Обеспечьте безопасность своих баз данных MySQL, создав отдельных пользователей и разрешения

Я всегда был другом хороших практик, тем более, если они помогают нам поддерживать безопасность наших серверов, сервисов или просто нашей информации.

Привычка (плохая привычка), которую имеют многие администраторы или пользователи, - использовать доступ с корень для всех баз данных, то есть ... они устанавливают сайт, используя WordPress CMS, и в качестве данных доступа к базе данных (для WP, чтобы использовать сервер MySQL и использовать свою БД) они помещают пользователя администратора сервера MySQL : корень

Кроме того, они устанавливают любое другое веб-приложение (чат, вставку, форум и т. Д.) И делают то же самое, они всегда используют корневого пользователя MySQL ...

ОШИБКА!!!

Это просто пагубная привычка.

Допустим, у нас на сервере есть следующие сервисы:

1. Сайт или портал с использованием WordPress.
2. Наш форум поддержки, обсуждения и т. Д. Все сообщество.
3. FTP, использующий базу данных MySQL для хранения пользователей и паролей.
4. Пользователи электронной почты хранятся (пользователи и пароли) в базе данных MySQL.
5. Небольшой веб-чат, который мы устанавливаем, чтобы поговорить с кем-то, кого вы знаете.

И во всех из них, в 5 службах мы используем пользователя root MySQL, чтобы каждая служба имела доступ и сохраняла данные в своей соответствующей базе данных.

В один прекрасный день любой из множества троллей там, но это не только тролль, но и мастеринг некоторых эксплойтов, уязвимостей, взломов и т.д ... решает сделать что-то вредное для нас.

Найдите ошибку в используемом нами веб-чате, воспользовавшись этой ошибкой, ему удается получить доступ к файлам веб-чата, включая файл конфигурации веб-чата, и ... в этом файле, очевидно, находятся имя пользователя и пароль, которые WebChat использует для получить доступ к серверу MySQL и угадайте, что? … Это не что иное, как ROOT USER!

Получив эту информацию, тролль может очень простым способом:

1. Удалите нас и / или украдите все, что связано с нашим сайтом или порталом (WordPress).
2. Вы можете удалить и / или украсть информацию у нас И у наших пользователей, которые используют Форум, сообщество, которое мы создаем.
3. Вы также можете украсть имя пользователя и пароль ВСЕХ пользователей, у которых есть учетная запись электронной почты на нашем сервере, а также украсть информацию из их электронных писем, выдать себя за другое лицо и т. Д.
4. И, наконец, вы можете использовать учетную запись на нашем FTP-сервере и загружать любой файл, содержащий вредоносное ПО, что позволит вам получить ПОЛНЫЙ и АБСОЛЮТНЫЙ контроль над нашим сервером.

Ну, что вы думаете? … 🙂

Вы видите все, что может произойти, если просто не создавать независимых пользователей для каждой базы данных, которая у нас есть?

Это НЕ преувеличение, друзья, это может произойти с удивительной легкостью ... ну, все, что нужно, чтобы развязать катастрофу, - это просто ошибка в некоторых из установленных вами веб-приложений.

В настоящее время…

Как создать отдельных пользователей MySQL для каждого веб-приложения?

Сначала мы должны войти на сервер MySQL с пользователем root, поскольку именно он имеет права создавать базы данных, устанавливать разрешения, создавать пользователей и т. Д .:

mysql -u root -p

Когда они напишут выше и нажмут [Войти] у них будет запрошен пароль пользователя root MySQL, они его пишут и нажимают [Войти] опять же, вы сразу увидите что-то вроде этого:

Теперь создадим базу данных с именем «вебчатдб«:
CREATE DATABASE webchatdb;

Готово, вы уже создали базу данных, теперь давайте создадим пользователя «веб-чатпользователь«С паролем«пароль«:

CREATE USER 'webchatuser'@'localhost' IDENTIFIED BY 'passworddelputowebchat';

Теперь волшебство ... мы дадим все привилегии (чтение и запись) веб-чатпользователь ТОЛЬКО в БД вебчатдб:

GRANT ALL PRIVILEGES ON webchatdb.* TO 'webchatuser'@'localhost' WITH GRANT OPTION;

И вуаля, у пользователя уже есть разрешения в этой базе данных ... теперь все, что остается, - это обновить разрешения для MySQL, то есть сказать MySQL, чтобы он перечитал привилегии пользователей, потому что мы только что внесли в них изменения:

FLUSH PRIVILEGES ;

Оставляю вам скриншот:

И это было всем. Делая это для каждого веб-приложения, которое мы используем, мы гарантируем, что в случае, если им удастся взломать одно из этих веб-приложений, остальные будут в безопасности (по крайней мере, с точки зрения MySQL).

Что такое хорошая практика? 😉

Я надеюсь, что это было так же полезно для вас, как и для меня, поскольку я пытался объяснить это как можно проще.

привет