數據安全治理系列文章五——應對挑戰的技術保障體系

數據安全治理面臨數據狀況梳理、敏感數據訪問與管控、數據治理稽核三大挑戰。對應數據安全治理上述提到的三大挑戰，筆者提出針對數據安全狀況梳理、數據訪問管控及數據安全稽核的技術保障體系。

當前數據安全治理面臨的挑戰

一、數據安全狀況梳理的技術支撐

1

數據靜態梳理技術

靜態梳理是基於埠掃描和登錄掃描的方式完成對敏感數據的存儲分布狀況、數據管理系統的漏洞狀況、數據管理系統的安全配置狀況的信息採集技術，通過該技術幫助安全管理人員掌握系統的數據安全狀態。通過靜態的掃描技術可以獲得數據的以下基本信息：

a) 系統內的資料庫列表，所分布的 IP；

b) 根據數據特徵，發現系統內不同類別級別數據如何分布；

c) 資料庫中的安全漏洞和補丁狀況，最嚴重的安全風險 ；

d) 資料庫賬號和許可權信息，特別是敏感信息標的賬號和許可權信息 ；

e) 資料庫的安全配置狀況。

2

數據動態梳理技術

動態梳理技術是基於對網路流量的掃描，實現對系統中的敏感數據的訪問狀況的梳理，包括：敏感數據的存儲分布、敏感數據的系統訪問狀況、敏感數據的批量訪問狀況、敏感數據的訪問風險。通過動態梳理技術可以獲得數據的以下基本信息：

a) 哪些 IP（資料庫主機）是數據的來源 ；

b) 哪些 IP（業務系統或運維工具）是數據的主要訪問者 ；

c) 敏感數據是如何被業務系統訪問的（時間、流量、操作類型、語句）；

d) 敏感數據是如何被運維人員訪問的（IP、用戶、操作）。

3

數據狀況的可視化呈現技術

通過可視化技術將靜態資產和動態資產梳理技術梳理出的信息以可視化的形式呈現；比如敏感數據的訪問熱度、資產在組織內不同部門或業務系統內的分布、系統的賬號和許可權圖、敏感數據的範圍許可權圖：

數據資產分布圖

數據訪問熱度圖

敏感數據賬號和授權狀況概況圖

4

數據資產的管理系統支撐

基於靜態梳理、動態梳理和可視化展現技術，建立數據資產的登記、准入、准出和定期核查。

以自動流量分析技術完成存量資產梳理圖

二、數據訪問管控的技術支撐

1

數據運維審批技術

(1) 堡壘機技術

堡壘機是當前最常用的進行運維管控的工具，包括對資料庫的運維管控；堡壘機通過將運維工具集中到指定設備上，所有對資料庫的運維操作都將在這個設備上完成。但堡壘機對資料庫的運維大多僅能控制到庫這個級別，無法控制到更細粒度的對象如表或列；同時對於圖形化的運維工具無法作到控制，僅能作到錄屏。

(2) 資料庫專業運維管控技術

資料庫的專業運維管控工具可以控制到表和列級，可以控制到各種資料庫操作；同時可以精確控制到具體的語句，控制語句執行的時間，控制執行的閾值；同時滿足事前審批，事中控制的模式；滿足金融或運營商行業所需要的金庫模式，這將極大提高資料庫運維管控的準確性：

資料庫安全運維審批流程示意

2

防止黑客攻擊的資料庫防火牆技術

運維管控系統是對內部人員對敏感數據訪問行為的管理；但敏感數據除了內部人員外，也要面臨黑客的攻擊和入侵，或者第三方外包人員利用黑客技術突破常規的許可權控制；因此需要通過資料庫防火牆技術實現對於漏洞攻擊的防禦， 包括 SQL 注入類的外部攻擊，以及提權漏洞、緩衝區溢出漏洞和 TNS 漏洞等。

資料庫防火牆技術中最核心技術——虛擬補丁技術

3

資料庫存儲加密技術

資料庫的存儲加密是保證數據在物理層得到安全保障的關鍵，加密技術的關鍵是要解決幾個核心問題：

a) 加密與權控技術的整合；

b) 加密後的數據可快速檢索：可考慮通過密文索引技術（但需要操作系統的兼容）或保序加密技術。

c) 應用透明技術：數據加密後原有應用系統不需要改造，可選擇的技術包括三層視圖技術，或者保留格式加密技術。

4

資料庫脫敏技術

資料庫脫敏技術，是解決數據模糊化的關鍵技術；通過脫敏技術來解決生產數據中的敏感信息在測試環境、開發環境和 BI 分析環境的安全。

數據訪問控制技術 - 脫敏技術

在脫敏技術中的關鍵技術包括 ：

a)數據含義的保持：脫敏後的數據仍然具有原始數據類型所要求的格式、內置關係，如身份證、地址、人名脫敏後依然需要是身份證、地址、人名；

b) 數據間關係的保持：需要不同表間相同數據、不同庫間相同數據，在脫敏後依然是相同數據，保證數據間的映射關係；

c) 增量數據脫敏：對於大規模數據的增量，能在原有數據的基礎上持續性地快速脫敏，從而保障在某些測試或分析環境中數據相對的及時性；

d) 可逆脫敏：在 BI 分析環境下， 用戶信息等關鍵性信息需要被脫敏；但在 BI 分析的結果，重點關注的用戶， 需要回到生產環境下時， 可以還原為真實的用戶信息，以進行行銷；

e) 動態脫敏：在一些環境下，需要保持數據共享的及時性，但又要避免數據的泄露；因此需要對在不將數據重新生成一份脫敏副本的情況下提供給第三方。需要針對不同的用戶，根據數據的共享和安全需要，對不同的數據集進行脫敏；

f)大數據脫敏：隨著 MongoDB、Hadoop、Redis 等大數據技術的使用，脫敏技術更多地被需要。

5

數據水印技術

數據水印技術是為了保持對分發後的數據的追蹤，在數據泄露行為發生後，對造成數據泄露的源頭可進行回溯。數據水印技術的關鍵點包括：

A、建立具備水印能力的數據抽取和分發系統 ；

B、在分發數據中摻雜，不影響運算結果的數據，使泄密源可追溯 ；

C、摻雜的方式 ：增加偽行、增加偽列、在現有的數據中作修正，如某些字元串信息，摻加不顯示字元；

D、建立數據分發項目清單，記錄數據集、數據去向、水印特點 ；

E、拿到泄密數據的樣本，可追溯數據泄露源。

三、數據安全稽核的技術支撐

數據安全稽核是安全管理部門的重要職責，以此保障數據治理的策略和規範被有效執行和落地，保障能夠快速發現潛在的風險和行為。但數據稽核對於大型企業或機構超大規模的數據流量、龐大的數據管理系統和業務系統數量下，也面臨著很大的技術挑戰。

1

數據審計技術

數據審計的目標是對所有的數據訪問行為進行記錄，對危險行為進行告警，提供數據訪問報表，提供對數據的檢索和分析能力；數據審計技術是對工作人員行為是否合規進行判定的關鍵 ；數據審計技術主要是基於網路流量分析技術、高性能入庫技術、大數據分析技術和可視化展現技術：

數據審計技術

2

賬戶和許可權變化追蹤技術

賬號和許可權總是動態被維護的，在成千上萬的數據賬號和許可權下，如何快速了解在已經完成的賬號和許可權基線上增加了哪些賬號，賬號的許可權是否變化了，這些變化是否遵循了合規性保證，需要通過靜態的掃描技術和可視化技術幫助信息安全管理部門完成這種賬號和許可權的變化稽核。

授權變更統計分析管理界面

3

異常行為分析技術

在安全治理過程中，除了明顯的數據攻擊行為和違規的數據訪問行為外，很多的數據入侵和非法訪問是掩蓋在合理的授權下的，這就需要通過一些數據分析技術，對異常性的行為進行發現和定義，這些行為往往從單個的個體來看是合法的。

對於異常行為，可以通過兩種方式，一種是通過人工的分析完成異常行為的定義 ；一種是對日常行為進行動態的學習和建模，對於不符合日常建模的行為進行告警。

異常訪問行為定義

以上很多的異常訪問行為，都與頻次有密切的關係 ；這種頻次分析技術不是傳統的關係型資料庫或大數據平台的強項，更多地需要引入一種新的技術，這就是 StreamDB技術；一種以時間窗體為概念，對多個數據流進行頻次、累計量和差異量進行分析的技術，往往可以用於對大規模數據流的異常發現：

Stream 數據處理技術

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！