基于达梦数据库协议的自动化账号发现与安全检查系统的制作方法

本发明涉及网络安全领域，具体涉及基于达梦数据库协议的自动化账号发现与安全检查系统。

背景技术：

1、随着国产数据库在金融、能源等关键行业的大规模部署，达梦数据库已成为国产数据库生态中的重要组成部分。达梦数据库账号承载着业务访问、运维管理、数据同步和审计查询等关键权限，是数据资产安全防护的核心对象。

2、目前，达梦数据库账号安全检查主要依赖管理员手工连接数据库并逐条执行查询语句。该方式在涉及成百上千个数据库实例的大规模资产巡检场景下效率较低，且容易出现账号遗漏。同时，达梦数据库在系统表结构、账号管理模型和密码策略参数方面与现有主流数据库产品存在差异，通用型安全检查工具难以直接适配，缺乏对达梦数据库特有系统视图和初始化参数视图的自动化采集能力，导致账号锁定状态和全局密码安全策略配置信息的获取依赖人工操作，合规评估难以实现常态化。

3、此外，业务核心账号、第三方系统账号和内置系统账号在运维中通常需要被允许特定权限配置，若将此类账号纳入常规检查范围，会产生与业务无关的告警，增加安全运营的噪声负担，而现有检查方案普遍缺乏对此类账号的灵活过滤能力。检查结果也缺少统一的结构化数据模型，难以与上游资产管理平台和安全运营平台进行对接，不利于对账号清单、账号锁定状态和密码策略合规性进行集中展示和后续处置。

技术实现思路

1、本发明旨在解决现有技术中达梦数据库账号安全检查依赖人工操作、通用工具无法适配达梦数据库特有数据模型、缺乏统一结构化输出以及缺少特殊账号灵活过滤机制的技术问题。

2、本发明的目的可以通过以下技术方案实现：

3、基于达梦数据库协议的自动化账号发现与安全检查系统，包括：

4、数据库连接模块，用于接收达梦数据库的地址、端口、用户名、密码以及特殊账号列表作为输入参数，建立到达梦数据库的远程连接并调度主检查流程；

5、账号自动发现模块，用于对达梦数据库的系统视图执行账号查询以获取所有数据库用户的用户名和账号锁定状态，将每个账号封装为包含用户名字段、第一布尔字段和第二布尔字段的结构化对象；

6、特殊账号过滤模块，用于将当前账号名与特殊账号列表进行比对，若当前账号名存在于特殊账号列表中则跳过该账号；

7、账号状态检查模块，用于依据账号锁定状态判断当前账号是否为系统管理员账号且处于锁定状态，若是则将第一布尔字段设置为表示存在安全风险的取值，否则保持默认值；

8、密码安全检查模块，用于对达梦数据库的初始化参数视图执行密码策略查询以获取密码策略配置值，对所述密码策略配置值进行按位解析，并根据预设密码安全检查要求逐项判断各配置位是否满足对应的安全要求；当所述各配置位均满足对应的安全要求时，将第二布尔字段保持为表示合规的默认值，否则将第二布尔字段设置为表示存在安全风险的取值；

9、检查结果输出模块，用于将各结构化对象序列化为标准格式字符串并输出。

10、优选的，系统视图为用户管理视图，包括用户的用户名信息字段和账号锁定状态信息字段；初始化参数视图为全局初始化参数配置视图，包括密码策略配置参数字段；系统管理员账号为达梦数据库预设的超级管理员账号。

11、优选的，账号自动发现模块遍历用户管理视图的查询结果，对每条记录创建结构化对象并设置用户名字段为当前行的用户名信息字段值，判断当前账号是否在特殊账号列表中，若不在特殊账号列表中则将该结构化对象追加至用于存储待检查账号结构化对象的结果列表。

12、优选的，密码安全检查模块遍历全局初始化参数配置视图的查询结果，获取密码策略配置参数对应的参数值，对所述参数值进行按位解析，并针对预设的各项密码安全检查要求逐项判断对应配置位是否满足相应的安全要求；当至少一项配置位不满足相应的安全要求时，将结果列表中所有结构化对象的第二布尔字段统一设置为表示存在安全风险的取值；当各项配置位均满足相应的安全要求时，保持所述第二布尔字段为表示合规的取值。

13、优选的，数据库连接模块通过达梦数据库驱动建立远程连接，连接字符串格式为地址和端口组合，并对特殊账号列表进行预处理；当特殊账号列表的值为空时置为空列表，否则按分隔符解析为多个独立账号。

14、优选的，第一布尔字段表示系统管理员账号未被锁定，取真值表示合规，取假值表示存在安全风险；所述第二布尔字段表示数据库密码安全策略是否满足预设安全检查要求，取真值表示数据库密码安全策略满足预设安全检查要求，取假值表示数据库密码安全策略不满足预设安全检查要求。

15、优选的，检查结果输出模块将各结构化对象序列化为标准格式字符串，每个结构化对象在序列化结果中对应一个包含用户名字段、第一布尔字段和第二布尔字段的数据对象，标准格式字符串供安全运营平台和资产管理系统解析，用于获取账号清单、判断系统管理员账号锁定状态以及判断密码策略合规性。

16、本发明的有益效果：

17、（1）本发明基于达梦数据库驱动建立远程连接完成账号发现和安全检查，无需在目标数据库服务器部署代理程序或安装额外组件，能够降低大规模资产巡检场景下的部署成本和运维复杂度；同时单次连接完成全部查询和检查逻辑后即释放连接资源，对目标数据库服务的影响较小。

18、（2）本发明针对达梦数据库的系统视图执行账号查询以自动获取全部数据库用户列表及其锁定状态，形成完整的账号安全画像，取代了传统依赖人工逐条查询的检查方式；同时针对达梦数据库的初始化参数视图执行密码策略查询以获取全局密码安全策略配置状态，从账号级和全局级两个维度对数据库安全态势进行评估，有利于发现账号管理和策略配置层面的安全隐患。

19、（3）本发明通过特殊账号过滤机制将指定账号排除在安全检查范围之外，能够依据不同运维场景灵活配置白名单账号，避免对核心运维账号和业务白名单账号产生误报，有利于降低安全运营中的告警噪声；同时以包含用户名字段、第一布尔字段和第二布尔字段的结构化对象作为统一数据模型，将检查结果序列化为标准格式字符串格式输出，便于上游安全运营平台和资产管理系统直接解析，实现对账号清单、系统管理员账号锁定状态和密码策略合规性的集中展示与后续处置。

1.基于达梦数据库协议的自动化账号发现与安全检查系统，其特征在于，包括：

2.根据权利要求1所述的基于达梦数据库协议的自动化账号发现与安全检查系统，其特征在于，所述系统视图为用户管理视图，包括用户的用户名信息字段和账号锁定状态信息字段；所述初始化参数视图为全局初始化参数配置视图，包括密码策略配置参数字段；所述系统管理员账号为达梦数据库预设的超级管理员账号。

3.根据权利要求2所述的基于达梦数据库协议的自动化账号发现与安全检查系统，其特征在于，所述账号自动发现模块遍历所述用户管理视图的查询结果，对每条记录创建所述结构化对象并设置用户名字段为当前行的用户名信息字段值，判断当前账号是否在特殊账号列表中，若不在特殊账号列表中则将该结构化对象追加至用于存储待检查账号结构化对象的结果列表。

4.根据权利要求2所述的基于达梦数据库协议的自动化账号发现与安全检查系统，其特征在于，所述密码安全检查模块遍历所述全局初始化参数配置视图的查询结果，获取密码策略配置参数字段对应的参数值，对所述参数值进行按位解析，并针对预设的各项密码安全检查要求分别判断对应的配置位是否满足安全要求；当至少一项对应的配置位不满足安全要求时，将结果列表中所有结构化对象的第二布尔字段统一设置为表示存在安全风险的取值，当各项对应的配置位均满足安全要求时，保持所述第二布尔字段的合规取值。

5.根据权利要求1所述的基于达梦数据库协议的自动化账号发现与安全检查系统，其特征在于，所述数据库连接模块通过达梦数据库驱动建立远程连接，连接字符串格式为地址和端口组合，并对特殊账号列表进行预处理；当特殊账号列表的值为空时置为空列表，否则按分隔符解析为多个独立账号。

6.根据权利要求4所述的基于达梦数据库协议的自动化账号发现与安全检查系统，其特征在于，所述第一布尔字段表示系统管理员账号未被锁定，取真值表示合规，取假值表示存在安全风险；所述第二布尔字段表示数据库密码安全策略是否满足预设安全检查要求，取真值表示数据库密码安全策略满足预设安全检查要求，取假值表示数据库密码安全策略不满足预设安全检查要求。

7.根据权利要求1所述的基于达梦数据库协议的自动化账号发现与安全检查系统，其特征在于，所述检查结果输出模块将各结构化对象序列化为标准格式字符串，每个结构化对象在序列化结果中对应一个包含用户名字段、第一布尔字段和第二布尔字段的数据对象，所述标准格式字符串供安全运营平台和资产管理系统解析，用于获取账号清单、判断系统管理员账号锁定状态以及判断密码策略合规性。