搜索

[14975] 2020-02-04_从运营角度看数据安全

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-02-04_从运营角度看数据安全 从 运 营 角 度 看 数 据 安 全 邹 先 生 0 0 7   F r e e B u f   2 0 2 0 - 0 2 - 0 4 现 状 现 状 早 在 笔 者 刚 入 行 的 那 个 时 期 ， 安 全 岗 位 基 本 只 有 两 种 ， 早 在 笔 者 刚 入 行 的 那 个 时 期 ， 安 全 岗 位 基 本 只 有 两 种 ， W E B 安 全 工 程 师 和 安 全 工 程 师 和 A n d r o i d 安 全 工 程 师 ， 回 忆 一 下 前 几 安 全 工 程 师 ， 回 忆 一 下 前 几 年 企 业 出 现 的 风 险 事 件 、 大 多 是 安 全 工 程 师 参 围 绕 应 用 安 全 漏 洞 ， 以 及 如 何 在 漏 洞 攻 与 防 之 间 进 行 技 术 博 弈 。 年 企 业 出 现 的 风 险 事 件 、 大 多 是 安 全 工 程 师 参 围 绕 应 用 安 全 漏 洞 ， 以 及 如 何 在 漏 洞 攻 与 防 之 间 进 行 技 术 博 弈 。 普 遍 受 限 于 当 时 年 代 对 安 全 的 认 知 ， 很 少 有 人 真 正 关 注 到 用 户 数 据 对 一 个 企 业 真 正 的 重 要 性 。 普 遍 受 限 于 当 时 年 代 对 安 全 的 认 知 ， 很 少 有 人 真 正 关 注 到 用 户 数 据 对 一 个 企 业 真 正 的 重 要 性 。 现 如 今 随 着 G D P R 、 个 人 信 息 安 全 保 护 规 范 等 一 系 列 的 实 施 ， 针 对 数 据 泄 漏 产 生 的 负 面 影 响 越 来 越 大 ， 老 板 们 为 了 能 更 好 的 （ 避 ） 保 （ 免 ） 护 （ 背 ） 公 （ 锅 ） 司 数 据 ， 数 据 安 全 的 岗 位 开 始 火 热 了 起 来 ， 那 么 数 据 安 全 有 什 么 用 ？ 运 营 角 度 看 数 据 安 全 运 营 角 度 看 数 据 安 全 从 安 全 运 营 角 度 来 看 数 据 安 全 建 设 的 必 要 性 ， 在 我 们 呆 过 企 业 中 可 能 会 存 在 这 样 的 对 话 p a r t 1 焦 躁 的 安 全 工 程 师 问 到 ” 你 你 你 x x x x U R L 有 个 s q l 注 入 ， 赶 紧 看 下 ， 还 有 哪 个 应 用 使 用 这 个 库 ， 表 里 都 有 哪 些 敏 感 字 段 ， 有 多 少 受 影 响 的 数 据 量 ” 。 业 务 通 常 会 一 脸 天 真 的 回 复 “ 这 个 表 没 什 么 敏 感 数 据 ， 不 重 要 ， 我 们 现 在 就 把 漏 洞 修 了 ， 安 全 漏 洞 通 告 发 给 我 就 行 了 ， 别 抄 给 我 们 领 导 ” 。 P a r t 2 焦 躁 的 安 全 工 程 师 收 到 来 自 暗 网 的 监 控 告 警 ， 某 某 公 司 几 亿 订 单 数 据 泄 漏 ， 来 自 灵 魂 的 拷 问 “ 是 有 内 鬼 吧 ， 这 是 哪 个 库 的 数 据 ， 这 么 多 敏 感 字 段 还 是 明 文 ， 之 前 某 次 应 急   好 像 在 哪 里 见 到 过 这 种 字 段 ， 难 道 上 次 的 S Q L 注 入 拖 出 去 这 么 多 数 据 ， m d 业 务 还 坑 我 是 测 试 数 据 ” 。 如 果 企 业 安 全 工 程 师 的 日 常 还 经 常 出 现 上 述 类 似 对 话 ， 那 么 一 定 还 没 开 始 做 数 据 安 全 方 面 的 建 设 。 : D 感 知 感 知 & 盲 区 盲 区
数 据 安 全 第 一 阶 段 永 远 离 不 开 的 问 题 ， 数 据 在 哪 里 也 就 是 我 们 常 说 的 对 敏 感 数 据 的 感 知 能 力 ？ 只 有 知 道 敏 感 数 据 在 哪 里 才 能 将 重 要 的 精 力 资 源 投 入 到 需 要 重 点 保 护 的 数 据 资 产 上 。 从 安 全 运 营 的 角 度 思 考 一 下 p a r t 1 秋 高 气 爽 的 一 天 S R C 接 到 一 个 S Q L 注 入 ， 一 个 R C E 打 到 应 用 、 打 到 库 上 ， 安 全 工 程 师 可 以 直 接 在 安 全 中 台 看 到 这 条 漏 洞 攻 击 到 了 哪 台 数 据 库 是 什 么 级 别 ， 有 什 么 表 ， 有 什 么 字 段 、 有 多 少 数 据 量 ， 拖 拽 数 据 量 是 多 少 ， 风 险 级 别 直 接 量 化 。 这 些 更 准 确 的 信 息 可 以 用 自 动 化 发 单 方 式 通 知 到 业 务 告 警 到 安 全 部 ， 即 降 低 了 安 全 工 程 师 繁 琐 的 排 查 流 程 又 撕 壁 和 业 务 一 轮 轮 的 四 壁 扯 皮 的 过 程 。 P a r t 2 如 果 某 个 秋 高 气 爽 的 一 天 ， 你 正 吃 着 火 锅 唱 着 歌 ， 突 然 发 现 暗 网 出 现 了 疑 似 数 据 泄 露 ， 通 过 安 全 中 台 快 速 将 数 据 字 段 进 行 检 索 ， 更 快 的 定 位 到 哪 些 库 存 在 隐 患 ， 这 些 库 对 应 哪 些 应 用 ， 进 行 快 速 的 应 急 响 应 。 结 合 运 营 安 全 工 程 师 的 分 析 可 以 进 一 步 确 认 受 影 响 的 范 围 ， 原 来 毫 无 头 绪 的 问 题 突 然 有 了 逐 渐 清 晰 的 解 决 的 方 向 ， 不 再 像 之 前 一 样 空 有 一 群 南 拳 北 斗 的 “ 武 林 高 手 ” 跳 上 擂 台 却 发 现 找 不 到 像 样 的 兵 器 、 打 不 出 力 ， 一 顿 花 球 秀 腿 后 匆 匆 下 场 落 得 台 下 观 众 一 片 奚 落 。 数 据 安 全 数 据 安 全 数 据 安 全 在 数 据 生 命 周 期 内 的 六 个 阶 段 内 凭 借 公 司 的 基 建 完 善 程 度 ， 安 全 团 队 按 自 己 团 队 的 配 置 ， 有 选 择 性 的 选 取 好 下 手 的 环 节 进 行 发 力 ， 以 降 低 后 续 安 全 和 业 务 相 互 沟 通 成 本 、 普 及 数 据 安 全 重 要 性 的 成 本 。 从 哪 里 下 手 从 哪 里 下 手 笔 者 认 为 数 据 安 全 的 基 础 的 感 知 能 力 可 以 协 同 D B 部 门 或 者 从 业 务 侧 首 先 开 展 ， 而 作 为 数 据 安 全 工 程 师 应 该 先 考 虑 用 何 种 方 式 可 以 达 成 你 的 第 一 个 小 目 标 - “ 具 备 基 础 数 据 在 哪 的 感 知 能 力 ” ， 笔 者 认 为 从 D B 部 门 切 入 可 以 更 快 的 实 现 安 全 部 门 与 d b 部 门 的 协 同 工 作 闭 环 运 营 ， 主 要 因 为 d b 部 有 你 需 要 的 数 据 资 源 ， 安 全 部 有 数 据 分 类 分 级 使 用 上 的 需 求 分 析 能 力 ， 二 者 相 结 果 ， 可 以 最 短 路 径 实 现 数 据 安 全 运 营 落 地 闭 环 ； 而 先 从 业 务 线 下 手 笔 者 认 为 成 本 会 较 大 ， 因 为 企 业 内 部 业 务 部 多 则 几 千 少 则 几 百 ， 对 待 安 全 的 激 情 也 是 高 低 不 均 的 ， 在 前 期 开 展 数 据 安 全 所 有 的 资 源 有 限 的 情 况 下 没 必 要 将 宝 贵 的 安 全 工 程 师 投 入 到 业 务 线 （ 试 点 除 外 ） ， 那 无 异 议 蚍 蜉 撼 树 ， 下 场 无 非 是 安 全 同 学 被 业 务 一 顿 怼 ” 每 天 有 这 么 多 数 据 库 、 有 什 么 变 更 都 我 要 跟 你 说 吗 ” ， ” 你 们 安 全 部 天 天 就 知 道 让 我 们 业 务 弄 这 个 也 弄 弄 那 个 也 弄 ， 我 们 自 己 业 务 还 做 不 做 了 ” 。
主 动 发 现 数 据 主 动 发 现 数 据 从 上 至 下 ， 从 安 全 委 员 会 推 到 业 务 线 和 d b 部 门 建 立 完 善 的 线 上 数 据 库 制 度 流 程 ， 统 一 的 分 类 分 级 标 准 ， 数 据 级 别 方 面 数 据 分 级 大 致 可 以 按 用 户 的 数 据 属 性 来 划 分 ， 比 如 用 户 信 息 类 、 企 业 信 息 类 、 商 户 信 息 类 个 人 信 息 类 个 人 信 息 类 L 1 公 开 头 像 、 昵 称 、 性 别 、 积 分 等 L 2 内 部 账 号 信 息 、 设 备 i d 、 定 位 、 以 及 二 次 加 工 的 信 息 等 L 3 保 密 姓 名 、 地 址 、 手 机 号 、 * 号 等 L 4 机 密 登 陆 支 付 密 码 、 密 保 答 案 等 按 类 别 分 类 类 别 类 别 字 段 字 段 用 户 数 据 账 号 密 码 、 手 机 号 、 家 庭 地 址 、 支 付 密 码 企 业 数 据 财 务 信 息 、 合 同 信 息 、 员 工 数 据 业 务 通 讯 录 、 组 织 架 构 对 数 据 进 行 动 态 识 别 、 识 别 的 方 式 有 很 多 ， 例 如 机 静 态 规 则 、 机 器 学 习 、 目 标 是 不 断 完 善 敏 感 数 据 的 识 别 率 ， 最 简 单 的 可 以 直 接 去 遍 历 所 有 的 库 表 结 构 字 段 、 遍 历 集 中 日 志 存 储 中 心 ， 对 不 同 的 应 用 ， 不 同 的 数 据 库 表 中 存 在 哪 些 敏 感 数 据 进 行 自 动 化 审 计 。 线 下 通 过 数 据 安 全 团 队 对 离 线 分 析 数 据 进 行 分 类 分 级 打 标 库 表 级 别 画 像 ， 可 以 完 善 出 一 套 基 础 的 “ 数 据 资 产 ” 图 谱 ， 有 了 图 谱 权 限 管 理 、 审 计 都 可 以 逐 步 开 展 ， 当 然 感 知 能 力 ， 数 据 资 产 也 不 止 这 一 个 维 度 需 要 多 维 度 共 同 作 用 构 成 。 安 全 团 队 做 到 了 实 时 的 线 上 线 下 敏 感 数 据 采 集 感 知 ， 那 么 下 一 步 就 很 清 晰 了 ， 对 数 据 进 行 分 类 分 级 重 点 关 注 L 3 ， L 4 级 个 人 敏 感 信 息 、 公 司 级 别 敏 感 信 息 、 对 敏 感 数 据 进 行 落 地 加 密 存 储 、 权 限 审 计 、 数 据 库 加 解 密 等 。 更 多 的 是 场 景 更 多 的 是 场 景 更 多 的 是 场 景 问 题 ， 数 据 溯 源 ， 场 景 的 数 据 溯 源 过 程 大 致 如 下 ， 数 据 样 本 收 集 、 数 据 样 本 特 征 分 析 （ 定 位 泄 漏 时 间 、 定 位 字 段 、 定 位 数 量 ） 确 认 泄 漏 源 、 确 认 泄 漏 应 用 ， 我 们 需 要 从 海 量 的 数 据 中 提 取 特 征 ， 比 如 本 批 次 泄 漏 字 段 有 哪 些 ， 该 字 段 同 时 存 在 与 哪 些 库 表 ， 隶 属 于 哪 几 个 应 用 。 依 次 定 位 调 用 时 间 、 调 用 库 表 、 调 用 应 用 。 围 绕 数 据 泄 漏 的 不 同 场 景 ， 安 全 工 程 师 会 有 意 的 向 加 工 数 据 增 加 一 些 “ 染 色 数 据 ” ， 增 加 “ 染 色 数 据 ” 的 好 处 在 于 方 便 数
据 审 计 、 方 便 数 据 溯 源 采 集 特 征 。 对 二 次 存 储 分 析 使 用 的 离 线 数 据 进 行 加 密 各 种 的 数 据 脱 敏 （ 数 据 染 色 ） ， 二 次 使 用 的 数 据 进 行 染 色 大 致 原 则 可 以 这 样 理 解 ， 将 数 据 重 新 生 成 ， 但 不 影 响 原 有 业 务 开 展 数 据 统 计 分 的 析 结 果 ， 例 如 业 务 提 出 的 需 求 “ 我 们 需 要 最 近 2 4 小 时 订 单 分 析 每 个 地 区 的 下 单 情 况 ” ， 安 全 工 程 师 需 要 对 此 需 求 进 行 提 炼 ， 提 炼 后 的 业 务 真 实 想 要 的 需 求 是 “ 业 务 需 要 订 单 转 化 比 率 ， 关 注 的 是 总 体 的 比 例 ， 是 在 统 计 一 批 数 据 的 百 分 比 ， 但 不 关 注 某 一 字 段 的 准 确 性 ， ” 例 如 小 明 使 用 的 是 联 通 手 机 号 1 8 5 1 2 3 1 2 3 1 2 3 ， 我 们 在 保 持 联 通 的 属 性 1 8 5 不 变 后 续 几 位 可 以 转 换 为 “ 0 ” 即 1 8 5 1 2 3 0 0 0 、 住 所 地 址 保 留 市 区 街 道 不 变 具 体 楼 单 号 进 行 染 色 、 一 批 数 据 的 性 别 比 例 染 色 ， 保 持 原 有 的 男 女 比 例 不 变 ， 这 样 这 批 数 据 在 提 供 给 业 务 侧 进 行 统 计 分 析 的 时 候 不 会 产 生 影 响 ， 同 时 可 以 保 障 用 户 数 据 的 安 全 性 。 这 些 都 属 于 数 据 染 色 区 别 在 于 不 同 应 用 场 景 。 这 块 感 兴 趣 的 同 学 可 以 参 考 美 团 的 数 据 差 分 隐 私 、 数 据 染 色 的 技 术 相 关 文 章 ， 都 非 常 值 得 一 读 。 小 结 小 结 总 之 笔 者 在 开 展 数 据 安 全 工 作 上 踩 过 很 多 坑 ， 总 结 总 结 ， 无 非 是 受 限 于 老 三 样 ， 安 全 部 规 模 ， 基 建 程 度 ， 老 板 关 注 度 （ 是 否 出 过 事 ） ， 比 如 在 数 据 分 散 且 没 有 统 一 的 数 据 总 线 情 况 下 最 好 不 要 异 想 天 开 的 先 去 做 什 么 权 限 管 理 ， 优 先 考 虑 那 些 能 占 用 资 源 少 且 能 闭 环 运 营 的 工 作 ， 如 做 自 动 化 分 类 分 级 打 标 打 标 、 加 解 密 等 ， 不 断 迭 代 安 全 部 对 数 据 安 全 方 面 的 能 力 ， 丰 富 企 业 常 见 的 数 据 安 全 场 景 的 解 决 方 案 能 力 ， 再 去 啃 标 识 化 染 色 权 限 管 理 未 尝 不 是 也 是 一 种 不 错 的 选 择 。 * 本 文 原 创 作 者 ： 邹 先 生 本 文 原 创 作 者 ： 邹 先 生 0 0 7 ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理