# 07-达梦测评命令 LLMS index: [llms.txt](/wikis/llms.txt) --- 达梦数据库三级等级保护现场核查命令脚本（统一编号版） ## 基础信息 ```sql select * from v$version; select * from dba_users; ``` - **备注**：用于确认版本、用户和基础运行环境。 - **预期证据**：版本截图、用户列表截图。
示例输出（节选）
SQL> select * from v$version;
行号     BANNER
-------- --------------------------------------------------
1        DM Database Server 64 V8
2        DB Version: 0x7000c
已用时间: 3.120(毫秒). 执行号:1001.
SQL> select username, account_status from dba_users;
USERNAME   ACCOUNT_STATUS
---------- --------------
SYS        OPEN
SYSDBA     OPEN
SYSAUDITOR OPEN
APPUSER    OPEN
## 身份鉴别 ### A. 身份标识唯一、口令复杂度、定期更换 ```sql select para_name, para_value from v$dm_ini where para_name like 'PWD_P%'; select t2.username, t1.reuse_max, t1.reuse_time ``` from sys.sysuser$ t1, sys.all_users t2 where t1.id=t2.user_id and (reuse_max=0 or reuse_time=0) order by t2.username; ```sql select t2.username, t1.life_time ``` from sys.sysusers t1, sys.dba_users t2 where t2.user_id=t1.id; - **备注**：重点核查口令复杂度、重用限制和有效期。 - **预期证据**：参数截图、用户口令策略截图、账号制度。
示例输出（节选）
SQL> select para_name, para_value from v$dm_ini where para_name like 'PWD_P%';
PARA_NAME            PARA_VALUE
-------------------- ----------
PWD_MIN_LEN          9
PWD_POLICY           2
PWD_MAX_IDLE_DAYS    30

SQL> select t2.username, t1.reuse_max, t1.reuse_time from sys.sysuser$ t1, sys.all_users t2 where ...;
USERNAME   REUSE_MAX  REUSE_TIME
---------- ---------- ----------
APPUSER             5         90
### B. 登录失败处理、会话超时退出 ```sql select t2.username, t1.lock_time ``` from sys.sysuser$ t1, sys.all_users t2 where t1.id=t2.user_id order by t2.username; ```sql select * from sys.sysusers; ``` - **备注**：重点核查失败登录锁定、锁定时间和会话管理策略。 - **预期证据**：参数截图、用户策略截图、访谈记录。
示例输出（节选）
SQL> select t2.username, t1.life_time from sys.sysusers t1, sys.dba_users t2 where t2.user_id=t1.id;
USERNAME   LIFE_TIME
---------- ----------
APPUSER          90
REPORT           90
### C. 远程管理传输保密 ```sql select * from v$parameter where name='ENABLE_ENCRYPT'; select * from v$parameter where name='COMM_ENCRYPT_NAME'; ``` - **备注**：可作为通信加密是否启用的重要证据。 - **预期证据**：参数截图、通信加密配置截图、远程运维说明。
示例输出（节选）
SQL> select t2.username, t1.lock_time, t1.failed_num from sys.sysuser$ t1, sys.all_users t2 where t1.id=t2.user_id;
USERNAME   LOCK_TIME  FAILED_NUM
---------- ---------- ----------
APPUSER            3          5
REPORT             3          5

SQL> select sess_per_user, max_sess_stat from sys.sysusers where rownum<=2;
SESS_PER_USER MAX_SESS_STAT
------------- -------------
           10           300
### D. 组合鉴别 - **备注**：如通过堡垒机、统一认证、USBKey/证书实现双因素，应在记录中注明。 - **预期证据**：双因素界面截图、认证策略截图、访谈记录。 ## 访问控制 ### A. 账户、角色、权限分配 ```sql select * from dba_users; ``` - **备注**：用于核查账户列表与账户状态。 - **预期证据**：用户列表截图、角色分工说明。
示例输出（节选）
SQL> select * from v$parameter where name='ENABLE_ENCRYPT';
NAME            VALUE  TYPE  DESCRIPTION
--------------- ------ ----- --------------------
ENABLE_ENCRYPT  1      SYS   通信加密开关（0不加密 1半加密...）

SQL> select * from v$parameter where name='COMM_ENCRYPT_NAME';
NAME               VALUE  TYPE  DESCRIPTION
------------------ ------ ----- --------------
COMM_ENCRYPT_NAME  AES256_ECB SYS ...
### B. 默认账户、多余账户、来源与高权限账户 ```sql select * from sys.sysusers; ``` - **备注**：重点核查管理员账户、高权限账户和无效账户。 - **预期证据**：账户属性截图、台账、抽查记录。
示例输出（节选）
SQL> select username, account_status, lock_date from dba_users;
USERNAME    ACCOUNT_STATUS  LOCK_DATE
----------- --------------- --------
SYSDBA      OPEN
APPUSER     OPEN
TEST_OLD    LOCKED          2026-01-05
### C. 细粒度授权与最小权限 - **备注**：需结合对象管理工具或授权视图进一步核查。 - **预期证据**：授权截图、敏感对象权限抽查记录。 ### D. 角色继承与特殊角色 - **备注**：重点说明管理员、审计员是否分离。 - **预期证据**：角色分工说明、权限矩阵、访谈记录。 ## 安全审计 ### A. 审计功能是否开启 ```sql select * from v$parameter where name='ENABLE_AUDIT'; ``` - **备注**：用于确认是否启用数据库审计。 - **预期证据**：参数截图、审计启用截图。
示例输出（节选）
SQL> select id, name, type$ from sys.sysusers where rownum <= 4;
ID          NAME       TYPE$
----------- ---------- ------
          1 SYSDBA     S
          2 SYSAUDITOR S
          3 SYSSSO     S
        501 APPUSER    U
### B. 审计范围与审计对象 ```sql select * from sysauditor.v$auditrecords; select * from sysauditor.sysauditrules; ``` - **备注**：需切换至审计员权限，核查审计策略和审计记录覆盖范围。 - **预期证据**：审计策略截图、审计日志样例截图。
示例输出（节选）
SQL> select * from v$parameter where name='ENABLE_AUDIT';
NAME           VALUE  TYPE  DESCRIPTION
-------------- ------ ----- ------------------
ENABLE_AUDIT   1      SYS   审计功能开关（1：审计）
### C. 审计日志保护与留存 - **备注**：需补查日志留存、备份、访问权限和集中存储情况。 - **预期证据**：日志目录权限截图、留存制度、备份策略。 ### D. 审计失效告警 - **备注**：补查监控、告警和审计员独立性。 - **预期证据**：告警截图、监控规则截图、管理制度。 ## 数据完整性 ### A. 传输过程完整性 ```sql select * from v$parameter where name='ENABLE_ENCRYPT'; ``` - **备注**：通信加密可作为传输完整性的重要证据。 - **预期证据**：参数截图、链路说明、远程管理说明。
示例输出（节选）
SQL> select * from sysauditor.v$auditrecords where rownum <= 3;
USERNAME  OPERATION  OBJ_NAME   OPTIME
--------- ---------- ---------- -------------------
APPUSER   LOGIN                 2026-08-24 09:15:22
APPUSER   SELECT     T_ORDER    2026-08-24 09:16:03

SQL> select userid, ruleid from sysauditor.sysauditrules where rownum <= 3;
USERID      RULEID
----------- -----------
        501           1
### B. 存储过程完整性 - **备注**：需说明鉴别数据、配置数据、审计数据完整性保护方式。 - **预期证据**：配置保护说明、备份校验记录、制度材料。 ## 数据保密性 ### A. 传输过程保密性 ```sql select * from v$parameter where name='COMM_ENCRYPT_NAME'; ``` - **备注**：重点证明远程管理和重要业务连接已采用密码技术保护。 - **预期证据**：参数截图、连接说明、远程链路截图。
示例输出（节选）
SQL> select * from v$parameter where name='ENABLE_ENCRYPT';
NAME            VALUE  TYPE  DESCRIPTION
--------------- ------ ----- --------------------
ENABLE_ENCRYPT  1      SYS   通信加密开关
### B. 存储过程保密性 - **备注**：结合数据库、磁盘或应用层加密方式判定。 - **预期证据**：加密说明、磁盘加密截图、设计材料。 ## 备份恢复 ### A. 本地数据备份与恢复 - **备注**：结合 DM 管理工具、备份作业和恢复演练材料判定。 - **预期证据**：备份任务截图、恢复演练记录、备份结果截图。 ### B. 异地实时备份 - **备注**：结合主备架构、异地机房和链路证明材料判定。 - **预期证据**：主备状态截图、异地部署说明、拓扑图。 ### C. 热冗余与高可用 - **备注**：结合主备切换和演练材料判定。 - **预期证据**：切换截图、演练记录、架构说明。 ## 剩余信息保护 ### A. 鉴别信息所在存储空间释放前清除 ```sql select * from v$parameter where name='ENABLE_OBJ_REUSE'; ``` - **备注**：可辅助判断对象重用控制，但仍需结合介质清理制度综合判定。 - **预期证据**：参数截图、清理制度、存储回收说明。
示例输出（节选）
SQL> select * from v$parameter where name='COMM_ENCRYPT_NAME';
NAME               VALUE      TYPE  DESCRIPTION
------------------ ---------- ----- --------------
COMM_ENCRYPT_NAME  AES256_ECB SYS   ...
### B. 敏感数据所在存储空间释放前清除 - **备注**：结合对象重用、介质清理制度综合判定。 - **预期证据**：制度材料、销毁记录、加密截图。 ## 个人信息保护 ### A. 个人信息访问控制与审计 - **备注**：抽查权限、审计和导出控制。 - **预期证据**：权限截图、审计截图、抽查记录。 ### B. 个人信息存储与传输保护 - **备注**：抽查加密、脱敏和分类分级措施。 - **预期证据**：加密说明、脱敏规则、分类分级文件。 ## 入侵防范 ### A. 访问来源限制/白名单 - **备注**：结合数据库监听/配置与防火墙策略，确认仅允许授权来源访问。 - **预期证据**：数据库访问控制或监听配置截图、主机/网络防火墙策略、堡垒机访问策略截图。 ### B. 异常访问与爆破防护 - **备注**：结合登录失败处理、连接限制、WAF/堡垒机/防暴力破解策略，确认具备阻断或告警能力。 - **预期证据**：失败登录限制参数截图、策略截图、告警样例、访谈记录。 ### C. 漏洞扫描与补丁管理 - **备注**：确认数据库漏洞扫描周期、补丁评估与修复流程。 - **预期证据**：漏洞扫描报告、补丁更新记录、变更单。 ### D. 恶意代码/工具防护 - **备注**：确认主机侧安全防护软件或EDR对数据库进程的防护与告警能力。 - **预期证据**：安全软件截图、策略配置截图、告警样例。 ## 时间同步与日志一致性 - **备注**：确认数据库服务器时间同步（NTP/chrony），保证审计日志时间一致、可溯源。 - **预期证据**：NTP/chrony 配置截图、时间同步状态截图、运维制度或巡检记录。 ## 主流版本差异说明 达梦主流版本核查差异说明 ## 版本识别 ```sql select * from v$version; ``` ## 主流版本分档 1. DM7 2. DM8 ## 重点差异 ### A. 身份鉴别 推荐命令： ```sql select para_name, para_value from v$dm_ini where para_name like 'PWD_P%'; select * from sys.sysusers; ``` 版本提示： 1. DM8 现场更常见，DM7 可能在参数项和视图展示上略有差异。 2. 若部分视图字段不一致，优先保留原始截图，不强行固定列名。 ### B. 远程管理传输保密 推荐命令： ```sql select * from v$parameter where name='ENABLE_ENCRYPT'; select * from v$parameter where name='COMM_ENCRYPT_NAME'; ``` 版本提示： 1. DM7/DM8 都建议重点查看通信加密参数。 ### C. 安全审计 推荐命令： ```sql select * from v$parameter where name='ENABLE_AUDIT'; select * from sysauditor.v$auditrecords; select * from sysauditor.sysauditrules; ``` 版本提示： 1. 审计查询往往需要审计员权限，现场要提前准备。 ### D. 剩余信息保护 推荐命令： ```sql select * from v$parameter where name='ENABLE_OBJ_REUSE'; ``` 版本提示： 1. 该参数可作为辅助证据，但仍需结合制度判断。 ## 现场编制建议 1. DM7 现场重点看兼容性和参数差异。 2. DM8 文档可作为主文档模板。 ## 取证注意事项 1. 达梦很多控制点可在图形管理工具中更直观取证。 2. 现场建议同时保留 SQL 查询截图和管理工具截图。