基于MySQL服务器安全性需求，我们需要部署一套安全审计机制，以便当服务器出现用户活跃访问数据库、用户修改表结构、大批量数据修改等等危险操作时，我们可以进行实时的监控，报警。对于事后问题处理，有据可查。

在MySQL5.5之前，MySQL本身缺少一套的对服务器操作的审计机制，对于非法或者危险的操作、错误捕捉、登录审计尚不能很好的支持。当出现drop了一个表或者不慎不带where的删除表数据等危险操作时，应该被明确的记录下来。

在MySQL5.5里，添加了额外的流程来对这些我们所关心的地方进行事件捕获；然后将捕获到的事件传递给Audit Plugin；而Audit Plugin所要做的，就是对这些事件进行判别，并做必要的反应，比如记录到log或发送一个报警。

Audit Plugin基本工作流程：

Audit Plugin内部实现：

sql/sql_audit.cc该文件定义了audit插件的接口函数；

sql/sql_audit.h该文件申明函数，并定义了函数mysql_audit_general_log，在触发audit时，首先调用的就是该函数；

audit_null.c模版程序，给出了最基础的audit插件所需要定义的接口，程序audit_null.c中包括了两个必备头文件mysql/plugin.h，mysql/plugin_audit.h。

新增加的审计插件，其实现思想是在内核代码的不同位置增加相应的接口函数，具体实现在sql_audit.cc和sql_audit.h文件。在/plugin/audit_null/文件夹下的样本程序文件audit_null.c(对该文件进行编译之后生成so文件即是我们所需的插件，MySQL5.5.23模版so文件为adt_null.so)，插件名字为NULL_AUDIT。

在模板程序audit_null.c 的基础上，我们编辑了符合自己业务需求的程序，主要对audit_null_notify函数进行了相应更改，能够实现通过配置文件读取条件，对来自指定用户和访问IP的数据库操作情况进行记录，包括操作时间、用户名、操作语句记录、影响行数。

配置文件形式如下：

[log]

file = /var/lib/mysql/my_audit.log

[audit1]

user = un_

[audit2]

user = us_

[audit3]

user = uapp_

ip = 192.168.XX

用sysbench工具对审计插件进行性能测试后发现，当安装了自定义审计插件后，如果完全没有需要审计的内容，则几乎没有性能损失，约为0.1%；如果所有的操作都需要进行记录，则性能会下降30%左右，这些性能损失应该主要来自于IO消耗。

后一种场景的测试信息如下：

测试服务器

vms00XXX (5.5.21)

硬件配置

CPU 2核 内存4G

表数据量

100万

并发线程数

200

测试时间

10分钟*3

测试帐号

符合审计条件

queries performed

未使用插件

使用插件

降幅

read

1876910

1287524

31.40%

write

670325

459830

31.40%

other

268130

183932

31.40%

total

2815365

1931286

31.40%

transactions

134065 (223.37 per sec.)

91966(153.23 per sec.)

31.40%

deadlocks

0(0.00 per sec.)

0(0.00 per sec.)

31.40%

read/write requests

2547235 (4244.01 per sec.)

1747354 (2911.32 per sec.)

31.40%

other operations

268130 (446.74 per sec.)

183932 (306.45 per sec.)

31.40%