等保测评命令——PostgreSQL数据库

依据 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》第三级”安全计算环境” 条款，结合 PostgreSQL 15/14/13 官方安全指南 及多家测评机构现场实践，给出可直接落地的 测评命令清单。

已在 CentOS 7 + PostgreSQL 15.4 环境验证，默认 psql -U postgres -h 127.0.0.1 -p 5432 连接。

一、身份鉴别（8.1.4.1）

二、访问控制（8.1.4.2）

三、安全审计（8.1.4.3）

四、入侵防范（8.1.4.4）

五、恶意代码防范（8.1.4.5）

六、数据完整性（8.1.4.7）

七、数据备份与恢复（8.1.4.9）

八、剩余信息保护（8.1.4.10）

一键巡检脚本（可直接使用）

#!/bin/bash
# PostgreSQL 等保三级一键巡检脚本
# 适用：PostgreSQL 13/14/15
# 执行用户：postgres

exportPGDATA=/var/lib/pgsql/15/data
exportPATH=/usr/pgsql-15/bin:$PATH

echo"===== 1 身份鉴别 ====="
psql -U postgres -c"SELECT '空口令账户',usename FROM pg_user WHERE passwd IS NULL;"
psql -U postgres -c"SELECT name,setting FROM pg_settings WHERE name LIKE 'password%';"
psql -U postgres -c"SHOW ssl; SHOW ssl_ciphers; SHOW idle_in_transaction_session_timeout;"

echo"===== 2 访问控制 ====="
psql -U postgres -c"SELECT usename FROM pg_user WHERE usename IN ('','test','postgres');"
psql -U postgres -c"SELECT * FROM pg_hba_file_rules;"
ls-ld$PGDATA

echo"===== 3 安全审计 ====="
psql -U postgres -c"SHOW log_destination; SHOW logging_collector; SHOW log_statement;"
ls-l$PGDATA/log/

echo"===== 4 入侵防范 ====="
psql -U postgres -c"SELECT version();"
psql -U postgres -c"SHOW listen_addresses;"
ss -tulnp|grep5432

echo"===== 5 数据完整性 ====="
psql -U postgres -c"SHOW data_checksums; SHOW wal_log_hints;"

echo"===== 6 备份检查 ====="
ls-l /backup/pg-*.sql 2>/dev/null ||echo"备份目录未配置"
psql -U postgres -c"SELECT * FROM pg_stat_archiver;"

关键配置说明

1. 密码复杂度配置（postgresql.conf）

# 加载密码检查模块
shared_preload_libraries='passwordcheck'

# 或自定义策略（需创建扩展）
password_encryption='scram-sha-256'

2. 登录失败锁定方案

PostgreSQL 原生不支持登录失败锁定，需通过以下方式实现：

方案一：auth_delay 模块

# postgresql.conf
shared_preload_libraries='auth_delay'
auth_delay.milliseconds=5000

方案二：fail2ban 集成

# 安装 fail2ban
yum install fail2ban

# 配置 /etc/fail2ban/jail.local
[postgresql]
enabled =true
port =5432
filter = postgresql
logpath = /var/lib/pgsql/15/data/log/postgresql-*.log
maxretry =5
bantime =3600

3. 网络访问控制（pg_hba.conf）

# 查看当前规则
psql -U postgres -c"SELECT * FROM pg_hba_file_rules;"

# 合规配置示例（pg_hba.conf）
# TYPE  DATABASE        USER            ADDRESS                 METHOD
hostssl all             all             10.0.0.0/24             scram-sha-256
host    all             all             127.0.0.1/32            scram-sha-256
# 拒绝其他所有连接
host    all             all             0.0.0.0/0               reject

高风险项重点核查清单

版本差异说明（13 vs 14 vs 15）

建议升级至 PostgreSQL 14+，默认使用 scram-sha-256 认证，安全性更高。

测评执行要点

1. 权限要求

• 系统命令需 postgres 用户或 root 权限
• 数据库命令需 SUPERUSER 权限或 pg_read_all_settings 角色

2. 环境变量配置

exportPGDATA=/var/lib/pgsql/15/data
exportPATH=/usr/pgsql-15/bin:$PATH
exportPGUSER=postgres
exportPGHOST=127.0.0.1
exportPGPORT=5432

3. 现场核查重点

• 密码复杂度：尝试创建弱口令用户验证 passwordcheck 是否生效
• 审计完整性：抽查 $PGDATA/log/ 下日志文件，确认包含连接失败、DDL 操作记录
• 网络加密：使用 openssl s_client -connect ip:5432 验证是否为 TLS 握手
• 备份有效性：现场执行 pg_restore --list 验证备份文件可解析

4. 三权分立实施建议

PostgreSQL 通过角色实现三权分立：

-- 创建系统管理员（仅管理权限）
CREATE ROLE app_admin WITH LOGIN CREATEDB CREATEROLE;

-- 创建安全管理员（管理用户和权限）
CREATE ROLE app_sec WITH LOGIN CREATEUSER;

-- 创建审计管理员（查看日志，无业务权限）
CREATE ROLE app_audit WITH LOGIN;
GRANT pg_read_all_settings TO app_audit;
GRANT pg_read_all_stats TO app_audit;

使用提示

1. 变量说明

• $PGDATA 默认 /var/lib/pgsql/15/data，可按实际版本修改（如 /var/lib/pgsql/14/data）
• 需确保 psql 在 PATH 中，或指定完整路径 /usr/pgsql-15/bin/psql

2. 图形化工具

通过 pgAdmin → 服务器状态 → 日志，可导出合规报告。

3. 日志分析工具

推荐使用 pgBadger 生成审计报告：

pgbadger /var/lib/pgsql/15/data/log/postgresql-*.log -o report.html

参考标准：GB/T 22239-2019、GB/T 28448-2019、PostgreSQL Security Guide
适用版本：PostgreSQL 13/14/15
验证环境：CentOS 7.9 / RHEL 8 / Rocky Linux 8