數(shù)據(jù)跨境場景

隨著歐盟《通用數(shù)據(jù)保護(hù)條例》GDPR頒布以來，頻繁開出的巨額罰單賺足了全球觀眾眼球，也讓歐盟內(nèi)企業(yè)對數(shù)據(jù)安全保護(hù)與管理愈發(fā)重視。數(shù)據(jù)只有在流動中才能創(chuàng)造其根本價值，而數(shù)據(jù)在流動中的非安全使用，也會為企業(yè)造成核心數(shù)據(jù)資產(chǎn)泄露的風(fēng)險，甚至招來最高2000萬歐元或其全球營業(yè)額4%的罰款（以高者為準(zhǔn)）。對一些中小企業(yè)來說，巨額罰款無異于滅頂之災(zāi)，即便是亞馬遜這樣的科技巨頭，全球營業(yè)額的4%同樣是一筆堪稱天價的罰單。2017年，中國《網(wǎng)絡(luò)安全法》的正式施行，把對數(shù)據(jù)的使用要求上升到法律高度；同年《個人信息安全規(guī)范》的發(fā)布，也將對隱私數(shù)據(jù)的安全使用提升到了全新高度。

隨著經(jīng)濟(jì)全球化的持續(xù)發(fā)展，業(yè)務(wù)遍布世界各地已成為很多企業(yè)的常態(tài)。其中，德國某知名豪車企業(yè)耕耘中國市場超過20年，中國大陸已成為其在德國本土外最重要的業(yè)務(wù)陣地，尤其是中國區(qū)的汽車和金融業(yè)務(wù)在該集團(tuán)業(yè)務(wù)中擁有舉足輕重的地位。嚴(yán)守“不觸碰法律紅線”這一準(zhǔn)則，是其百年來得以持續(xù)穩(wěn)步發(fā)展的重要基礎(chǔ)之一，而面對歐盟GDPR以及中國大陸相關(guān)法律的共同監(jiān)管，如何確保在企業(yè)業(yè)務(wù)正常開展的同時滿足政策合規(guī)要求，就成為了該車企數(shù)據(jù)安全建設(shè)的首要任務(wù)目標(biāo)。

為此，四大咨詢公司的專業(yè)咨詢報告，為該車企制定了完善的數(shù)據(jù)安全建設(shè)方案；其中，針對“個人隱私數(shù)據(jù)的跨境訪問監(jiān)管”這一首期建設(shè)內(nèi)容，918搏天堂因連續(xù)2年入選Gartner數(shù)據(jù)安全領(lǐng)域技術(shù)成熟度曲線研究報告，成功入圍該項(xiàng)目的備選廠商；后經(jīng)該車企對一眾候選廠商的多方面考量，918搏天堂最終憑借全方位的行業(yè)技術(shù)積累、扎實(shí)的已落地項(xiàng)目案例和持續(xù)穩(wěn)定的售后服務(wù)能力等優(yōu)勢因素勝出，成為該知名豪車企業(yè)數(shù)據(jù)庫安全項(xiàng)目的唯一供應(yīng)商。由918搏天堂提供的，以數(shù)據(jù)庫安全預(yù)防為主、防治結(jié)合的縱深防御方案，得到該客戶的高度肯定并全部予以采納。

客戶價值實(shí)現(xiàn)

918搏天堂根據(jù)該車企現(xiàn)階段對數(shù)據(jù)安全建設(shè)的基本訴求，在客戶數(shù)據(jù)庫資產(chǎn)清單相對完善的情況下，制定了包括針對性主動檢查預(yù)警、運(yùn)維過程中數(shù)據(jù)跨境的合規(guī)訪問、開發(fā)測試過程中合規(guī)使用生產(chǎn)型數(shù)據(jù)以及事后追溯在內(nèi)的，由前到后的縱深防御體系，并實(shí)現(xiàn)以下價值效果：

1、數(shù)據(jù)庫漏洞情況摸底排查

客戶的IT過程管理相對規(guī)范，有完善的數(shù)據(jù)庫資產(chǎn)登記信息和日常管理制度；同時，業(yè)務(wù)系統(tǒng)以外購或現(xiàn)場定制開發(fā)居多，存在不同的供應(yīng)商、多年不同階段的建設(shè)以及數(shù)據(jù)庫版本跨度較大等情況。DBA運(yùn)維人員日常更多關(guān)注的是對業(yè)務(wù)系統(tǒng)的持續(xù)服務(wù)能力，主機(jī)安全人員更多關(guān)注的是數(shù)據(jù)庫主機(jī)安全，且兩組安全人員對數(shù)據(jù)庫漏洞情況的關(guān)注都比較少，而這些漏洞卻極有可能成為數(shù)據(jù)泄露或安全攻擊的突破點(diǎn)。針對以上問題，可通過918搏天堂數(shù)據(jù)庫安全評估系統(tǒng)（DSAS）對數(shù)據(jù)庫逐一進(jìn)行掃描，主動發(fā)現(xiàn)當(dāng)前版本存在的數(shù)據(jù)庫漏洞，評估漏洞可能影響的范圍并提出修復(fù)建議。

2、跨境數(shù)據(jù)有效管控

該車企在全球有多個分公司，遍布南非、北美、印度、英國、德國本土以及中國大陸等地區(qū)，根據(jù)業(yè)務(wù)的開展情況運(yùn)維也由分散在這些分公司的員工分別完成，是真正24小時不間斷的多國團(tuán)隊(duì)協(xié)作。在線上生產(chǎn)庫的日常運(yùn)維及數(shù)據(jù)分析過程中，幾乎難以避免運(yùn)維人員有意或無意接觸生產(chǎn)數(shù)據(jù)的情況，而此類數(shù)據(jù)含有大量個人敏感信息，這就成為數(shù)據(jù)跨境背景下最有可能的潛在泄露通道。

通過部署在中國區(qū)數(shù)據(jù)中心的918搏天堂數(shù)據(jù)庫運(yùn)維管理系統(tǒng)（DOMS），可對境外運(yùn)維人員訪問存儲在中國境內(nèi)數(shù)據(jù)的行為進(jìn)行審核與管理。其中，對數(shù)據(jù)庫系統(tǒng)級的運(yùn)維全部放行，由客戶現(xiàn)有的操作制度進(jìn)行規(guī)范；對業(yè)務(wù)表的任何操作都需提交運(yùn)維操作申請，并由業(yè)務(wù)主管及IT安全主管交叉審批通過后方可執(zhí)行；對未經(jīng)審核通過的業(yè)務(wù)運(yùn)維操作，以及已審核通過但在非授權(quán)時間、非授權(quán)終端、非授權(quán)范圍的操作進(jìn)行阻斷，從根本上杜絕運(yùn)維側(cè)敏感數(shù)據(jù)泄露的可能。

與此同時，系統(tǒng)內(nèi)置的運(yùn)維中敏感數(shù)據(jù)防泄露功能成為了客戶最意外的收獲：運(yùn)維過程中會涉及到部分業(yè)務(wù)數(shù)據(jù)的校對，運(yùn)維人員會看到其中的敏感數(shù)據(jù)，如手機(jī)號、身份證號、銀行卡號、車架號等信息，而通過預(yù)設(shè)的敏感數(shù)據(jù)保護(hù)策略，可將經(jīng)過脫敏處理的數(shù)據(jù)返回給運(yùn)維人員，從而在滿足日常運(yùn)維需要的前提下，有效規(guī)避了無意識的敏感數(shù)據(jù)泄露。

3、全鏈條審計數(shù)據(jù)庫訪問行為

通過多種流量采集方式，將應(yīng)用服務(wù)器、運(yùn)維人員對數(shù)據(jù)庫的日常訪問流量進(jìn)行解析、歸類、入庫，并對數(shù)據(jù)分類統(tǒng)計匯總，提供數(shù)據(jù)使用情況的分析；預(yù)設(shè)的非合規(guī)行為一旦命中規(guī)則即生成實(shí)時告警，并通知到安全管理人員。在對違規(guī)事件的事后追溯上，從風(fēng)險維度開始，使用“一鉆到底”的操作方式，提供從風(fēng)險到風(fēng)險語句詳情、風(fēng)險到語句模板（風(fēng)險行為的抽象化）、風(fēng)險到訪問源、風(fēng)險到會話再到語句流水等多種追溯路徑，易于上手。

此外，豐富的統(tǒng)計和報表功能為DBA對數(shù)據(jù)庫，以及業(yè)務(wù)人員對應(yīng)用系統(tǒng)的優(yōu)化提供參考，如數(shù)據(jù)庫語句和會話執(zhí)行壓力情況，語句執(zhí)行頻度Top分析，高耗時語句Top分析等。在滿足政策合規(guī)的同時，提供了數(shù)據(jù)庫管理的實(shí)用價值。

4、提供有效的高仿真生產(chǎn)數(shù)據(jù)

該車企業(yè)務(wù)系統(tǒng)主要由外包團(tuán)隊(duì)駐場定制開發(fā)完成，在業(yè)務(wù)系統(tǒng)的持續(xù)開發(fā)過程中，需要生產(chǎn)庫的數(shù)據(jù)進(jìn)行開發(fā)和模擬測試。生產(chǎn)環(huán)境真實(shí)業(yè)務(wù)數(shù)據(jù)會導(dǎo)出到本地，進(jìn)行離線的二次數(shù)據(jù)分析，從而對企業(yè)經(jīng)營戰(zhàn)略調(diào)整提供參考。雖然有線上和線下系統(tǒng)的邏輯層隔離，但從線上生產(chǎn)環(huán)境導(dǎo)出的數(shù)據(jù)不經(jīng)過變形就直接交付給線下環(huán)境使用的話，很可能直接成為敏感數(shù)據(jù)泄露給第三方的通道。而傳統(tǒng)的腳本式脫敏不夠智能化和產(chǎn)品化，甚至脫敏后的數(shù)據(jù)無法保證其原有的格式和特征，失去了數(shù)據(jù)間的關(guān)聯(lián)關(guān)系，即使脫敏后也無法在開發(fā)測試或統(tǒng)計中實(shí)現(xiàn)正常的二次使用。此外，越多的人工介入越可能增大過程中的數(shù)據(jù)安全風(fēng)險，對風(fēng)險高度敏感的外資企業(yè)對過程中存在的數(shù)據(jù)安全風(fēng)險的識別與規(guī)避尤為重視。

方案中的918搏天堂數(shù)據(jù)脫敏系統(tǒng)（DMS），可為客戶提供一套自動化的數(shù)據(jù)脫敏方式。在對從線上獲取的數(shù)據(jù)源進(jìn)行敏感數(shù)據(jù)識別后，經(jīng)過靈活的脫敏算法變形，既保留了數(shù)據(jù)原有的格式和特征，也保留了數(shù)據(jù)間的關(guān)聯(lián)關(guān)系，令脫敏后的數(shù)據(jù)可安心用于開發(fā)環(huán)境或BI分析，而不必?fù)?dān)心生產(chǎn)庫敏感數(shù)據(jù)泄露。同時，通過定時任務(wù)進(jìn)行全自動的脫敏過程，替代了原有繁瑣且容易出錯的人工手動脫敏，從而極大規(guī)避了數(shù)據(jù)離線使用過程中的傳輸與使用風(fēng)險。

技術(shù)特性支撐

項(xiàng)目實(shí)施過程中，先后遇到了多個需要突破的技術(shù)點(diǎn)，918搏天堂交付團(tuán)隊(duì)在充分論證方案可行性基礎(chǔ)上大膽嘗試了新的技術(shù)方案，其中具有代表性的技術(shù)點(diǎn)有：

1、多樣化數(shù)據(jù)庫流量采集方式

由于客戶IT系統(tǒng)建設(shè)的歷史原因，早期IT系統(tǒng)多以物理機(jī)為主，隨著虛擬化平臺的普及，后期的業(yè)務(wù)系統(tǒng)逐步向虛擬化平臺遷移，這為數(shù)據(jù)庫審計的流量獲取帶來挑戰(zhàn)——單一的物理交換機(jī)鏡像和探針采集都不能完整覆蓋到所有的數(shù)據(jù)庫業(yè)務(wù)流量。經(jīng)過實(shí)施前的環(huán)境調(diào)研和分析，在實(shí)驗(yàn)室環(huán)境模擬現(xiàn)場幾類部署場景，創(chuàng)造性的使用了物理交換機(jī)鏡像、虛擬化平臺vDS+GRE隧道方式、Agent探針三種方式混合采集流量的方式：

（1）針對早期部署的數(shù)據(jù)庫物理機(jī)，采用物理交換機(jī)鏡像方式將流量聚合后導(dǎo)入數(shù)據(jù)庫審計DAS系統(tǒng)的鏡像接收網(wǎng)口，一次部署無需后期網(wǎng)絡(luò)維護(hù)。

（2）部署在虛擬化平臺的數(shù)據(jù)庫主機(jī)，且虛擬化平臺具備虛擬交換機(jī)vDS功能，則在網(wǎng)絡(luò)層通過vDS將流量聚合，并在外層打上一層GRE隧道封裝后定向到DAS系統(tǒng)的指定IP上，一次部署無需后期網(wǎng)絡(luò)維護(hù)。

（3）對于業(yè)務(wù)系統(tǒng)和數(shù)據(jù)庫集成部署在物理機(jī)上，以及虛擬化平臺不具備vDS和GRE隧道封裝能力的數(shù)據(jù)庫主機(jī)，在數(shù)據(jù)庫主機(jī)上部署輕量級探針方式采集數(shù)據(jù)庫訪問流量。

2、通信鏈路加密下的數(shù)據(jù)庫行為管控

在項(xiàng)目實(shí)施前，918搏天堂調(diào)研到客戶有約1/4的數(shù)據(jù)庫為Oracle，根據(jù)內(nèi)部統(tǒng)一安全建設(shè)要求采用了Oracle Advanced Security通信鏈路層加密，這對整個數(shù)據(jù)庫串接類產(chǎn)品來說提出了巨大的挑戰(zhàn)，甚至在咨詢公司的技術(shù)調(diào)研和分析下，客戶已基本放棄了該類場景的適配。為此，918搏天堂專門建立了以數(shù)據(jù)庫攻防實(shí)驗(yàn)室為主的技術(shù)攻關(guān)突破小組，深入分析Oracle通信加密機(jī)制，進(jìn)行大膽猜測，并使用工程逆向方式逐步驗(yàn)證猜想，去繁就簡挑選了Oracle通信加密方式的AES 256作為首先突破點(diǎn)，進(jìn)一步破解其指紋信息在通信協(xié)商和加解密過程中對公鑰和私鑰的使用與交互流程，論證了在通信層鏈路加密條件下對數(shù)據(jù)庫訪問行為管控的可行性。這在業(yè)界都是首屈一指的關(guān)鍵核心技術(shù)突破，充分證明了918搏天堂在數(shù)據(jù)庫攻防領(lǐng)域的技術(shù)領(lǐng)先優(yōu)勢。

在可行性調(diào)研論證通過后，918搏天堂圍繞實(shí)現(xiàn)原理和實(shí)現(xiàn)效果向客戶進(jìn)行了匯報，客戶了解技術(shù)復(fù)雜度后充分給予了918搏天堂信任和相對寬松的技術(shù)突破氛圍，終于在4個月內(nèi)完成了從可行性調(diào)研、關(guān)鍵技術(shù)突破以及代碼化和產(chǎn)品化的過程，并在生產(chǎn)環(huán)境成功完成功能驗(yàn)證與試運(yùn)行。

3、與集團(tuán)安全管理業(yè)務(wù)體系無縫集成

優(yōu)秀且適合的產(chǎn)品應(yīng)盡可能多的應(yīng)用到日常業(yè)務(wù)使用中，以最大限度的減少使用成本。只有與集團(tuán)安全管理業(yè)務(wù)體系無縫集成，才能讓安全管理日�；�。在了解到客戶內(nèi)部使用了AD域賬戶一賬通后，918搏天堂在短時間內(nèi)完成了產(chǎn)品與客戶SSO單點(diǎn)登錄系統(tǒng)的適配，使用日常辦公的域賬戶可以無縫登錄到數(shù)據(jù)庫安全系統(tǒng)。

同時，918搏天堂數(shù)據(jù)庫運(yùn)維管理系統(tǒng)強(qiáng)調(diào)多角色人員協(xié)作完成運(yùn)維動作的申請和流程審批，以及日常的安全訪問控制規(guī)則，通過與域賬戶的打通，將AD域上的賬戶權(quán)限與本地數(shù)據(jù)庫運(yùn)維管理系統(tǒng)進(jìn)行綁定；使用一賬通登錄系統(tǒng)后，在用戶無感知的情況下即可自動分配用戶可見的操作權(quán)限和數(shù)據(jù)庫管理權(quán)限，將系統(tǒng)強(qiáng)大的賬號管理體系與業(yè)務(wù)深度融合，真正應(yīng)用于日常業(yè)務(wù)。

市場前景展望

該項(xiàng)目的成功交付，說明在同時應(yīng)對歐盟GDPR和中國《網(wǎng)絡(luò)安全法》、個人隱私敏感信息保護(hù)、數(shù)據(jù)跨境訪問等相關(guān)法律法規(guī)監(jiān)管方面，918搏天堂的數(shù)據(jù)安全治理解決方案具備良好的可行性與可操作性。918搏天堂在業(yè)內(nèi)多年的技術(shù)積累和在關(guān)鍵核心技術(shù)上的攻堅突破能力，成為方案能夠有效落地的堅實(shí)后盾。同時，該方案可作為駐華外資企業(yè)、合資企業(yè)等的通用解決方案，幫助更多客戶滿足政策法規(guī)對企業(yè)經(jīng)營的要求，讓業(yè)務(wù)發(fā)展走得更穩(wěn)、走得更遠(yuǎn)。