MySQL 数据库
MySQL 默认情况下并不直接记录用户的最后登录时间，这给审计工作带来了一定的挑战,但我们可以通过几种方法间接获取相关信息或启用相关功能来记录。
查看账号创建时间
最基础的信息是账号的创建时间，这可以作为一个参考基点，通过查询 information_schema.user 表可以获取。
SELECT user, host, password_last_changed, create_time FROM information_schema.user;
字段说明：
user: 数据库用户名。host: 允许登录的主机。password_last_changed: 密码最后修改时间，如果密码被修改过，这个时间点比create_time更能反映账号的“活化”状态。create_time: 账号的创建时间。
启用审计插件记录登录活动
要获取精确的登录历史，最可靠的方法是启用 MySQL 的审计插件，企业版自带 Audit Plugin，社区版则可以使用 MariaDB Audit Plugin 或 Percona Audit Log Plugin 等第三方插件。
启用后，插件会将数据库的连接、查询等活动记录到指定的日志文件中，通过分析这个日志文件，就可以找到任何账号的详细登录记录，包括精确的登录时间、来源IP等信息，这需要提前进行配置，对于已经发生的、未被记录的历史登录则无法追溯。
利用 Performance Schema（局限性较大）
performance_schema 可以记录最近的语句执行历史，其中包含了用户信息，通过查询 events_statements_history_long 表，可以看到某个用户在最近一段时间（取决于配置）内的活动，但此方法无法直接等同于“登录时间”,且信息在数据库重启后会丢失。
MySQL 方法小编总结表
| 方法 | 命令/说明 | 备注 |
|---|---|---|
| 查看创建/修改时间 | SELECT ... FROM information_schema.user; | 显示账号创建和密码修改时间，非登录时间 |
| 启用审计插件 | 安装并配置 audit_log 插件 | 最可靠方法，可记录详细历史，需额外配置 |
| 查看近期活动 | 查询 performance_schema | 仅限近期活动，重启后丢失，非直接登录时间 |
PostgreSQL 数据库
与 MySQL 类似，PostgreSQL 默认也不直接存储用户的最后登录时间,其强大的日志系统是实现这一功能的关键。
查看角色（账号）创建时间
可以通过查询系统目录 pg_roles 来获取角色的创建时间。
SELECT rolname, rolcreated FROM pg_roles;
字段说明：
rolname: 角色（用户）名。rolcreated: 角色的创建时间戳。
配置日志记录连接信息
这是在 PostgreSQL 中追踪登录活动的标准做法，需要修改数据库的配置文件 postgresql.conf：
log_connections = on
log_disconnections = on
log_line_prefix = '%t [%p]: [%l-1] user=%u,db=%d,app=%a,client=%h 'log_connections = on: 记录每一次成功的登录尝试。log_disconnections = on: 记录每一次会话结束。log_line_prefix: 自定义日志行的前缀，包含了时间戳 (%t)、用户名 (%u)、数据库名 (%d)、客户端IP (%h) 等关键信息。
配置保存后，需要重新加载 PostgreSQL 服务，之后，所有的登录和登出行为都会被写入数据库日志文件中，通过 grep 等工具分析日志文件,即可轻松获取任意账号的详细登录历史。
PostgreSQL 方法小编总结表
| 方法 | 命令/说明 | 备注 |
|---|---|---|
| 查看创建时间 | SELECT ... FROM pg_roles; | 显示角色创建时间 |
| 查看登录历史 | 配置 postgresql.conf 并分析日志 | 需分析日志文件，最常用且可靠的方法 |
SQL Server 数据库
SQL Server 提供了更为直接的视图和功能来帮助管理员查看登录信息。
查看登录名创建和修改时间
通过系统视图 sys.sql_logins 可以方便地查看登录账号的相关时间信息。
SELECT name, type_desc, create_date, modify_date FROM sys.sql_logins;
字段说明：
name: 登录名。create_date: 登录名创建的日期和时间。modify_date: 上次修改登录名的日期和时间，密码重置、权限变更等操作都会更新此时间。modify_date常常可以作为判断账号近期是否活跃的依据。
使用 SQL Server Audit
对于需要严格审计的环境，SQL Server Audit 是最强大的工具，它可以创建服务器级别的审计规范,专门用于捕获登录成功和失败的事件。
以下是一个简单的示例,创建一个服务器审计来记录所有成功的登录：
-- 创建一个服务器审计对象，将结果写入文件
CREATE SERVER AUDIT LoginAudit
TO FILE (FILEPATH = 'C:Audit');
-- 启用审计
ALTER SERVER AUDIT LoginAudit WITH (STATE = ON);
-- 创建一个服务器审计规范，专门针对登录成功事件
CREATE SERVER AUDIT SPECIFICATION LoginSuccessAudit
FOR SERVER AUDIT LoginAudit
ADD (SUCCESSFUL_LOGIN_GROUP);
-- 启用审计规范
ALTER SERVER AUDIT SPECIFICATION LoginSuccessAudit WITH (STATE = ON); 配置完成后，所有用户的成功登录事件都会被详细记录到指定的审计文件中，可以通过 sys.fn_get_audit_file 函数进行查询和分析。
SQL Server 方法小编总结表
| 方法 | 命令/说明 | 备注 |
|---|---|---|
| 查看创建/修改时间 | SELECT ... FROM sys.sql_logins; | modify_date 可辅助判断近期活动 |
| 登录审计 | 使用 SQL Server Audit | 功能强大，可记录详细登录历史，满足合规要求 |
通用方法与最佳实践
除了上述针对特定数据库的方法外,还有一些通用的思路：
- 应用层日志： 很多应用程序在用户登录时会记录日志,这通常是获取业务用户登录信息最直接的方式。
- 操作系统日志： 如果数据库使用操作系统认证（如 PostgreSQL 的
peer或sspi认证），那么操作系统的安全日志（如 Linux 的/var/log/auth.log或 Windows 的事件查看器）中会包含连接信息。 - 定期审查： 建立定期审查数据库账号的流程，结合创建时间和审计日志，识别并禁用长期未使用的账号,是保障数据库安全的重要一环。
相关问答 (FAQs)
问题1：数据库账号的“创建时间”和“最后登录时间”有什么区别？哪个更重要？
答： “创建时间”是账号在数据库系统中诞生的时间点，它是一个静态的、一次性的记录，主要用于账号的生命周期管理。“最后登录时间”则是动态的，反映了账号的实际使用情况，在安全审计和合规性检查中，“最后登录时间”通常更重要，一个创建了很久但从未登录或长期未登录的账号，可能意味着已被遗忘或存在潜在的安全风险（如弱密码未更改），而“最后登录时间”能帮助我们精准地识别这些“僵尸”或“幽灵”账号，从而及时进行清理或禁用,降低攻击面。
问题2：为什么我执行了查询，但是找不到某个账号的“最后登录时间”？
答： 这通常是由以下几个原因造成的：
- 数据库未开启该功能： 如文中所述，MySQL 和 PostgreSQL 等数据库默认不记录用户的最后登录时间，您必须手动启用审计插件（MySQL）或配置日志记录（PostgreSQL）才能捕获这些信息。
- 审计功能未启用或配置错误： 即使您知道需要配置审计，但如果相关服务未启动、配置文件有误或日志路径不可写,系统依然不会记录。
- 日志已被清理或轮转： 数据库日志或审计文件通常会设置轮转策略（如按天、按大小），旧的日志文件会被压缩或删除，如果您要查询的登录时间过于久远,对应的记录可能已经不存在了。
- 账号确实从未登录： 如果一个账号只是被创建但从未被用来连接数据库,那么自然不会有任何登录记录。
解决方法是检查并确保您的数据库审计或日志记录功能已正确启用并正在运行,然后从当前的日志文件开始分析。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
发表回复