利用init_connect參數記錄用戶登錄信息

利用init_connect參數記錄用戶登錄信息

說明：文章內容起源於網絡並結合自己的實驗而得；但參考的文章地址當時沒記錄下來，如果發現有侵權問題，請留言。

~
特別提醒:如果併發量比較高，該方式可能會影響性能，要充分評估後在使用。

一、場景:

假設有這麼一個情況，你是某公司mysql-DBA，某日突然公司數據庫中的所有數據被人爲刪了。
儘管有數據備份，但是因服務停止而造成的損失上千萬，現在公司需要查出那個做刪除操作的人。
但是擁有數據庫操作權限的人很多，如何排查？證據又在哪？是不是覺得無能爲力？
mysql本身並沒有操作審計的功能，那是不是意味着遇到這種情況只能自認倒黴呢？
本文就將討論一種簡單易行的，用於mysql訪問審計的思路。

二、概述：

其實mysql本身已經提供了詳細的sql執行記錄–general log ，但是開啓它有以下幾個缺點:
1)無論sql有無語法錯誤，只要執行了就會記錄，導致記錄大量無用信息，後期的篩選有難度。
2)sql併發量很大時，log的記錄會對io造成一定的印象，是數據庫效率降低。
3)日誌文件很容易快速膨脹，不妥善處理會對磁盤空間造成一定影響。

三、本文觀點：

使用init-connect + binlog的方法進行mysql的操作審計。
由於mysql binlog記錄了所有對數據庫長生實際修改的sql語句，及其執行時間，和connection_id但是卻沒有記錄connection_id對應的詳細用戶信息。
因此本文將通過init-connect，在每次連接的初始化階段，記錄下這個連接的用戶，和connection_id信息。
在後期審計進行行爲追蹤時，根據binlog記錄的行爲及對應的connection-id 結合 之前連接日誌記錄 進行分析，得出最後的結論。

四、正文:

1.創建用於存放連接日誌的數據庫和表

注意:
該表必須能被每個客戶端使用(INSERT權限)，不然無法記錄，更嚴重的是如果對該表沒有權限會導致賬號無法登陸MySQL！！！
所以，建議5.6及之前的版本使用test這個默認的數據庫，它默認可被所有用戶使用，5.7之後只自己創建公共庫或者對每個賬號賦權；

這裏以自建公共庫爲例：

mysql> create database mylog;
Query OK, 1 row affected (0.00 sec)

mysql> use mylog;
Database changed

mysql> create table accesslog (
`connection_id` int(11) not null comment '鏈接ID',
`account` varchar(100) comment '使用的賬號',
`login_user` varchar(100) comment '登錄用戶',
`login_time` timestamp comment '登錄時間', 
 primary key (connection_id)
)engine=innodb comment='賬號登錄信息';

Query OK, 0 rows affected (0.01 sec)

2.將自定義庫設置爲公共庫

備註:公共庫的特點就是mysql.db表中對庫的User字段爲空，即沒對庫指定任何所有者。

1）先將自定義庫賦權給一個用戶，使其在mysql.db中擁有記錄；

mysql> grant select,insert on mylog.* to abc@'%'; -- 這裏abc@'%'賬號已經是系統中存在的
Query OK, 0 rows affected (0.00 sec)

2）修改自定義庫在mysql.db中記錄的User字段爲空

mysql> select Select_priv,Insert_priv,User,Host from mysql.db where Db='mylog' and User='abc' ;
+-------------+-------------+------+------+
| Select_priv | Insert_priv | User | Host |
+-------------+-------------+------+------+
| Y           | Y           | abc  | %    |
+-------------+-------------+------+------+
1 row in set (0.00 sec)

修改前要注意過濾條件是正確的，小心操作影響其他記錄

mysql> update mysql.db set User='' where Db='mylog' and User='abc' ;
Query OK, 1 row affected (0.00 sec)
Rows matched: 1  Changed: 1  Warnings: 0

mysql> select Select_priv,Insert_priv,User,Host,Db from mysql.db ;

mysql> flush privileges;
Query OK, 0 rows affected (0.00 sec)

3.設置init_connect

mysql> show global variables like 'init_connect';
+---------------+-------+
| Variable_name | Value |
+---------------+-------+
| init_connect  |       |
+---------------+-------+
1 row in set (0.00 sec)

設置登陸後被觸發執行的插入操作。

mysql> set global init_connect='insert into mylog.accesslog(connection_id,account,login_user,login_time) values(connection_id(),current_user(),user(),now());'; 
Query OK, 0 rows affected (0.00 sec)

備註：如果是長期使用，可以將該配置寫入配置文件。

查看設置後結果:

mysql> show global variables like 'init_connect';
+---------------+-------------------------------------------------------------------------------------------------------------------------------+
| Variable_name | Value                                                                                                                         |
+---------------+-------------------------------------------------------------------------------------------------------------------------------+
| init_connect  | insert into mylog.accesslog(connection_id,account,login_user,login_time) values(connection_id(),current_user(),user(),now()); |
+---------------+-------------------------------------------------------------------------------------------------------------------------------+
1 row in set (0.00 sec)

4.驗證

執行登錄前:

mysql> select * from mylog.accesslog;

執行登錄操作:

[root@localhost ~]# mysql -ubook -p123456 -h192.168.32.2

登錄後:

mysql> select * from mylog.accesslog;
+---------------+---------------+----------------+---------------------+
| connection_id | account       | login_user     | login_time          |
+---------------+---------------+----------------+---------------------+
|            26 | book@%        | [email protected] | 2020-05-07 11:45:11 |
+---------------+---------------+----------------+---------------------+
1 row in set (0.00 sec)

可以看到，登錄後book用戶的登錄信息被記錄了下來。

5.事後取消設置

1）取消參數配置
查詢修改前參數值

mysql> show global variables like 'init_connect';
+---------------+-------------------------------------------------------------------------------------------------------------------------------+
| Variable_name | Value                                                                                                                         |
+---------------+-------------------------------------------------------------------------------------------------------------------------------+
| init_connect  | insert into mylog.accesslog(connection_id,account,login_user,login_time) values(connection_id(),current_user(),user(),now()); |
+---------------+-------------------------------------------------------------------------------------------------------------------------------+
1 row in set (0.00 sec)

還原參數值

mysql> set global init_connect=''; 

查看修改後參數內容

mysql> show global variables like 'init_connect';
+---------------+-------+
| Variable_name | Value |
+---------------+-------+
| init_connect  |       |
+---------------+-------+
1 row in set (0.00 sec)

2）刪除數據庫權限記錄信息

mysql> select Select_priv,Insert_priv,User,Host from mysql.db where Db='mylog' and User='' ;
+-------------+-------------+------+------+
| Select_priv | Insert_priv | User | Host |
+-------------+-------------+------+------+
| Y           | Y           |      | %    |
+-------------+-------------+------+------+
1 row in set (0.00 sec)

修改前要注意過濾條件是正確的，小心操作影響其他記錄

mysql> delete from mysql.db where Db='mylog' and User='' ;
Query OK, 1 row affected (0.00 sec)

mysql> select Insert_priv,User,Host,Db from mysql.db ;

mysql> flush privileges;
Query OK, 0 rows affected (0.00 sec)

3）刪除自定義數據庫
備註：操作前要確認庫中只有我們要刪除的日誌表

mysql> show tables from mylog;
+-----------------+
| Tables_in_mylog |
+-----------------+
| accesslog       |
+-----------------+
1 row in set (0.00 sec)

mysql> drop database mylog;
Query OK, 1 row affected (0.00 sec)

五、用於記錄追蹤

1.thread_id確認

假設想知道在2009年11月25日，上午9點多的時候，是誰吧test.dummy這個表給刪了。可以用以下語句定位(-B線上匹配記錄及其前共5行信息)

mysqlbinlog –start-datetime='2020-05-07 11:50:00' –stop-datetime='2020-05-07 11:55:00' binlog.xxxx | grep 'dummy' -B 5   

會得到如下結果(可見thread_id爲5)：

# at 300777
#200507 11:50:11 server id 10  end_log_pos 301396       Query   thread_id=5     exec_time=0     error_code=0
SET TIMESTAMP=1259052840;
drop table test.dummy;

2.用戶確認

thread_id 確認以後，找到元兇就只是一條sql語句的問題了。

mysql> select * from mylog.accesslog where connection_id=5 ;

就能發現是[email protected]乾的了。

+---------------+---------------+---------------------+--------------------------+
| connection_id | account       | login_user          | login_time               |
+---------------+---------------+---------------------+--------------------------+
|            5  | testuser2@%   | [email protected] | 2020-05-07 11:50:11      |
+---------------+---------------+---------------------+--------------------------+
1 row in set (0.00 sec)

六、Q&A

Q：使用init_connect會影響服務器性能嗎？
A：理論上，只會在用戶每次連接時往數據庫裏插入一條記錄，不會對數據庫產生很大影響。除非連接頻率非常高（當然，這個時候需要注意的就是如何進行連接複用和控制，而非是不是要用這種方法的問題了）

Q：access-log表如何維護?
A: 由於是一個log系統，推薦使用archive存儲引擎，有利於數據厄壓縮存放。如果數據庫連接數量很大的話，建議一定時間做一次數據導出，然後清表。

Q：表有其他用途麼？
A：有！access-log表當然不只用於審計，當然也可以用於對於數據庫連接的情況進行數據分析，例如每日連接數分佈圖等等，只有想不到沒有做不到。

Q：會有遺漏的記錄嗎？
A：會的，init-connect 是不會在super用戶登錄時執行的。所以access-log裏不會有數據庫超級用戶的記錄，這也是爲什麼我們不主張多個超級用戶，並且多人使用的原因。