny 3306

غیرفعال کردن Symbolic Link

در فایل تنظیمات:

symbolic-links=0

فعال کردن لاگ خطا

بررسی:

log_error=/var/log/mysql/error.log

فعال کردن Slow Query Log

slow_query_log=ON

slow_query_log_file=/var/log/mysql/slow.log

long_query_time=2

این قابلیت علاوه بر بهینه‌سازی عملکرد، در شناسایی رفتارهای غیرعادی نیز مفید است.

حذف فایل‌های قدیمی Backup

اطمینان حاصل کنید فایل‌های SQL Backup در مسیر قابل دسترس وب قرار نگرفته باشند.

مسیرهای مانند:

/var/www/html
/public_html

نباید شامل فایل‌های:

backup.sql
database.sql
dump.sql

باشند.

بروزرسانی MySQL

Ubuntu:

sudo apt update

sudo apt upgrade mysql-server

AlmaLinux:

sudo dnf update mysql-server

بررسی وضعیت سرویس

sudo systemctl status mysql

یا:

sudo systemctl status mysqld

بررسی کاربران

SELECT User,Host FROM mysql.user;

کاربران ناشناس یا بلااستفاده را حذف کنید.

تهیه نسخه پشتیبان

قبل از اعمال تغییرات مهم:

mysqldump -u root -p --all-databases > backup.sql

تست امنیت

پس از اعمال تنظیمات، موارد زیر را بررسی کنید:

• ورود Root از راه دور غیرفعال است.
• کاربران ناشناس وجود ندارند.
• دیتابیس Test حذف شده است.
• فقط کاربران موردنیاز ایجاد شده‌اند.
• دسترسی‌ها محدود شده‌اند.
• پورت 3306 فقط در صورت نیاز در دسترس است.
• لاگ‌ها فعال هستند.

بهترین روش‌ها

• همیشه از آخرین نسخه پایدار MySQL استفاده کنید.
• از کاربران مجزا برای هر نرم‌افزار استفاده کنید.
• حداقل سطح دسترسی را اعمال کنید.
• MySQL را فقط در صورت نیاز روی شبکه در دسترس قرار دهید.
• از رمزهای عبور قوی استفاده کنید.
• به‌صورت منظم نسخه پشتیبان تهیه کنید.
• لاگ‌ها را به‌طور دوره‌ای بررسی کنید.

اشتباهات رایج

• استفاده از Root برای اتصال وب‌سایت
• باز بودن پورت 3306 روی اینترنت
• استفاده از رمزهای عبور ضعیف
• باقی ماندن دیتابیس Test
• وجود کاربران ناشناس
• اعطای دسترسی GRANT ALL بدون نیاز
• قرار دادن فایل‌های Backup در مسیر قابل دسترس وب

چک‌لیست

پس از Hardening، موارد زیر را بررسی کنید:

• نسخه MySQL بروزرسانی شده است.
• mysql_secure_installation اجرا شده است.
• کاربران ناشناس حذف شده‌اند.
• دیتابیس Test حذف شده است.
• ورود Root از راه دور غیرفعال است.
• کاربران با حداقل سطح دسترسی ایجاد شده‌اند.
• پورت 3306 فقط در صورت نیاز باز است.
• لاگ‌های MySQL فعال هستند.
• نسخه پشتیبان تهیه شده است.

جمع‌بندی

Hardening پایگاه داده MySQL یکی از مهم‌ترین مراحل ایمن‌سازی سرور است. با اجرای mysql_secure_installation، حذف کاربران ناشناس، غیرفعال کردن ورود Root از راه دور، اعمال اصل حداقل دسترسی، محدود کردن دسترسی شبکه و بروزرسانی منظم سرویس، می‌توان خطر بسیاری از حملات را کاهش داد.

این اقدامات زمانی بیشترین تأثیر را دارند که در کنار Hardening سیستم‌عامل، وب‌سرور، PHP، فایروال و مانیتورینگ مداوم اجرا شوند.

کیان پور