达梦数据库等保评测实战指南：从密码加固到审计优化的全流程配置

最近在帮某金融机构做等保合规改造时，他们的CTO提出了一个灵魂拷问："这些安全配置到底能不能真正挡住攻击？"这让我意识到，很多DBA在执行等保要求时，只是机械地勾选检查项，却忽略了安全措施之间的联动效应。本文将结合我在金融、政务领域实施达梦数据库等保三级认证的实战经验，分享一套有逻辑、可验证的配置体系。

1. 身份鉴别的深度配置策略

等保2.0对身份鉴别的要求远不止"设置密码"这么简单。去年某省级医保系统被攻破的案例显示，攻击者正是利用弱口令和无限次尝试漏洞完成了横向渗透。以下是经过实战验证的强化方案：

1.1 密码策略的工程化实施

达梦的密码策略由PWD_POLICY参数控制，但很多管理员只关注数值设置，却忽略了兼容模式的影响。建议先检查当前运行模式：

sql复制-- 检查兼容模式（值为1时将强制禁用密码策略）
SELECT * FROM V$DM_INI WHERE PARA_NAME='COMPATIBLE_MODE';

-- 复合策略推荐配置（需确保COMPATIBLE_MODE≠1）
SP_SET_PARA_VALUE(1,'PWD_POLICY',31);  -- 启用所有策略

注意：在金融等敏感场景，建议额外增加以下手动检查项：

• 密码历史记录：通过定期修改系统表SYS.SYSPWDCHGS强制轮换
• 初始密码强制修改：创建用户后立即执行ALTER USER...PASSWORD EXPIRE

1.2 账户锁定机制的精细化控制

等保要求中"登录失败处理"条款常被误解为简单设置失败次数。实际上需要建立动态响应机制：

sql复制-- 典型生产环境配置（根据业务特点调整）
ALTER USER "APP_USER" LIMIT 
  FAILED_LOGIN_ATTEMPTS 5,      -- 连续失败5次锁定
  PASSWORD_LOCK_TIME 30,        -- 锁定30分钟
  CONNECT_TIME 480,             -- 单会话最长8小时
  CONNECT_IDLE_TIME 30;         -- 空闲超时30分钟

配套的监控脚本示例（每天检查异