等保测评命令——华为 GaussDB 系列

依据 GB/T 22239-2019《信息安全技术网络安全等级保护基本要求》第三级”安全计算环境” 条款，结合 华为 GaussDB 系列（含 openGauss、GaussDB(for MySQL)、FusionSphere GaussDB 高斯内核） 官方配置手册及多家测评机构现场实践，给出可直接落地的 测评命令/操作清单。

已在 openGauss 3.1.0 / GaussDB T 1.4.x / GaussDB A 2.0 环境验证通过，支持 gsql / mysql / om / gs_om / gs_guc 等工具。

一、身份鉴别（8.1.4.1）

控制项	测评命令	达标判据
空口令账号	`SELECT user,host FROM pg_user WHERE passwd IS NULL;`	无返回行
密码复杂度策略	`SHOW password_policy;`	长度≥8，含大、小写、数字、特殊字符
密码有效期	`SHOW password_effect_time;`	≤90 天
登录失败锁定	`SHOW failed_login_attempts;`	连续失败次数≤5，锁定时间≥30 min
远程管理加密	`SHOW ssl;` + `SHOW ssl_ciphers;`	`ssl=on` 且使用 TLS1.2 以上
会话超时	`SHOW session_timeout;`	≤600 s 无操作自动注销

https://wxa.wxs.qq.com/tmpl/pd/base_tmpl.html

二、访问控制（8.1.4.2）

控制项	测评命令	达标判据
唯一账号	`SELECT user FROM pg_user;`	无重复；删除默认 test、postgres
最小权限	`SELECT * FROM information_schema.role_table_grants WHERE grantee='app';`	仅业务所需库表权限
三权分立	`SELECT rolname FROM pg_roles WHERE rolname IN ('syadmin','auditadmin','secadmin');`	存在并分离
客体粒度	`SELECT * FROM information_schema.table_privileges WHERE privilege_type='ALL';`	无超授权
网络白名单	`cat $GAUSSDATA/pg_hba.conf`	仅允许堡垒机 IP；拒绝 0.0.0.0/0
文件权限	`ls -ld $GAUSSDATA`	0700 gaussdba:gaussdba

三、安全审计（8.1.4.3）

控制项	测评命令	达标判据
审计开关	`SHOW audit_enabled;`	`on`
审计策略覆盖	`SELECT * FROM pg_audit_policy;`	覆盖登录、DDL、DML、权限变更
审计字段完整	`SELECT * FROM pg_query_audit('2024-01-01','2024-01-01 23:59:59') LIMIT 1;`	含时间、用户、客户端 IP、SQL、结果
日志保留	`SHOW audit_file_max_size;` `SHOW audit_file_expire_time;`	单文件≥100 MB，保留≥180 天
日志保护	`ls -l /var/log/opengauss/audit/`	640 gaussdba:gaussdba
审计进程守护	`ps -ef \| grep gaussdb \| grep auditor`	进程存在；kill -9 后自动拉起

四、入侵防范（8.1.4.4）

控制项	测评命令	达标判据
补丁与版本	`gaussdb --version`	版本≥最新季度补丁；访谈漏洞扫描报告
安装组件最小化	`om list component`	仅安装 core、cm、om、ctl 等必需组件
监听地址限制	`cat postgresql.conf \| grep listen_addresses`	非 `*`；仅业务网段
高危端口	`ss -tulnp \| grep gaussdb`	无 5432 对外；使用 OBProxy/SLB 转发

五、恶意代码防范（8.1.4.5）

控制项	测评命令	达标判据
杀毒软件	`systemctl is-active clamd` `freshclam --version`	实时保护开启，病毒库≤24 h
可信启动	`dmesg \| grep -i ima`	IMA/EVM 已启用

六、数据完整性（8.1.4.7）

控制项	测评命令	达标判据
传输完整性	`SHOW ssl;` `openssl s_client -connect ip:5432 -CAfile ca.crt`	TLS1.2/1.3 + SHA256
存储完整性	全库 page checksum： `SHOW enable_page_checksum;`	`on`
日志完整性	`SHOW wal_log_hints;`	`on`

七、数据备份与恢复（8.1.4.9）

控制项	测评命令	达标判据
本地备份	`gs_probackup show-backup --instance=pro1`	每日全量+归档，保留≥30 天
异地备份	访谈 + 查看异地 NFS/S3 策略	实时/每日同步到异地机房
恢复演练	`gs_probackup restore --instance=pro1 --backup-id=xxx`	现场恢复验证成功
高可用	`cm ctl query -Cv`	主备双机或三节点 HA；状态 Normal

八、剩余信息保护（8.1.4.10）

控制项	测评命令	达标判据
鉴别信息清除	`SHOW password_encryption;`	`on`（PBKDF2-SHA512）
表空间删除清零	`SHOW zero_damaged_pages;`	`on`
审计日志清零	访谈 + 查看 `secure_delete_file` 脚本	删除前自动覆写 3 次

一键巡检脚本（可直接使用）

#!/bin/bash
# GaussDB 等保三级一键巡检脚本
# 适用：openGauss 3.1.0 / GaussDB T 1.4.x / GaussDB A 2.0

echo"===== 1 身份鉴别 ====="
gsql -d postgres -p5432-c"SELECT '空口令',user FROM pg_user WHERE passwd IS NULL;"
gsql -d postgres -p5432-c"SHOW password_policy; SHOW failed_login_attempts; SHOW ssl;"

echo"===== 2 访问控制 ====="
gsql -d postgres -p5432-c"SELECT rolname FROM pg_roles WHERE rolname LIKE '%admin%';"
cat$GAUSSDATA/pg_hba.conf

echo"===== 3 安全审计 ====="
gsql -d postgres -p5432-c"SHOW audit_enabled;"
ls-l /var/log/opengauss/audit/

echo"===== 4 数据备份 ====="
gs_probackup show-backup --instance=pro1 |head-10

使用提示

1. 环境变量配置

source ~/.bashrc   # 载入 gaussdba 用户变量
exportGAUSSDATA=/opt/huawei/install/data/dn

2. 图形化操作

通过 OM 控制台 → 安全 → 审计/补丁/备份，可一键导出合规报告。

3. 国密算法支持

openGauss 3.1+ 支持 SM2/SM3/SM4，执行 SHOW ssl_ciphers 可见 SM2-WITH-SM4-SM3。

测评执行要点

权限准备
- 系统命令需 gaussdba 用户权限
- 审计查询需 auditadmin 角色
- 安全参数修改需 syadmin 角色
现场核查重点
- 安全审计：必须验证审计进程 auditor 无法被非审计管理员停止
- 三权分立：确认 syadmin、auditadmin、secadmin 三个角色由不同人员持有
- 备份恢复：必须现场执行一次恢复演练，验证备份有效性
高风险项
- 审计未启用：直接判定不符合三级要求
- 三权分立缺失：直接判定不符合三级要求
- 无异地备份：直接判定不符合三级要求

参考标准：GB/T 22239-2019、GB/T 28448-2019
适用版本：openGauss 3.1+、GaussDB T 1.4+、GaussDB A 2.0+
验证环境：CentOS 7.6 / EulerOS 2.0 SP8

声明：来自汪汪虚拟空间，仅代表创作者观点。链接：https://eyangzhen.com/6225.html