2026年企业数据库权限审计押题卷及答案详解

2026年企业数据库权限审计押题卷及答案详解一、判断题（每题1分，共10分）1.数据库权限配置遵循最小权限原则，即仅授予用户完成其工作职责所必需的最小权限集合，禁止过度授权。2.企业数据库的DBA特权账号可以由运维团队多人共享使用，只要做好操作登记即可。3.数据库审计日志留存时间满足等保2.0通用要求即可，无需匹配行业监管的额外留存规定。4.孤儿账号是指员工离职、岗位调整后未及时回收的数据库权限账号，是权限审计的重点排查对象。5.数据库权限审计仅需要针对外部访问行为开展，内部运维人员的本地操作属于可信行为无需纳入审计范围。6.MySQL数据库中ALLPRIVILEGES权限可以随意授予普通业务账号，只要业务方提出需求即可审批通过。7.权限审计过程中发现的越权访问行为不需要同步记录溯源信息，直接回收权限即可完成整改。8.数据库角色（Role）是权限的集合，通过角色批量授权可以降低权限配置错误率，简化审计流程。9.数据库审计系统采用旁路镜像模式部署不会影响数据库的正常运行性能，是当前企业部署的主流模式之一。10.临时权限授予不需要设置自动过期时间，由使用人用完后主动申请回收即可。二、单项选择题（每题2分，共30分）1.根据《网络安全等级保护基本要求》，三级及以上系统的数据库审计日志留存时间应不少于多少天？A.30天B.90天C.180天D.365天2.下列哪类账号不属于数据库权限审计中的高风险特权账号？A.sa（SQLServer）B.root（MySQL）C.sys（Oracle）D.业务只读账号3.权限审计中针对"权限世袭"问题的核心排查点是？A.账号是否存在跨部门权限传递、未随岗位调整及时回收的历史遗留权限B.账号密码强度是否符合复杂度要求C.审计日志是否完整留存D.数据库是否开启存储加密4.下列哪项不属于数据库权限审计的核心目标？A.发现过度授权、越权访问风险B.确保权限全生命周期可管控可溯源C.排查孤儿账号、共享账号隐患D.提升数据库SQL查询性能5.某企业员工离职3个月后，审计发现其原持有数据库账号仍存在访问记录，该风险属于下列哪类问题？A.孤儿账号未回收B.SQL注入攻击C.审计日志缺失D.数据库补丁未更新6.Oracle数据库中，下列哪个权限属于系统级高危特权，非必要不得授予普通用户？A.SELECTANYTABLEB.对自有业务表的SELECT权限C.对自有业务表的INSERT权限D.账号自身密码修改权限7.下列哪种权限授予方式最符合最小权限原则？A.给业务查询账号授予全库所有表的查询权限B.给报表账号仅授予其所需访问的特定业务视图的查询权限C.给开发人员授予生产库DBA权限方便排障D.给运维人员授予全库数据修改权限8.数据库权限审计的频次要求，针对核心生产库的高风险特权权限，至少应多久开展一次专项审计？A.每季度B.每半年C.每年D.每两年9.下列哪项是共享数据库账号存在的核心审计风险？A.密码记忆成本高B.操作行为无法精准溯源到具体责任人C.登录验证速度慢D.权限配置流程复杂10.MySQL数据库中，执行下列哪项SQL命令可以查看某个用户被授予的权限列表？A.SHOWGRANTSFOR'用户名'@'登录主机'B.SHOWUSERLISTC.SELECT*FROMpassword_tableD.SHOWPRIVILEGELOG11.根据《个人信息保护法》要求，处理个人信息的数据库权限分配应遵循下列哪项规则？A.所有运维人员均可访问全量个人信息B.按照最小授权原则，仅向必要人员授予完成岗位职责所需的最小个人信息访问权限C.个人信息权限无需审批即可开通D.外部合作方可以直接连接生产库获取个人信息12.权限审计中发现某普通业务账号被授予了DROP、ALTER等数据定义语言（DDL）权限，该风险属于？A.过度授权B.权限不足C.日志缺失D.账号未锁定13.下列哪项不属于数据库权限全生命周期管理的环节？A.权限申请审批B.权限授予开通C.权限定期复核D.数据库磁盘容量扩容14.针对临时开通的数据库应急权限，审计时应重点核查哪项内容？A.是否按流程审批、是否在应急结束后立即回收、是否有全量操作记录B.是否使用了长度符合要求的复杂密码C.是否开启了数据库自动备份D.数据库版本是否符合安全基线15.下列关于数据库审计系统的说法，错误的是？A.可以记录全量数据库访问与操作行为B.可以对越权操作、高危操作进行实时告警C.可以完全替代人工权限合规审计D.可以辅助溯源安全事件三、多项选择题（每题4分，共20分，多选、少选、错选均不得分）1.企业数据库权限审计的核心审计范围包括下列哪些内容？A.特权账号权限配置与使用情况B.普通业务账号权限范围C.离职、调岗人员账号回收情况D.临时权限审批与回收记录2.下列哪些属于数据库权限审计中发现的典型违规问题？A.开发人员持有生产库DBA权限且无审批记录B.业务账号被授予全库删除、修改权限C.离职员工账号未及时回收仍可访问生产库D.多个运维人员共享同一个root账号操作数据库3.针对数据库特权账号的审计管控要求，下列说法正确的有？A.特权账号必须一人一账号，严禁共享B.特权账号操作必须全程留痕，操作日志不可篡改C.特权账号权限应定期复核，及时回收非必要权限D.特权账号可以开启免密登录提升运维效率4.权限审计完成后，针对发现的风险问题，整改流程应包含下列哪些环节？A.建立问题台账，明确整改责任人与整改时限B.对过度授权、违规授权的权限立即按流程回收C.对发现的恶意越权操作行为开展溯源排查，按制度追责D.整改完成后开展复核，确保风险闭环5.下列哪些技术手段可以辅助提升数据库权限审计的效率与准确性？A.部署数据库审计系统（DAM）实现操作全量记录与异常告警B.通过堡垒机托管所有数据库访问入口，实现账号实名认证C.定期通过自动化脚本扫描全库账号权限清单，比对安全权限基线D.禁止所有人员访问生产数据库四、案例分析题（每题20分，共40分）1.某金融企业核心交易数据库在季度权限专项审计中发现以下问题：（1）3名已离职3个月以上的研发人员的数据库账号仍处于启用状态，且近1个月内存在多次登录查询交易数据的记录；（2）所有一线运维人员均持有sysadmin系统管理员特权权限，其中2名运维人员实际仅负责数据库备份工作，不需要管理员权限；（3）半年前为应对某次系统故障临时开通给第三方厂商的全库读写权限，故障处理完成后未回收，厂商账号近2个月内有17次跨IP登录记录；（4）核心交易表的查询权限共授予了23个账号，其中12个账号近6个月从未访问过该表。请结合数据库权限审计的相关要求，回答以下问题：（1）请逐一指出上述场景中存在的权限风险点；（2）针对上述问题给出对应的整改建议。2.某互联网企业2025年发生一起用户个人信息泄露事件，经溯源排查发现：事件原因是测试人员小张因工作需要临时申请了生产库用户个人信息表的只读权限，审批流程未设置权限到期时间，小张离职时IT部门未核对其所有权限清单，遗漏了该生产库权限的回收；小张离职后将该账号密码出售给黑产人员，黑产通过该账号批量下载了120万条用户手机号、收货地址等个人信息，造成恶劣影响。事后审计还发现，该企业从未开展过系统性的数据库权限审计，权限申请、回收全靠人工线下登记，无任何技术审计手段，所有数据库操作未留存可溯源的日志记录。参考答案与解析一、判断题1.答案：正确2.答案：错误解析：特权账号严禁共享，必须一人一账号并全程审计，共享账号无法追溯操作主体，不符合审计溯源要求。3.答案：错误解析：日志留存需同时满足等保通用要求与所属行业（金融、医疗、政务等）的特殊规定，例如金融行业要求审计日志留存不少于6个月。4.答案：正确5.答案：错误解析：内部特权操作是数据泄露的高风险场景，必须纳入全量审计范围。6.答案：错误7.答案：错误8.答案：正确9.答案：正确10.答案：错误解析：临时权限必须设置明确的过期时间与自动回收机制，避免权限长期遗留形成安全风险。二、单项选择题1.答案：C解析：等保2.0明确要求三级系统审计日志留存不少于6个月（180天）。2.答案：D3.答案：A4.答案：D5.答案：A6.答案：A7.答案：B8.答案：A9.答案：B10.答案：A11.答案：B12.答案：A13.答案：D14.答案：A15.答案：C解析：审计系统为技术辅助工具，仍需定期开展人工权限复核审计，技术工具无法覆盖所有合规管控要求。三、多项选择题1.答案：ABCD解析：以上均为权限审计的核心覆盖范围，需实现账号、权限、操作全链路审计，无审计盲区。2.答案：ABCD3.答案：ABC解析：特权账号严禁开启免密登录，必须通过强认证、堡垒机托管等方式管控，避免账号滥用。4.答案：ABCD5.答案：ABC解析：完全禁止访问不符合业务运维实际需求，属于过度管控，不属于合理的审计管控手段。四、案例分析题1.答案：（1）存在的核心风险点：①孤儿账号未及时回收：离职人员账号未按流程在离职当日回收，存在离职人员非法访问、窃取核心交易数据的风险，且该类行为未被及时发现，存在明确的数据泄露隐患；②特权账号过度授权：未遵循最小权限原则，仅负责备份的运维人员被授予远超其职责所需的sysadmin高危权限，存在误操作、越权操作导致数据损坏或泄露的风险；③临时权限未闭环管理：应急临时授予第三方厂商的全库权限未设置自动过期、未在故障结束后及时回收，第三方账号存在跨IP异常登录，存在数据被违规窃取、篡改的高风险，不符合金融行业数据安全监管要求；④僵尸权限长期遗留：核心交易表的查询权限授予范围过大，超半数账号长期未使用对应权限，存在权限扩散、越权访问的风险。（2）整改建议：①立即对全库账号开展拉网式排查，第一时间禁用、回收所有离职人员、第三方过期账号，对涉事账号的历史操作记录开展全量溯源排查，确认是否存在数据泄露、篡改行为；②按照最小权限原则对特权权限进行收敛：根据运维人员的实际岗位职责重新配置权限，备份人员仅授予备份操作所需的最小权限，回收非必要的sysadmin特权；③完善临时权限全流程管控机制：临时权限必须明确使用时长、访问范围、操作人，设置自动过期策略，到期自动回收，第三方访问必须通过堡垒机全程审计，操作过程全程录屏留痕；④建立权限定期复核机制：每季度对全库权限、尤其是核心数据资产的访问权限开展逐一复核，清理长期未使用的僵尸权限，确保权限范围与岗位职责匹配；⑤部署数据库审计系统与堡垒机联动，对异常登录、高危操作、越权访问配置实时告警规则，实现风险早发现早处置。解析：本题考核数据库权限审计的核心风险识别与整改能力，覆盖孤儿账号、过度授权、临时权限管控、僵尸权限等高频考点，需结合金融行业高监管要求作答，整改措施需覆盖风险处置、机制完善、技术支撑三个层面，实现风险全闭环。2.请回答以下问题：（1）请分析该企业在数据库权限管控与审计工作中存在哪些核心问题？（2）请结合《网络安全法》《个人信息保护法》及数据库权限审计最佳实践，给出该企业后续的体系化建设方案。2.答案：（1）核心存在的问题：①权限全生命周期管理机制缺失：临时权限未设置到期自动回收机制，离职权限回收流程存在漏洞，未实现全口径权限的统一盘点与回收，导致孤儿账号长期遗留；②权限审批管控失效：临时权限审批未严格审核权限范围、有效期，针对个人信息等敏感数据的权限申请未执行严格的最小授权校验；③审计机制完全缺失：从未开展常态化的数据库权限审计，未定期核查账号权限合规性，无法及时发现遗留的违规权限；④技术审计手段缺失：未部署数据库审计、堡垒机等技术管控工具，数据库操作无完整日志留存，无法及时发现异常批量下载行为，事件发生后溯源难度大；⑤敏感数据权限管控不足：针对存储个人信息的核心敏感表，未设置专门的权限管控、访问审计、异常操作告警规则，敏感数据访问无任何防护措施。（2）体系化建设方案：①完善权限管理制度体系：明确数据库权限申请、审批、开通、复核、回收的全流程管理要求，针对临时权限强制设置最长有效期，离职、调岗人员必须完成全口径权限回收核验后方可办理离职手续，敏感数据权限需升级审批层级；②建立常态化权限审计机制：针对核心生产库尤其是存储敏感个人信息的数据库，每季度开展一次专项权限审计，重点排查过度授权、孤儿账号、共享账号、临时权限过期等风险，审计结果纳入部门安全考核；③落地技术管控与审计能力：部署堡垒机实现所有数据库访问的统一入口、实名认证、全程操作留痕；部署数据库审计系统，对敏感数据的批量查询、下载、修改等操作配置实时告警，审计日志留存满足不少于6个月的监管要求；通过自动化工具定期扫描