07-达梦测评命令

达梦 DM 数据库三级等保现场测评取证命令单：disql 连接数据库与 select * from v$version 基础信息核查，v$dm_ini 中 PWD 系列参数（口令复杂度与有效期）身份鉴别核查，用户与权限体系访问控制核查（含 reuse_max/reuse_time 客体重用与 life_time 口令生命周期），审计参数与审计日志安全审计核查，以及数据完整性、数据保密性、备份恢复、剩余信息保护、个人信息保护、入侵防范、时间同步与日志一致性核查，附主流版本差异说明、现场编制建议与取证注意事项。

基础信息

disql SYSDBA/"口令"@192.168.10.16:5236

select * from v$version;

select * from dba_users;

备注：用于确认版本、用户和基础运行环境。DM8 默认端口 5236；DM8 三权分立体系下系统预设账户为 SYSDBA（数据库管理员）、SYSAUDITOR（数据库审计员）、SYSSSO（安全员）。
预期证据：版本截图、用户列表截图、连接方式说明（disql 或管理工具）。
对应控制点：支撑 GB/T 22239-2019 8.1.4 安全计算环境各条款的测评准备（版本与账户体系决定各条款判定口径）。
判定要点：确认 DM7/DM8 版本与三权账户是否齐备即可，不单独判符合/不符合；三权账户缺失或被合并使用时应在访问控制条款中记录。
取证要求：版本截图（V8/DB Version）、用户列表截图、连接方式说明。

disql 命令行内明文书写口令会进入 shell 历史记录，现场建议交互输入或使用专用只读核查账号；口令含特殊字符时按 disql 规则加双引号转义。

示例输出（节选）

SQL> select * from v$version;
行号     BANNER
-------- --------------------------------------------------
1        DM Database Server 64 V8
2        DB Version: 0x7000c
已用时间: 3.120(毫秒). 执行号:1001.
SQL> select username, account_status from dba_users;
USERNAME   ACCOUNT_STATUS
---------- --------------
SYS        OPEN
SYSDBA     OPEN
SYSAUDITOR OPEN
APPUSER    OPEN

身份鉴别

对应控制点：GB/T 22239-2019 8.1.4.1 身份鉴别 a)–d)。
判定要点：DM8 支持 PWD_POLICY 口令策略与 LIMIT 资源限制（FAILED_LOGIN_ATTEMPTS/PASSWORD_LOCK_TIME/PASSWORD_LIFE_TIME 等），参数配置到位且管理账户同样受限判 a)/b) 符合，系统预设管理员默认无限制未调整判“部分符合”；ENABLE_ENCRYPT=0 且算法名为空判 c)“不符合”；未实现双因素判 d)“不符合”。DM7 与 DM8 参数视图略有差异，以现场 v$dm_ini 实际输出为准。
取证要求：口令策略与资源限制参数截图、用户策略查询截图、通信加密参数截图、双因素认证截图、账号制度。

高风险提示：SYSDBA/SYSAUDITOR/SYSSSO 默认口令（与账户同名）未修改、口令策略为 0 或弱口令，均属高风险情形。对应判定详见 22、高风险判定指引与加固对照表。

A. 身份标识唯一、口令复杂度、定期更换

select para_name, para_value from v$dm_ini where para_name like 'PWD%';

select t2.username, t1.reuse_max, t1.reuse_time
from sysusers t1, dba_users t2
where t1.id=t2.user_id and (t1.reuse_max=0 or t1.reuse_time=0)
order by t2.username;

select t2.username, t1.life_time
from sysusers t1, dba_users t2
where t1.id=t2.user_id;

备注：重点核查口令复杂度、重用限制和有效期。PWD_POLICY 为位叠加参数（官方口径）：0 无策略；1 禁止与用户名相同；2 口令长度不小于 PWD_MIN_LEN（默认 9）；4 至少一个大写字母；8 至少一个数字；16 至少一个标点符号；组合取和（如 6=2+4），口令最长 48 字节，缺省值 2。用户级可用 PASSWORD_POLICY 子句覆盖。等保现场通常建议启用全部位（31）。
预期证据：参数截图、用户口令策略截图、账号制度。

示例输出（节选）

SQL> select para_name, para_value from v$dm_ini where para_name like 'PWD%';
PARA_NAME            PARA_VALUE
-------------------- ----------
PWD_MIN_LEN          9
PWD_POLICY           2

SQL> select t2.username, t1.reuse_max, t1.reuse_time from sysusers t1, dba_users t2 where ...;
USERNAME   REUSE_MAX  REUSE_TIME
---------- ---------- ----------
APPUSER             5         90

SQL> select t2.username, t1.life_time from sysusers t1, dba_users t2 where t1.id=t2.user_id;
USERNAME   LIFE_TIME
---------- ----------
APPUSER          90
REPORT           90

整改对照（由 DBA 执行，属变更操作）：

alter user appuser limit failed_login_attempts 5, password_lock_time 3,
password_reuse_max 5, password_reuse_time 90, password_life_time 90;

ALTER USER ... LIMIT 直接改变账户锁定与口令有效期策略，可能造成在用账户被锁定或口令集中过期，须走变更审批并在业务低峰执行。

B. 登录失败处理、会话超时退出

select t2.username, t1.failed_num, t1.lock_time
from sysusers t1, dba_users t2
where t1.id=t2.user_id
order by t2.username;

select id, allow_addr from sysusers;

备注：重点核查失败登录锁定（FAILED_LOGIN_ATTEMPTS，缺省 3）、锁定时长（PASSWORD_LOCK_TIME，缺省 1 分钟）和会话管理策略；会话空闲超时可用 CONNECT_IDLE_TIME 资源限制实现（缺省 1440 分钟），可在 LIMIT 子句中按用户收紧。
预期证据：参数截图、用户策略截图、访谈记录。

示例输出（节选）

SQL> select t2.username, t1.failed_num, t1.lock_time from sysusers t1, dba_users t2 where t1.id=t2.user_id order by t2.username;
USERNAME   FAILED_NUM LOCK_TIME
---------- ---------- ----------
APPUSER             5          3
REPORT              5          3

SQL> select id, allow_addr from sysusers where id = 501;
ID          ALLOW_ADDR
----------- --------------------
501         192.168.10.0/24

C. 远程管理传输保密

select * from v$parameter where name='ENABLE_ENCRYPT';

select * from v$parameter where name='COMM_ENCRYPT_NAME';

备注：可作为通信加密是否启用的重要证据。官方口径：ENABLE_ENCRYPT 0＝通信数据不经 SSL 加密且不验证证书（缺省 0）；1＝通信数据加密且双方交换并验证证书；2＝通信数据不加密仅验证证书（另有 4/5/6 等扩展取值，6 为国密 TLCP）。等保现场应要求 ≥1。COMM_ENCRYPT_NAME 为应用层通信加密算法（空串不加密），算法可查动态视图 V$CIPHERS，两者均为静态参数、修改后需重启实例。
预期证据：参数截图、通信加密配置截图、远程运维说明。

示例输出（节选）

SQL> select * from v$parameter where name='ENABLE_ENCRYPT';
NAME            VALUE  TYPE  DESCRIPTION
--------------- ------ ----- --------------------
ENABLE_ENCRYPT  1      SYS   SSL通信加密开关（0不加密不验证证书 1加密并验证证书 2不加密仅验证证书）

SQL> select * from v$parameter where name='COMM_ENCRYPT_NAME';
NAME               VALUE     TYPE  DESCRIPTION
------------------ --------- ----- --------------------
COMM_ENCRYPT_NAME  DES_OFB   SYS   应用层通信加密算法（空串不加密）

D. 组合鉴别

备注：如通过堡垒机、统一认证、USBKey/证书实现双因素，应在记录中注明；其中一种鉴别技术须基于密码技术。
预期证据：双因素界面截图、认证策略截图、访谈记录。

访问控制

对应控制点：GB/T 22239-2019 8.1.4.2 访问控制 a)–g)。
判定要点：DM8 三权分立（SYSDBA/SYSAUDITOR/SYSSSO）天然支撑管理用户权限分离，账户与角色齐备、无多余/过期账户判“符合”；默认账户未改名或默认口令未改判“不符合”；授权粒度可到表/列级，未做最小化分配判“部分符合”。DM7 与 DM8 视图展示略有差异，以现场输出为准。
取证要求：用户列表与属性截图、角色与授权矩阵、账户台账、三权分工说明。

A. 账户、角色、权限分配

select * from dba_users;

select grantee, granted_role, admin_option from dba_role_privs
where grantee in ('SYSDBA','SYSAUDITOR','SYSSSO','APPUSER') order by grantee;

备注：用于核查账户列表与账户状态、角色授予关系（含 ADMIN OPTION 是否转授）。
预期证据：用户列表截图、角色授权截图、角色分工说明。

示例输出（节选）

SQL> select username, account_status, lock_date from dba_users;
USERNAME    ACCOUNT_STATUS  LOCK_DATE
----------- --------------- --------
SYSDBA      OPEN
APPUSER     OPEN
TEST_OLD    LOCKED          2026-01-05

B. 默认账户、多余账户、来源与高权限账户

select * from sys.sysusers;

备注：重点核查管理员账户、高权限账户和无效账户。DM8 三权分立预设 SYSDBA/SYSAUDITOR/SYSSSO（TYPE$ 为 S 的系统账户），需确认三者口令均已修改且未作日常业务使用；APPUSER 等业务账户（TYPE$ 为 U）核查来源与最小权限。
预期证据：账户属性截图、台账、抽查记录。

示例输出（节选）

SQL> select id, name, type$ from sys.sysusers where rownum <= 4;
ID          NAME       TYPE$
----------- ---------- ------
          1 SYSDBA     S
          2 SYSAUDITOR S
          3 SYSSSO     S
        501 APPUSER    U

C. 细粒度授权与最小权限

select grantee, owner, table_name, privilege from dba_tab_privs
where grantee in ('APPUSER','REPORT') order by grantee, table_name;

备注：需结合对象授权视图（DBA_TAB_PRIVS/DBA_SYS_PRIVS）或管理工具进一步核查，重点关注业务账户对敏感表的增删改授权是否最小化。
预期证据：授权截图、敏感对象权限抽查记录。

D. 角色继承与特殊角色

备注：重点说明管理员、审计员、安全员是否分离，角色是否存在 ADMIN OPTION 转授链过长。
预期证据：角色分工说明、权限矩阵、访谈记录。

安全审计

对应控制点：GB/T 22239-2019 8.1.4.3 安全审计 a)–d)。
判定要点：ENABLE_AUDIT 缺省为 0（关闭），为 0 且无外部审计平台判“不符合”；为 1 仅普通审计、为 2 普通审计+实时审计；审计规则需覆盖用户级/语句级/对象级重要操作，未覆盖判“部分符合”；审计数据需按 c)/d) 保护留存。
取证要求：审计开关截图、审计规则截图（SYSAUDITOR 登录）、审计记录样例、留存与告警证明。

高风险提示：审计功能未开启（ENABLE_AUDIT=0 且无替代审计措施）属高风险情形。对应判定详见 22、高风险判定指引与加固对照表。

A. 审计功能是否开启

select para_name, para_value from v$dm_ini where para_name='ENABLE_AUDIT';

备注：用于确认是否启用数据库审计。官方口径：审计开关由数据库审计员经 SP_SET_ENABLE_AUDIT(param) 设置——0 关闭审计（缺省 0）、1 打开普通审计、2 打开普通审计和实时审计；修改须由 SYSAUDITOR（具有数据库审计员权限）进行，当前值经 V$DM_INI 动态视图查询。
预期证据：审计开关截图、审计启用截图。

示例输出（节选）

SQL> select para_name, para_value from v$dm_ini where para_name='ENABLE_AUDIT';
PARA_NAME    PARA_VALUE
----------- ----------
ENABLE_AUDIT 1

B. 审计范围与审计对象

select * from sysauditor.v$auditrecords;

select count(*) from sysauditor.sysaudit;

备注：需以 SYSAUDITOR 登录核查。审计设置存放于数据字典表 SYSAUDITOR.SYSAUDIT（语句序列审计另存 SYSAUDITOR.SYSAUDITSQLSEQ），审计记录经动态视图 SYSAUDITOR.V$AUDITRECORDS 查询（含用户名、IP、操作类型、SQL 文本、操作时间等）。设置审计用系统过程而非语句，例如：SP_AUDIT_STMT('TABLE','NULL','ALL');（审计建/改/删/清空表）、SP_AUDIT_OBJECT('INSERT','SYSDBA','PERSON','ADDRESS','SUCCESSFUL');；也可用审计分析工具 Analyzer（需 DB_AUDIT_SOI、DB_AUDIT_VTI 角色）查看。
预期证据：审计策略截图、审计日志样例截图。

示例输出（节选）

SQL> select * from sysauditor.v$auditrecords where rownum <= 3;
USERNAME  OPERATION  OBJ_NAME   OPTIME
--------- ---------- ---------- -------------------
APPUSER   LOGIN                 2026-08-24 09:15:22
APPUSER   SELECT     T_ORDER    2026-08-24 09:16:03

SQL> select count(*) from sysauditor.sysaudit;
COUNT(*)
----------------------
3

C. 审计日志保护与留存

备注：需补查审计文件目录权限、留存周期、备份（V$AUDIT_FILE/V$AUDIT_SPACE 可辅助确认审计空间与文件）和集中存储情况。
预期证据：日志目录权限截图、留存制度、备份策略。

D. 审计失效告警

备注：补查监控、告警和审计员独立性（SYSAUDITOR 不应由 SYSDBA 兼任）。
预期证据：告警截图、监控规则截图、管理制度。

数据完整性

对应控制点：GB/T 22239-2019 8.1.4.7 数据完整性 a)–b)。
判定要点：传输过程完整性可由 SSL 通信加密（ENABLE_ENCRYPT=1）证明，未启用判“不符合”；存储过程完整性结合存储加密（全库/表空间列加密）、磁盘冗余与备份校验综合判定，通常为“部分符合”。
取证要求：加密参数截图、链路说明、备份校验记录、制度材料。

A. 传输过程完整性

select * from v$parameter where name='ENABLE_ENCRYPT';

备注：通信加密可作为传输完整性的重要证据。
预期证据：参数截图、链路说明、远程管理说明。

示例输出（节选）

SQL> select * from v$parameter where name='ENABLE_ENCRYPT';
NAME            VALUE  TYPE  DESCRIPTION
--------------- ------ ----- --------------------
ENABLE_ENCRYPT  1      SYS   通信加密开关（0不加密 1加密并验证证书 2不加密仅验证证书）

B. 存储过程完整性

备注：需说明鉴别数据、配置数据、审计数据完整性保护方式。
预期证据：配置保护说明、备份校验记录、制度材料。

数据保密性

对应控制点：GB/T 22239-2019 8.1.4.8 数据保密性 a)–b)。
判定要点：传输保密性以 ENABLE_ENCRYPT≥1 或 COMM_ENCRYPT_NAME 非空（二选一生效）判定，均为关闭判“不符合”；存储保密性结合全库加密（初始化时 ENCRYPT_NAME）、表空间/列加密、透明加密 TDE 或磁盘加密判定，无任何措施判“不符合”。
取证要求：加密参数截图、连接说明、存储加密方案说明。

高风险提示：远程管理与重要业务连接明文传输（ENABLE_ENCRYPT=0 且 COMM_ENCRYPT_NAME 为空）属高风险情形。对应判定详见 22、高风险判定指引与加固对照表。

A. 传输过程保密性

select * from v$parameter where name='COMM_ENCRYPT_NAME';

备注：重点证明远程管理和重要业务连接已采用密码技术保护；取值空串表示不加密，加密算法清单可查 V$CIPHERS，修改后需重启生效。
预期证据：参数截图、连接说明、远程链路截图。

示例输出（节选）

SQL> select * from v$parameter where name='COMM_ENCRYPT_NAME';
NAME               VALUE      TYPE  DESCRIPTION
------------------ ---------- ----- --------------
COMM_ENCRYPT_NAME  DES_OFB    SYS   应用层通信加密算法（空串不加密）

B. 存储过程保密性

备注：结合数据库、磁盘或应用层加密方式判定。
预期证据：加密说明、磁盘加密截图、设计材料。

备份恢复

对应控制点：GB/T 22239-2019 8.1.4.9 数据备份恢复 a)–c)。
判定要点：本地备份（联机 BACKUP DATABASE 或 DMRMAN 脱机备份）+ 恢复演练记录判 a) 符合，无备份或未演练判“不符合”；主备（DM 数据守护 DataWatch）实时同步到异地判 b)，仅同机房主备判“部分符合”；自动故障切换且有演练记录判 c) 符合。
取证要求：备份作业与备份集截图、恢复演练记录、主备状态截图、异地部署说明与拓扑图。

高风险提示：无本地数据备份、备份从未恢复验证属高风险情形。对应判定详见 22、高风险判定指引与加固对照表。

A. 本地数据备份与恢复

select arch_mode from v$database;

select * from v$backupset;

BACKUP DATABASE FULL BACKUPSET '/dm8/backup/db_full_20260902';

$ dmrman
dmrman V8
RMAN> BACKUP DATABASE '/opt/dmdbms/data/DAMENG/dm.ini' FULL BACKUPSET '/dm8/backup/db_full_20260902';

联机备份要求开启归档（ARCH_INI=1、数据库 OPEN）并会产生额外 I/O，应在业务低峰执行；数据库/表空间的还原必须通过 DMRMAN 脱机进行，还原演练须在隔离环境操作，严禁在生产库直接 RESTORE。

备注：结合 DM 管理工具、备份作业（dmap 服务需正常）和恢复演练材料判定。联机备份经 DIsql 执行 BACKUP DATABASE FULL BACKUPSET，脱机备份/还原经 DMRMAN 执行，仅表支持联机还原；备份集信息可查动态视图 V$BACKUPSET。
预期证据：备份任务截图、备份集文件截图、恢复演练记录。

示例输出（节选）

SQL> select arch_mode from v$database;
ARCH_MODE
---------
Y
已用时间: 1.234(毫秒). 执行号:1101.
SQL> select * from v$backupset;
（节选）NAME             TYPE  BACKUPSET_PATH
----------------- ----- ------------------------------
DB_FULL_0902      0     /dm8/backup/db_full_20260902

B. 异地实时备份

备注：结合主备架构（DM 数据守护）、异地机房和链路证明材料判定。
预期证据：主备状态截图、异地部署说明、拓扑图。

C. 热冗余与高可用

备注：结合主备切换（SWITCHOVER/故障自动切换）和演练材料判定。
预期证据：切换截图、演练记录、架构说明。

剩余信息保护

对应控制点：GB/T 22239-2019 8.1.4.10 剩余信息保护 a)–b)。
判定要点：达梦提供客体重用功能（ENABLE_OBJ_REUSE=1）判“符合”，缺省 0 且无制度措施判“不符合/部分符合”；注意该参数仅达梦安全版有效，标准版需以介质清理制度补足。
取证要求：参数截图、清理制度、销毁记录、存储回收说明。

A. 鉴别信息所在存储空间释放前清除

select para_name, para_value from v$dm_ini where para_name='ENABLE_OBJ_REUSE';

备注：可辅助判断对象重用（客体重用）控制，取值 0＝不支持、1＝支持，缺省 0 且仅安全版有效，仍需结合介质清理制度综合判定。
预期证据：参数截图、清理制度、存储回收说明。

示例输出（节选）

SQL> select para_name, para_value from v$dm_ini where para_name='ENABLE_OBJ_REUSE';
PARA_NAME         PARA_VALUE
----------------- ----------
ENABLE_OBJ_REUSE  1

B. 敏感数据所在存储空间释放前清除

备注：结合对象重用、介质清理制度综合判定。
预期证据：制度材料、销毁记录、加密截图。

个人信息保护

对应控制点：GB/T 22239-2019 8.1.4.11 个人信息保护 a)–b)。
判定要点：抽查个人信息表的访问控制与导出审计，未授权可访问判“不符合”；存储与传输保护结合加密、脱敏和分类分级措施判定。
取证要求：权限截图、审计截图、脱敏规则、分类分级文件。

A. 个人信息访问控制与审计

备注：抽查权限、审计和导出控制。
预期证据：权限截图、审计截图、抽查记录。

B. 个人信息存储与传输保护

备注：抽查加密、脱敏和分类分级措施。
预期证据：加密说明、脱敏规则、分类分级文件。

入侵防范

对应控制点：GB/T 22239-2019 8.1.4.4 入侵防范 a)–d)（计算环境）。
判定要点：用户级 IP 白名单（ALLOW_IP）或防火墙限定监听 5236 来源判“符合”；未设来源限制判“部分符合”；有漏洞扫描与补丁（版本升级）记录判 d) 符合。
取证要求：ALLOW_IP 查询截图、防火墙/堡垒机策略截图、漏洞扫描报告、补丁记录。

A. 访问来源限制/白名单

select id, failed_num, allow_addr from sysusers;

备注：结合数据库用户级 IP 限制（ALLOW_IP，alter user ... limit allow_ip ... 设置）与主机/网络防火墙策略，确认仅允许授权来源访问 5236 端口。
预期证据：数据库访问控制或监听配置截图、主机/网络防火墙策略、堡垒机访问策略截图。

示例输出（节选）

SQL> select id, failed_num, allow_addr from sysusers;
ID          FAILED_NUM  ALLOW_ADDR
----------- ----------- --------------------
        501           5 192.168.10.0/24

B. 异常访问与爆破防护

备注：结合登录失败处理（FAILED_LOGIN_ATTEMPTS）、连接限制、WAF/堡垒机/防暴力破解策略，确认具备阻断或告警能力。
预期证据：失败登录限制参数截图、策略截图、告警样例、访谈记录。

C. 漏洞扫描与补丁管理

备注：确认数据库漏洞扫描周期、补丁（版本/补丁集）评估与修复流程。
预期证据：漏洞扫描报告、补丁更新记录、变更单。

D. 恶意代码/工具防护

备注：确认主机侧安全防护软件或EDR对数据库进程的防护与告警能力。
预期证据：安全软件截图、策略配置截图、告警样例。

时间同步与日志一致性

对应控制点：无独立条款，支撑 GB/T 22239-2019 8.1.5.4 集中管控（时钟一致、审计记录集中收集）与 8.1.4.3 审计记录溯源。
判定要点：服务器已配置 NTP/chrony 且同步正常判“符合”；时间偏差大且无同步措施判“不符合”。
取证要求：NTP/chrony 配置与同步状态截图、运维制度或巡检记录。

timedatectl status | grep -Ei "NTP|synchronized"

chronyc sources -v

备注：确认数据库服务器时间同步（NTP/chrony），保证审计日志时间一致、可溯源。
预期证据：NTP/chrony 配置截图、时间同步状态截图、运维制度或巡检记录。

主流版本差异说明

达梦主流版本核查差异说明

版本识别

select * from v$version;

主流版本分档

重点差异

A. 身份鉴别

推荐命令：

select para_name, para_value from v$dm_ini where para_name like 'PWD%';

select * from sys.sysusers;

版本提示：

DM8 现场更常见，DM7 可能在参数项和视图展示上略有差异。
若部分视图字段不一致，优先保留原始截图，不强行固定列名。

B. 远程管理传输保密

推荐命令：

select * from v$parameter where name='ENABLE_ENCRYPT';

select * from v$parameter where name='COMM_ENCRYPT_NAME';

版本提示：

DM7/DM8 都建议重点查看通信加密参数，注意 DM8 下 ENABLE_ENCRYPT=2 仅为证书验证、不加密数据。

C. 安全审计

推荐命令：

select para_name, para_value from v$dm_ini where para_name='ENABLE_AUDIT';

select * from sysauditor.v$auditrecords;

select count(*) from sysauditor.sysaudit;

版本提示：

审计开关与规则查询需审计员（SYSAUDITOR）权限，现场要提前准备。

D. 剩余信息保护

推荐命令：

select para_name, para_value from v$dm_ini where para_name='ENABLE_OBJ_REUSE';

版本提示：

该参数仅安全版有效，可作为辅助证据，但仍需结合制度判断。

现场编制建议

DM7 现场重点看兼容性和参数差异。
DM8 文档可作为主文档模板。
审计、资源限制类查询需分别以 SYSAUDITOR、SYSDBA 登录，现场应提前确认三个三权账户口令与登录通道。

取证注意事项

达梦很多控制点可在图形管理工具（Manager/Console/审计分析工具 Analyzer）中更直观取证。
现场建议同时保留 SQL 查询截图和管理工具截图。
SYSAUDITOR/SYSSSO 默认口令为账户同名，未修改应在身份鉴别与访问控制条款中同时记录并按高风险口径判定。

参考依据

GB/T 22239-2019《信息安全技术网络安全等级保护基本要求》（openstd 实测可达）：https://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=BAFB47E8874764186BDB7865E8344DAF
GB/T 28448-2019《信息安全技术网络安全等级保护测评要求》（openstd 实测可达）：https://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=7E736CDF4502B6FF1258DD250AA3EC8C
《网络安全等级保护测评高风险判定指引》（中关村信息安全测评联盟团体标准 T/ISEAA 001-2020，上海交大信息安全服务技术研究实验室收录页，实测可达）：https://liss.sjtu.edu.cn/info/4497/1131.htm
达梦官方文档（eco.dameng.com，以下均实测可达，查阅日期 2026-09-02）：
- 审计（ENABLE_AUDIT、SP_SET_ENABLE_AUDIT、SYSAUDITOR.SYSAUDIT、V$AUDITRECORDS、SP_AUDIT_STMT）：https://eco.dameng.com/document/dm/zh-cn/pm/audit.html
- 资源限制（LIMIT 子句：FAILED_LOGIN_ATTEMPTS、PASSWORD_LOCK_TIME、PASSWORD_LIFE_TIME、SESSION_PER_USER 等及缺省值）：https://eco.dameng.com/document/dm/zh-cn/pm/resource-limit.html
- 通信加密（ENABLE_ENCRYPT 0/1/2 含义、COMM_ENCRYPT_NAME、SSL 证书、V$CIPHERS）：https://eco.dameng.com/document/dm/zh-cn/pm/communication-encryption.html
- 数据库访问 FAQ（select id,failed_num,allow_addr from sysusers;、v$sessions 会话查询）：https://eco.dameng.com/document/dm/zh-cn/faq/faq-dm-databse.html
- 备份还原实战（DIsql 联机备份 BACKUP DATABASE FULL BACKUPSET、DMRMAN 脱机备份、归档前提、V$BACKUPSET、端口 5236）：https://eco.dameng.com/document/dm/zh-cn/pm/backup-restore-combat.html
- 口令策略 PWD_POLICY 位含义（官方生态社区文章，0/1/2/4/8/16、默认 2、最长 48 字节、PASSWORD_POLICY 子句）：https://eco.dameng.com/community/article/8effa3499887d26c42691e4a8eca83c6

命令核验说明：本文命令于 2026-09-02 逐条对照达梦官方文档核验修正——审计规则表实为 SYSAUDITOR.SYSAUDIT（原 sysauditrules 已改正）；审计开关经 SP_SET_ENABLE_AUDIT 设置并查 V$DM_INI；资源限制查询统一改为 SYSUSERS 联查 DBA_USERS（官方 FAQ 口径）；PWD_POLICY 位含义、ENABLE_ENCRYPT 0/1/2 含义、DMRMAN/联机备份语法均以官方原文为准。无法核验处以知识库核对并在正文注明：SYSUSERS 的 REUSE_MAX/REUSE_TIME/LIFE_TIME 列名拼写（官方在线手册未见完整列表，现场以 desc sysusers 为准）；ENABLE_OBJ_REUSE 仅安全版有效（0 不支持/1 支持，取值含义来自公开等保实践与知识库）；PWD_MIN_LEN 默认 9、三权账户默认口令同名的细节来自官方社区文章与知识库。

07-达梦测评命令

基础信息

身份鉴别

A. 身份标识唯一、口令复杂度、定期更换

B. 登录失败处理、会话超时退出

C. 远程管理传输保密

D. 组合鉴别

访问控制

A. 账户、角色、权限分配

B. 默认账户、多余账户、来源与高权限账户

C. 细粒度授权与最小权限

D. 角色继承与特殊角色

安全审计

A. 审计功能是否开启

B. 审计范围与审计对象

C. 审计日志保护与留存

D. 审计失效告警

数据完整性

A. 传输过程完整性

B. 存储过程完整性

数据保密性

A. 传输过程保密性

B. 存储过程保密性

备份恢复

A. 本地数据备份与恢复

B. 异地实时备份

C. 热冗余与高可用

剩余信息保护

A. 鉴别信息所在存储空间释放前清除

B. 敏感数据所在存储空间释放前清除

个人信息保护

A. 个人信息访问控制与审计

B. 个人信息存储与传输保护

入侵防范

A. 访问来源限制/白名单

B. 异常访问与爆破防护

C. 漏洞扫描与补丁管理

D. 恶意代码/工具防护

时间同步与日志一致性

主流版本差异说明

版本识别

主流版本分档

重点差异

A. 身份鉴别

B. 远程管理传输保密

C. 安全审计

D. 剩余信息保护

现场编制建议

取证注意事项

参考依据

关联文章