Hardening MySQL: Guia de Segurança e Otimização para VPS

A segurança de um banco de dados é o pilar fundamental da integridade de qualquer aplicação web. Em ambientes de VPS e cloud, onde você tem controle total sobre o sistema operacional e as configurações do servidor, a responsabilidade pela proteção dos dados recai inteiramente sobre você. O MySQL (e seus forks como MariaDB) são extremamente poderosos, mas sua configuração padrão muitas vezes prioriza a facilidade de uso em detrimento da segurança rígida necessária em produção.

Este tutorial apresenta um guia prático de hardening básico para iniciantes e administradores de sistemas que desejam garantir que seu banco de dados esteja protegido contra acessos não autorizados, vazamentos de informações e ataques comuns. Vamos cobrir desde a instalação segura até backups automatizados e monitoramento.

1. Instalação Segura e Configuração Inicial

O primeiro passo para a segurança do MySQL é garantir que ele não esteja rodando com privilégios desnecessários e que as configurações padrão vulneráveis tenham sido alteradas. A maioria das distribuições Linux oferece um script de segurança integrado.

Após instalar o MySQL via gerenciador de pacotes (como apt ou yum), execute imediatamente o script de segurança. Ele remove usuários anônimos, desativa o login remoto do root e remove o banco de dados de teste.

sudo mysql_secure_installation

Durante a execução, você será solicitado a configurar o Validate Password Plugin. Recomendamos fortemente ativar essa funcionalidade. Ela força o uso de senhas complexas e impede que usuários criem credenciais fracas como "123456" ou "senha".

Além disso, certifique-se de definir uma senha forte para a conta root do MySQL e responder Y (Sim) para todas as outras perguntas, incluindo a remoção do usuário anônimo e a desativação do login remoto para o root.

2. Princípio do Privilégio Mínimo

Um dos erros mais comuns é usar a conta root do MySQL para conectar suas aplicações web. Isso é uma falha grave de segurança. Se sua aplicação for comprometida, o atacante terá acesso total ao banco de dados.

Crie usuários dedicados para cada aplicação ou serviço, concedendo apenas os privilégios estritamente necessários.

CREATE USER 'app_user'@'localhost' IDENTIFIED BY 'SenhaComplexa123!';
GRANT SELECT, INSERT, UPDATE, DELETE ON minha_app_db.* TO 'app_user'@'localhost';
FLUSH PRIVILEGES;

Note o uso de 'app_user'@'localhost'. Isso garante que esse usuário só pode se conectar ao banco de dados localmente. Se um atacante obter as credenciais, ele não poderá tentar acessar o banco remotamente, limitando o escopo do ataque.

3. Restringindo Acesso à Interface

Por padrão, o MySQL pode estar configurado para ouvir em todas as interfaces de rede (0.0.0.0). Em uma VPS, isso significa que qualquer IP na internet pode tentar se conectar à porta 3306.

Verifique o arquivo de configuração principal, geralmente localizado em /etc/mysql/mysql.conf.d/mysqld.cnf ou /etc/my.cnf.

Localize a linha bind-address. Se estiver definida como 0.0.0.0, altere para o endereço IP local da sua VPS (ex: 127.0.0.1) ou, se você precisar de acesso remoto seguro, para o IP específico do seu servidor de aplicação.

bind-address = 127.0.0.1

Após a alteração, reinicie o serviço:

sudo systemctl restart mysql

4. Backup Automático e Integridade dos Dados

A segurança também envolve a disponibilidade dos dados. Um ataque de ransomware ou uma falha humana podem corromper seu banco. O mysqldump é a ferramenta padrão para criar backups lógicos completos.

Crie um script simples de backup e agende-o via crontab. Exemplo de comando para backup diário:

mysqldump -u root -p'SuaSenha' --all-databases | gzip > /backup/mysql_$(date +%F).sql.gz

Para automatizar isso sem expor a senha no processo do sistema, crie um arquivo de configuração .my.cnf na home do usuário root com permissões restritas:

sudo nano /root/.my.cnf
[client]
user=root
password=SuaSenhaComplexa123!
chmod 600 /root/.my.cnf

Em seguida, o comando de backup simplificado fica:

mysqldump --all-databases | gzip > /backup/mysql_$(date +%F).sql.gz

Configure um cron job para rodar diariamente e, crucialmente, mantenha cópias desses backups em um local externo (S3, outro servidor ou armazenamento offline) para garantir a recuperação em caso de desastre.

5. Otimização de Queries e Prevenção de DoS

Ataques de Negação de Serviço (DoS) podem ser direcionados ao banco de dados através de queries maliciosas ou extremamente ineficientes que consomem toda a CPU ou memória do servidor.

O tuning mysql não serve apenas para performance, mas também para estabilidade. Defina limites claros para o tempo de execução das queries.

SET GLOBAL max_execution_time = 10000; -- 10 segundos
SET GLOBAL wait_timeout = 60;

No arquivo de configuração (my.cnf), ajuste parâmetros como max_connections. Se seu servidor tem recursos limitados, não defina esse valor excessivamente alto. Um valor entre 100 e 200 é suficiente para a maioria das aplicações pequenas e médias.

max_connections = 150
thread_cache_size = 8

Além disso, habilite o slow query log. Ele registra queries que levam mais tempo do que o especificado para serem executadas. Isso é vital para identificar gargalos de performance e detectar padrões suspeitos.

[mysqld]
slow_query_log = 1
slow_query_log_file = /var/log/mysql/slow-query.log
long_query_time = 2

6. Atualizações e Correções de Vulnerabilidades

O MySQL recebe atualizações regulares que corrigem vulnerabilidades de segurança descobertas pela comunidade e pesquisadores. Manter o sistema desatualizado é uma das maiores falhas de segurança.

Crie um hábito mensal de verificar e aplicar atualizações:

sudo apt update && sudo apt upgrade mysql-server

Para sistemas Enterprise, considere assinar os canais de segurança oficiais do MySQL/MariaDB para receber alertas precoces sobre CVEs (Common Vulnerabilities and Exposures) críticos.

7. Criptografia de Dados em Repouso e Trânsito

Para dados sensíveis, a criptografia é essencial. O MySQL suporta criptografia de dados em repouso (TDE - Transparent Data Encryption) em versões mais recentes.

Isso garante que, se o disco físico ou o arquivo de banco de dados (.ibd) for roubado, os dados permanecerão ilegíveis sem a chave de criptografia.

Para habilitar a criptografia de conexão (TLS/SSL), você precisará gerar certificados CA, servidor e cliente. Configure o my.cnf para exigir conexões seguras:

[mysqld]
require_secure_transport = ON
ssl-ca = /etc/mysql/certs/ca.pem
ssl-cert = /etc/mysql/certs/server-cert.pem
ssl-key = /etc/mysql/certs/server-key.pem

No lado do cliente (sua aplicação), certifique-se de configurar a conexão para usar SSL/TLS. Isso protege contra ataques "Man-in-the-Middle" onde um atacante intercepta os dados trafegando entre o servidor web e o banco de dados.

8. Monitoramento Database Ativo

A segurança não termina com a configuração; ela requer vigilância contínua. O monitoramento database permite detectar anomalias em tempo real.

Ferramentas como ProxySQL podem atuar como uma camada de proteção e monitoramento entre sua aplicação e o banco de dados. O ProxySQL permite:

• Balanceamento de carga: Distribuir consultas entre réplicas.
• Filtrace de queries: Bloquear queries maliciosas ou lentas antes que cheguem ao banco principal.
• Reconexão automática: Gerenciar conexões eficientemente.

Instalar e configurar o ProxySQL adiciona uma camada extra de resiliência. Além disso, integre logs do MySQL com ferramentas de SIEM (Security Information and Event Management) ou monitore os arquivos de log manualmente para detectar tentativas de login falhas repetidas, que podem indicar ataques de força bruta.

9. Hardening do Sistema Operacional

O banco de dados não vive isolado; ele roda em um SO. A segurança do MySQL depende da segurança do Linux subjacente.

• Firewall: Use ufw ou iptables para bloquear a porta 3306 para todos os IPs, exceto os endereços IP específicos dos seus servidores de aplicação e do seu IP administrativo.

sudo ufw allow from 192.168.1.50 to any port 3306
sudo ufw deny 3306

• Permissões de Arquivo: Certifique-se de que o diretório /var/lib/mysql seja acessível apenas pelo usuário mysql.

sudo chown -R mysql:mysql /var/lib/mysql
sudo chmod 750 /var/lib/mysql

• Selinux/AppArmor: Mantenha o AppArmor ativo e em modo de aplicação (complain ou enforce) para restringir as capacidades do daemon mysqld.

10. Plano de Resposta a Incidentes

Por fim, tenha um plano documentado. O que você fará se detectar uma invasão? Ter backups recentes e imutáveis é sua melhor defesa contra ransomwares.

Teste regularmente a restauração dos seus backups em um ambiente de staging. Um backup que não pode ser restaurado é inútil. A prática regular de recuperação garante que, no momento do desespero, você tenha confiança na integridade dos seus dados.

Conclusão

A segurança do MySQL é um processo contínuo, não um destino final. Ao seguir estas etapas de hardening — desde a configuração inicial rigorosa até o monitoramento ativo e backups testados — você estabelece uma base sólida para suas aplicações. Lembre-se: em infraestrutura cloud e VPS, a segurança é responsabilidade compartilhada, mas a camada de aplicação e banco de dados é sua responsabilidade total.

Não espere um incidente de segurança para descobrir lacunas na sua configuração. Dedique tempo hoje para auditar seus bancos de dados, atualizar senhas e revisar permissões. A tranquilidade de saber que seus dados estão protegidos vale o esforço.