08、达梦数据库加固

达梦数据库 DM8 等保三级安全加固：SYSDBA/SYSSSO/SYSAUDITOR 内置三权分立账户职责划分与默认口令治理、PWD_POLICY 位掩码与 PWD_MIN_LEN 口令复杂度、PASSWORD_LIFE_TIME 与 PASSWORD_REUSE_TIME 老化策略、FAILED_LOGIN_ATTEMPS 与 PASSWORD_LOCK_TIME 登录失败锁定（注意官方关键字拼写少一个 T）、ENABLE_AUDIT 与 SP_AUDIT_STMT/SP_AUDIT_OBJECT 审计项配置、审计日志留存与 SYSAUDITOR 专管、最大会话数与空闲超时、IP 白名单与操作系统层端口限制、对象与系统权限最小化、DMRMAN 备份与归档日志、版本漏洞台账与官方补丁升级。
Categories:

  5 分钟阅读  

定位：达梦数据库（DM8）等保三级安全加固手册：按内置三权分立、口令策略、会话超时与登录限制、安全审计、网络与访问控制、权限最小化、数据备份恢复、剩余信息保护、版本与漏洞分节，每节给出加固命令、验证方法与测评项对照表。

适用版本：DM8；三权账户（SYSDBA/SYSSSO/SYSAUDITOR）、资源限制子句与审计过程在 DM7 上同样适用。达梦各小版本对参数名、视图名略有差异，执行前以对应版本《系统管理员手册》《安全管理手册》核对；本文给出的是 V8 通用写法与核查思路。 配套测评：达梦测评。

命令行工具为 disql（disql SYSDBA/SYSDBA@192.168.10.10:5236），默认端口 5236。首次部署后必须修改 SYSDBA 等默认口令。

使用说明：

  • 本文为加固操作手册：所有命令都会修改配置，可能中断服务、断开当前会话或需要重启。实施前必须完成变更审批、确认业务窗口、备份原配置（设备 save 与 copy running-config／backup startup-configuration，主机备份 /etc、注册表与关键业务数据），并准备可执行的回滚预案。
  • 先在测试环境或单台设备灰度验证，确认无业务影响后再批量推广；每完成一项立即用文中「验证」命令核验生效——配置已下发不等于策略已生效（如 H3C 未 password-control enable、Linux 未对存量账户 chage、Windows 未 gpupdate /force）。
  • 示例中的地址、账户名、口令、路径均为演示值（如 PleaseChange@123、192.168.10.20、admin123），现场须替换为符合本单位口令策略与网络规划的真实值，严禁直接沿用文中示例口令；对外发布或归档时须对个人信息与内网管理地址脱敏。
  • 命令不存在、视图名或参数与本文不一致时，先用 display version / show version / winver 确认版本与部署形态，再查阅对应版本官方文档换用等效命令；版本差异不得直接作为「无法整改」的结论，须给出替代措施并评估其实际效果。
  • 涉及账户、锁定、超时、防火墙与端口收敛的变更存在锁死自身风险：务必保留一条已验证的恢复通道（Console 口、带外管理口、堡垒机会话或另一管理员账户）后再实施。
  • 加固完成后按「16、安全评估加固记录表3.0」逐项留痕（整改前后回显、操作人、时间、验证结论、回退情况），并纳入复测；测评判定口径以 GB/T 28448-2019 与《高风险判定指引》为准，本文的「加固要点」不构成最终测评结论。

不适用标识说明：

  • 使用 【不适用】 明确标记现场可判定为不适用的控制点，并写明判定依据与承载该能力的上位组件。
  • 依据 GB/T 28448-2019「按测评对象实际承载功能与数据处理范围判定」原则：控制能力由统一认证平台、堡垒机、日志审计系统、终端管理系统、虚拟化平台或云托管平台承载时，应注明测评单元边界后判定不适用或转由上位组件核查，不得机械按缺失判不符合。
  • 产品版本确实不提供该能力（如老旧设备无 SNMPv3、无可信根、社区版无审计模块、已停止官方支持的操作系统）时，须核查替代措施并按替代措施的实际效果定档，不得直接判不适用；已停止支持的版本应同时提出升级或补偿控制建议。

一、内置三权分立（DM 特色）

对应控制点：GB/T 22239-2019 8.1.4.2 访问控制 a)~g)（数据库账户、角色与对象权限；三权分立对应 d) 重命名与 e) 敏感标记、f) 授权主体最小化）

加固要点：按最小权限授予：账户只授予其业务所需的库/模式/对象权限与操作类型，禁止对业务账户直接授予 SUPER/SYSDBA/DBA/root 等最高权限；权限变更须经审批并留痕，回收后核验生效。启用数据库自身的访问控制机制限制登录来源（PostgreSQL pg_hba.conf、KingbaseES sys_hba.conf、MySQL 账户的 host 部分与 require_secure_transport、MongoDB net.bindIp 配合主机防火墙、达梦与金仓的 IP 白名单或操作系统层限制），并禁止 trust、any、无口令等无鉴别访问方式。敏感数据（个人身份信息、鉴别信息）须打敏感标记或单独建库建表并限制可访问账户。

验证方法：权限授予清单（MySQL SHOW GRANTS FOR 'u'@'h';、PostgreSQL \dp 与 information_schema.table_privileges、MongoDB db.getUser() 的 roles 字段、达梦与金仓 DBA_ROLE_PRIVS/DBA_TAB_PRIVS）与业务需要清单逐项比对；pg_hba.conf/sys_hba.conf 全文（应无 trust 行）；从非授权网段或非授权账户发起连接被拒的实测记录；敏感标记或数据分级分类文档。

核查方法

SELECT USERNAME, ACCOUNT_STATUS, CREATED FROM DBA_USERS;
示例输出（节选）
USERNAME    ACCOUNT_STATUS   CREATED
----------- ---------------- -------------------
SYSDBA      OPEN             2026-08-30 10:24:18
SYSSSO      OPEN             2026-08-30 10:24:18
SYSAUDITOR  OPEN             2026-08-30 10:24:18
APPUSER     OPEN             2026-08-30 11:02:45
账户角色职责
SYSDBA数据库管理员（DBA）实例与对象运维
SYSSSO安全管理员账户、口令策略、权限与安全标记
SYSAUDITOR审计管理员审计配置与审计记录查询

加固操作

  1. 修改三个默认账户口令（默认值与用户名相同，属等保必查项）：
ALTER USER SYSDBA IDENTIFIED BY "YourStrong@Passw0rd";
-- SYSSSO、SYSSAO 口令以对应账户登录后同样修改
  1. 业务账户与三权账户分离，禁止 SYSDBA 直连业务系统：
CREATE USER APPUSER IDENTIFIED BY "YourStrong@Passw0rd";
GRANT RESOURCE TO APPUSER;
  • 判定标准：默认口令已修改、三权账户分工明确、业务账户独立。

二、口令策略

对应控制点：GB/T 22239-2019 8.1.4.1 身份鉴别 a)（身份鉴别信息具有复杂度要求并定期更换）

加固要点：按「复杂度 + 长度 + 老化 + 历史」四要素配置并对全部账户生效：最小长度不低于 8 位（管理账户建议 12~16 位）、至少包含大写字母/小写字母/数字/特殊字符中三类、老化不超过 90 天、历史防重复不少于 5 次。落地方式因产品而异——MySQL 8.0 用 validate_password 组件（5.7 为插件，参数名 validate_password_policy/validate_password_length 与 8.0 的 validate_password.policy/.length 写法不同）；PostgreSQL 用 contrib 的 passwordcheck 扩展（须写入 shared_preload_libraries 后重启，能力较弱，长度与字符类组合须辅以应用侧或制度约束）；MongoDB 无内置口令复杂度校验，须在账户创建流程与配置管理中约束并说明；达梦用 PWD_POLICY/PASSWORD_POLICY 位掩码与 PWD_MIN_LEN；金仓用 PROFILE 机制。无论采用哪种方式，都须核查最高权限账户是否同受约束，并对存量账户逐个下发有效期。

验证方法：口令策略参数回显（SHOW VARIABLES LIKE 'validate_password%';、SHOW shared_preload_libraries; 与 CREATE EXTENSION passwordcheck 结果、达梦 SELECT * FROM V$PARAMETER WHERE NAME LIKE 'PWD%';、金仓 PROFILE 定义）+ 存量账户有效期抽查（MySQL SELECT user,host,password_expired,password_lifetime FROM mysql.user;、PostgreSQL rolvaliduntil、达梦 DBA_USERS.EXPIRY_DATE）+ 一次弱口令设置被拒的实测记录。

核查方法

SELECT USERNAME, ACCOUNT_STATUS, LOCK_DATE, PROFILE FROM DBA_USERS;
SELECT PARA_NAME, PARA_VALUE FROM V$DM_INI WHERE PARA_NAME LIKE 'PWD%';
示例输出（节选）
PARA_NAME                          PARA_VALUE
---------------------------------- ----------
PWD_POLICY                         2          -- 仅长度≥9（实例级默认）
PWD_MIN_LEN                        9
PWD_MAX_REPEAT_CHAR                1
PWD_MAX_LEN                        48         -- 口令最长 48 字节

加固操作

  1. 口令策略子句（PASSWORD POLICY，可叠加）：0 无策略、1 禁止与用户名相同、2 口令长度不小于 9（如 3 = 1+2 叠加）：
ALTER USER APPUSER PASSWORD POLICY 3;
  1. 用户级资源限制（FAILED_LOGIN_ATTEMPS 为达梦官方拼写；PASSWORD_LIFE_TIME/PASSWORD_GRACE_TIME 单位为天，PASSWORD_LOCK_TIME 单位为分钟）：
ALTER USER APPUSER LIMIT
  FAILED_LOGIN_ATTEMPS 5,            -- 连续失败 5 次
  PASSWORD_LOCK_TIME 10,             -- 锁定 10 分钟
  PASSWORD_LIFE_TIME 90,             -- 口令 90 天有效
  PASSWORD_GRACE_TIME 7;             -- 过期后宽限 7 天
  1. 登录 IP 白名单（网络访问控制，非设定 IP 登录报"无效的 IP"）：
ALTER USER "APPUSER" ALLOW_IP "127.0.0.1", "192.168.10.5";
  1. 锁定账户解锁：ALTER USER APPUSER ACCOUNT UNLOCK;
  • 预期现象：弱口令被拒绝、口令到期提示更换、连续失败后账户锁定；DBA_USERS 核对生效值。口令最长 48 字节。

三、会话超时与登录限制

对应控制点：GB/T 22239-2019 8.1.4.1 身份鉴别 b)（配置并启用结束会话、登录连接超时自动退出）

加固要点：所有数据库会话统一配置空闲超时并限制单会话生命周期：MySQL 设 wait_timeout/interactive_timeout（建议 300~600 秒，不得为默认 28800 秒不收紧）并按账户设 MAX_USER_CONNECTIONS；PostgreSQL 用 idle_session_timeout（14+）与 idle_in_transaction_session_timeout（9.6+，防长事务占锁）配合 statement_timeout，13 及更早版本无 idle_session_timeout 时以 pgbouncer 的 server_idle_timeout/client_idle_timeout 或应用侧连接池回收实现并说明；MongoDB 无服务端会话空闲超时，以 net.maxIncomingConnections 与应用侧连接池控制；图形客户端与 Web 管理台自身的会话超时同样须配置。超时值不得为 0。

验证方法：参数回显（SHOW VARIABLES LIKE '%timeout%';、SHOW idle_session_timeout; SHOW idle_in_transaction_session_timeout;、db.adminCommand({getParameter:1,maxIncomingConnections:1})）+ 一次实测：建立空闲连接静置至阈值后确认被服务端断开（客户端报连接失效）+ 连接池或代理配置截图。

-- 用户级空闲超时与并发会话限制（参数名以手册为准）
ALTER USER APPUSER LIMIT SESSIONS_PER_USER 10, CONNECT_IDLE_TIME 30;
  • CONNECT_IDLE_TIME 单位为分钟：空闲超时自动断开会话，配合主机层 SSH TMOUT 双保险。

四、安全审计（SYSAUDITOR 职责）

对应控制点：GB/T 22239-2019 8.1.4.3 安全审计 a)~d)（数据库审计策略、审计记录内容、留存与保护）

加固要点：启用数据库审计并覆盖：用户登录注销、账户与权限变更（DDL/DCL）、对敏感数据与关键表的访问、审计策略自身的修改；审计记录须包含事件日期时间、用户、事件类型、是否成功、客户端地址等要素；审计功能由独立的安全审计员账户管理，系统管理员不得删除或篡改审计记录；审计日志留存不少于 6 个月并定期备份，容量写满时按策略告警而非静默覆盖。社区版无原生审计能力时（PostgreSQL 需 pgAudit、MongoDB 社区版无 auditLog、MySQL 社区版无 audit_log），须部署数据库审计系统、堡垒机或操作系统层审计作为替代，并在报告中写明测评单元边界与替代措施的实际效果。

验证方法：审计开关与审计策略配置回显（PostgreSQL SHOW shared_preload_libraries; 含 pgaudit + pgaudit.log 参数 + \dx 确认扩展已创建；MySQL SHOW VARIABLES LIKE '%audit%'; 或企业版 audit_log_policy；MongoDB 企业版 auditLog 配置段；达梦与金仓的审计参数与审计项/审计对象配置结果）+ 一段真实审计记录样例（含时间、用户、来源 IP、操作对象、结果）+ 审计记录留存起始时间与备份记录 + 用系统管理员账户尝试删除审计记录被拒的实测。

核查方法

以 SYSAUDITOR 登录 disql SYSAUDITOR/...@192.168.10.10:5236，查询审计开关与审计配置；审计记录存于审计系统表（名称以手册为准）。

加固操作

  1. 以 SYSAUDITOR 登录后打开审计开关并配置审计规则：
SP_SET_ENABLE_AUDIT(1);                     -- 打开审计开关

-- 语句级审计（参数：审计类型 / 用户（NULL=全部）/ 时机 ALL|SUCCESSFUL|FAIL）
SP_AUDIT_STMT('TABLE', 'NULL', 'ALL');
-- 用户级示例：仅审计 APPUSER 的 INSERT
SP_AUDIT_STMT('INSERT', 'APPUSER', 'ALL');

SELECT * FROM SYSAUDITOR.SYSAUDIT;          -- 核查审计设置
SP_NOAUDIT_STMT('TABLE', 'NULL', 'ALL');    -- 取消审计
示例输出（节选）
SUBSTR(ID)   OBJ    USER_NAME   WHEN_OP       AUDIT_OP
------------ ------ ----------- ------------- ------------------
1            TABLE  NULL        ALL           CREATE, DROP, ALTER, TRUNCATE
2            *      APPUSER     ALL           INSERT
  1. 审计规则存于字典表 SYSAUDIT，审计记录可用 Manager 工具的"审计日志查看器"查看或导出；
  2. 审计记录定期归档，留存 ≥6 个月，转发集中日志服务器。
  • 判定标准：审计开关开启、覆盖重要用户行为与安全事件、记录可查且留存满足要求；仅开启不配置规则或无留存，判部分符合。

补充参数：AUDIT_MAX_FILE_SIZE（审计文件上限，默认 100M，1~4096M）、AUDIT_FILE_FULL_MODE（文件满处理：1 删除、2 停记不删）。

五、网络与访问控制

对应控制点：GB/T 22239-2019 8.1.4.2 访问控制 a)~g)（数据库账户、角色与对象权限；三权分立对应 d) 重命名与 e) 敏感标记、f) 授权主体最小化）

核查方法

SELECT PARA_NAME, PARA_VALUE FROM V$DM_INI WHERE PARA_NAME IN ('PORT_NUM','ENABLE_ENCRYPT');
示例输出（节选）
PARA_NAME      PARA_VALUE
-------------- ----------
PORT_NUM       5236
ENABLE_ENCRYPT 1            -- 1=SSL 加密、2=SSL 认证、0=不加密（默认 1）

加固操作

  1. 端口：dm.ini PORT_NUM = 5236（改端口属纵深防御，需同步防火墙）；
  2. 数据库服务仅监听业务网卡，主机层用防火墙限制来源地址（见 04 号 10 节）；
  3. 传输加密：DM8 支持通信加密与 SSL（dm.ini COMM_ENCRYPT/SSL 相关参数，以手册为准），远程管理应走加密通道；
  4. 传输加密实证口径：dm.ini ENABLE_ENCRYPT 取 0/1/2 分别为不加密、SSL 加密、SSL 认证（默认 1）；COMM_ENCRYPT_NAME 指定消息加密算法，算法清单查 V$CIPHERS；
  5. 数据文件目录权限收敛：ls -l /dm8/data，属主应为 dmdba 且组/其他用户无写权限。

六、权限最小化

对应控制点：GB/T 22239-2019 8.1.4.2 访问控制 a)d)f)（数据目录与关键文件权限、运行账户、特权存储过程与外部命令执行能力）

加固要点：数据库运行账户与文件权限最小化：实例不得以 root 或 Administrator 运行（PostgreSQL 强制非 root 启动、MySQL 使用 mysql 系统账户、MongoDB 使用 mongod 账户、Windows 侧使用低权限专用服务账户）；数据目录、配置文件、备份目录与日志目录权限收敛到运行账户（Linux 0700/0600，Windows 移除 Users 的完全控制），防止其他本地账户直接读写数据文件绕过数据库鉴权；数据库内特权能力（外部命令执行、文件读写、链接服务器、SUPER、COPY ... PROGRAM、达梦与金仓的系统包）按账户逐一收敛，禁止业务账户持有。

验证方法：ps -ef | grep -E "mysqld|postgres|mongod|dmserver" 与 Get-CimInstance Win32_Service 确认运行账户、ls -ld 或 stat 输出数据目录与关键文件权限、Windows 侧 icacls 输出、数据库内特权账户清单与特权能力授予情况（SHOW GRANTS、pg_roles.rolsuper、MongoDB 持有 root/clusterAdmin 角色的账户）。

核查方法

SELECT GRANTEE, PRIVILEGE, ADMIN_OPTION FROM DBA_SYS_PRIVS WHERE GRANTEE='APPUSER';
SELECT * FROM DBA_ROLE_PRIVS WHERE GRANTEE='APPUSER';

加固操作

REVOKE DBA FROM APPUSER;                    -- 收回过高权限
GRANT SELECT ON APP.T_ORDER TO APPUSER;     -- 按需对象授权
DROP USER 废弃用户 CASCADE;                 -- 清理多余账户（CASCADE 连带对象，谨慎）
  • 判定标准：无 DBA/SYSDBA 级业务账户、无多余过期账户、对象权限按需授予。

七、数据备份恢复

对应控制点：GB/T 22239-2019 8.1.4.9 数据备份恢复 a)~c)（本地备份、异地实时备份与热冗余）

加固要点：建立并实际执行备份策略：本地定时全量 + 增量或日志备份（MySQL mysqldump/mysqlpump 配合 binlog、PostgreSQL pg_dump/pg_basebackup 配合 WAL 归档、MongoDB mongodump 配合 oplog 或文件系统快照、达梦与金仓使用自带备份工具），备份文件与主数据分机存放并异地留存（三级要求异地实时备份或热冗余），备份数据同样加密并限制访问权限；每半年至少一次恢复演练并留存演练记录，RTO/RPO 与业务要求匹配。仅有备份脚本而无恢复验证不判符合。

验证方法：备份策略与计划任务配置、最近若干次备份任务的执行日志与产物清单（大小、时间、存放位置）、异地备份或热冗余证据（异地备份目录、流复制或副本集状态：SHOW REPLICA STATUS\G、SELECT * FROM pg_stat_replication;、rs.status()）、恢复演练记录（时间、参与人、恢复耗时、数据一致性校验结果）、备份文件权限与加密方式。

核查方法：备份作业与文件时效（SELECT * FROM V$BACKUPSET 或备份目录）、恢复演练记录。

加固操作

# 逻辑备份
dexp SYSDBA/口令@192.168.10.10:5236 FILE=app_$(date +%F).dmp LOG=exp.log SCHEMAS=APP
# 物理备份（联机/脱机）与还原使用 dmrman，建议配置定时全量+增量
  • 备份文件权限 600、异地存放；定期用 dmrman 做恢复演练并记录；三级系统具备异地备份与实例冗余。

剩余信息保护（补充）

对应控制点：GB/T 22239-2019 8.1.4.10 剩余信息保护 a)b)（鉴别信息与敏感数据所在存储空间释放前清除；数据库侧含会话历史文件、临时表、回收站对象与导出中间文件）

加固要点：鉴别信息与敏感数据所在存储空间在释放或重新分配前须清除：核查会话历史与客户端记录文件不含明文口令与敏感查询（MySQL 的 .mysql_history 须禁用或重定向、PostgreSQL 的 .psql_history、客户端脚本与 CI 日志中的连接串）；删除的敏感表、表空间与数据文件须确认物理文件已移除而非仅逻辑删除（PostgreSQL DROP TABLESPACE 后核验目录、达梦与 Oracle 系的回收站对象须 PURGE）；临时表、导出中间文件与过期备份按周期清理；口令散列不得以明文形式出现在配置、脚本与日志中。

验证方法：MYSQL_HISTFILE 与 --histignore 配置、~/.mysql_history 与 ~/.psql_history 抽样检索是否存在明文口令的结果、数据目录与备份目录中残留中间文件清单、删除敏感对象后物理文件不存在的核验截图、口令散列存储方式回显。

select * from v$dm_ini where para_name = 'ENABLE_OBJ_REUSE';   -- 0=不启用（默认）
sp_set_para_value(2, 'ENABLE_OBJ_REUSE', 1);                   -- 启用客体重用
  • ENABLE_OBJ_REUSE=1 后内存分配/释放与文件生成/删除时均做内容清除，保证鉴别信息与敏感数据在存储空间释放或重分配前被清除；静态参数，修改后需重启实例生效。

八、版本与漏洞

对应控制点：GB/T 22239-2019 8.1.4.4 入侵防范 a)~f)（最小安装与组件收敛、监听与端口限制、危险能力关闭、漏洞与补丁管理）

加固要点：按最小化原则收敛数据库暴露面：仅安装业务所需组件（去掉示例库、示例脚本、可选的 Web 管理台与客户端工具），关闭不需要的服务与端口；监听地址限定到业务网段（禁止 0.0.0.0 或 bindIp: 0.0.0.0 直连公网），端口经主机防火墙与边界策略双重限制到应用服务器与运维堡垒机；关闭高危能力（MySQL local_infile=OFF 并设置 secure_file_priv、启用 skip_symbolic_links；PostgreSQL 限制 COPY ... PROGRAM、lo_import/lo_export、file_fdw；MongoDB security.javascriptEnabled: false 并确认未启用旧版 HTTP 接口）；建立版本与漏洞台账，跟踪官方安全公告并按变更窗口修补，已停止官方支持的版本须提出升级或补偿控制建议。

验证方法：已安装组件与版本清单、监听地址与端口回显（ss -tlnp 或 netstat -ano、MySQL SHOW VARIABLES LIKE 'bind_address';、PostgreSQL SHOW listen_addresses; SHOW port;、MongoDB net.bindIp 配置）、主机防火墙与边界策略截图、高危参数当前值回显、漏洞台账与补丁记录、官方安全公告订阅证据（MySQL Release Notes、PostgreSQL 官方邮件列表与 Release Notes、MongoDB Release Notes、达梦与金仓官网公告）。

SELECT * FROM V$VERSION;
SELECT BUILD_VERSION FROM V$INSTANCE;      -- 具体视图以手册为准
示例输出（节选）
BANNER
--------------------------------------------------------------------------------
DM Database Server 64 V8.1.1.190 build(2023.10.25)  ...

对照达梦安全通告升级至最新小版本。

测评项对照表

控制点对应章节
身份鉴别：默认口令修改、复杂度、有效期一、二
身份鉴别：登录失败处理与超时二、三
访问控制：三权分立、权限最小化一、六
安全审计：审计开启、覆盖与留存四
通信完整性/保密性：加密传输五
剩余信息保护：ENABLE_OBJ_REUSE五（补充）
数据备份恢复七

参考依据

  • GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（8.1.4 安全计算环境各控制点（数据库管理系统自身安全）；涉客户端与服务端通信时另含 8.1.2 安全通信网络）：http://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=BAFB47E8874764186BDB7865E8344DAF
  • GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》（测评对象边界认定、单元测评实施与结果判定：符合/部分符合/不符合/不适用）：http://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=7E736CDF4502B6FF1258DD250AA3EC8C
  • GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》、GB/T 25070-2019《安全设计技术要求》、GB/T 28449-2018《测评过程指南》，可在全国标准信息公共服务平台检索：http://openstd.samr.gov.cn/bzgk/gb/
  • 达梦数据库官方站点（DM8 产品文档与《DM8 安全管理》手册入口）：https://eco.dameng.com/
  • 《网络安全等级保护测评高风险判定指引》（中关村信息安全测评联盟团体标准）——高风险情形判定口径，站内对照表：22、高风险判定指引与加固对照表
  • 命令核验说明：达梦 DM8 命令与参数以达梦官方站点公开的《DM8 系统管理员手册》《DM8 安全管理手册》与产品文档核验（核验日期 2026-09-02）。四处须留意：① 登录失败锁定参数的官方拼写为 FAILED_LOGIN_ATTEMPS（少一个 T），按标准英文拼写 ATTEMPTS 执行会直接报错，配置后须以 SELECT * FROM DBA_PROFILES; 回显确认；② 达梦的口令策略位掩码在不同小版本上参数名存在 PWD_POLICY 与 PASSWORD_POLICY 两种写法，报错时改用 SELECT * FROM V$PARAMETER WHERE NAME LIKE 'PWD%'; 查实际可配置项；③ 三权分立须在实例初始化时启用相关安全特性，若安装时未开启，SYSDBA 仍集中持有安全与审计权限，此时应通过独立建账 + 权限回收 + 操作系统层审计作补偿控制并如实记录，不得直接判符合；④ 审计功能开启会带来性能与存储开销，ENABLE_AUDIT 变更后须重启或按手册要求生效，实施前确认业务窗口与归档目录容量，并保留 SYSAUDITOR 账户的独立恢复通道。

关联文章