綠盟數據安全解決方案

登》zsFauus

綠盟數據安全

解決方案

綠盟科技

登》zsFauus

目錄

第1章安全現狀.....................................................2

1.1數據安全現狀.............................................................2

1.2建設數據安全體系的必要性..................................................2

1.3建設目標..................................................................2

第2章需求分析.....................................................3

2.1數據安全建設的合規(guī)需求...................................................3

2.2數據的分級防護需求.........................................................3

第3章現狀及風險分析...............................................4

3.1數據采集風險.............................................................4

3.2數據存儲風險..............................................................4

3.3數據傳輸風險..............................................................4

3.4數據處理風險..............................................................4

3.5數據交換風險..............................................................4

3.6數據銷毀風險..............................................................5

第4章系統解決方案.................................................5

4.1數據安全解決方案建設思路..................................................5

4.2數據安全解決方案建設流程..................................................6

4.2.1業(yè)務數據梳理...........................................................6

4.2.2定義與識別敏感數據....................................................6

4.2.3數據全生存周期安全風險評估............................................6

4.2.4數據安全縱深防護......................................................7

4.2.5敏感數據監(jiān)察分析......................................................7

4.2.6優(yōu)化改進與持續(xù)運營....................................................7

4.3數據安全解決方案應用場景..................................................8

4.3.1數據梳理與風險評估......................................................9

4.3.2運維數據安全防護.......................................................10

4.3.3業(yè)務數據安全防護.......................................................12

4.3.4主機數據安全防護.......................................................14

4.3.5數據可視化展現........................................................19

4.4核心技術.................................................................19

第5章數據安全解決方案優(yōu)勢.......................................20

5.1.1滿足合規(guī)要求..........................................................20

5.1.2權限劃定清晰..........................................................20

5.1.3數據生命周期全面掌控.................................................20

5.1.4降低數據泄露風險......................................................20

5.1.5提高數據使用者的安全意識.............................................20

第6章數據安全解決方案能力清單...................................21

第1章安全現狀

1.1數據安全現狀

隨著云計算、大數據、物聯網、移動互聯網、人工智能等新技術的發(fā)展，網絡邊界被不斷打破，

數字雙生、敏捷創(chuàng)新、安全合規(guī)驅動快速轉型，社會和企業(yè)都在面臨數字化的轉型帶來的數據安

全風險。

數據安全已經與關鍵信息基礎設施一并成為影響國家穩(wěn)定、民生安全及社會安全的關鍵因

素。

1.2建設數據安全體系的必要性

一直以來，我國政府積極探索和研究云計算在電子政務中的應用，也鼓勵黨政部門使用云計

算進行服務模式創(chuàng)新，并開展了一系列試點示范工作?，F在，政務云已經在全國范圍內建設和普

及，為我國政府進行職能轉變，構建為民務實高效政府，落實厲行節(jié)約工作，發(fā)揮了積極作用。

目前，我國電子政務進入了改革的深水區(qū)，正在加快落實“互聯網+政務服務”，數據交換和信息

共享已經是信息化建設重點，各領域的政務信息系統和政務數據、公民個人信息，已經或正在遷

移至政務云平臺上，加強網絡和信息安全保護工作已經成為必然。

我國于2017年6月1日正式施行《中華人民共和國網絡安全法》，規(guī)定了公民使用網絡服務

需要實名認證，任何網絡侵入、干擾和竊取網絡數據都是違法的，個人信息安全得到真正的法律

保護，從此確立了公民個人信息保護的基本法律制度，促進經濟社會信息化健康發(fā)展。

依據《中華人民共和國網絡安全法》第三十一條，闡明了保護范圍是國家對公共通信和信息

服務、能源、交通、水利、金融、公共服務、電子政務等重要行業(yè)和領域，以及其他一旦遭到破

壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的關鍵信息基礎設施。

保護方法為在網絡安全等級保護制度的基礎上，實施重點保護。重點保護的對象及關鍵信息基礎

設施，包括設施保護、數據保護、產品和服務保護，而數據保護的對象為“個人信息”與“重要

數據

以《中華人民共和國網絡安全法》為核心，我國就數據安全依法出臺多項新政策，就包括已

提請審意草案的《數據安全法》，對外征求意見的《數據安全管理辦法》《個人信息出境安全評估

辦法》，已發(fā)布的有《信息安全技術個人信息安全規(guī)范》《兒童個人信息網絡保護規(guī)定》《網絡安全

等級保護制度》2.0,所有新政的數據保護核心對象依然都是“個人信息”和“重要數據”。

從上述內容可以看出國家在數據安全保護層面的力度，以及對數據安全保護的重視。

1.3建設目標

建設完善的數據安全體系，有效保護數據在全生命周期過程中的安全，及采集、存儲、傳輸、

處理、交換、銷毀六個階段，達到合法采集、合理利用、靜態(tài)可知、動態(tài)可控的防護目標。

>合法采集：利用大數據分揀技術，使企業(yè)在法律約束范圍內合法采集敏感數據；

>合理利用：通過建立數據模型，以及對數據的敏感級別進行劃分，設立不同的訪問層級，

在數據被開發(fā)利用前做好防護措施，杜絕非法濫用；

>靜態(tài)可知：對存儲中的靜態(tài)數據進行掃描發(fā)現，并展示數據的分布；

>動態(tài)可控：對流動的數據進行監(jiān)控，防止數據在交互、共享中有意無意的泄露。

第2章需求分析

2.1數據安全建設的合規(guī)需求

在符合國家要求的同時，也要符合行業(yè)要求，因此合規(guī)需求是非常關鍵的?，F在環(huán)境很多，云

計算、大數據、物聯網、移動互聯網等等環(huán)境中都存在的各類要求中提到的個人信息和重要數據，

個人信息和重要數據應該如何追蹤、如何防護，就成為我們強烈的需求點。

2.2數據的分級防護需求

想更好的做到數據安全，就應該對數據進行分級，針對不同級別的數據進行有針對性的防范

措施，從而實現數據的分級防護。由于數據的種類繁多，也要根據業(yè)務的不同對數據做好分類，

將數據的分類與分級進行有效的關聯，就可以讓數據安全達到最優(yōu)的效果，難度顯而易見，需要

科學的方法來解決此問題。

第3章現狀及風險分析

依據國標《數據安全能力成熟度模型》中定義的數據生存周期來看，數據的生命存期周期為采集、

存儲、傳輸、處理、交換、銷毀，對數據生存周期風險有了全面的了解，有利于構建數據安全方

案體系，基于數據的全生命周期各個環(huán)節(jié)的風險及管理辦法如下所示，為了解決數據安全的風險，

就應該有管理上的制度和原則來約束和處置，也需要有技術手段來監(jiān)督與保護。

3.1數據采集風險

非法獲取、數據偽造：利用爬蟲類工具對數據進行非法獲取，為了獲取利潤，甚至對數據進

行偽造，直接發(fā)送數據到各種平臺中，用來對受害人進行誘騙，對社會和國家造成不良影響。

應對此風險應對明確數據采集責任人，加強數據外送管理，開展常態(tài)化審計工作，禁止直接

發(fā)送采集數據。

3.2數據存儲風險

非法訪問、非法竊?。和獠亢诳蜁寐┒垂?、木馬注入、弱配置、APT等攻擊行為對系統

進行入侵，從而盜取數據，甚至對數據進行偽造，更有嚴重的會對數據造成不可修復的破壞。

應對此風險應加強訪問控制、記錄和審計，建立容災備份與恢復機制，關鍵級數據要加密存

儲，重要級數據按需模糊化脫敏處理。

3.3數據傳輸風險

網絡監(jiān)聽、數據竊?。簮阂馊藛T利用工具對網絡中的數據流進行竊聽，從而竊取保密數據，

從而利用竊取到的數據，不正當獲利。

應對此風險應對重要數據需加密傳輸，限制違規(guī)設備接入，保留日志記錄以備審計、禁止采

用移動介質傳輸數據。

3.4數據處理風險

數據濫用：在數據處理的階段會產生數據濫用的問題，數據沒有進行分級管控，人員也沒有

做好權限的規(guī)范。

應對此風險應遵循“誰使用，誰負責”原則，建立數據使用審核機制，測試環(huán)境與運營環(huán)境

隔離，盡量使用線上方式操作數據。

3.5數據交換風險

明文交互、隱私侵犯：在數據交換的環(huán)節(jié)上，隨著數據被共享交換的次數越來越多，讓數據

價值也變得越來越高，個人信息與重要數據也包含在交換的數據中，為個人、企業(yè)，甚至國家都

帶來了極大的風險，因此要做好防范，杜絕明文數據交換，防止隱私被侵犯。

應對此風險應對外提供數據需嚴格審核，內部傳輸數據需評估風險，數據共享遵循最小化原

則。

3.6數據銷毀風險

違規(guī)恢復、偽刪除：數據的生命周期最后一個環(huán)節(jié)是數據銷毀，在此環(huán)節(jié)會存在已刪除數據

被非法違規(guī)恢復的現象，在業(yè)務系統中銷毀數據時也存在頁面上看到是數據已刪除狀態(tài)，但在存

儲中原始數據依然存在的現象，及偽刪除。

應對此風險應對銷毀數據確保徹底清除,離線數據副本確保無法還原，杜絕數據偽刪除現象。

第4章系統解決方案

4.1數據安全解決方案建設思路

在數據安全建設體系上我們提出“一個中心，四個領域，五個階段"的頂層設計。一個中心

是指以數據安全防護為中心。四個領域是指的數據安全建設的四個領域：組織建設、制度流程，

技術工具和人員能力。五個階段是指的數據安全建設的五個階段：業(yè)務梳理，分級分類，策略制

定，技術管控，優(yōu)化改進。

在數據安全建設體系中，組織建設、制度流程，技術工具，人員能力，四個領域都需要同步

開展建設工作，組織層面，決策層、管理層、執(zhí)行層必須在數據安全建設領域達成一致，數據安

全建設工作必須得到組織高層的支持。組織高層在數據安全領域的戰(zhàn)略目標應該能夠被管理層和

執(zhí)行層實現。

我們日常所說的“三分技術七分管理”也好“七分技術三分管理”也罷，都是在表明，管理

是技術的運營依據、技術是管理的落地保障。所以兩者要相輔相成，跳一不可。

合

規(guī)

需

求

流程發(fā)展方針管理制度流程.規(guī)范計劃、表格

&制度組織戰(zhàn)略管理規(guī)范指南、標準報告、日志

業(yè)

技術分級數據泄露數據權限

務

分類保護防護標準管理審批

需工具

求

數據全生存周期

數據采集數據存儲數據傳輸II數據處理11數據交換11數據銷毀

數據安全建設體系

在這里，我們借鑒了Gartner的數據安全治理框架，定義了數據安全建設的五個階段。形成

了綠盟的數據安全方法論?？偨Y起來就是五個字“知”、“識”、“控”、“察”、“行

>知：分析政策法規(guī)、梳理業(yè)務及人員對數據的使用規(guī)范，定義敏感數據；

>識：根據定義好的敏感數據，利用工具對全網進行敏感數據掃描發(fā)現，對發(fā)現的數據進

行數據定位、數據分類、數據分級。

>控：根據敏感數據的級別，設定數據在全生命周期中的可用范圍，利用規(guī)范和工具對數

據進行細粒度的權限管控。

>察：對數據進行監(jiān)督監(jiān)察，保障數據在可控范圍內正常使用的同時，也對非法的數據行

為進行了記錄，為事后取證留下了清晰準確的日志信息。

>行：對不斷變化的數據做持續(xù)性的跟蹤，提供策略優(yōu)化與持續(xù)運營的服務。

4.2數據安全解決方案建設流程

4.2.1業(yè)務數據梳理

在組織與制度設計方面，傳統網絡安全均由n,部門負責，隨著數據治理工作的深入開展，業(yè)

務部門要深入參與數據資產梳理以及分級分類工作之中，因為只有業(yè)務部門是最了解數據價值與

重要性的。因此需要自上而下形成高層牽頭，橫跨業(yè)務部門與安全部門的組織架構。由信息安全

管理團隊和數據業(yè)務管理團隊共同商討建立數據安全制度流程體系。制定好制度體系應該以文檔

化的方式進行落地管理。從最高級的方針戰(zhàn)略，到最細節(jié)的表格日志，都應該由不同層級的團隊

負責進行文檔化的落地，并嚴格執(zhí)行。在相應的業(yè)務組織與管理制度指導下，企業(yè)才能更好的開

展后續(xù)建設工作。

4.2.2定義與識別敏感數據

開展數據安全治理的第一步就是：定義什么是敏感數據，基于業(yè)務特點進行數據的識別、數

據分類、數據分級。數據分類分級的準確清晰，是后續(xù)數據保護的基礎。由于數據類型不同，對

企業(yè)影響不同，我們建議根據《中華人民共和國網絡安全法》要求對個人信息和重要數據分開進

行評估與定級，再按照就高不就低的原則對數據條目進行整體定級。

4.2.3數據全生存周期安全風險評估

完成敏感數據分類分級后，就要到風險識別的步驟：發(fā)現哪里有敏感數據，并對敏感數據進

行梳理與風險評估。敏感數據發(fā)現與數據風險評估的工作要結合人工服務和專業(yè)工具共同完成。

數據安全風險評估可以從數據的生存周期角度逐個考慮，這里引用國標GB/T37988-2019《信

息安全技術數據安全能力成熟度模型》DSMM架構圖中的數據生存周期安全的步驟：數據采集安

全、數據傳輸安全、數據存儲安全、數據處理安全、數據交換安全、數據銷毀安全。

數據生存周期安全風險評估

綠盟科技研發(fā)了敏感數據發(fā)現與風險評估系統，可以實現智能數據分類分級、全網數據資產

測繪、實時數據流轉測繪、大數據平臺風險掃描的能力。結合上綠盟的數據安全評估服務，從數

據生存周期各個階段評估數據安全風險，應該可以幫助您解決很大部分的敏感數據發(fā)現與風險評

估問題。

4.2.4數據安全縱深防護

針對數據安全的風險，應以數據為中心，向外對業(yè)務、網絡、設備、用戶采取“零信任”的

態(tài)度，既然每個環(huán)節(jié)都不可信，那么管控手段就要覆蓋全部環(huán)節(jié)，任意環(huán)節(jié)失信后都能實現熔斷

保護。

用戶側、終端側、網絡側、業(yè)務側，以及數據中心，都要做好安全防護措施，外向內防攻擊

防入侵防篡改，內向外防濫用防偽造防泄露。最關鍵的是，要對全部縱深防護環(huán)節(jié)進行整體控

制，實現環(huán)境感知，可信控制和全面審計。整合多層次的縱深防御，及時發(fā)現問題，及時阻止安

全問題。總之我們的防護宗旨是認證好人并允許其通過，識別壞人并阻斷其訪問。

4.2.5敏感數據監(jiān)察分析

敏感數據監(jiān)察分析、發(fā)現安全問題與異常事件。可以考慮從用戶、資產和數據的行為模式出

發(fā)，利用5W1H分析模型來進行敏感數據行為分析，基于行為模式發(fā)現數據異常事件。也就是我們

常說的UEBAo

基于歷史的可信訪問行為提取訪問規(guī)則，利用各類算法進行行為聚類，形成可劃分的訪問行

為簇并可視化呈現。通過這種圖譜分析與可視化展示讓管理者對于敏感數據訪問情況，由一無所

知轉變?yōu)榭梢暱晒堋?/p>

4.2.6優(yōu)化改進與持續(xù)運營

當我們具備“知識控察”的能力后，不代表我們的數據是安全的。業(yè)務是在變的，數據也是

在變的。因此我們的安全也是要不斷變化的。為了應對變化，我們在“知識控察”的基礎上提出

了“行”，這是一個動詞，代表著對數據安全的優(yōu)化改進與持續(xù)運營。

登》zsFauus

在大的層面，合規(guī)要求指導安全策略的設置，安全策略支撐合規(guī)治理要求的落地，二者相輔

相成，配合上持續(xù)優(yōu)化改進運營的“知識控察行”體系，實現持續(xù)自適應的數據安全防護能力。

業(yè)務梳理

數據分類

數據分級

敏感數據發(fā)現

數據資產測繪

識

4.3數據安全解決方案應用場景

綠盟數據安全解決方案，圍繞著數據安全合規(guī)性管理、個人信息安全保護、重要數據安全保

護來設計多種安全應用場景。

?最上層為展示層，主要通過數據安全管控平臺進行數據安全的四種視圖展示，分別為數

據資產視圖、數據流轉視圖、數據風險視圖、數據事件視圖。

?中間層為管理層，從綠盟數據安全方法論的角度出發(fā)，通過數據安全管控平臺做數據安

全管理層面的集成，分別為數據梳理、數據識別、數據安全防護、風險分析與事件監(jiān)測、

數據安全運營。

?最底層為能力層，通過各種產品能力來解決數據安全生存周期中的各種安全問題。

管理層制定統一的管理策略下發(fā)給能力層，由能力層來實現安全效果的落地，而能力層會將

收集到的各類日志信息輸送給管理層，從而實現全面的數據分析，再通過展現層及時的進行可視

化展示與告警。

數據安全合規(guī)性管理

個人信息安全保護■重要數據安全保護

4.3.1數據梳理與風險評估

>數據系統基礎調研：對關鍵數據及用戶敏感信息的數據系統進行初步調研；

>關鍵數據定義及分級：對各系統中關鍵數據及用戶敏感信息等數據進行定義，并對關鍵

數據、用戶敏感信息按重要性進行分類、分級；

>數據生命周期梳理：從數據的采集、存儲、傳輸、處理、共享、銷毀等環(huán)節(jié)入手，覆蓋

人員、設備、系統三要素，梳理各系統在各數據生命周期環(huán)節(jié)中相關網絡關鍵數據詳情；

>數據安全合規(guī)性檢測：從數據安全制度管理、數據安全運營管理、數據安全生命周期管

理等緯度梳理數據合規(guī)性安全現狀；

>業(yè)務安全合規(guī)性檢測：對網絡數據與用戶數據集中的業(yè)務應用進行金庫模式安全性、批

量數據違規(guī)獲取、身份認證安全性、敏感信息模糊化、系統授權管理、防撞庫攻擊安全

性等多方面業(yè)務安全合規(guī)性檢測；

>數據安全管理制度建設：在安全管理制度的制定、落實和審查的三個環(huán)節(jié)上形成可持續(xù)

完善的機制；

>網絡數據泄露防護:通過采用DLP等網絡數據泄漏技術監(jiān)測手段,及人工主動干預方式，

對疑似泄漏渠道進行分析驗證，對風險點進行識別、發(fā)現和處理；

>數據保護審計策略制定：對系統制定相關數據保護審計制度及詳細審計策略，包括網絡

數據安全保護審計、業(yè)務符合性審計等；

>數據保護安全審計服務：從數據的采集、存儲、傳輸、處理、共享、銷毀等環(huán)節(jié)入手，

建立、健全相關審計機制，并定期開展專項審計工作；

>安全檢查支撐服務：針對上級單位安全檢查、重大活動期間專項保障等期間提供支撐服

務。

數據梳理與風險評估服務企業(yè)帶來的價值主要體現在：

>形成全局數據分布情況，奠定分級分類管理基礎

>全方位了解數據安全現狀與所面臨的安全威脅

登》zsFauus

＞提供專業(yè)整改建議，促進系統整改

＞建立標準化、規(guī)范化、專業(yè)化數據安全管理體系

＞提升數據安全技術防護水平

＞針對性地、有序地進行各項日常數據安全工作和開展數據安全建設

4.3.2運維數據安全防護

隨著信息化的發(fā)展，企事業(yè)單位IT系統不斷發(fā)展，網絡規(guī)模迅速擴大、設備數量激增，建

設重點逐步從網絡平臺建設，轉向以深化應用、提升效益為特征的運行維護階段，IT系統運維

與安全管理正逐漸走向融合。信息系統的安全運行直接關系企業(yè)效益，構建一個強健的IT運維

安全管理體系對企業(yè)信息化的發(fā)展至關重要，對運維的安全性也提出了更高要求。

巴

日常工作監(jiān)管法律法規(guī)遵循事后追溯

通過對運維數據安全防許多企業(yè)和單位需要滿足通過事后畝計信息可

護可以對運維人員和合國家或者行業(yè)監(jiān)管部門的以對發(fā)生的安全事件

作伙伴的日常操作情況法律法規(guī)要求（如等級保護、進行追溯，保留一份

做防護和記錄，方便監(jiān)企業(yè)內控制度等）.不能修改不可刪除的

管。

4.3.2.1運維統一監(jiān)管

堡壘機做為專業(yè)的運維監(jiān)管系統，提供了先進的運維安全管控與審計能力，是運維數據防護

的第一道防線，其目標是幫助企業(yè)轉變傳統IT安全運維被動響應的模式，建立面向用戶的集

中、主動的運維安全管控模式，降低人為安全風險，對運維數據的訪問行為實現全面的審計，滿

足合規(guī)要求，保障企業(yè)效益。

堡壘機通過邏輯上將人與目標設備分離，建立“人-＞主賬號（堡壘機用戶賬號）授權-＞從

賬號（目標設備賬號）-＞目標設備”的管理模式；在此模式下，通過基于唯一身份標識的集中賬

登》zsFauus

號與訪問控制策略，與各服務器、網絡設備、安全設備、數據庫服務器等無縫連接，實現集中精

細化運維操作管控與審計。

堡壘機為企業(yè)帶來的價值主要體現在：

>可幫助企業(yè)建立面向用戶的集中、有序、主動的運維安全管控平臺；

>通過基于唯一身份標識的集中賬號與訪問控制策略，與各服務器、網絡設備等無縫連

接，實現集中精細化運維操作管控與審計；

>對運維數據實時監(jiān)控，日志+錄屏雙重審計，保障運維數據行為安全；

>降低人為安全風險，避免安全損失，滿足合規(guī)要求，保障企業(yè)效益。

4.3.2.2數據庫審計與防護

近年來，隨著數據篡改、泄密等事件的頻繁爆發(fā)，行業(yè)用戶已經普遍意識到數據庫訪問疏于

監(jiān)管所帶來的巨大危害，數據庫審計與防護產品受到空前關注。其中就包括數據庫審計和數據庫

防火墻。

數據庫審計是通過對數據庫網絡流量的采集，利用數據庫協議解析與還原技術，實現對數據

庫所有訪問行為的監(jiān)控和審計、對其中的危險操作進行多種方式的告警、對數據庫訪問行為進行

多維度的統計并進行圖形化展現。

數據庫防火墻是利用數據庫協議分析與控制技術，基于主動防御機制，實現數據庫的訪問行

為控制、危險操作阻斷、可疑行為審計。

數據庫防火墻數據庫

將數據庫審計與數據庫防火墻結合使用，就實現了具有集數據庫IPS、IDS和審計功能為一體

的綜合安全防護能力。

現如今正處于一種多環(huán)境數據共享的時代，如傳統環(huán)境、云環(huán)境、大數據環(huán)境等，因此對數

據庫的審計與防護產品就需要做適配變化，傳統環(huán)境依然采用傳統硬件部署，云環(huán)境應滿足虛擬

化要求實現軟件化部署或者探針模式部署，大數據環(huán)境一般都應滿足分布式部署的要求，最終可

以通過集中管控形成統一監(jiān)管的模式。

數據庫監(jiān)控平臺

數據庫審計與防護為客戶價值帶來的價值包括:

>防止外部黑客攻擊;

>防止內部高危操作;

>防止敏感數據泄漏;

>審計追蹤非法行為。

4.3.2.3大數據安全運維

大數據的思想及其初步應用已經惠及人們的日常生活，與大數據相互依存的云計算技術、物

聯網、智慧城市等新的應用模式同時印證了其在信息化時代的重要地位。隨著數據的價值越來越

重要，大數據的安全穩(wěn)定也逐漸被重視，在大數據時代，無論對于數據本身的保護，還是對與由

數據而演變的一些信息的安全，都對大數據環(huán)境提出了更高的要求。雖然大數據安全與大數據業(yè)

務是相對應的，但對于業(yè)務和環(huán)境的維護將更為重要，大數據安全運維將包含風險檢查、控制防

護、審計監(jiān)控三個方面。

>風險檢查：可以發(fā)現大數據組件漏洞與配置威脅、定位大數據中的敏感數據，讓運維人

員對大數據環(huán)境中的數據風險了如指掌。

>控制防護：通過實時獲取請求者、環(huán)境和被訪問數據三要素的屬性信息，觸發(fā)相應的訪

問控制策略，從而實現訪問控制的動態(tài)管理，降低企業(yè)的管理和運營成本。

>審計監(jiān)控：針對大數據環(huán)境中的各個組件的數據調用與交互，準確的對數據進行審計、

回溯、風險控制、職權分離、操作過程回話等功能，同時生成訪問日志，為運維人員提

供可分析的有效數據。

大數據安全運維為客戶價值帶來的價值包括：

>大數據組件風險全面監(jiān)控；

>準確定位敏感數據的安全風險，快速預警；

>敏感數據訪問動態(tài)管理，權限明確，風險可控；

>日志全面完整，為事后回溯提供有利數據支撐。

4.3.3業(yè)務數據安全防護

隨著信息技術日新月異的發(fā)展，近些年來，企業(yè)利用計算機網絡技術與各重要業(yè)務系統相結

合，可以實現無紙辦公。有效地提高了工作效率，如外部門戶網站系統、內部網站系統、辦公自

動化系統等。然而信息化技術給我們帶來便利的同時，各種網絡與信息系統安全問題也逐漸暴露

出來，業(yè)務數據泄露事件頻發(fā).因此要對業(yè)務系統進行安全防護，保障業(yè)務系統中的靜態(tài)數據、

動態(tài)數據的安全。

Web服務器旗件漏洞防護

Webil用防護

（SQCS入信令注入）防崢站入

非法下載限制

法上傳防護

Webshell防護

敏感信息過濾

網絡層訪問控制（信用卡、身份證號等）

URL訪問控制：限制敏感路暴力破解防護

徑的訪問，對數據庫文件.

格的訪問控制.

密碼文件、管理員賬戶嚴格敏感信息防泄漏

策略

限制HTTP訪問權限.

4.3.3.1WEB應用數據防護

Web應用防火墻（簡稱WAF）將客戶資產作為組織Web安全解決方案的依據，用黑、白名單機

制相結合的完整防護體系，通過精細的配置將多種Web安全檢測方法連結，并整合成熟的DDoS攻

擊抵御機制，能夠抵御各類Web安全威脅和拒絕服務攻擊，并以較低的運營成本為各種機構提供

透明在線部署、路由旁路部署、鏡像部署和云部署，能方便快捷的部署上線，保衛(wèi)您的Web應用

數據免遭當前和未來的安全威脅。

根據典型的業(yè)務數據泄露事件可分為五種防護場景：

>網站訪問控制：不僅可以達到權限控制的效果，還可以做到誤報糾正；

>網頁篡改在線防護：提供事中防護以及事后補償的在線防護；

>敏感信息泄漏防護：可以識別并防護敏感數據泄漏，滿足合規(guī)與審計要求；

>虛擬站點防護：能對一個IP對應多個不同域名的虛擬站點場景進行防護。

4.3.3.2業(yè)務數據脫敏

數據脫敏技術可實現自動化發(fā)現源數據中的敏感數據，并對敏感數據按需進行漂白、變形、

遮蓋等處理，避免敏感信息泄露。同時又能保證脫敏后的輸出數據能夠保持數據的一致性和業(yè)務

的關聯性。

數據脫敏技術可以滿足為開發(fā)環(huán)境、測試環(huán)境、培訓環(huán)境等提供脫敏后的生產數據，也可于

為數據交易、數據交換、數據分析等第三方數據應用場景提供適用的敏感信息泄露防護作用。

門戶網站

脫或后數據I

138****9214

135?…4325

136….4991

各種業(yè)務系統動態(tài)脫敏

脫敝后數據

數據脫敏系統

靜態(tài)脫敏

業(yè)務開發(fā)測試

各種數據庫EaZM

SQLServerMYSQLOracle

以防止數據泄漏為核心點，最大限度的保證脫敏后數據的特征、結構、邏輯及各類數據間的

關聯性、連續(xù)性、業(yè)務性。通過對客戶業(yè)務數據的深度了解，保證整個業(yè)務系統正常運行。

4.3.4主機數據安全防護

當前無紙化辦公己經普遍應用，辦公環(huán)境中每位員工都擁有獨立的辦公終端，企業(yè)的研發(fā)源

代碼，財務、政券信息，運營資料，人資等敏感數據以不同的文件形式存在于每個人的終端電腦

及存儲服務器中，員工通過辦公終端接入網絡，連接到各種業(yè)務系統、各類服務器進行數據的使

用與交換，很難對敏感數據進行準確的定位和分析發(fā)現。

數據在辦公環(huán)境中的類型多種多樣，大體可分為結構化數據、半結構化數據與非結構化數

據，還可按形態(tài)分為存儲中的靜態(tài)數據和使用中的動態(tài)數據。

對數據的操作包括：創(chuàng)建、復制、編輯、剪切、截屏、保存、另存為、刪除等。

數據傳輸途徑包括：USB、打印、刻錄、共享、網絡上傳、郵件、論壇、微博、聊天工具、

網盤，還有其他外設。

當前無論是終端，網絡還是管理方面，都對敏感數據的泄漏存在有很大的風險。因此，需要

采取相應的措施來消除這些威脅，降低整體安全風險，確保內部辦公環(huán)境下的數據安全，具體防

護方案可以歸納為以下幾個方面：

4.3.4.1終端風險統一管控

實現全網終端的病毒查殺、攻擊防御、漏洞修復、軟件管理、行為管控、外設管理、流量管

控、遠程維護等管理。

持續(xù)威脅跟蹤，詳細日志審計，云、界、端立體式防御框架及與第三方無逢聯動對接，讓隱

藏的APT攻擊一鑒無余。

勒索病毒主動防御機制，漏洞一鍵全網修復，嚴格外設管控，郵件、下載及共享等邊界實時

監(jiān)控，有效防范勒索病毒及其變種威脅。

惡意代碼實時防御，規(guī)范內網終端使用，外設嚴格管理，保證內網環(huán)境安全，降低數據泄漏

及破壞、業(yè)務中斷風險。

4.3.4.2終端檢測與響應

以端點檢測與響應技術為核心，實時檢測未知威脅并快速響應。適用于服務器、云主機、移

動/智能終端、工控主機、物聯網終端等設備，支持Windows.Linux及國產操作系統，能輕松適

應各種規(guī)模和IT架構的企業(yè)，大大提升用戶的安全主動防護能力。

我們熟知針對終端的網絡威脅有很多種，如APT攻擊、勒縈病毒、挖礦木馬、Oday漏洞利

用。這種攻擊行為我們很難預知，但是只要終端遭到入侵后，其系統內部狀態(tài)或環(huán)境肯定會發(fā)生

變化，這種變化包括文件的創(chuàng)建修改、進程的運行、系統函數及接口的調用、配置的修改、用戶

及權限、網絡連接、系統資源的變化等。綠盟終端檢測與響應系統通過可信特征管理、綜合行為

檢測、基線橫向分析和安全沙箱等方式對用戶的行為進行分析。通過上述4層檢測機制的逐級分

析，可有效發(fā)現已知和未知的威脅。為保證檢測行為的準確性和可控性，在提供自動化分析處理

機制外，系統也提供了便于管理員進行人工輔助干預的接口，可人工定義信任或威脅的文件和行

為，從而對自動化判定篩選后的結果進行微調。并對這些行為進行采取記錄、阻斷、隔離、清除

等響應措施。

自適應策略管理|態(tài)勢可視化|人工輔助干預

檢測子系統響應子系統

4.3.4.3數據訪問安全

信息作為一種資源，它的普遍性、共享性、增值性、可處理性和多效用性，使其對于企業(yè)具

有特別重要的意義。信息安全的實質就是要保護信息系統或信息網絡中的信息資源免受各種類型

的威脅、干擾和破壞，即保證信息的安全性。根據國際標準化組織的定義，信息安全性的含義主

要是指信息的完整性、可用性、保密性和可靠性。但是，對于不同的企業(yè)和行業(yè)來說，其對信息

安全的要求和重點卻是有區(qū)別的。最重要的問題是不能在對非法（非授權）獲?。ㄔL問）不加防

范的條件下傳輸信息。

對于一個企業(yè)來說，往往有許多內部資源需要開放，但是又擔心數據安全問題。安全認證網

關服務能提供對API、WEB資源的訪問保護，使其在訪問時需經過身份驗證才可獲取資源。

統一身份系統就是用來規(guī)范保護用戶賬號信息的關鍵技術環(huán)節(jié)，也是未來邊界安全新定義。

通過單點登錄一次一密的會話機制，使用戶的賬號信息從根源上防范不被竊取，從而保護用戶數

據信息的安全。

無論是員工、合作伙伴還是客戶，可以在任何時間、任何地點，通過任何終端設備，都可以

借助我們的安全認證網關和統一身份認證平臺，對業(yè)務系統數據進行認證防護。

云平臺

VPC

Web

WEB

訪問鏈路加密單點登錄

P一口地址隱藏認證授權Web

安全認證統一身份

網關認證平臺

堡壘機Web防火墻數據庫審計

安全管理子網

4.3.4.4數據外發(fā)途徑防護

基于敏感信息識別技術的防護對辦公終端的數據泄露途徑進行全面的監(jiān)控。

可管理通過終端泄漏敏感數據的多個途徑，如打印，u盤拷貝，硬盤對拷，藍牙/紅外發(fā)送

文件,光盤刻錄，文件共享，IM發(fā)送聊天內容/傳送附件，如QQ,RTX等，郵件客戶端發(fā)送郵

件，如OUTLOOK,FOXMAIL。

可自定義設置終端PC外設端口的開啟和關閉，當端口關閉后，端口將不可工作，不可進行

信息的傳輸，如，USB,光盤驅動設備，串口驅動設備，并口驅動設備，藍牙驅動設備，紅外驅動

設備等。

4.3.4.5關鍵數據加密使用防護

在不影響本地原有明文文檔的情況下，無障礙使用密文文檔。敏感數據在加密前后對于數據

合法使用者無任何差異，不增加用戶負擔、不改變任何工作流程及使用習慣。文件的保存加密、

打開解密完全由后臺加解密驅動內核自動完成，對用戶而言完全透明、無感知。

可根據文檔密級按照組織架構（部門、用戶、項目組等）對文件進行密級標識及授權管理，

只允許合法授權用戶根據分配權限受控使用；非授權用戶即使獲取到數據也將無法查閱。

對文檔設置只讀、打印、修改、再次授權、閱讀次數及生命周期等權限，授權用戶只能按照

規(guī)定好的權限進行使用，無法通過屬性修改、內容復制、副本另存等方式越權使用。

登》zsFauus

通過內容復制/粘貼、拖拽、副本另存為、截屏/錄屏、打印等方式對文檔內容進行移植及轉

儲，需要對用戶上述操作行為進行安全控制。

4.3.4.6數據離網交換安全

當數據需要與第三方進行合作編輯，或交由第三方審閱時，為了保證數據在交互中不會被泄

露，應采取全面的數據隔離機制來達到安全的效果。

利用沙盒技術與透明加解密相結合，創(chuàng)建一個完全隔離的安全空間，再將需要交換的數據放

入此空間，只有擁有密鑰和權限的人員才能打開此空間。

認證方式包括：口令、KEY、機器碼、口令+機器碼。

權限包括：只讀、編輯、拷屏、打印、水印、限時、限次、自動銷毀。

4.3.4.7用戶上網行為監(jiān)管

上網行為管理主要解決內部員工上網帶來的工作效率低下、帶寬濫用、惡意軟件感染、內部

信息泄漏以及法律合規(guī)等問題。

員工通過網絡可以查找資料、溝通交流和從事電子商務等，但是相應的多種問題伴隨而生，例

如：

?與工作無關的P2P和在線視頻等應用占用帶寬；

?與工作無關的聊天、炒股、游戲、博客和在線購物等活動影響工作效率；

?員工隨意在網絡上發(fā)帖和傳輸文件導致機密泄露；

?員工上網容易受到病毒、木馬和蠕蟲等攻擊和感染；

?員工通過網絡從事一些黃賭毒等違法活動；

?員工瀏覽和發(fā)布不良言論導致企業(yè)面臨法律風險。

為解決以上一系列的問題，綠盟科技憑借在應用識別庫和網絡安全等全方面的多年積累，可

實現員工上網行為的管理、帶寬的限制和確保員工上網安全等，可以極大提高員工的辦公效率和

帶寬利用率，防止機密數據泄密和員工通過網絡從事違法活動。

4.3.4.8網絡數據外發(fā)監(jiān)控

支持多協議的敏感信息識別與監(jiān)控能力。可以監(jiān)控包含附件的SMTP,包含上傳下載文件的

HTTP,FTP,還有包含上傳文件的NNTP。還能夠監(jiān)控主流的IM協議(QQ,RTX),可正確分辨HTTP

隧道中的IM流量。

在一個事件產生時，系統可以自動的發(fā)送郵件警告給用戶、用戶經理，IT管理員。郵件的

主題，信體等內容均可以定制。

全流量采集安全流量

IP/協議I

4分析/應用

分析

HTTP

FTP

文件

SMTPGM