MySQL McAfee审计插件Audit Plugin安装

MySQL McAfee审计插件Audit Plugin安装

官网下载：https://github.com/trellix-enterprise/mysql-audit/releases

官方文档：https://github.com/trellix-enterprise/mysql-audit/wiki

防爬虫：https://www.cnblogs.com/PiscesCanon/p/17324406.html 

注意要对应你的数据库软件版本来下载，一开始我测试的MySQL是8.0.29。

Audit Plugin没有一个支持8.0.29的插件版本，于是用了下边截图这个，

默认我以为支持了8.0.30，也应该向下兼容29的版本，然后折腾半天就是无法安装成功，设置偏移量也是报错，后边升级成30就好了。

安装如下

查看插件目录位置。

(root@localhost 22:45:11) [performance_schema](27538)> show global variables like 'plugin_dir';
+---------------+------------------------------+
| Variable_name | Value                        |
+---------------+------------------------------+
| plugin_dir    | /usr/local/mysql/lib/plugin/ |
+---------------+------------------------------+
1 row in set (0.10 sec)

 解压并将libaudit_plugin.so文件拷贝到插件目录位置。

unzip audit-plugin-mysql-8.0-1.1.13-1008-linux-x86_64.zip 
cd audit-plugin-mysql-8.0-1.1.13-1008/lib
chown mysql:mysql libaudit_plugin.so 
cp -p libaudit_plugin.so /usr/local/mysql/lib/plugin/

安装插件。

在线安装，但是重启失效：

INSTALL PLUGIN AUDIT SONAME 'libaudit_plugin.so';
set global audit_json_file=on;

audit_json_file=on表示启用审计，上边只是安装插件而已。

永久生效的话将配置加入my.cnf中：

[mysqld]
plugin-load=AUDIT=libaudit_plugin.so
audit_whitelist_users=root,mysql.infoschema,mysql.session,mysql.sys
audit_json_file=on

audit_whitelist_users=root,mysql.infoschema,mysql.session,mysql.sys表示后边指定的用户不进行审计。

audit_json_file表示启用审计，第一条命令只是安装插件而已。

校验检查：

show plugins;

如果显示有“AUDIT”的话表示安装成功。

此外，也可以通过运行以下命令来验证 AUDIT 插件的版本：

(root@localhost 22:53:49) [performance_schema](27538)> show global status like 'AUDIT_version';
+---------------+-------------+
| Variable_name | Value       |
+---------------+-------------+
| Audit_version | 1.1.13-1008 |
+---------------+-------------+
1 row in set (0.01 sec)

审计日志文件默认名字为：mysql-audit.json，位于数据文件目录下。

可通过audit_json_log_file=/data/logs/mysql/mysql_audit.json同时修改位置和文件名。

摘取日志一行内容：

{"msg-type":"activity","date":"1681657153276","thread-id":"27591","query-id":"38716111","user":"midb_decl","priv_user":"midb_decl","ip":"192.168.1.153","host":"192.168.1.153","_client_name":"libmysql","_thread":"4580","_client_version":"8.0.31","_os":"win","_platform":"AMD64","_pid":"2980","rows":"1","status":"0","cmd":"select","query":"SELECT 0"}

其他都好理解，这个“date”的表示方法简直无语，UTC下的unix毫秒级的时间戳。

下边展示如何转化为人能看懂的方法。

(root@localhost 23:03:24) [performance_schema](27631)> select FROM_UNIXTIME(1681657153276/1000,'%Y-%m-%d %H:%i:%s') as date;
+---------------------+
| date                |
+---------------------+
| 2023-04-16 22:59:13 |
+---------------------+
1 row in set (0.00 sec)

反过来，查看当前时间，展示为UTC的unix毫秒级时间戳。

[root@dev-app81 ~]# echo $[`date -u +%s`*1000]
1681657641000

也可指定时间，

[root@dev-app81 ~]# echo $[`date -d "2023-04-13 15:32:12" +%s`*1000]
1681371132000

就这样吧。

更加详细的用法信息查看官方文档。

这里也有一篇各个审计方式的介绍，挺全面。

推荐看看：MySQL的审计功能实现方案