17370845950

MySQL审计需启用专用插件（如server_audit或audit_log），禁用通用日志；配置事件类型、输出路径、轮转策略及排除账号；确保日志权限、刷盘与存储安全；通过tail、jq、grep等工具验证与分析。

MySQL开启日志审计，核心是启用具备细粒度事件捕获能力的审计插件，而非仅依赖通用日志。通用日志（general_log）虽简单，但记录全部语句（含SELECT），性能开销大、无用户/权限上下文，不满足合规审计要求；真正可用的审计需记录谁、何时、在哪、做了什么、结果如何——这必须靠专用审计插件实现。

选用并加载审计插件

MySQL 5.7+ 社区版推荐使用 server_audit（MariaDB开源插件，兼容性好），企业版或MySQL 8.0+ 可用原生 audit_log 插件：

• 确认插件文件存在：检查 plugin_dir（如 /usr/lib/mysql/plugin/）下是否有 server_audit.so 或 audit_log.so
• 在线加载（无需重启）：
  INSTALL PLUGIN server_audit SONAME 'server_audit.so';
  或
  INSTALL PLUGIN audit_log SONAME 'audit_log.so';
• 验证是否成功：SHOW PLUGINS LIKE '%audit%'; 状态应为 ACTIVE

配置关键审计参数

参数可动态设置（SET GLOBAL），但建议写入配置文件确保持久化：

• 记录哪些事件：server_audit_events = 'CONNECT,QUERY,TABLE,FAILED_LOGIN'（登录、查询、表操作、失败登录）
• 输出方式与路径：server_audit_output_type = FILE，配合 server_audit_file_path = '/var/log/mysql/audit.log'
• 日志轮转控制：server_audit_file_rotate_size = 104857600（100MB）、server_audit_file_rotations = 10
• 排除干扰账号（如监控账号）：server_audit_exclude_accounts = 'monitor@%,health@%'

若用原生 audit_log 插件，对应参数为：audit_log_policy = ALL、audit_log_format = JSON、audit_log_rotate_on_size = 100000000。

确保日志

安全与可用性

审计日志本身是高价值目标，必须防篡改、防未授权访问：

• 设置文件权限：chown mysql:mysql /var/log/mysql/audit.log && chmod 600 /var/log/mysql/audit.log
• 启用实时刷盘（防宕机丢失）：server_audit_file_sync = ON 或 audit_log_flush = ON
• 将日志路径挂载在独立磁盘分区，避免占满系统盘导致数据库异常
• 用 logrotate 或定时脚本归档压缩旧日志，例如：gzip /var/log/mysql/audit.log.1

验证与日常查看方法

配置生效后，立即有日志产生。常用操作：

• 实时跟踪：tail -f /var/log/mysql/audit.log | grep -E "(QUERY|CONNECT)"
• 解析JSON格式日志（如用 audit_log_format=JSON）：jq '.user + " | " + .query' /var/log/mysql/audit.log
• 快速定位高危操作：grep -i "drop\|truncate\|grant\|alter.*user" /var/log/mysql/audit.log
• 检查当前审计状态：SELECT * FROM performance_schema.audit_log_summary_by_account;（MySQL 8.0+ Enterprise）