数据安全整体解决方案

1、数据安全整体解决方案与日俱增的数据安全威胁分析01法规对数据安全的建设指导分析02数据安全保护需求分析03数据安全整体解决方案04目录CONTENTS 2 与日俱增的数据安全威胁分析壹 3 恶意行为的发展变迁 4 1998 2003 2006 . .2017 2018 2019 CI H 病毒 熊猫烧香 永恒之蓝 0D a y冲击波 AP T 3 8恶意行为的发展变迁 5 今天勒索病、APT、0Day等恶意程序的目 的不是破坏而是盗取数据资产。通 过暗网将数据资产变现。十年前病毒、蠕虫等恶意程序的目的是破坏。 恶意程序制作者往往出于个人爱好或彰显实力。2016年8月徐玉玉遭电信诈骗骗走9900

2、元学费，最后致死2016年11月旧金山的某地的电脑票价系统遭到黑客攻击，拒付赎金，免费开放地铁2017年3月京东内部员工涉嫌窃取50亿条用户数据2017年6月美国2亿选民资料泄露马克龙深陷“邮件门” ，系承包商误配置数据库所导致2018年7月美国媒体报道，Facebook将就去年的用户数据外泄事件缴付50亿美元2018年8月华住酒店开房数据泄漏， 8比特币/5亿条2018年11月万豪喜达屋5亿客户信息泄露，英国监管机构处以高达1.24亿美元的罚款2019年1月领英1亿5900万用户数据被叫卖2019年7月中珠医疗每天10万患者数据泄露！两省叫停与第三方挂号平台合作2019年层出不穷的数据安全问

3、题 6 内忧外患的数据安全现状 7 DBIR：Data Breach Investigations Report信息服务2773金融892零售793酒店餐饮99所有30706033301406770090医疗政府高新技术内30部威胁外部威胁6022.3%终端用户25.9% 系统管理员团伙犯罪62%勒索病毒56%风险分析-窃取数据六部曲 8 根据侦查结果分析如何绕过攻击 目标的边界防御制作程序2 、武器化通过扫描、电子邮件、社工 等行为锁定、分析攻击目标1 、侦查可通过邮件、网络、USB 等投 递网络武器3 、投递盗取数据、恶意篡改、删除6 、行动控制计算机、服务器，通过木 马回连保持心跳等待命

4、令5 、控制自我安装并横向感染传播4 、执行为什么部署了周全的网络安全措施，数据安全事件依旧频频发生？风险分析-互联网产业助长黑产 9 互联网业务的普及社交网络的泛滥数据价值的不断提高数字世界和现实世界的镜像互联网让再远的距离不是距离，带来无限多的 客户，同时也带来了无限多的黑客，任何漏洞 都会被发现从电子邮件到QQ，微信，微博等社交网络彻底 的打通了内部网络和外部网络，让网络边界变 的完全模糊从网络安全到数据安全的根本转变是数据价值 的无限提高，但是我们对数据资产的管理没有 任何变化随着大数据、AI的兴起，将来数据世界很快就 会成为现实世界的一个投影或者镜像，改变或 破坏数字世界中的数据就可

5、以改变别人的生活应运而生的新数据安全架构 10 原则1 灯下黑原 则 2 带毒生存原则3不阻断无安全原 则 4 知白守黑关闭缺省、默认、不必要的 服务、账号、端口、密码等， 在互联网扫描中，让用户系 统成为隐形战斗机。明确数据保护目标，以身份 为基础，实现身份、行为和 上下文的认证、授权和加密， 形成由内而外的层次防御。数据安全的特性是一次事故、 永久丢失，数据安全防御模 式是必须以阻断为基础的。根据现有账号、操作、行为、 习惯、策略，形成阻断防御 模型，以此为模型，抵御一 切不受信任的访问。零信任中心思想企业不自动信任内部/外部的任何人、事、物法规对数据安全的建设指导分析贰 11 数据安全相

6、关法规 12 逐步规范的安全法案已经颁布的安全法案网络安全等级保护2.0等保2.0全称网络安全等级保护2.0制度，是我国网络安全领 域的基本国策、基本制度。等级保护标准在1.0时代标准的基础 上，注重主动防御及全流程的安全可信、动态感知和全面审计， 实现了对传统信息系统、基础信息网络、云计算、大数据、物联 网、移动互联网和工业控制信息系统等级保护对象的全覆盖。GB/T 22239-2019“等保2.0” 13 “等保2.0”数据安全能力要求一 14 身份鉴别01应对登录的用户进行身份标识和鉴别，身份标识 具有唯一性；应采用口令、密码技术、生物技术 等两种或两种以上组合的鉴别技术对用户进行身 份

7、鉴别。访问控制02应对登录的用户分配账户和权限；应及时删除或 停用多余的、过期的账户，避免共享账户的存在；应授予管理用户所需的最小权限，实现管理用 户的权限分离； 安全审计03对操作进行审计；应通过审计管理员对审计记录 应进行分析，并根据分析结果进行处理，包括根 据安全审计策略对审计记录进行存储、管理和查 询等。入侵防范04应能发现可能存在的已知浦洞，并在经过充分测 试评估后，及时修补漏洞； 应能够检测到对重要 节点进行入侵的行为，并在发生严重入侵事件时 提供报警。“等保2.0”数据安全能力要求二 15 数据保密性05应采用密码技术保证重要数据在存储过程中的保 密性，包括但不限千鉴别数据、重要

8、业务数据和 重要个人信息等。恶意代码防范06应采用免受恶意代码攻击的技术措施或主动免疫 可信验证机制及时识别入侵和病毒行为，并将其 有效阻断。数据备份恢复06应提供重要数据的本地数据备份与恢复功能。应 提供异地数据备份功能，利用通信网络将重要数 据定时批量传送至备份场地。漏洞和风险管理08应采取必要的措施识别安全漏洞和隐患，对发现 的安全漏洞和隐患及时进行修补或 评估可能的影 响后进行修补。应定期开展安全测评，形成安全 测评报告，采取措施应对发现的安全问题。数据安全保护需求分析叁 16 数据安全保护风险分析一 17 身份鉴别能力通过数据库自身的账号管理颗粒度粗糙账号经常被混用，事件往往无法回溯

9、责任人缺乏多因子准入机制，安全管理存在疏漏客户端版本无法控制，往往夹带病毒访问控制能力敏感数据缺乏到表、列级别的精细控制运维人员可以随意接触到敏感的业务数据无法防止合法的人员做不合法的事情恶意删库或误操作删除没有管控和恢复能力安全审计能力是否具有全网流量的数据库访问审计能力在恶意访问出现时是否能及时告警遇到三层系统B/S架构事，如何审计登录到数据库服务器直接访问数据库如何审 计入侵防范能力是否具备防SQL注入能力内网失陷主机的横向SQL注入风险如何防御在线业务系统无法因安装补丁重启，如何防 止利用漏洞数据安全保护风险分析二 18 数据保密能力数据在共享、开发、上报场景下如何保密大数据抽取、营销

10、、科研场景如何保证安全数据落盘文件怎么防止登录拷贝、物理窃取如何防止员工肆意外发敏感数据恶意代码防范能力传统杀毒在内网无法更新特征库如何防御对高速变种的病毒如何防御针对勒索病毒如何防护数据备份恢复能力误删除或恶意删除数据是否有能够还原数据库软硬件崩溃是否能及时回复是否存在异地可恢复数据备份中心机房故障时是否有应急支撑系统漏洞和风险管理能力是否具有及时有效的识别漏洞和风险是否具备漏洞优先级评估机制是否具备漏洞的全生命周期管理手段是否可以从法律遵从性视角进行报表分析数据安全整体解决方案肆 19 数据安全管理能力模型 20 05数据存储安全04外部入侵安全03数据流动安全02数据使用安全01数据发现

11、 数据资产识别数据资产画像敏感数据分级元数据管理主数据管理身份认证权限管控运维管理敏感遮蔽合规审计数据漂白数据水印传输安全攻击防护补丁管理恶意代码 防护容灾备份加密 存储数据发现与分类分级是数据安全建设的基础性。数据发现帮助机构、组织等认清楚数据，明确需要 保护的数据对象，更好的完成数据分级分类。数据安全-数据发现 21 业务数据 发现发现机构、组织的 业务数据在哪里， 业务数据被哪些业 务所使用隐私数据 发现发现哪些数据中包 含着隐私标识信息主体和行 为分类通过主体和行为数 据分类，可以清晰 的认知数据的构成 和分布，数据是如 何的作用于业务的商业机密 发现当可以完成主体和 行为分类之后，商

12、 业机密的发现便可 以简单的进行数据关系 发现发现数据之间的关 系，为安全事件的 影响评估奠定基础点击此处 输入标题点击此处输入内容数据安全-数据分类分级 22 数据资产统计数据分类统计 数据分级统计 数据质量统计 数据分布明细 数据分类明细数据库防水坝系统-数据使用安全（身份认证+访问控制能力） 23 ORACLE数据库系统管理员运维人员第三方代维人员MSSQL数据库MYSQL等常用数据库生产网内控安全DBA表格/列级别数据权限控制合规准入访问控制误操作防范动态脱敏DBA/SYS 权限分离Schema级别敏感数据分类合规接入敏感数据非敏感数据数据库Update Person SET Firs

13、tName = Fred WHERE LastName = Wilsonsqlplus合规审计开发测试 数据离线敏感 库管控EXP/IMPDB误操作防范终端SchemaTOAD开发人员安全控制数据安全-数据使用安全（安全审计能力） 24 全面化审计数据库审计产品可以覆盖 所有信息来源，同时支持SQL语 句翻译增加阅读直观性。精确化审计数据库审计软件可以精确 的识别操作人、操作终端、应 用、工具和操作内容。实用的审计管理引入强大的大数据搜索引擎solr为 技术保障，通过对审计时间的全 面分析，从安全事件的生成到归 档直至销毁，提供了贯穿安全审 计全生命周期的快速便利管理。01020304内嵌法规

14、遵循报表数据库审计系统提供多种法 律法规遵循向导和报表，满足用 户合规要求，同时提供各种日常 性的工作报表。数据库静态脱敏系统-数据流动安全（数据保密能力） 25 敏感数据自动发现关联关系自动识别脱敏规则自动配置数据脱敏作业配置数据结构转换脱敏作业调度敏感数据脱敏、变形脱敏后数据加载DB1DB2DB3文本文件生产源数据规范化、标准化、流程化敏感数据漂白、变形脱敏后数据数据抽取数据加载数据变形DBoracle dump文件数据库Oracle、DB2、 MySQL、 SQLServer、Sybase、 达梦等常用数据库。数据仓库Teradata Greenplum Gbase 8A结构化文件文本文

15、件，如 txt/csv/json； Dump备份文件。数据静态脱敏系统-数据流动安全（数据保密能力） 26 数字水印三大特性数字水印关键能力及过程分存水印水印校验码水印嵌入过程水印提取过程数据库透明加解密系统-外部入侵安全（数据保密能力） 27 密文数据密文数据密文数据密文数据密文数据密文数据数据文件数据文件数据文件 归档日志 在线文件 备份数据密钥在线数据库数据列1明文数据明文数据数据列2明文数据明文数据数据列3明文数据明文数据数据库透明加密服务器服务器存储设备数据库加密引擎数据库防火墙系统-外部入侵安全（入侵防范能力） 28 中断会话模式直接切断应用与数据库的会话连接， 简单，粗暴，易实现

16、。数据库的访问行为，来自于应用系统 的访问调用，以及DBA等内部人员访 问。切断连接等于大砍大杀。语句拦截模式保持原有会话畅通的基础上，精准拦 截威胁语句。不破坏业务连续性。难度在于考验数据库防火墙对SQL语 句的精准解析、风险策略的灵活性。真正的操作阻断模式。透明代理模式透明网桥模式旁路模式反向代理模式部署模式网络防火墙：基于IP、MAC、端口等TCP/IP协议进行防护。Web防火墙：基于Http协议中的内容进行防护。数据库防火墙：基于数据库通讯协议中的SQL语句与语法特征进行防护。诺亚防勒索系统-外部入侵安全（恶意代码防护能力）指定数据库类型和添加信任可执行程序（如oracle.exe）；

17、添加需要保护的数据库文件，新建的数据库文件会自动保护；未授权执行程序试图修改数据库文件及时拦截；只允许可信任执行程序对受保护的数据库文件执行相关操作。 29 未知应用程序(比如：勒索病毒）数据库进程123应用程序试图启动。 可能是一个可执行程序或者操作系统组件诺亚系统识别是否是数据库进程。如果不是数据库进程，程序无法启动。 这个操作企图将被记录下来以供告警和审计防勒索的对象：各种数据库软件各种数据库相关的数据文件等中间件相关的程序和配置文件应用服务器上的应用程序漏洞扫描系统-外部入侵安全（漏洞和风险管理能力） 30 操作系统：Windows、Linux、Unix、AIX、 Solaris、HP

18、-UX等国产操作系统：麒麟等中间件：IIS、Apache、Tomcat、Weblogic、Nginx、Websphere等数据库：关系型：Oracle、Mysql、达梦、DB2、Informix、Kingbase、 SqlServer、Sybase、PostgreSql等非关系： MongoDb、Redis、ConuchDb、Memcache等虚拟化设备：Xenserver、Exsi等网络及安全设备：Cisco路由器、华为交换机、华三交换机、天融信防火墙等0108020703060405系统漏洞扫描WEB漏洞扫描数据库扫描安全基线核查报表关联分析APP漏洞扫描WiFi安全检测工控漏洞扫描数据灾备系统-数据存储安全（数据备份恢复能力） 31 云容灾云复制云备份数据视角 数据可恢复数据级容灾全业务容灾 双活操作系统视角 实时增量备份