Для включения или отключения брандмауэра, установите системную переменную mysql_firewall_mode. По умолчанию эта переменная включена при установке брандмауэра. Для явного управления начальным состоянием брандмауэра, вы можете установить переменную при запуске сервера. Например, для включения брандмауэра в файле опций, используйте следующие строки:

[mysqld]
mysql_firewall_mode=ON

После изменения my.cnf, перезапустите сервер, чтобы новое значение вступило в силу.

Также возможно отключить или включить брандмауэр во время работы:

SET GLOBAL mysql_firewall_mode = OFF;
SET GLOBAL mysql_firewall_mode = ON;

После установки брандмауэра, предоставьте соответствующие привилегии учетной записи MySQL или учетным записям, которые будут использоваться для его администрирования:

Сервер MySQL позволяет клиентам подключаться и получать от них SQL-запросы для выполнения. Если брандмауэр включен, сервер передает ему каждый входящий запрос, который не приводит к немедленному синтаксическому ошибке. В зависимости от того, принимает ли брандмауэр запрос, сервер выполняет его или возвращает ошибку клиенту. В этом разделе описывается, как брандмауэр выполняет задачу принятия или отклонения запросов.

Профили брандмауэра

Брандмауэр использует реестр профилей, которые определяют, разрешить ли выполнение запроса. Профили имеют следующие атрибуты:

Изначально профили отсутствуют, поэтому по умолчанию брандмауэр принимает все запросы и не влияет на то, какие запросы могут выполнять учетные записи MySQL. Для применения защитных возможностей брандмауэра требуется явное действие:

Защита на основе профилей, предоставляемая брандмауэром, позволяет реализовать такие стратегии:

Сопоставление запросов брандмауэром

Сопоставление запросов, выполняемое брандмауэром, не использует SQL-запросы, полученные от клиентов. Вместо этого сервер преобразует входящие запросы в нормализованную форму дайджеста, и работа брандмауэра использует эти дайджесты. Преимущество нормализации запросов заключается в том, что она позволяет группировать похожие запросы и распознавать их с использованием одного шаблона. Например, эти запросы отличаются друг от друга:

SELECT first_name, last_name FROM customer WHERE customer_id = 1;
select first_name, last_name from customer where customer_id = 99;
SELECT first_name, last_name FROM customer WHERE customer_id = 143;

Но все они имеют одинаковую нормализованную форму дайджеста:

SELECT `first_name` , `last_name` FROM `customer` WHERE `customer_id` = ?

Используя нормализацию, списки разрешенных запросов брандмауэра могут хранить дайджесты, каждый из которых соответствует многим различным запросам, полученным от клиентов. Дополнительную информацию о нормализации и дайджестах см. в разделе 25.10, «Performance Schema Statement Digests».

Режимы работы профилей

Каждый профиль, зарегистрированный в брандмауэре, имеет свой собственный режим работы, выбранный из этих значений:

Когда профилю присваивается любое из указанных значений режима, брандмауэр сохраняет режим в профиле. Операции по настройке режима брандмауэра также допускают значение режима RESET, но это значение не сохраняется: установка профиля в режим RESET приводит к удалению всех правил для профиля и установке его режима на OFF.

Как уже упоминалось, MySQL связывает каждую сессию клиента со специфичной комбинацией имени пользователя и имени хоста, известной как учетная запись сессии. Брандмауэр сопоставляет учетную запись сессии с зарегистрированными профилями, чтобы определить, какой профиль применяется к обработке входящих запросов от сессии:

После сопоставления учетной записи сессии с зарегистрированными профилями брандмауэр обрабатывает каждый входящий запрос следующим образом:

MySQL Enterprise Firewall позволяет регистрировать профили, соответствующие отдельным учетным записям. Чтобы использовать профиль учетной записи брандмауэра для защиты MySQL от входящих запросов от заданной учетной записи, выполните следующие шаги:

Соблюдайте следующие рекомендации для ссылок на учетные записи, связанные с брандмауэром:

Следующая процедура показывает, как зарегистрировать профиль учетной записи в брандмауэре, обучить брандмауэр распознавать допустимые запросы для этого профиля (его белый список) и использовать профиль для защиты MySQL от выполнения недопустимых запросов учетной записью. В примере предполагается использование учетной записи fwuser@localhost приложением, которое обращается к таблицам в базе данных sakila (доступна по адресу https://dev.mysql.com/doc/index-other.html).

Используйте административную учетную запись MySQL для выполнения шагов в этой процедуре, за исключением тех шагов, которые предназначены для выполнения учетной записью fwuser@localhost, соответствующей профилю учетной записи, зарегистрированному в брандмауэре. Для запросов, выполняемых с использованием этой учетной записи, базой данных по умолчанию должна быть sakila. (Вы можете использовать другую базу данных, соответствующим образом изменив инструкции.)

Теперь профиль учетной записи брандмауэра обучен для учетной записи fwuser@localhost. Когда клиенты подключаются, используя эту учетную запись, и пытаются выполнить запросы, профиль защищает MySQL от запросов, не соответствующих белому списку профиля.

Можно обнаруживать вторжения, регистрируя несоответствующие запросы как подозрительные, не отказывая в доступе. Сначала переведите профиль учетной записи в режим DETECTING:

CALL mysql.sp_set_firewall_mode('fwuser@localhost', 'DETECTING');

Затем, используя учетную запись, выполните запрос, который не соответствует белому списку профиля учетной записи. В режиме DETECTING брандмауэр разрешает выполнение несоответствующего запроса:

mysql> SHOW TABLES LIKE 'customer%';
+------------------------------+
| Tables_in_sakila (customer%) |
+------------------------------+
| customer                     |
| customer_list                |
+------------------------------+

Кроме того, брандмауэр записывает сообщение в журнал ошибок:

[Note] Plugin MYSQL_FIREWALL reported:
'SUSPICIOUS STATEMENT from 'fwuser@localhost'. Reason: No match in whitelist.
Statement: SHOW TABLES LIKE ? '

Чтобы отключить профиль учетной записи, измените его режим на OFF:

CALL mysql.sp_set_firewall_mode(user, 'OFF');

Чтобы забыть все обучение для профиля и отключить его, сбросьте его:

CALL mysql.sp_set_firewall_mode(user, 'RESET');

Операция сброса приводит к тому, что брандмауэр удаляет все правила для профиля и устанавливает его режим в OFF.

Чтобы оценить активность брандмауэра, проверьте его переменные состояния. Например, после выполнения процедуры, показанной ранее, для обучения и защиты учетной записи fwuser@localhost, переменные выглядят следующим образом:

mysql> SHOW GLOBAL STATUS LIKE 'Firewall%';
+----------------------------+-------+
| Variable_name              | Value |
+----------------------------+-------+
| Firewall_access_denied     | 3     |
| Firewall_access_granted    | 4     |
| Firewall_access_suspicious | 1     |
| Firewall_cached_entries    | 4     |
+----------------------------+-------+

Переменные указывают количество отклоненных, принятых, зарегистрированных как подозрительные и добавленных в кэш запросов соответственно. Значение Firewall_access_granted равно 4 из-за запроса @@version_comment, отправленного клиентом mysql каждый из трех раз, когда вы подключались, используя зарегистрированную учетную запись, плюс запрос SHOW TABLES, который не был заблокирован в режиме DETECTING.