政務云大數據安全建設的技術支撐是保障整體方案建設得以實現落地的根本，總體框架是對數據使用場景進行分析，將數據以及權限進行細粒度梳理，結合制度規范，采用相應技術手段進行管控，通過對審計日志分析，不斷完善策略和制度。
數據資產管理平臺
建設目的：隨著政務云的持續運營，應用系統和數據資產將會迅猛增加，管理工作將面臨巨大壓力，由于數據資產統計不清、使用狀況不明確，會導致潛在風險的發生，同時不利于數據安全制度的建立和安全加固工作。通過數據資產管理平臺對全網數據資產進行統計，并對使用狀況進行分析，大大降低政務云管理人員的工作量，同時為數據安全制度的建立和安全加固提供依據。通過對使用狀況的分析，還可以提前發現潛在安全風險。
主要功能：
1、數據資產總覽：資產總量（數據庫、表、字段、數據、敏感數據、各級數據）、資產變化對比信息、資源狀態信息（存儲容量、內存、CPU）。
2、 數據資產詳情：
a. 元數據：數據資產描述信息（包括數據庫、表、字段）、分類分級信息、自定義類別信息；
b. 數據庫詳情：IP、端口、類型、版本、賬戶、權限、表量、字段量、敏感數據量；
c. 數據表詳情：歸屬庫、權限、字段量、敏感數據量；
d. 字段詳情：歸屬庫、歸屬表、字段類型、長度。
3、數據資產狀態：
a. 數據資產變更：數據資產（數據庫、表、字段、原始數據、元數據、加工后數據）創建、更新、銷毀的記 錄，自動識別數據資產變化，可強制進行數據認責和分類分級操作；
b. 敏感信息分布：展現敏感數據在哪些庫、哪些表，并統計；
c. 數據資產責任：展現數據資產歸屬，查看責任人和權限；
d. 數據使用狀況：數據正在被誰使用，使用頻度如何；
e. 數據權限：展現所轄數據資產的權限情況，哪些用戶或角色可以訪問哪些數據資產;
f. 訪問熱度：從擁有、增加、修改、訪問四個維度進行訪問統計分析和展現。
數據權限統一管理
建設目的：傳統的數據授權方式是針對數據庫賬號的授權，應用系統可以通過配置好的數據庫賬號訪問數據庫，由于數據庫自身限制，不能實現針對數據的細粒度授權，數據的規范使用和越權訪問無法有效控制。因此，建設基于數據的權控系統，不但能夠實現數據權限最小化，還可以實現用戶、應用、數據的三級關聯，大大降低數據越權訪問和違規使用的概率。
主要功能：
1、基礎信息管理：用戶和應用的添加、刪除、修改，數據資產（庫、表、字段）自動發現，通過配置操作，將用戶、應用、數據進行關聯授權。
2、授權模式：
a. 靜態授權：針對用戶和應用的數據使用授權，包含授權周期、綁定終端；
b. 動態授權：臨時需要使用更高級別數據或權限外的數據，通過臨時授權的方式提供；
c. 維護授權：針對數據維護的角色和職責進行授權，數據維護人員在非授權情況下維護數據默認為脫敏狀態， 支持對數據維護動作的細粒度授權，嚴格控制維護行為。
3、授權審批：數據權限的最終確定需要通過審批，在審批過程中即對用戶、應用進行認證，確保其身份的合法可靠。
敏感數據發現和梳理
概述：一般政務云大規模應用的后臺數據庫都有上百個表和上千個列，要保護核心數據資產，首先要了解哪些數據是敏感數據，通過敏感數據發現功能對表和列進行掃描，來發現密碼、個人標識信息、信用卡賬戶等敏感數據，同時用戶也可以通過自定義敏感對象搜索關鍵字的方式來發現用戶特定的敏感數據。
協助完善數據分級分類機制：不同數據擁有不同敏感級別和密級，所需的安全策略和加固方式也不同。通過對敏感數據完善的定級機制，便于制定政務云數據安全策略或采取合適數據加固措施。
監控數據權限變化：讓管理員實時了解數據資產的權限變化，可按照用戶維度、對象維度對數據庫的權限進行分析整理，并且對比不同輪次掃描之間權限的變化。實時查看，展現數據庫實時安全視圖；定期掃描，反映當前安全狀況相對于基線的變化；查看詳細變化狀況。
主要功能：
1、云數據庫自動嗅探：提供自動搜索專有云中數據庫的功能，也可以指定IP段和端口的范圍進行搜索。自動發現數據庫的基本信息包括：端口號、類型、實例名、服務器IP地址等。
2、自動識別敏感數據
能夠按照指定部分敏感數據的特征或預定義的敏感數據特征，在執行任務過程中對數據進行自動識別，發現敏感數據。通過自動識別敏感數據，避免按照字段定義敏感數據元的繁瑣工作，同時能夠持續的發現新的敏感數據。
3、敏感數據分類分級
根據不同數據特征，可對常見的如姓名、證件號、銀行賬戶、金額、日期、住址、電話號碼、Email地址、車牌號、車架號、企業名稱、工商注冊號、組織機構代碼、納稅人識別號等敏感數據進行分類。針對不同數據類型指定不同敏感級別，系統自動對包含了敏感數據的表、模式、庫進行敏感度評分。
4、權限梳理
能夠對數據庫中不同用戶、不同對象的權限進行梳理并監控權限變化。權限梳理從兩個維度展開：監控數據庫中的用戶的啟用狀態、權限劃分、角色歸屬等基本信息；對數據庫中的對象可被哪些用戶訪問的情況進行歸納總結，特別是對包含了敏感列的表或者敏感度評分較高的對象，著重監測其訪問權限劃分情況。
敏感數據保護
概述：根據政務云的業務特征，敏感數據一般包括個人的手機號、住址、社保信息、公積金信息、房產信息、就診信息等，企業的納稅信息、股權信息等非公示項信息。這些信息非常重要，對其訪問需要嚴格管控。依據數據使用者的角色、職責和其他IT定義身份特征，動態的對請求返回的數據進行專門的安全處理，確保不同級別的數據使用者按照其身份特征恰如其“份”的訪問敏感數據。
整體架構：
保護方案：
1、應用查詢敏感數據
由數據安全網關對查詢返回的結果集進行逐行解析、比對過濾，并對敏感數據進行脫敏遮蔽處理后，返回給A。
2、運維人員訪問敏感數據
運維人員在對數據庫中的數據進行日常運維的過程中，會有違規查詢的現象發生，保護策略如下：
a.所有運維操作，都必須經過數據庫安全網關的過濾，對運維查詢的結果集數據進行過濾，依據字段類型，進 行相應遮蔽處理；
b.審計運維人員查詢敏感數據的操作，并對查詢行為進行分析告警。
3、檢索敏感數據
由于敏感數據會保存在ES系統的索引數據中，供檢索查詢，因此查詢結果中可能存在敏感數據，檢索應用是通過“檢索API”完成對ES索引數據的全文檢索，并通過該API返回結果集數據。
4 敏感數據對外共享
數據庫中存在敏感數據，共享前需要先將要共享數據與敏感數據清單進行比對，然后對敏感數據進行脫敏處理，再進行輸出。
數據運維安全
概述：政務云的數據在運維過程中，重要數據的操作需要高度謹慎。由于接觸數據的人群錯綜復雜，很容易發生數據運維過程中的惡意篡改或批量導出。通過建立數據運維行為流程化管理機制，將審批、控制和追責有效結合，避免內部運維人員的惡意操作和誤操作行為，確保高效審批及準確執行。
主要功能：
1、運維行為審批：對于常規數據運維操作可配置到白名單，對此類運維操作只做監控即可。對于高危操作行為需要提交申請，待審批通過后方可進行操作，同時操作過程要進行監控審計。對于頻率不高的高危操作可進行臨時或短期授權，降低風險。
2、誤操作和違規操作的識別與處置：通過配置好的黑白名單和已完成審批的運維操作，對誤操作和違規操作進行識別，正常行為放行、可疑操作告警、重點操作審批、異常行為攔截等不同運維管控方式。
3、數據運維黑白名單：根據實際業務場景，采用黑白名單功能，對黑名單中的操作直接禁止，對白名單中的操作進行監控，黑白名單中管控的對象包括用戶、登錄IP、時間、客戶端工具等。
4、動態數據遮蔽：不同訪問場景下，通過內置規則，對不同身份的運維人員訪問敏感數據中的身份證、銀行卡、電話號碼、姓名、住址等敏感信息進行掩碼處理，實現敏感數據動態遮蔽，防止權限過高運維人員泄露敏感數據，同時不影響常規的數據遷移、備份等日常工作。
5 數據運維監控：對數據運維的所有行為進行審計監控，從不同維度對數據運維行為進行統計，生成報表，如違規行為統計報表、日常運維報表、申請審批情況報表、黑白名單執行報統計報表等。
數據安全審計
概述：數據安全審計，面向數據運維人員和安全管理人員，針對數據風險狀況、運行狀況和語句狀況提供實時監控和日志采集能力，是面向數據提供監控能力的一體化工具或產品，同時滿足國家或行業的法律法規要求。
通過對數據訪問協議的精確解析，捕捉全量的行為日志信息，使數據訪問監控無死角；通過對審計日志的統計匯總，生成報表，使負責數據安全的人員清楚掌握數據訪問狀況。
主要功能：
1、審計日志的采集
通過探針或旁路協議解析的方式將審計能力接入，對應用信息、客戶端信息、訪問工具、操作行為、執行對象、響應時長、應答結果、影響范圍等進行采集，從而形成數據訪問的全量行為記錄。
2、審計日志的合規存儲和檢索
《網絡安全法》要求對審計日志進行長期存儲，政務云的日志規模高達百億級。因此，需要采用先進的存儲機制，對海量的審計日志歸檔存儲，通過“高壓縮”和“高性能”兩種數據壓縮方式，最大限度利用存儲空間，并通過三級存儲機制，實現海量數據存儲。
通過全文檢索能力，幫助數據安全人員實時定位任何數據的所有痕跡，極大提升數據安全事件的排查效率。
3、應用關聯審計
常規的審計只能解析到客戶端一層的信息，無法對應用進行審計,在客戶端之前除了應用系統信息，還有中間件信息。為使審計的效力增強，需要采用應用端插件的方式，基于應用會話捕獲應用賬戶及應用IP等關聯審計信息。針對應用端與應用服務器分離的四層關聯系統，同樣可基于插件部署捕獲到應用的原始訪問信息，實現應用審計的日志采集。
4、審計報表自動生成
報表功能是將審計日志進行數據化分析的具體表現形式。系統將報表劃分為綜合報表、合規性報表、專項報表、自定義報表等幾類，幫助安全負責人員更加便捷、深入的剖析數據運行風險。
5、關鍵審計日志保護
由于審計規則泄漏或長時間不修改審計規則、增加審計節點，會使不法人員繞過審計，造成數據安全事件的發生，因此，需要對關鍵審計節點的審計日志進行安全保護，關鍵審計日志的使用只限于機構內部的少數人員。
數據安全風險分析
概述：由于應用體系對違規行為控制的不足，會導致內部人員或黑客人員通過看似正常訪問的方式對數據安全造成威脅。
數據安全風險分析是基于數據流動過程中的日志信息，進行深入的分析，從而掌握數據在應用體系內是如何流動的，通過與實際應用場景的結合，以及對正常訪問行為特征的分析，形成大量的規則和模型，增強數據安全風險的感知能力。
通過數據安全風險分析還可以掌握數據安全措施執行的有效性，為安全措施的完善提供依據。
主要功能：
1、數據流動分析
通過數據流動日志信息的解析，繪制數據流動大圖，可以使安全管理員直觀的掌握當前的數據流動情況，哪些類型數據通過什么應用流動到了哪里和流動了多少，同時，幫助政務云安全管理員全面直觀的了解政務云在當前數據流動過程中敏感數據的分布情況，數據應用的分布情況，大規模數據請求者的分布情況。
2、數據訪問行為畫像分析
由于訪問日志的捕捉點范圍廣、信息量大，并不利于安全管理員發現潛在的數據安全風險。通過對訪問日志的分析，以訪問者為對象（賬號、應用、終端），針對某類數據，從訪問頻率、訪問時間、操作類型等維度進行統計分析，逐漸繪制和完善行為畫像，行為畫像可以通過蛛網圖、趨勢圖進行展現，提升異常訪問的發現能力。
3、異常訪問自動發現
形成數據訪問行為畫像后，對訪問行為進行對比分析，從而得出匹配度，對于超出事先設定好的偏離值的訪問行為，通過告警的方式通知安全管理員，確保第一時間采取應急工作。
異常訪問自動發現可以幫助安全負責人員在大規模的數據訪問過程中發現風險，由于日志采集的完整性，因此可以生成精確的風險報告，為風險行為追責、追溯提供依據。
異常訪問自動發現能力可以幫助安全管理員在大規模的數據訪問過程中發現異常行為，降低安全管理員的工作量，提升工作的有效率。
4、輔助安全加固
通過安全風險分析、異常行為自動發現，有效發掘制度和保護措施的不足，輔助完成制度和安全措施的完善工作，并能夠為加固后的效果進行驗證。
數據安全風險分析工作的持續開展和運營，在能夠發現看似正常訪問的異常行為以外，還形成了數據安全管理的閉環，從而整體提升政務云大數據安全的防護能力。
產品咨詢：4000 258 365 
