公众号文章预告：近期会更新大量等保测评的作业指导书，需要的朋友请持续关注。
等保测评的作业指导书均以通用要求三级为例，仅供参考和学习使用，有错误的地方文末留言我们修订，对于不适用项根据各家测评机构要求自行调整，所有测评作业指导书更新完并验证修订后完整的第一版作业指导书及时上传到（https://www.feidusec.com）网站中提供给大家下载使用，所需要参考下方留言指正错误点。
达梦数据库属于新一代大型通用关系型数据库，全面支持 SQL 标准和主流编程语言接口/开发框架。行列融合存储技术，满足 HTAP 混合应用场景。融合了分布式、弹性计算与云计算的优势，对灵活性、易用性、可靠性、高安全性等方面进行了大规模改进。
| 安全控制点：身份鉴别 | ||
| 测评指标（条款） | 测评要点 | 测评实施步骤 |
| a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换 | 1.身份鉴别措施<br>2.用户唯一性<br>3.口令策略<br>4.口令设置 | 1. 查询用户列表：<br>SELECT USERNAME, ACCOUNT_STATUS FROM DBA_USERS;<br>2. 检查口令策略：<br>SELECT * FROM V$DM_INI WHERE PARA_NAME='PWD_POLICY';<br>3. 检查密码有效期：<br>SELECT * FROM V$DM_INI WHERE PARA_NAME='PWD_LIFE_TIME'; |
| b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施 | 1.登录失败处理<br>2.超时退出 | 1. 检查失败登录锁定策略：<br>SELECT * FROM V$DM_INI WHERE PARA_NAME='FAILED_LOGIN_ATTEMPTS';<br>2. 查看会话超时配置：<br>SELECT * FROM V$DM_INI WHERE PARA_NAME='IDLE_TIMEOUT'; |
| c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听 | 1.管理方式 | 检查SSL配置：<br>SELECT * FROM V$DM_INI WHERE PARA_NAME='SSL_ENABLE'; |
| d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现 | 1.组合鉴别技术 | 检查是否启用双因素认证（如证书+口令）：<br>SELECT * FROM DBA_USERS WHERE AUTHENTICATION_TYPE='CERTIFICATE'; |
| 安全控制点：访问控制 | ||
| 测评指标（条款） | 测评要点 | 测评实施步骤 |
| a) 应对登录的用户分配账户和权限 | 1.账户权限<br>2.匿名账户<br>3.默认账户权限 | 1. 查询用户权限：<br>SELECT * FROM DBA_SYS_PRIVS WHERE GRANTEE='PUBLIC';<br>2. 检查默认账户权限：<br>SELECT * FROM DBA_ROLE_PRIVS WHERE GRANTEE='SYSDBA'; |
| b) 应重命名或删除默认账户，修改默认账户的默认口令 | 1.默认账户处理 | 检查默认账户状态：<br>SELECT USERNAME, ACCOUNT_STATUS FROM DBA_USERS WHERE USERNAME='SYSDBA'; |
| c) 应及时删除或停用多余的、过期的账户，避免共享账户的存在 | 1.多余/过期账户 | 查询过期账户：<br>SELECT USERNAME, EXPIRY_DATE FROM DBA_USERS WHERE EXPIRY_DATE < SYSDATE; |
| d) 应授予管理用户所需的最小权限，实现管理用户的权限分离 | 1.权限分离 | 检查DBA角色分配：<br>SELECT GRANTEE FROM DBA_ROLE_PRIVS WHERE GRANTED_ROLE='DBA'; |
| e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则 | 1.授权主体<br>2.访问规则<br>3.越权测试 | 1. 检查权限分配记录：<br>SELECT * FROM DBA_TAB_PRIVS WHERE TABLE_NAME='EMPLOYEES';<br>2. 尝试通过低权限用户访问敏感表。 |
| f) 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级 | 1.访问控制粒度 | 检查列级权限：<br>SELECT * FROM DBA_COL_PRIVS WHERE TABLE_NAME='EMPLOYEES'; |
| g) 应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问 | 1.安全标记 | 检查是否启用数据脱敏或加密：<br>SELECT * FROM DBA_ENCRYPTED_COLUMNS; |
| 安全控制点：安全审计 | ||
| 测评指标（条款） | 测评要点 | 测评实施步骤 |
| a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计 | 1.审计开启情况<br>2.审计覆盖范围 | 检查审计配置：<br>SELECT * FROM V$DM_INI WHERE PARA_NAME='AUDIT_ENABLE'; |
| b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息 | 1.审计记录要素 | 检查审计日志内容：<br>SELECT * FROM SYS.AUD$; |
| c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等 | 1.审计记录保护<br>2.备份措施 | 检查审计日志文件权限：<br>!ls -l /dmdata/audit/*.aud |
| d) 应对审计进程进行保护，防止未经授权的中断 | 1.审计进程保护 | 检查审计管理员权限：<br>SELECT * FROM DBA_SYS_PRIVS WHERE PRIVILEGE='AUDIT SYSTEM'; |
| 安全控制点：入侵防范 | ||
| 测评指标（条款） | 测评要点 | 测评实施步骤 |
| a) 应遵循最小安装的原则，仅安装需要的组件和应用程序 | 1.最小化安装 | 检查已安装组件：<br>SELECT * FROM V$DM_MODULES; |
| b) 应关闭不需要的系统服务、默认共享和高危端口 | 1.端口与服务 | 检查监听端口：<br>netstat -tuln | grep 5236 |
| c) 应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制 | 1.终端接入限制 | 检查dm.ini配置：<br>LISTEN_ADDRESS=192.168.1.100 |
| d) 应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求 | 1.输入验证 | 检查存储过程参数校验：<br>SELECT TEXT FROM DBA_SOURCE WHERE NAME='PROC_INSERT'; |
| e) 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞 | 1.漏洞管理 | 检查数据库版本：<br>SELECT * FROM V$DM_VERSION; |
| f) 应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警 | 1.入侵检测 | 检查是否部署第三方IDS或日志分析工具。 |
| 安全控制点：恶意代码防范 | ||
| 测评指标（条款） | 测评要点 | 测评实施步骤 |
| 应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断 | 1.防范措施<br>2.更新机制 | 1. 检查是否安装防病毒软件（如奇安信）。<br>2. 检查病毒库版本：<br>freshclam --version |
| 安全控制点：可信验证 | ||
| 测评指标（条款） | 测评要点 | 测评实施步骤 |
| 可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心 | 1.可信验证 | 检查是否启用TPM模块或可信启动功能：<br>dmesg | grep -i tpm |
| 安全控制点：数据完整性 | ||
| 测评指标（条款） | 测评要点 | 测评实施步骤 |
| a) 应采用校验技术或密码技术保证重要数据在传输过程中的完整性 | 1.传输完整性 | 检查SSL配置：<br>SELECT * FROM V$DM_INI WHERE PARA_NAME='SSL_ENABLE'; |
| b) 应采用校验技术或密码技术保证重要数据在存储过程中的完整性 | 1.存储完整性 | 检查是否启用数据页校验和：<br>SELECT * FROM V$DM_INI WHERE PARA_NAME='PAGE_CHECKSUM'; |
| 安全控制点：数据保密性 | ||
| 测评指标（条款） | 测评要点 | 测评实施步骤 |
| a) 应采用密码技术保证重要数据在传输过程中的保密性 | 1.传输保密性 | 检查SSL配置：<br>SELECT * FROM V$DM_INI WHERE PARA_NAME='SSL_ENABLE'; |
| b) 应采用密码技术保证重要数据在存储过程中的保密性 | 1.存储保密性 | 检查是否启用透明数据加密（TDE）：<br>SELECT * FROM DBA_ENCRYPTED_COLUMNS; |
| 安全控制点：数据备份恢复 | ||
| 测评指标（条款） | 测评要点 | 测评实施步骤 |
| a) 应提供重要数据的本地数据备份与恢复功能 | 1.本地备份 | 检查备份计划：<br>dmrman BACKUP DATABASE '/dmdata/DAMENG/dm.ini'; |
| b) 应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地 | 1.异地备份 | 检查数据守护（Data Guard）状态：<br>SELECT * FROM V$DG_STATUS; |
| c) 应提供重要数据处理系统的热冗余，保证系统的高可用性 | 1.设备冗余 | 检查集群状态：<br>SELECT * FROM V$DSC_CLUSTER; |
| 安全控制点：剩余信息保护 | ||
| 测评指标（条款） | 测评要点 | 测评实施步骤 |
| a) 应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除 | 1.剩余信息清除 | 检查内存清理策略：<br>ALTER SYSTEM CLEAR BUFFER_CACHE; |
| b) 应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除 | 1.敏感数据清除 | 检查是否使用安全删除工具：<br>shred -u /dmdata/*.dbf |
| 安全控制点：个人信息保护 | ||
| 测评指标（条款） | 测评要点 | 测评实施步骤 |
| a) 应仅采集和保存业务必需的用户个人信息 | 1.个人信息收集 | 检查表中字段：<br>SELECT COLUMN_NAME FROM DBA_TAB_COLUMNS WHERE TABLE_NAME='USERS'; |
| b) 应禁止未授权访问和非法使用用户个人信息 | 1.访问控制 | 检查字段级加密：<br>SELECT * FROM DBA_ENCRYPTED_COLUMNS WHERE TABLE_NAME='USERS'; |
原文始发于微信公众号（网络安全与等保测评）：等保测评||达梦数据库作业指导书
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论