Сервер MySQL позволяет клиентам подключаться и получать от них SQL-запросы для выполнения. Если брандмауэр включен, сервер передает каждый входящий запрос, который не приводит к ошибке синтаксиса, в него. В зависимости от того, принимает ли брандмауэр запрос, сервер выполняет его или возвращает ошибку клиенту. В этом разделе описывается, как брандмауэр выполняет задачу принятия или отклонения запросов.

Профили брандмауэра

Брандмауэр использует реестр профилей, определяющих, разрешать ли выполнение запросов. Профили имеют следующие атрибуты:

Изначально профилей нет, поэтому по умолчанию брандмауэр принимает все запросы и не влияет на то, какие запросы могут выполнять учетные записи MySQL. Для применения защитных возможностей брандмауэра требуется явное действие:

Большинство принципов брандмауэра одинаково применимы к групповым и учетным профилям. Эти типы профилей различаются следующим:

Защита на основе профиля, предоставляемая брандмауэром, позволяет реализовывать такие стратегии:

Сопоставление запросов брандмауэром

Сопоставление запросов, выполняемое брандмауэром, не использует SQL-запросы, полученные от клиентов. Вместо этого сервер преобразует входящие запросы в нормализованную форму дайджеста, и брандмауэр использует эти дайджесты. Преимущество нормализации запросов заключается в том, что оно позволяет группировать похожие запросы и распознавать их с помощью одного шаблона. Например, эти запросы различны:

SELECT first_name, last_name FROM customer WHERE customer_id = 1;
select first_name, last_name from customer where customer_id = 99;
SELECT first_name, last_name FROM customer WHERE customer_id = 143;

Но все они имеют одну и ту же нормализованную форму дайджеста:

SELECT `first_name` , `last_name` FROM `customer` WHERE `customer_id` = ?

Используя нормализацию, списки разрешенных запросов брандмауэра могут хранить дайджесты, каждый из которых соответствует множеству различных запросов, полученных от клиентов. Дополнительную информацию о нормализации и дайджестах см. в Разделе 29.10, «Дайджесты и выборка запросов Performance Schema».

Режимы работы профиля

Каждый зарегистрированный в брандмауэре профиль имеет собственный режим работы, выбираемый из этих значений:

Когда профилю назначается любое из указанных выше значений режима, брандмауэр сохраняет режим в профиле. Операции по настройке режима брандмауэра также разрешают значение режима RESET, но это значение не сохраняется: установка профиля в режим RESET заставляет брандмауэр удалить все правила для профиля и установить его режим в OFF.

Обработка заявлений брандмауэра при применении нескольких профилей

Для простоты, последующие разделы, описывающие настройку профилей, предполагают, что брандмауэр сопоставляет входящие заявления от клиента только с одним профилем, либо групповым, либо профилем учетной записи. Однако работа брандмауэра может быть более сложной:

Следующее описание охватывает общий случай работы брандмауэра, когда к входящим заявлениям могут быть применимы потенциально несколько профилей.

Как уже упоминалось, MySQL ассоциирует каждую сессию клиента с определенной комбинацией имени пользователя и имени хоста, известной как учетная запись сессии. Брандмауэр сопоставляет учетную запись сессии с зарегистрированными профилями, чтобы определить, какие профили применяются к обработке входящих заявлений из сессии:

Другими словами, учетная запись сессии может соответствовать 0 или более активным групповым профилям и 0 или 1 активному профилю учетной записи. Это означает, что 0, 1 или несколько профилей брандмауэра могут быть применимы к данной сессии, для которой брандмауэр обрабатывает каждое входящее заявление следующим образом:

Учитывая это описание, в следующих разделах мы возвращаемся к простоте ситуаций, когда применим только один групповой профиль или один профиль учетной записи, и рассматриваем, как настроить каждый тип профиля.

MySQL Enterprise Firewall поддерживает регистрацию профилей групп. Профиль группы может иметь несколько учетных записей в качестве своих членов. Чтобы использовать профиль группы брандмауэра для защиты MySQL от входящих запросов от данной учетной записи, выполните следующие шаги:

Соблюдайте следующие рекомендации для ссылок на учетные записи, связанные с брандмауэром:

Следующая процедура показывает, как зарегистрировать профиль группы в брандмауэре, обучить брандмауэр распознавать допустимые запросы для этого профиля (его белый список), использовать профиль для защиты MySQL от выполнения недопустимых запросов, а также добавлять и удалять участников группы. В примере используется имя профиля группы fwgrp. Предполагается, что пример профиля предназначен для использования клиентами приложения, которое обращается к таблицам в базе данных sakila (доступно по адресу https://dev.mysql.com/doc/index-other.html).

Используйте административную учетную запись MySQL для выполнения шагов в этой процедуре, за исключением тех шагов, которые предназначены для выполнения учетными записями участников профиля группы брандмауэра. Для запросов, выполняемых учетными записями участников, базой данных по умолчанию должна быть sakila. (Вы можете использовать другую базу данных, соответствующим образом скорректировав инструкции.)

Профиль группы брандмауэра теперь обучен для учетных записей участников. Когда клиенты подключаются, используя любую учетную запись в группе, и пытаются выполнить запросы, профиль защищает MySQL от запросов, не соответствующих белому списку профиля.

Описанная процедура добавила только одного члена в профиль группы перед обучением его разрешенного списка. Это обеспечивает лучший контроль над периодом обучения, ограничивая учетные записи, которые могут добавлять новые допустимые утверждения в разрешенный список. Если необходимо дополнительное обучение, вы можете переключить профиль обратно в режим RECORDING:

CALL mysql.sp_set_firewall_group_mode('fwgrp', 'RECORDING');

Однако это позволяет любому члену группы выполнять утверждения и добавлять их в разрешенный список. Чтобы ограничить дополнительное обучение одним членом группы, вызовите sp_set_firewall_group_mode_and_user(), что аналогично sp_set_firewall_group_mode(), но принимает еще один аргумент, указывающий, какая учетная запись может обучать профиль в режиме RECORDING. Например, чтобы включить обучение только member4@localhost, сделайте следующее:

CALL mysql.sp_set_firewall_group_mode_and_user('fwgrp', 'RECORDING', 'member4@localhost');

Это позволяет проводить дополнительное обучение указанной учетной записью, не удаляя других членов группы. Они могут выполнять утверждения, но утверждения не добавляются в разрешенный список. (Однако помните, что в режиме RECORDING другие члены могут выполнять любое утверждение.)

После дополнительного обучения установите профиль группы обратно в режим PROTECTING:

CALL mysql.sp_set_firewall_group_mode('fwgrp', 'PROTECTING');

Учетная запись обучения, установленная с помощью sp_set_firewall_group_mode_and_user(), сохраняется в профиле группы, поэтому брандмауэр запоминает ее на случай необходимости дальнейшего обучения. Таким образом, если вы вызываете sp_set_firewall_group_mode() (без аргумента учетной записи обучения), текущая учебная учетная запись профиля, member4@localhost, остается неизменной.

Чтобы очистить учетную запись обучения, если на самом деле необходимо разрешить всем членам группы выполнять обучение в режиме RECORDING, вызовите sp_set_firewall_group_mode_and_user() и передайте значение NULL для аргумента учетной записи:

CALL mysql.sp_set_firewall_group_mode_and_user('fwgrp', 'RECORDING', NULL);

Можно обнаруживать вторжения, регистрируя несоответствующие утверждения как подозрительные, не отказывая в доступе. Сначала переведите профиль группы в режим DETECTING:

CALL mysql.sp_set_firewall_group_mode('fwgrp', 'DETECTING');

Затем, используя учетную запись члена, выполните утверждение, которое не соответствует разрешенному списку профиля группы. В режиме DETECTING брандмауэр разрешает выполнение несоответствующего утверждения:

mysql> SHOW TABLES LIKE 'customer%';
+------------------------------+
| Tables_in_sakila (customer%) |
+------------------------------+
| customer                     |
| customer_list                |
+------------------------------+

Кроме того, брандмауэр записывает сообщение в журнал ошибок:

[Note] Plugin MYSQL_FIREWALL reported:
'SUSPICIOUS STATEMENT from 'member1@localhost'. Reason: No match in allowlist.
Statement: SHOW TABLES LIKE ?'

Чтобы отключить профиль группы, измените его режим на OFF:

CALL mysql.sp_set_firewall_group_mode(group, 'OFF');

Чтобы забыть все обучение для профиля и отключить его, сбросьте его:

CALL mysql.sp_set_firewall_group_mode(group, 'RESET');

Операция сброса заставляет брандмауэр удалить все правила для профиля и установить его режим на OFF.