|
一、背景与现状
经过二十多年信息化和互联网经济的发展，数据成为继现金和技术之后又一核心价值资产；数据黑产在过去十年里蓬勃发展，让每个人、每个企业和国家的数据面临着巨大威胁；只有合理地处理好数据资产的安全使用，企业与国家才能在新的数据时代稳健而高速发展。
企业数据安全倍受关注的原因之一：数据安全风险实实在在
3/4的成员不清楚特权用户对数据库进行过何种操作
2/3的成员不能有效防止特权用户对数据库的非授权访问
85%的成员将真实数据不加防范地交与开发人员或第三方人员
将近一半的成员对其非特权用户访问敏感数据毫无措施
大多数成员都未能及时采取防范SQL注入的攻击
企业数据安全倍受关注的原因之二：国家/企业自身的法规遵从的要求逐年加强
经历近10年的努力，《信息系统安全等级保护》已成为指导企业IT安全建设中较完善的、带有强制性的法规体系，有计划地落实是必然趋势。
此外各行业风险相关的法律/法规日趋完善。
企业数据安全倍受关注的原因之三：数据安全直接关系到企业的实际利益!!!
2008年17个国家的43家大型公司丢失的4200条到113000条客户记录中, 每条记录平均损失202美元中，有139美元（占69%）是指丢失业务
在Fortune排名前100家的公司中，每次电子文档泄漏的平均损失是50万美元
有数据显示，我国每年因网络泄密导致的经济损失高达上百亿！
二、数据安全工作的困局
实施数据安全的组织，一般都具有较为发达和完善的信息化水平，数据资产庞大，涉及的数据使用方式多样化，数据使用角色繁杂，数据共享和分析的需求刚性，要满足数据有效使用的同时保证数据使用的安全性，需要极强的技术支撑。数据安全工作面临以下几方面的困难。
1、无法获取敏感数据的全局分布
组织无法确定敏感性数据在系统内部的分布情况，其中的关键问题在于没有明确定义何为敏感数据，同时也无法准确的在成千上百的数据库和存储文件中明确敏感数据的分布；同时组织也没有明确规定和记录敏感数据是如何被访问的，敏感数据在被什么系统、什么用户以什么样的方式访问；
2、无法实现对账号和权限变化的追踪和可视化
组织无法定期的、自动化的对账号和权限变化状况进行稽核；无法清晰化、可视化、报表化的明确敏感数据在数据库和业务系统中的访问账号和授权状况；无法明确当前权限管理是否具备适当的基础。
3、无法实现全面的日志审计
在新的网络安全法出台后全面的数据访问审计要求，日志存储最少保留6个月；在新的等保中要求，云的提供商和用户都必须实现全面的日志记录。全面审计工作要求，对1000 亿以上数据的存储、检索与分析能力等，均形成挑战。而全面的审计是检验数据安全治理中的策略是否在日常的执行中切实落地的关键，也是数据安全态势分析的基础。
4、无法基于审计大数据实现对异常行为和潜在风险的准确发现与告警
数据安全态势包括对敏感数据分布、访问、分发等现状的实时监控和对未知风险的预测两部分。目的在于发现非正常的访问行为和系统中存在的潜在漏洞问题。而如何基于日常数据访问行为进行建模，是在海量数据中快速发现异常行为和攻击行为、避免系统面临大规模失控的关键。
三、数据安全治理与态势感知解决方案
针对以上问题，本项目采用数据资产静态梳理和动态梳理两种方式，对企业数据资产的整体安全和应用状况进行摸底。帮助运维人员掌握数据资产的来源、内容和分类。并能根据数据资产的价值、敏感程度、影响和分发范围对数据资产进行敏感级别划分；同时，可跟踪数据资产的使用过程，按照数据使用热度、数据访问总量、数据流转过程、数据关联关系等对数据资产进行梳理和直观呈现。
1、数据资产静态梳理
静态梳理是基于端口扫描和登录扫描的方式完成对敏感数据的存储分布状况、数据管理系统的漏洞状况、数据管理系统的安全配置状况的信息采集技术，通过该技术帮助安全管理人员掌握系统的数据安全状态。
通过静态的扫描技术可以获得数据的以下基本信息：
a)系统内的数据库列表，所分布的IP；
b)根据数据特征，发现系统内不同类别和级别的数据如何分布；
c)这些数据库中的安全漏洞和补丁状况，最严重的安全风险；
d)数据库的账号和权限信息，特别是敏感信息标的账号和权限信息；
e)数据库的安全配置状况。
2、数据资产动态梳理
动态梳理技术是基于对网络流量的扫描，实现对系统中的敏感数据的访问状况的梳理，包括：敏感数据的存储分布、敏感数据的系统访问状况、敏感数据的批量访问状况、 敏感数据的访问风险。
通过动态梳理技术可以获得数据的以下基本信息：
a)哪些IP（数据库主机）是数据的来源；
b)哪些IP（业务系统或运维工具）是数据的主要访问者；
c)敏感数据是如何被业务系统访问的（时间、流量、操作类型、语句）；
d)敏感数据是如何被运维人员访问的（IP、用户、操作）。
3、基于数据行为建模的安全态势感知
在对敏感数据的分布、数据访问账号和权限的变更、业务单位和运维部门数据访问等数据的集中审计记录和分析的基础上。结合日常数据访问行为基线模型，在海量数据中快速发现异常行为和攻击行为，实现数据安全态势分析。
敏感数据分布、访问、权限变化追踪技术
敏感数据的分布、访问、权限等数据资产相关信息总是动态变化的，如何快速了解组织数据资产上述相关信息的现状、变化的情况，以及这些变化是否遵循了合规性保证，需要通过数据资产自动化扫描技术和可视化呈现技术帮助信息安全管理部门完成数据资产变化可视化稽核。
数据审计技术
数据审计的目标是对所有的数据访问行为进行记录，对危险行为进行告警，提供数据访问报表，提供对数据的检索和分析能力；数据审计技术是对工作人员行为是否合规进行判定的关键；数据审计技术主要是基于网络流量分析技术、高性能入库技术、大数据分析技术和可视化展现技术。
异常行为分析技术
在安全治理过程中，除了明显的数据攻击行为和违规的数据访问行为外，很多的数据入侵和非法访问是掩盖在合理的授权下的，这就需要通过一些数据分析技术，对异常性的行为进行发现和定义，这些行为往往从单个的个体来看是合法的。
本方案采用的是基于日常行为进行动态的学习和建模，对于不符合日常建模的行为进行告警。
四、方案总结
数据安全治理是以“数据安全使用”为目标的综合管理理念，具体实现数据安全保护、 敏感数据管理与合规性三个需求；数据安全治理涵盖数据的分类、梳理、管控与审计四大重要环节。核心实现框架为：数据安全人员组织、数据安全使用的策略和流程、数据安全技术支撑。
在整个数据安全治理理念中，在组织保障方面首先需要成立数据安全治理的组织机构，确保数据安全治理工作在组织内能真正地落地；其次是要完成数据安全治理的策略性文件和系列落地文件，这将是数据安全治理的纲领性文件，相应系列文件规范中要覆盖数据安全治理的三大需求目标和四个重要环节，针对所有与敏感数据有接触的人员的权限进行定义，就人员对数据访问的过程提出控制流程；在数据安全管理规范生成后，重要的是通过系列的数据安全技术支撑系统应对挑战，确保数据安全管理规定有效落地，而不是变成一张徒有虚表的废纸。 |
