mysql日志审计可通过多种方式组合实现，以满足不同场景的合规需求。1. 开启通用查询日志可记录所有sql操作，适合低并发系统，但无法区分用户身份；2. 慢查询日志结合过滤机制可用于监控耗时操作，但仅作为补充手段；3. 启用二进制日志（row格式）可实现数据变更的细粒度审计，并通过工具解析具体操作；4. 引入第三方审计插件或中间件可记录更多上下文信息，如客户端ip、登录用户等，并支持告警与集中分析；5. 需注意日志权限控制、完整性保障、集中管理及保留周期设置，确保审计数据安全且符合规范。
MySQL日志审计的实现，核心在于记录数据库的操作行为并保留可追溯的依据。很多企业或系统在做安全合规时，都会要求对数据库操作进行审计，尤其是涉及敏感数据的场景。MySQL本身提供了一些日志功能，但要真正满足合规需求，还需要结合配置、工具甚至外部系统。
1. 开启通用查询日志（General Query Log）
这是最基础的审计手段之一，可以记录所有连接和执行的SQL语句。
-
启用方式： 修改
my.cnf
或my.ini
文件，添加如下内容：
general_log = 1 general_log_file = /var/log/mysql/general.log
-
注意事项：
- 日志文件会持续增长，建议定期轮转或清理。
- 不适合高并发系统，因为会影响性能。
- 只能记录原始SQL，无法区分用户意图或操作人身份。
这种方式适合小规模、低频访问的系统，用来做初步的审计记录。
2. 使用慢查询日志 + 过滤机制
虽然慢查询日志主要是用于性能优化，但也可以作为一种“过滤式”审计手段，只记录执行时间较长的SQL。
-
配置示例：
slow_query_log = 1 slow_query_log_file = /var/log/mysql/slow.log long_query_time = 1 log_queries_not_using_indexes = 0
-
适用场景：
- 想监控某些特定类型的耗时操作。
- 结合其他日志一起使用，作为补充。
注意：它不会记录所有SQL，所以不能单独作为完整审计方案。
3. 启用二进制日志（Binary Log）做精细审计
Binary Log 是 MySQL 的事务日志，记录了所有更改数据的事件，是做细粒度审计的重要依据。
-
开启方法：
binlog_format = ROW log_bin = /var/log/mysql/binlog expire_logs_days = 7
-
关键点说明：
ROW
格式记录的是实际变更的数据行，比STATEMENT
更准确。- 可以配合工具如
mysqlbinlog
来解析日志内容。 - 需要额外存储空间，且要设置合理的过期时间。
例如，你可以通过以下命令查看某段时间内的具体操作：
mysqlbinlog --start-datetime="2024-05-01 00:00:00" --stop-datetime="2024-05-02 00:00:00" binlog.000001
4. 引入第三方审计插件或中间件
如果上面的方法还不足以满足合规要求，比如需要更详细的上下文信息、用户身份识别、操作来源等，就需要引入专门的审计工具。
-
常见方案包括：
- 使用 MySQL 自带的
audit_log
插件（仅限企业版） - 安装开源插件如
McAfee Raptor
或MariaDB Audit Plugin
- 使用数据库代理层工具如
ProxySQL
、MaxScale
等做中间记录 - 结合 SIEM 系统（如 ELK、Splunk）集中分析日志
- 使用 MySQL 自带的
这些方式通常可以做到：
- 记录客户端IP、登录用户、执行SQL
- 区分读写操作
- 对敏感表或操作做告警或拦截
5. 注意事项与常见问题
- 日志文件权限控制：确保日志文件只有授权人员可以访问，避免二次泄露。
- 日志完整性保障：不要让数据库用户具备删除日志的能力。
- 日志集中管理：建议将日志输出到远程服务器，防止本地篡改。
- 日志保留周期：根据行业规范设定合理的保留天数，比如金融类系统可能要求6个月以上。
总的来说，MySQL的日志审计可以通过多种方式组合来实现。选择哪种方案，取决于你的业务复杂度、合规要求以及运维能力。从简单到复杂，可以逐步演进。基本上就这些，不复杂但容易忽略细节。
