瀚高等保测评作业指导书

瀚高等保测评作业指导书本指导书适用于瀚高数据库V4.0及以上版本的网络安全等级保护2.0三级、四级测评作业，旨在规范测评流程、明确测评方法、统一判定标准，确保瀚高数据库等保测评工作可落地、结果可追溯。一、测评准备阶段1.1人员要求参与测评的人员需具备以下资质与能力：持有国家网络安全等级保护测评师证书（中级及以上）；精通《网络安全等级保护条例》《GB/T22239-2019信息安全技术网络安全等级保护基本要求》；掌握瀚高数据库架构、核心配置命令（如`hg_ctl`、`psql`、`hg_ssl`）、系统表（`pg_roles`、`pg_user`、`pg_stat_ssl`）及安全机制；具备数据库漏洞分析、日志审计、权限排查等实操能力。1.2工具准备需提前部署与校验以下工具：数据库专属工具：瀚高控制工具`hg_ctl`、SQL客户端`psql`、日志分析工具`pgBadger`、内置审计模块`hg_audit`（V5版本）；安全测评工具：漏洞扫描工具Nessus/OpenVAS、数据库审计平台（瀚高审计系统V3.0）、端口扫描工具`nmap`、网络抓包工具`tcpdump`；通用验证工具：SSL证书验证工具`openssl`、MD5/SHA256校验工具、系统日志分析工具`journalctl`；辅助工具：可视化数据库管理工具DBeaver（需授权）、ELKStack（日志集中分析）。1.3资料准备测评前需收集并整理以下资料：部署与配置类：瀚高数据库架构图（主备/集群）、节点清单、`postgresql.conf`/`pg_hba.conf`配置文件、SSL证书配置文档；安全管理类：账号权限清单、审计策略文档、应急预案、运维记录、补丁更新日志；数据与业务类：敏感数据字段清单、数据库版本信息、业务表结构、备份与恢复验证记录；授权类：等保测评授权书、生产环境操作授权书、数据备份确认书。1.4环境准备一致性验证：若测评测试环境，需确认其与生产环境的版本、配置、权限策略完全一致；若直接测评生产环境，需书面确认操作范围与风险；数据备份：要求被测方执行瀚高全量物理备份（`hg_ctlbackup-D/data/hgdb_backup`）与逻辑备份（`pg_dump-Upostgres-dbusiness_db-f/data/business_db.sql`），并验证备份有效性；权限隔离：获取瀚高`postgres`超级用户授权，明确禁止执行`DROP`、`TRUNCATE`、`ALTERSYSTEM`等危险命令；网络隔离：测评终端仅开放与被测环境的必要端口（如22、5432），禁止访问其他生产系统。二、核心测评内容与实施方法2.1安全计算环境（数据库核心模块）2.1.1身份鉴别测评项ID测评项名称等保要求（三级）瀚高测评方法与验证步骤判定依据8.1.2.1-1账号身份标识唯一应对登录用户进行身份标识和鉴别，身份标识具有唯一性1.执行`psql-Upostgres-c"SELECTrolname,oidFROMpg_rolesORDERBYoid;"`；

2.检查`rolname`列无重复值，每个账号对应唯一`OID`；

3.测试创建同名账号：`CREATEROLEtest_user;`，再次执行验证是否报错（`ERROR:role"test_user"alreadyexists`）所有账号身份标识唯一，同名账号创建被拒绝则符合；否则不符合8.1.2.1-2鉴别信息复杂度控制密码长度≥8位，包含大小写、数字、特殊字符3种及以上，设置有效期1.执行`psql-Upostgres-c"SHOWshared_preload_libraries;"`，确认包含`passwordcheck`插件；

2.查看`passwordcheck.conf`，检查`minlen=8`、`requireuppercase=1`、`requirenumeric=1`、`requirespecial=1`；

3.测试创建弱密码账号：`CREATEROLEweak_userLOGINPASSWORD'123456';`，验证是否报错；

4.执行`psql-Upostgres-c"SELECTrolname,rolvaliduntilFROMpg_rolesWHERErolvaliduntilISNOTNULL;"`，检查账号有效期设置启用`passwordcheck`插件并配置复杂度规则，弱密码创建被拒绝，账号有有效期则符合；否则不符合8.1.2.1-3登录失败限制登录失败次数达到阈值后锁定账号或延迟登录1.查看`pg_hba.conf`，检查是否配置`faildelay`参数（如`hostallall192.168.0.0/24md5faildelay=3`）；

2.查看`pg_fail2ban`配置，验证登录失败锁定规则；

3.连续输入5次错误密码，验证是否触发锁定或延迟配置登录失败限制规则，触发限制生效则符合；否则不符合8.1.2.1-4（四级）多因素鉴别重要用户采用多因素鉴别（密码+SSL客户端证书/动态令牌）1.查看`pg_hba.conf`，确认`hostssl`条目配置`clientcert=1`（如`hostsslallall192.168.0.0/24certclientcert=1`）；

2.执行`psql-Upostgres-c"SELECTFROMpg_stat_sslWHEREclientcert='t';"`，验证证书认证连接存在；

3.无证书登录测试，验证被拒绝重要用户采用多因素认证，无认证凭证无法登录则符合；否则不符合测评项ID测评项名称等保要求（三级）瀚高测评方法与验证步骤判定依据8.1.2.2-1权限最小化分配根据用户业务需求分配最小必要权限，禁止授予不必要的超级权限1.执行`psql-Upostgres-c"SELECTrolname,rolsuper,rolcreateroleFROMpg_roles;"`，统计超级用户数量（仅允许`postgres`及应急账号）；

2.抽查业务用户权限：`psql-Upostgres-dbusiness_db-c"SELECTtable_name,privilege_typeFROMinformation_schema.table_privilegesWHEREgrantee='business_user';"`，确认仅授予业务所需权限；

3.普通用户执行`DROPDATABASEtest;`，验证被拒绝超级用户数量≤2，业务用户权限符合最小必要原则，越权操作被拒绝则符合；否则不符合8.1.2.2-2权限变更审批与记录权限变更需经过审批，且记录变更过程1.查看权限变更审批单，确认包含申请人、审批人、变更内容、时间；

2.查看`pg_log`日志，搜索`ALTERROLE`、`GRANT`、`REVOKE`关键字，验证变更记录完整；

3.执行`psql-Upostgres-c"SELECTFROMpg_stat_activityWHEREqueryLIKE'%ALTERROLE%';"`，验证实时变更记录可查权限变更有审批文档，审计日志记录完整则符合；否则不符合8.1.2.2-3权限回收机制及时回收离职/调岗用户权限，禁止保留冗余账号1.对比人员清单与`pg_roles`，执行`psql-Upostgres-c"SELECTrolnameFROMpg_rolesWHERErolnameIN('leave_user1','leave_user2');"`，验证冗余账号已删除；

2.查看权限回收记录，确认人员变动后3个工作日内完成回收无冗余账号，权限回收及时且有记录则符合；否则不符合测评项ID测评项名称等保要求（三级）瀚高测评方法与验证步骤判定依据8.1.2.3-1审计覆盖范围覆盖登录/退出、数据查询/修改、权限变更、配置变更、备份恢复等重要操作1.执行`psql-Upostgres-c"SHOWlog_statement;"`，确认设置为`all`（三级及以上）；

2.查看`log_connections=on`、`log_disconnections=on`、`log_line_prefix='%t[%p]:[%c-%l]user=%u,db=%d,app=%a,client=%h'`；

3.查看`pg_log`日志，验证所有重要操作均被记录；

4.瀚高V5执行`psql-Upostgres-c"SELECTFROMpg_extensionWHEREextname='hg_audit';"`，确认启用内置审计审计配置覆盖所有重要操作，日志包含用户、IP、时间、操作内容则符合；否则不符合8.1.2.3-2审计日志保护审计日志存储在独立位置，仅授权人员可访问，定期备份1.执行`psql-Upostgres-c"SHOWlog_directory;"`，确认路径为独立分区（如`/var/log/hgdb`）；

2.查看日志文件权限：`ls-l/var/log/hgdb/postgresql-.log`，确认权限为`600`，属主为`postgres`；

3.查看日志备份记录，确认每日备份至离线存储；

4.普通用户访问日志测试，验证被拒绝日志存储独立、权限严格、定期备份，非授权用户无法访问则符合；否则不符合8.1.2.3-3审计分析与告警定期分析审计日志，配置异常行为告警规则1.查看ELK或瀚高审计系统，确认告警规则（如登录失败≥5次、超级用户异地登录）；

2.查看每周审计分析报告，确认异常行为被标记；

3.执行`pgBadger/var/log/hgdb/postgresql-.log`，生成分析报告；

4.触发告警规则测试，验证收到通知配置告警规则，定期生成分析报告，告警及时通知则符合；否则不符合测评项ID测评项名称等保要求（三级）瀚高测评方法与验证步骤判定依据8.1.2.4-1数据完整性保护采用技术手段保证数据存储、传输过程中的完整性1.执行`psql-Upostgres-c"SHOWdata_checksums;"`，确认设置为`on`（瀚高V4.0及以上默认开启）；

2.执行`psql-Upostgres-c"SHOWwal_level;"`，确认设置为`replica`；

3.瀚高V5执行`hg_ctltdestatus`，确认敏感库TDE启用；

4.传输数据MD5校验，验证存储与传输数据一致性启用数据校验和、WAL日志，传输完整性验证通过，敏感库启用TDE则符合；否则不符合8.1.2.4-2敏感数据保密性保护对敏感数据（身份证、手机号、银行卡号）进行加密存储1.抽查业务表：`psql-Upostgres-dbusiness_db-c"SELECTcolumn_name,data_typeFROMinformation_schema.columnsWHEREtable_name='user_info'ANDcolumn_nameIN('id_card','phone');"`；

2.字段级加密验证：`psql-Upostgres-dbusiness_db-c"SELECTpgp_sym_decrypt(id_card::bytea,'enc_key')FROMuser_infoLIMIT1;"`；

3.普通用户访问敏感字段测试，验证返回密文或被拒绝敏感数据采用TDE或字段级加密，非授权用户无法获取明文则符合；否则不符合8.1.2.4-3传输加密保护采用SSL/TLS对数据库连接进行加密传输1.执行`psql-Upostgres-c"SHOWssl;"`，确认设置为`on`；

2.查看`pg_hba.conf`，确认使用`hostssl`条目强制SSL，无明文`host`条目；

3.验证当前连接SSL状态：`psql-Upostgres-c"SELECTsslFROMpg_stat_sslWHEREpid=pg_backend_pid();"`；

4.执行`openssls_client-connect192.168.0.100:5432-showcerts`，验证SSL证书有效强制SSL加密传输，证书有效，所有连接均为SSL则符合；否则不符合2.2.1网络访问控制测评项：数据库端口访问限制等保要求：仅授权IP/网段可访问瀚高数据库端口（默认5432）测评方法：1.执行`nmap-p5432192.168.0.100`，验证非授权IP无法访问；2.查看防火墙配置：`firewall-cmdlist-all`，确认5432端口仅对业务网段开放；3.查看`pg_hba.conf`，确认无`0.0.0.0/0`、`::/0`等全局开放配置；判定依据：防火墙与`pg_hba.conf`双重限制，非授权IP无法访问端口则符合；否则不符合2.2.2主机安全加固测评项：数据库进程权限与主机隔离等保要求：瀚高数据库进程以非root用户运行，主机禁止不必要服务测评方法：判定依据：进程以非root用户运行，主机仅开启必要服务则符合；否则不符合2.3安全管理中心测评2.3.1安全策略管理测评项：数据库安全策略制定与落实等保要求：制定瀚高数据库安全策略，覆盖账号、权限、审计、备份等内容测评方法：1.查看《瀚高数据库安全管理策略》文档，确认覆盖所有安全要求；2.查看策略落实记录（如账号审批流程、权限变更记录）；3.抽查运维人员，验证其熟悉策略内容；判定依据：有完善的安全策略，且严格落实则符合；否则不符合2.3.2应急响应与恢复测评项：数据库应急预案与演练等保要求：制定瀚高数据库应急预案，定期演练，具备数据恢复能力测评方法：1.查看《瀚高数据库应急预案》，确认包含主备切换、故障恢复、数据恢复流程；2.查看演练记录，确认每年至少开展1次演练，且有问题改进措施；3.使用最近备份文件执行`hg_ctlrestore-D/data/hgdb_backup`，验