配置MySQL审计日志需安装audit_log插件，设置audit_log_file、audit_log_format、audit_log_policy等参数，选择JSON格式利于分析，仅审计关键操作以降低性能影响，并通过集中化日志管理与安全工具实现有效安全监控。
创建 MySQL 数据库时配置审计日志，简单来说，就是告诉 MySQL 记录谁在什么时间做了什么操作。这对于安全合规、问题排查至关重要。配置审计日志，能让你清楚地了解数据库的活动，就像给数据库安装了一个“黑匣子”。
审计日志配置方法，其实并不复杂，但需要根据你的 MySQL 版本和具体需求来选择。
解决方案
MySQL 审计日志主要依赖于插件来实现。常用的插件是
audit_log，MySQL 5.7.2 及更高版本都支持。以下是详细的配置步骤：
- 安装审计日志插件
首先，你需要确认
audit_log插件是否已经安装。执行以下 SQL 语句：
SHOW PLUGINS LIKE 'audit_log';
如果
Status列显示
ACTIVE，则表示插件已经启用。如果没有启用，或者根本没有显示
audit_log，则需要安装插件：
INSTALL PLUGIN audit_log SONAME 'audit_log.so';
或者，如果你想在 MySQL 启动时自动加载插件，可以在
my.cnf或
my.ini文件中添加以下配置：
[mysqld] plugin-load-add=audit_log.so
- 配置审计日志参数
audit_log插件有很多参数可以配置，其中最重要的几个是：
audit_log_file
：指定审计日志文件的路径和名称。例如：audit_log_file=/var/log/mysql/audit.log
audit_log_format
：指定审计日志的格式。可以选择OLD
（旧格式）、NEW
（新格式）或JSON
。JSON
格式更易于解析和分析。audit_log_policy
：指定哪些操作需要被审计。常用的选项有：ALL
：审计所有操作。LOGINS
：只审计登录操作。QUERIES
：只审计查询操作。READ
：只审计读取操作。WRITE
：只审计写入操作。NONE
：不审计任何操作（禁用审计日志）。
audit_log_rotate_on_size
：指定审计日志文件的大小，当文件达到指定大小后，会自动进行轮转。例如：audit_log_rotate_on_size=104857600
(100MB)
你可以通过
SET GLOBAL命令来修改这些参数。例如：
SET GLOBAL audit_log_file = '/var/log/mysql/audit.log'; SET GLOBAL audit_log_format = 'JSON'; SET GLOBAL audit_log_policy = 'ALL'; SET GLOBAL audit_log_rotate_on_size = 104857600;
修改完成后，最好重启 MySQL 服务，以确保配置生效。
- 查看审计日志
配置完成后，MySQL 会将审计日志写入到你指定的日志文件中。你可以使用文本编辑器或专门的日志分析工具来查看审计日志。
JSON格式的日志更容易使用工具进行分析。
- 卸载审计日志插件
如果不再需要审计日志，可以卸载插件：
UNINSTALL PLUGIN audit_log;
同时，记得从
my.cnf或
my.ini文件中删除
plugin-load-add=audit_log.so配置。
如何选择合适的审计日志格式？
选择审计日志格式，实际上是在考虑可读性和易用性之间的平衡。
OLD格式比较简单，但不利于程序化分析。
NEW格式稍微复杂一些，但包含更多信息。
JSON格式最易于解析，适合使用各种日志分析工具进行处理。
一般来说，如果你的目标是使用专门的日志分析平台（如 ELK Stack、Splunk 等），那么
JSON格式是最佳选择。如果只是偶尔查看日志，
NEW格式也足够了。
OLD格式除非有特殊兼容性要求，否则不推荐使用。
审计日志对 MySQL 性能有什么影响？如何优化？
开启审计日志肯定会对 MySQL 性能产生一定的影响，因为每次数据库操作都需要额外写入日志。影响的大小取决于审计的范围（
audit_log_policy）和日志的格式。
为了尽量减少性能影响，可以考虑以下优化措施：
-
只审计必要的事件：不要将
audit_log_policy
设置为ALL
，而是只审计关键的操作，例如登录、DDL 语句等。 -
选择合适的日志格式：
JSON
格式虽然易于解析，但写入速度相对较慢。如果对性能要求较高，可以考虑使用NEW
格式。 - 定期轮转和归档日志：避免审计日志文件过大，定期进行轮转和归档。
- 使用专用的磁盘存储审计日志：将审计日志文件存储在单独的磁盘上，避免与数据文件争用 IO 资源。
- 考虑使用异步审计：某些版本的 MySQL 提供了异步审计功能，可以将日志写入操作放到后台线程执行，从而减少对主线程的影响。但需要注意的是，异步审计可能会导致日志丢失。
如何使用审计日志进行安全分析？
审计日志是安全分析的重要数据来源。通过分析审计日志，你可以：
- 检测异常登录行为：例如，短时间内从不同 IP 地址登录、尝试使用弱密码登录等。
- 发现未经授权的数据访问：例如，用户访问了不属于其权限范围的数据。
- 追踪恶意 SQL 注入攻击：例如，通过分析 SQL 语句，发现是否存在恶意代码。
- 监控数据库配置变更：例如，有人修改了数据库的权限设置、修改了重要参数等。
- 进行合规性审计：例如，证明数据库符合 GDPR、PCI DSS 等合规性要求。
要进行有效的安全分析，你需要：
- 集中化管理审计日志：将所有 MySQL 实例的审计日志集中到一个平台上进行管理和分析。
- 使用专业的安全分析工具：例如，SIEM（安全信息和事件管理）系统。
- 建立完善的安全事件响应流程：一旦发现可疑事件，立即采取相应的措施。
审计日志不仅仅是记录，更是保障数据库安全的重要工具。合理配置和使用审计日志，能让你更好地保护你的数据资产。
