이곳의 글들은 대개 전대환의 저작물들입니다.
글을 사용하시려고 하는 경우 반드시 저작자의 허락을 받아야 합니다.
Mysql 보안
Mysql 보안
마을지기 [2008-07-27 03:05]
▶관리자 아이디를 변경하고 암호를 설정한다.
MySQL의 관리자인 루트(root)는 실제 리눅스(또는 유닉스) 시스템의 루트 사용자와는 관계가 없다. 다만 그 이름이 같을 뿐이다. 따라서 MySQL을 설치한 후 가장 먼저 해야 할 일이 바로 MySQL 데이터베이스의 루트 사용자 암호를 설정하는 것이다. 이유는 루트라는 관리자 암호는 누구나가 알고 있는 사실이기 때문이다.
▶사용하지 않는 유저는 삭제하고, 유저의 권한(Grant)을 제거한다.
유저를 관리하는 것은 유저 테이블이다. 따라서 이 유저 테이블에서 해당 사용자를 제거하여 이와 관련된 일체의 모든 권한(Grant)과 암호를 제거한다.
- user 테이블에서 Host, User, Password만 설정되어 있고, 나머지 값은 N이어야 한다.
- db 테이블의 경우 root를 제외한 일반 User의 Grant_priv 권한은 N이어야 한다.
▶테스트 데이터베이스를 삭제한다.
MySQL을 설치하면 기본적으로 MySQL과 테스트 데이터베이스가 만들어진다. MySQL에 생성되는 모든 데이터들은 MySQL에 저장되고, 테스트 데이터베이스는 완전히 순수하게 sql에 대한 테스트를 위해서만 쓰이는 데이터베이스이다. 여기서 문제가 발생하는데, 테스트 데이터베이스에 접근하는데 암호가 없어도 접근이 가능하다는 점이다. 이러한 허점을 이용하여 임의의 사용자는 테스트 데이터베이스에 아무런 제약없이 접근할 수 있다. 테스트 데이터베이스는 MySQL 서버가 동작하는데 아무런 영향을 미치지 않으므로 삭제해도 무방하다.
▶MySQL 디폴트 통신 포트를 변경한다.
MySQL은 기본적으로 TCP/3306 포트를 이용해서 통신을 주고 받는다. 이는 아주 많은 사람들이 알고 있는 사실이다. 따라서 통신포트를 TCP/3306 말고 임의의 다른 포트로 변경하는 것이 좋다.포트 변경은 my.cnf 파일을 열어 다음 부분을 수정한다.
[mysqld]
port = 3306
위에서 숫자를 임의의 통신포트로 변경한다. 단 주의할 것은 포트 번호가 1024 이하인 경우에는 실행 권한이 높아야 한다. 그리고 그보다 더 안전한 것은 외부에서 직접 MySQL에 접속하는 일이 없다면 MySQL에서 기본적으로 듣기(Listening)하고 있는 TCP/3306 포트를 차단한다.
그리고 로컬에 설치되어 있는 perl이나 PHP 같은 애플리케이션에 의해서만 사용하도록 하는 것이 가장 좋다. 즉 MySQL이 사용하는 TCP/3306 포트를 듣지 않는다면, 다른 호스트에서 직접 원격접속을 통해서 MySQL을 공격할 근원이 제거되는 것이다.
▶MySQL 프로세스는 시스템 루트가 아니고, 다른 시스템 프로세스가 사용하지 않는 유일한 UID/GID로 실행한다. 즉 위에서 잠시 언급한 것처럼 MySQL의 리스닝 포트(Listening Port)가 TCP/1024 이상의 포트를 사용한다면, 시스템 루트 권한이 아닌 독립된 일반 유저를 생성하여 이 일반 유저 권한으로 실행할 것을 권장한다. 많은 관리자들이 MySQL을 시스템 루트로 구동시키고 있다. 하지만 이런 경우에 MySQL이 BoF 공격 등 침해공격을 받아 권한을 뺏길 경우 시스템 루트 권한이 도용 당해 피해규모가 처질 수 있기 때문이다. 일반 유저로 구동할 경우 상대적으로 피해규모를 최소화 할 수 있다.
▶MySQL 히스토리(history) 파일을 삭제한다.
MySQL은 커맨드(command) 상에서 입력한 SQL 명령어는 홈 디렉토리의 .mysql_history 파일에 저장된다. 이 설정은 디폴트이다. 따라서 이 파일을 누군가가 보게 된다면 보안상 심각한 문제를 야기할 수 있으므로 # cat /dev/null > ~/.mysql_ history와 같은 방법으로 .mysql_history 파일을 삭제하도록 한다.
▶일반 유저가 쇼 데이터베이스(SHOW DATA BASES)문을 사용할 수 없도록 한다. 프로세스 권한이 없을 경우 쇼 데이터베이스문을 사용할 수 없다. 온(On)으로 설정 하는 것이 보안에 좋다. 점검방법은 다음과 같다.
mysql> show variables like ‘skip_show%’;
조치방법은 my.cnf 파일에서 [mysqld] 섹션 아래 skip_show_database 설정을 추가하면 된다. 단 MySQL4 버전 이하는 MySQL 서버가 시작하지 않을 수 있으니 주의해야 한다.
▶호스트명을 %로 주면 좋지 않다.
%는 어느 곳에서나 접속 가능한 것이므로, 되도록이면 사용하지 않는 것이 좋다.
▶MySQL 접속시
[root@linux root]# mysql -uroot -pxxx와 같이 루트의 비밀번호를 직접 넣고 접속하는 것은 좋지 않다. 패스워드가 옆사람에게 노출될 수 있기 때문이다. 따라서 다음과 같이 접속하는 것이 보안에 좋다.
저작권 ⓒ 이야기마을™, 1997~2014. 마을지기: 전대환. 모든 권리는 저작권자에게 있습니다.
이 사이트의 이름 *'이야기마을'은 특허청에 등록된 서비스표입니다(제41-0179291호).
온라인 오프라인 출판 분야에서 이 사이트 외에서는 '이야기마을'이란 이름을 사용하실 수 없습니다.
[사이트저작권] [이메일주소무단수집거부]
마을지기 [2008-07-27 03:05]
[Linux] 
