MySQL 監査システムについて

1. 2016/2/15
MySQL 監査システムを作った話
ヤフー株式会社 井上和博

2. 自己紹介
• いのうえ かずひろ
• @i_swing_by
• 好きな言語
• C++
• 趣味
• 競技プログラミング、AI作成など
• 最近はISUCONやCTFなどにも参加

3. アジェンダ
• 監査とは
• 監査システムの機能
• 監査システムの構成
• Audit Plugin
• 監査システムのシステム性能
• 改善と問題点

4. 監査とは

5. 監査とは
• DBへのアクセス情報を出力
• クエリ、ip、ユーザ、etcを出力
• アクセス情報の解析
• アクセスルートやコマンドの登録
• 登録以外はインシデントとして登録
select * from test;
query:select * from test;
Ip:hoge
user:hoge
ログの出力
コマンドの実行

6. なぜ監査が必要なのか
• 不正アクセスの検知
• 不正アクセスがあった時にすぐに対応出来る
• どうのような操作を行われたか調べられる
• DB管理者を守る
• 監査システムは別のチームが管理
• 問題発生時にDB管理者が疑われるのを防ぐ

7. 問題無いアクセスの決め方
• ホワイトリストを事前に登録
• ホワイトリストの仕組み
• 登録者は事前に登録した利用者のみ
• 登録者の上長の確認後に登録される

8. 監査システムの機能

9. 監査システムの機能
• ログインやクエリを監視
• ポリシーの設定
• ポリシーとログのつきあわせ
• インシデントの登録
• インシデントの回答

10. ポリシー設定
設定項目 入力例
インスタンス instance
スキーマ database
アクセス元IP 127.0.0.1
データベースアカウント kainoue
コマンド SELECT
有効期間 2015-08-21 16:50 ~
2015-08-28 16:50
• ホワイトリスト方式で設定を行う
• 下記の項目の範囲で設定可能

11. ポリシーとログのつきあわせ
• バッチの種類
• 定期的にホワイトリストの作成
• JSON形式に直してファイルに出力
• ポリシーとログのつきあわせ
• Memcacheの使用
• ポリシーを保存し処理速度向上
• ログイン連続失敗回数のカウント

12. インシデントの回答
• インシデント内容から原因を回答

13. ポリシーの登録漏れ防止
• ポリシーの登録を忘れてしまった
• インシデントがたくさん上がってしまう
テストモード機能

14. システム構成

15. システム構成
監視対象DB
監査サーバ WEBサーバ
管理DB
APサーバ
インシデント情報をDBか
ら取得
接続情報やインシデント
情報を登録する
インシデント情報をDBか
ら取得
接続情報やインシデント
情報を登録する
インシデント情報参照、
登録などを行う
インシデント情報参照、
登録などを行う
Fluentdを使用し、監
査ログの読込・解析
Fluentdを使用し、監
査ログの読込・解析
McAfee Audit Pluginを
使用し監査ログの出力
McAfee Audit Pluginを
使用し監査ログの出力
httpshttps
fluentdfluentd
httpshttps
DB利用者
DBへのアクセスサーバ
mysqlmysql
mysqlmysql
httpshttps
セキュリティ担当者が管理
DB利用者が管理
DB管理者が管理

16. Audit Pluginの出力について

17. Audit Plugin
• ログはJSON形式で出力される
• MySQL 5.1 以降に対応している
• 関数をフックして監査ログを取得する
特徴
McAfee Audit Plugin

18. Audit Logの出力例
{
msg-type: "activity",
date: "1421981385199",
thread-id: "7",
query-id: "57",
user: "root",
priv_user: "root",
host: "localhost",
ip: "",
cmd: "select",
objects:
[
{
db: "hogehoge",
name: "a",
obj_type: "TABLE"
}
],
query: "select * from a"
}

19. 監視コマンド
• コマンドの種類多い
• show status like ‘Com_%’の％の部分
• 全部で100種類以上
• 利用者に登録してもらうのが大変

20. 監視コマンド
解決策
コマンドの分類
コマンドを
まとめる
頻繁に使われるコマンド
一時的に使われるコマンド

21. 頻繁に使われるコマンド
コマンド
select
insert
update
replace
insert_select
truncate
delete
lock_tables
load
replace_select
• 個別に登録
• 複数まとめると監査が甘くなる

22. 一時的に使われるコマンド
コマンドグループ コマンド
ALTER alter_db,alter_db_upgrade,alter_event,alter_function,alter_procedure,alter_server,
alter_table,alter_tablespace,alter_user,rename_table,repair,rename_user
グループピングの例
１１種類のグループを作成
コマンドの選択画面
全部で２１種類
拡大

23. Audit Pluginのパラメータについて

24. パラメータの注意点
• ログの取得方法
• MySQLの特定の関数をフックする
• audit_offsetの値を元にフックする関数を探す
• audit_offset
• MySQLのバージョン毎に固定の値
• MySQLのバイナリから値を取得

25. audit_offsetの取得手順
１．スクリプトの取得
https://raw.githubusercontent.com/mcafee/mysql-audit/v1.0.3/offset-extract/offset-extract.sh
２．strip されてないMySQLのバイナリを用意
３．スクリプトの実行
実行例
$ ~/mcafee/mcafee/offset-extract.sh mysqld
//offsets for: mysqld (5.6.24-72.2)
{
"5.6.2472.2","99159a927a3e3ba0265713c0baf8d484", 7680, 772
8, 4384, 5024, 88, 2720, 96, 0, 32, 104
},

26. MySQLのパフォーマンス
• MySQL5.5
• sysbench を利用
• ReadOnlyで計測
• スレッド数:10, 20, 30, 40

27. 改善点と課題

28. リリース後の改善点
• ポリシーの申請漏れ
• インシデントがたくさん上がってしまう
改善前 改善後
stop/start slave
show slave status
stop/start slave
show slave status
stop slave
start slave
show slave status
インシデント
stop slave
start slave
show slave status
インシデント
コマンドコマンド
インシデントをセッション単位に変更

29. 課題
•McAfee Audit Pluginが起因で落ちてしまう
•アクセスが激しいと監査が追いつかない
•ポリシー更新時にfluentdを再起動させない
監視のプラグインをPerconaのに差し替える
ポリシー情報をDBに見に行くようにする
検討中

30. ご清聴ありがとうございました。