等保测评||人大金仓数据库作业指导书

公众号文章预告：近期会更新大量等保测评的作业指导书，需要的朋友请持续关注。

等保测评的作业指导书均以通用要求三级为例，仅供参考和学习使用，有错误的地方文末留言我们修订，对于不适用项根据各家测评机构要求自行调整，所有测评作业指导书更新完并验证修订后第一版会有完整版的作业指导书及时上传到（https://www.feidusec.com）网站中提供给大家下载使用，所需要参考下方留言指正错误点。

人大金仓数据库管理系统KingbaseES(简称:金仓数据库或KingbaseES)是北京人大金仓信息技术股份有限公司自主研制开发的具有自主知识产权的通用关系型数据库管理系统。

金仓数据库主要面向事务处理类应用，兼顾各类数据分析类应用，可用作管理信息系统、业务及生产系统、决策支持系统、多维数据分析、全文检索、地理信息系统、图片搜索等的承载数据库。金仓数据库KingbaseES是唯一入选国家自主创新产品目录的数据库产品。

等保测评的作业指导书仅供参考，有错误的地方文末留言我们修正，对于不适用项根据各家测评机构要求自行调整。

安全控制点：身份鉴别
测评指标（条款）	测评要点	测评实施步骤
a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换	1.身份鉴别措施2.用户唯一性3.口令策略4.口令设置	1. 查询用户列表：SELECT usename, usesysid FROM sys_user;2. 检查口令策略：SHOW password_encryption;3. 检查密码有效期：SHOW password_max_age;
b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施	1.登录失败处理2.超时退出	1. 检查失败登录锁定策略：SHOW failed_login_attempts;2. 查看会话超时配置：SHOW session_timeout;
c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听	1.管理方式	检查SSL配置：SHOW ssl;SHOW ssl_cert_file;
d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现	1.组合鉴别技术	检查是否启用LDAP或证书认证：SELECT * FROM pg_hba_file_rules WHERE auth_method='cert';
安全控制点：访问控制
测评指标（条款）	测评要点	测评实施步骤
a) 应对登录的用户分配账户和权限	1.账户权限2.匿名账户3.默认账户权限	1. 查询用户权限：SELECT * FROM sys_roles;2. 检查默认账户权限：SELECT * FROM sys_user WHERE usename='system';
b) 应重命名或删除默认账户，修改默认账户的默认口令	1.默认账户处理	检查默认账户状态：SELECT usename, passwd FROM sys_user WHERE usename='system';
c) 应及时删除或停用多余的、过期的账户，避免共享账户的存在	1.多余/过期账户	查询过期账户：SELECT usename, valuntil FROM sys_user WHERE valuntil < CURRENT_DATE;
d) 应授予管理用户所需的最小权限，实现管理用户的权限分离	1.权限分离	检查超级用户权限分配：SELECT usename FROM sys_user WHERE usesuper;
e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则	1.授权主体2.访问规则3.越权测试	1. 检查权限分配记录：SELECT * FROM sys_table_privileges WHERE table_name='salary';2. 尝试通过低权限用户访问敏感表。
f) 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级	1.访问控制粒度	检查列级权限：SELECT * FROM sys_column_privileges WHERE table_name='employees';
g) 应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问	1.安全标记	检查是否启用行级安全（RLS）：SELECT * FROM sys_policies WHERE tablename='employees';
安全控制点：安全审计
测评指标（条款）	测评要点	测评实施步骤
a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计	1.审计开启情况2.审计覆盖范围	检查审计配置：SHOW audit_enabled;SELECT * FROM sys_audit_events;
b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息	1.审计记录要素	检查审计日志内容：SELECT * FROM sys_audit_log WHERE event_time > NOW() - INTERVAL '1 day';
c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等	1.审计记录保护2.备份措施	检查日志文件权限：!ls -l $KINGBASE_DATA/audit/*.log
d) 应对审计进程进行保护，防止未经授权的中断	1.审计进程保护	检查审计进程权限：ps aux \| grep kingbase
安全控制点：入侵防范
测评指标（条款）	测评要点	测评实施步骤
a) 应遵循最小安装的原则，仅安装需要的组件和应用程序	1.最小化安装	检查已安装扩展：SELECT * FROM sys_available_extensions;
b) 应关闭不需要的系统服务、默认共享和高危端口	1.端口与服务	检查监听端口：netstat -tuln \| grep 54321
c) 应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制	1.终端接入限制	检查kingbase.conf配置：listen_addresses='192.168.1.100'
d) 应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求	1.输入验证	检查函数参数校验：SELECT prosrc FROM sys_proc WHERE proname='insert_data';
e) 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞	1.漏洞管理	检查数据库版本：SELECT version();
f) 应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警	1.入侵检测	检查是否部署第三方IDS或日志分析工具。
安全控制点：恶意代码防范
测评指标（条款）	测评要点	测评实施步骤
应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断	1.防范措施2.更新机制	1. 检查是否安装防病毒软件（如奇安信）。2. 检查病毒库版本：freshclam --version
安全控制点：可信验证
测评指标（条款）	测评要点	测评实施步骤
可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心	1.可信验证	检查是否启用TPM模块或可信启动功能：dmesg \| grep -i tpm
安全控制点：数据完整性
测评指标（条款）	测评要点	测评实施步骤
a) 应采用校验技术或密码技术保证重要数据在传输过程中的完整性	1.传输完整性	检查SSL配置：SHOW ssl;SHOW ssl_ciphers;
b) 应采用校验技术或密码技术保证重要数据在存储过程中的完整性	1.存储完整性	检查是否启用数据页校验和：SHOW data_checksums;
安全控制点：数据保密性
测评指标（条款）	测评要点	测评实施步骤
a) 应采用密码技术保证重要数据在传输过程中的保密性	1.传输保密性	检查SSL配置：SHOW ssl;SHOW ssl_cert_file;
b) 应采用密码技术保证重要数据在存储过程中的保密性	1.存储保密性	检查是否启用透明数据加密（TDE）：SELECT * FROM sys_encrypted_tables;
安全控制点：数据备份恢复
测评指标（条款）	测评要点	测评实施步骤
a) 应提供重要数据的本地数据备份与恢复功能	1.本地备份	检查备份计划：sys_dump -Fc mydb > /backup/mydb.dump
b) 应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地	1.异地备份	检查流复制状态：SELECT * FROM sys_stat_replication;
c) 应提供重要数据处理系统的热冗余，保证系统的高可用性	1.设备冗余	检查集群状态：SELECT * FROM sys_cluster_status;
安全控制点：剩余信息保护
测评指标（条款）	测评要点	测评实施步骤
a) 应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除	1.剩余信息清除	检查内存清理策略：ALTER SYSTEM CLEAR SHARED_BUFFERS;
b) 应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除	1.敏感数据清除	检查是否使用安全删除工具：shred -u /data/kingbase/*.dat
安全控制点：个人信息保护
测评指标（条款）	测评要点	测评实施步骤
a) 应仅采集和保存业务必需的用户个人信息	1.个人信息收集	检查表中字段：SELECT column_name FROM sys_columns WHERE table_name='users';
b) 应禁止未授权访问和非法使用用户个人信息	1.访问控制	检查行级安全（RLS）策略：SELECT * FROM sys_policies WHERE tablename='users';