达梦技术在数据安全上的落地实践
数据安全技术体系
一、数据采集安全管理
数据采集安全管理主要实现多源异构数据的自动化接入、处理和装载，为大数据中心提供从数据采集、清洗加工、数据质量检测到快速装载的全面支持，能够基于实际业务需求，支持根据不同的业务场景配置相应的规则进行数据采集汇聚工作，并提供数据采集的监控管理。
在数据采集的场景中提供一种脱敏保护的技术，通过高效、灵活的脱敏算法将敏感数据脱敏至仿真数据，并用可视化、图形化方式对系统中的脱敏规则、脱敏任务进行统一管理、操作，既防止数据外泄问题，又可满足场景使用和监管合规要求。
01
采集规则管理
防止敏感信息泄漏威胁的首要步骤是定义敏感信息，通过建立敏感信息样本库，定义数据的敏感信息的具体特征。
敏感信息库内置各类敏感信息的识别规则，支持用户自定义各类敏感信息规则，以便在不同应用场景中允许用户进行规则扩展。
02
敏感数据检测
对数据中心汇聚的结构化和半结构化数据库、表进行敏感数据扫描探测，并对每个数据表进行抽样数据匹配，基于敏感信息库来检测采集交换的敏感数据如：身份证信息、银行卡号码、手机号等。
例如利用敏感数据标记实现以下需求：脱敏个人信息(如用户姓名、身份证号、银行账号、手机号等)，可通过定义规则进一步检测敏感数据是否泄漏。
03
数据脱敏方式
数据脱敏方式有多种，包括随机值替换脱敏和特殊字符替换脱敏。在实际使用过程中，多种脱敏方法经常需要配合使用，对一张数据表中不同资源使用不同的脱敏方法进行数据脱敏。
● 随机值替换脱敏
采用随机值替换（字母变为随机字母，数字变为随机数字）的方式来改变查询返回的结果，该方案的优点是可以在一定程度上保留数据的格式，且用户在不知情的情况下无法发现查询返回的数据是经过脱敏操作的。
● 特殊字符替换脱敏
与随机值替换不同，该方式在处理待脱敏的数据时是采用特殊字符（如“*”）替换的方式，该方式更好地隐藏敏感数据，但缺点是用户无法得知原数据的格式，在涉及到一些数据统计工作的时候会有影响。
04
模糊规则管理
对不同敏感数据类型进行模糊规则设置管理，模糊化规则包括混合算法、生日算法、Hash算法、字符串遮蔽算法等，并支持算法的配置和外部第三方算法的对接。
05
脱敏数据校验
在数据脱敏的过程中，还需要对采集的源数据、结构和脱敏后的数据、结构进行验证，通过数据校验确保脱敏数据是否按照预设的脱敏方案执行，如果发现某些敏感数据的脱敏结果不符合要求，可进行再次梳理和脱敏任务操作。
二、数据资源安全管理
01
数据分类
根据数据来源、属性、组织，采用基于元数据的静态分类、基于数据内容的动态分类方式对数据进行分类，以及根据数据层级进行分类。
02
数据分级
根据数据发生泄漏对国家安全、社会秩序及公共利益、公民、法人、其他合法组织的危害程度进行分级，可初步分为普通数据、敏感数据、高敏感数据等三个级别。
分级标准确认后，在数据接入、处理阶段，根据需要对数据打相关标签。数据分级越高，其后续在数据服务、应用的权限越高。
03
要素屏蔽
用户对数据资源中要素的开放、应用可进行区别管理。提供要素屏蔽管理，系统管理员可将相关规则导入系统，用户在系统上进行查询分析时，系统自动保护被屏蔽的要素信息不被随意查询或浏览，查询到已经屏蔽的要素信息时平台自动告警并提供标识功能。
04
水印防泄密
为了防止在终端的使用过程中，通过拍照的方式产生信息的泄露，系统的操作页面设置有“水印”功能，水印内容可自定义，系统终端能够识别出终端的操作人等相关信息。默认情况下在操作页面上自动生成操作人、操作时间、操作IP、操作终端等水印信息。水印添加具有性，防止内部人员将敏感信息通过各种方式进行扩散，保证系统的保密性。
三、数据服务安全管理
实现对大数据中心管理的海量数据资源进行服务化封装和对外发布，通过REST API服务、WebService服务、数据推送服务、文件下载服务等多种服务形式，为不同部门、不同单位、不同平台提供数据对外服务，同时提供服务调用过程中的全流程跟踪，支持服务调用的权限控制和流量控制，提供完善的调用日志。
01
动态授权
通过统一的授权管理中心实现多应用场景下数据支撑的动态授权机制。
02
数据鉴权
对服务请求地向服务提供地发起各类服务请求时，数据鉴权服务提供地根据请求用户、角色对服务请求用户进行身份鉴别、权限验证，对服务请求用户发起的服务请求和用户（角色）权限进行验证。所有服务发起时须先进行鉴权。鉴权能力覆盖本地及跨地的全部数据访问行为，提供鉴权服务、授权数据查询服务、授权数据交互服务、授权数据同步服务等功能。
03
访问控制
基于数据分类分级和鉴权的成果，通过统一的授权中心建立事前的访问控制策略，并在事中访问中进行风险分析和自适应访问控制，事后对用户的行为以及异常情况进行分析和审计，全程留痕。
四、数据应用安全管理
01
日志管理
统一日志管理系统，记录所有系统的日常事件或者误操作警报的日期及时间戳信息，并对日志进行预警分析，使管理人员能方便及时地了解了一些关键信息。可以全面、灵活地采集各类主机操作系统、数据库、中间件、应用的日志信息。
● 常规日志记录
提供一个可以集中的、稳定的、可视化的管理环境，支持对各业务主机系统的各种日志进行采集管理、查询检索及预警功能，方便评估生产系统是否安全，能随时发现安全隐患并及时通知相关人员。
● 异常日志记录
记录平台运行异常的信息，包括发生异常的子系统模块，异常的类型，告警的级别，以及系统修复的时间等。通过日志管理模块可以生成相关的维护处置记录，管理人员可以通过异常类型、告警级别、异常发生的时间进行查询统计。
● 参数修改日志记录
对于系统运行的关键参数的修改，无论是通过本系统进行的参数修改还是通过其他应用系统接口的参数修改行为都会生成相关的日志。日志会记录修改参数的系统角色名称或系统ID，操作人员的工号，修改前参数值，修改后参数值，以及修改时间。此日志记录也可以通过日志查询功能进行根据日期，系统及参数的查询功能。
02
用户行为分析
用户行为分析包含两个方面，一个是业务系统用户的行为分析，另外一个是数据库操作人员的用户行为分析。
● 业务系统用户行为分析
通过用户行为分析清晰地知道谁、什么时间段内、对什么（数据）、进行了哪些操作、结果如何、是授权的，还是非授权的，访问和操作是否合规或违规，可有效地对越权访问、违规使用信息资源或非法人员接触和使用信息资源进行监控分析。
● 数据库用户行为分析
通过数据库审计系统全方位智能监控数据库的访问操作行为，利用深度语义级解析及风险模型匹配判断访问行为是否存在安全威胁，同时对访问操作行为做一个完整的记录，针对所有对数据库访问与操作的全面监测，包括对系统管理员在内的所有账户登录、访问和各种操作，监视并记录对传统数据库、大数据文件系统（如HDFS）、大数据数据库（如HBASE）服务器的各类操作行为，实时、智能的解析对数据库服务器的各种操作。
结语
达梦技术公司持续钻研大数据技术多年，为政府数据安全治理及企业数字化转型耕耘至今，致力于为政企用户提供产品+实施的一体化数据服务，目前已形成集数据采集、数据管理、数据服务、数据应用为一体的数据安全解决方案，建立符合用户数据安全需求的信息保护管理体系，确保用户数据在安全合法合规使用的同时充分发挥对业务发展的积极推动作用。
达梦技术公司的大数据安全管理平台已成功在政法、公安、信用、纪检监察等多个党政信息化项目中成功应用。通过跨网采集数据安全、数据分级分类积分管控、数据服务动态授权以及数据应用溯源审查等手段，为用户建立全生命周期的数据安全屏障体系，按照用户数据的敏感度级别对信息资源进行分类分级，实现基于环境因素的数据动态精准授权，对数据进行严格的访问控制，解决数据权限管理不清、使用情况不明等安全问题，减少业务和数据资源违规访问，推动数据安全战略的有效执行与充分协同，有效避免酿成数据安全事件。
END
内容丨王凯
校对丨LZZ
编辑丨XH
相关文章