数据安全治理系列文章五——应对挑战的技术保障体系-k8凯发游戏

数据安全治理面临数据状况梳理、敏感数据访问与管控、数据治理稽核三大挑战。对应数据安全治理上述提到的三大挑战，笔者提出针对数据安全状况梳理、数据访问管控及数据安全稽核的技术保障体系。

当前数据安全治理面临的挑战

一、数据安全状况梳理的技术支撑

1、数据静态梳理技术

静态梳理是基于端口扫描和登录扫描的方式完成对敏感数据的存储分布状况、数据管理系统的漏洞状况、数据管理系统的安全配置状况的信息采集技术，通过该技术帮助安全管理人员掌握系统的数据安全状态。通过静态的扫描技术可以获得数据的以下基本信息：

a) 系统内的数据库列表，所分布的 ip；

b) 根据数据特征，发现系统内不同类别级别数据如何分布；

c) 数据库中的安全漏洞和补丁状况，最严重的安全风险 ；

d) 数据库账号和权限信息，特别是敏感信息标的账号和权限信息 ；

e) 数据库的安全配置状况。

2、数据动态梳理技术

动态梳理技术是基于对网络流量的扫描，实现对系统中的敏感数据的访问状况的梳理，包括：敏感数据的存储分布、敏感数据的系统访问状况、敏感数据的批量访问状况、敏感数据的访问风险。通过动态梳理技术可以获得数据的以下基本信息：

a) 哪些 ip（数据库主机）是数据的来源 ；

b) 哪些 ip（业务系统或运维工具）是数据的主要访问者 ；

c) 敏感数据是如何被业务系统访问的（时间、流量、操作类型、语句）；

d) 敏感数据是如何被运维人员访问的（ip、用户、操作）。

3、数据状况的可视化呈现技术

通过可视化技术将静态资产和动态资产梳理技术梳理出的信息以可视化的形式呈现；比如敏感数据的访问热度、资产在组织内不同部门或业务系统内的分布、系统的账号和权限图、敏感数据的范围权限图：

数据资产分布图

数据访问热度图

敏感数据账号和授权状况概况图

4、数据资产的管理系统支撑

基于静态梳理、动态梳理和可视化展现技术，建立数据资产的登记、准入、准出和定期核查。

以自动流量分析技术完成存量资产梳理图

二、数据访问管控的技术支撑

1、数据运维审批技术

(1) 堡垒机技术

堡垒机是当前最常用的进行运维管控的工具，包括对数据库的运维管控；堡垒机通过将运维工具集中到指定设备上，所有对数据库的运维操作都将在这个设备上完成。但堡垒机对数据库的运维大多仅能控制到库这个级别，无法控制到更细粒度的对象如表或列；同时对于图形化的运维工具无法作到控制，仅能作到录屏。

(2) 数据库专业运维管控技术

数据库的专业运维管控工具可以控制到表和列级，可以控制到各种数据库操作；同时可以精确控制到具体的语句，控制语句执行的时间，控制执行的阈值；同时满足事前审批，事中控制的模式；满足金融或运营商行业所需要的金库模式，这将极大提高数据库运维管控的准确性：

数据库安全运维审批流程示意

2、防止黑客攻击的数据库防火墙技术

运维管控系统是对内部人员对敏感数据访问行为的管理；但敏感数据除了内部人员外，也要面临黑客的攻击和入侵，或者第三方外包人员利用黑客技术突破常规的权限控制；因此需要通过数据库防火墙技术实现对于漏洞攻击的防御， 包括 sql 注入类的外部攻击，以及提权漏洞、缓冲区溢出漏洞和 tns 漏洞等。

数据库防火墙技术中最核心技术——虚拟补丁技术

3、数据库存储加密技术

数据库的存储加密是保证数据在物理层得到安全保障的关键，加密技术的关键是要解决几个核心问题：

a) 加密与权控技术的整合；

b) 加密后的数据可快速检索：可考虑通过密文索引技术（但需要操作系统的兼容）或保序加密技术。

c) 应用透明技术：数据加密后原有应用系统不需要改造，可选择的技术包括三层视图技术，或者保留格式加密技术。

4、数据库脱敏技术

数据库脱敏技术，是解决数据模糊化的关键技术；通过脱敏技术来解决生产数据中的敏感信息在测试环境、开发环境和 bi 分析环境的安全。

数据访问控制技术 - 脱敏技术

在脱敏技术中的关键技术包括 ：

a)数据含义的保持：脱敏后的数据仍然具有原始数据类型所要求的格式、内置关系，如身份证、地址、人名脱敏后依然需要是身份证、地址、人名；

b) 数据间关系的保持：需要不同表间相同数据、不同库间相同数据，在脱敏后依然是相同数据，保证数据间的映射关系；

c) 增量数据脱敏：对于大规模数据的增量，能在原有数据的基础上持续性地快速脱敏，从而保障在某些测试或分析环境中数据相对的及时性；

d) 可逆脱敏：在 bi 分析环境下， 用户信息等关键性信息需要被脱敏；但在 bi 分析的结果，重点关注的用户， 需要回到生产环境下时， 可以还原为真实的用户信息，以进行行销；

e) 动态脱敏：在一些环境下，需要保持数据共享的及时性，但又要避免数据的泄露；因此需要对在不将数据重新生成一份脱敏副本的情况下提供给第三方。需要针对不同的用户，根据数据的共享和安全需要，对不同的数据集进行脱敏；

f)大数据脱敏：随着 mongodb、hadoop、redis 等大数据技术的使用，脱敏技术更多地被需要。

5、数据水印技术

数据水印技术是为了保持对分发后的数据的追踪，在数据泄露行为发生后，对造成数据泄露的源头可进行回溯。数据水印技术的关键点包括：

a、建立具备水印能力的数据抽取和分发系统 ；

b、在分发数据中掺杂，不影响运算结果的数据，使泄密源可追溯 ；

c、掺杂的方式 ：增加伪行、增加伪列、在现有的数据中作修正，如某些字符串信息，掺加不显示字符；

d、建立数据分发项目清单，记录数据集、数据去向、水印特点 ；

e、拿到泄密数据的样本，可追溯数据泄露源。

三、数据安全稽核的技术支撑

数据安全稽核是安全管理部门的重要职责，以此保障数据治理的策略和规范被有效执行和落地，保障能够快速发现潜在的风险和行为。但数据稽核对于大型企业或机构超大规模的数据流量、庞大的数据管理系统和业务系统数量下，也面临着很大的技术挑战。

1、数据审计技术

数据审计的目标是对所有的数据访问行为进行记录，对危险行为进行告警，提供数据访问报表，提供对数据的检索和分析能力；数据审计技术是对工作人员行为是否合规进行判定的关键 ；数据审计技术主要是基于网络流量分析技术、高性能入库技术、大数据分析技术和可视化展现技术：

数据审计技术

2、账户和权限变化追踪技术

账号和权限总是动态被维护的，在成千上万的数据账号和权限下，如何快速了解在已经完成的账号和权限基线上增加了哪些账号，账号的权限是否变化了，这些变化是否遵循了合规性保证，需要通过静态的扫描技术和可视化技术帮助信息安全管理部门完成这种账号和权限的变化稽核。

授权变更统计分析管理界面

3、异常行为分析技术

在安全治理过程中，除了明显的数据攻击行为和违规的数据访问行为外，很多的数据入侵和非法访问是掩盖在合理的授权下的，这就需要通过一些数据分析技术，对异常性的行为进行发现和定义，这些行为往往从单个的个体来看是合法的。

对于异常行为，可以通过两种方式，一种是通过人工的分析完成异常行为的定义 ；一种是对日常行为进行动态的学习和建模，对于不符合日常建模的行为进行告警。

以上很多的异常访问行为，都与频次有密切的关系 ；这种频次分析技术不是传统的关系型数据库或大数据平台的强项，更多地需要引入一种新的技术，这就是 streamdb技术；一种以时间窗体为概念，对多个数据流进行频次、累计量和差异量进行分析的技术，往往可以用于对大规模数据流的异常发现：

stream 数据处理技术