AI+安全
數(shù)據(jù)安全
數(shù)據(jù)基礎(chǔ)設(shè)施
態(tài)勢(shì)感知
云安全
基礎(chǔ)安全
終端安全
商用密碼
軟件供應(yīng)鏈安全
網(wǎng)絡(luò)空間靶場(chǎng)
工業(yè)互聯(lián)網(wǎng)安全
物聯(lián)網(wǎng)安全
安全托管服務(wù)
運(yùn)營(yíng)管理服務(wù)
2023云棲大會(huì)丨安恒信息攜杭州亞運(yùn)會(huì)數(shù)據(jù)安全實(shí)踐，共話云安全之道
近日，以“計(jì)算，為了無(wú)法計(jì)算的價(jià)值”為主題的2023云棲大會(huì)在杭州云棲小鎮(zhèn)舉辦，本次大會(huì)共設(shè)置2大主論壇、3個(gè)主題展館，呈現(xiàn)500余場(chǎng)并行話題。在云環(huán)境數(shù)據(jù)風(fēng)險(xiǎn)態(tài)勢(shì)管理實(shí)踐的話題分享中，安恒信息高級(jí)副總裁鄭赳分享了安恒信息為杭州亞運(yùn)會(huì)提供數(shù)據(jù)安全保障的經(jīng)驗(yàn)。
鄭赳在演講中介紹到，杭州亞運(yùn)會(huì)作為近年來(lái)賽事規(guī)模最大、競(jìng)賽項(xiàng)目最多、參與人員規(guī)模最大的綜合性體育賽事。6大賽區(qū)，88個(gè)場(chǎng)館，49個(gè)核心業(yè)務(wù)系統(tǒng)、賽事成績(jī)、賽事管理、賽事支持三大類核心系統(tǒng)群全面上云、1萬(wàn)多終端設(shè)備接入訪問(wèn)，系統(tǒng)眾多、敏感數(shù)據(jù)量大、人員繁雜、接入方式多樣、數(shù)據(jù)安全挑戰(zhàn)嚴(yán)峻。
亞運(yùn)數(shù)據(jù)安全防護(hù)中面臨5大防護(hù)難點(diǎn)：
1、 敏感數(shù)據(jù)廣泛分布在各個(gè)涉亞信息系統(tǒng)中，底數(shù)不清，分布不明。
2、 運(yùn)維人員多，身份復(fù)雜，數(shù)據(jù)訪問(wèn)權(quán)限控制難。
3、 系統(tǒng)間數(shù)據(jù)共享頻繁。數(shù)據(jù)系統(tǒng)間業(yè)務(wù)數(shù)據(jù)交互量大，泄露風(fēng)險(xiǎn)大。
4、 數(shù)據(jù)使用監(jiān)控難度大，數(shù)據(jù)泄露事件感知、監(jiān)控、溯源難度大。
終端訪問(wèn)、辦公場(chǎng)景接入終端多，人員雜，敏感文件數(shù)據(jù)泄露風(fēng)險(xiǎn)大。
安恒信息通過(guò)持續(xù)三年的亞運(yùn)保障，從預(yù)案準(zhǔn)備，測(cè)試賽保障、技術(shù)演練、正賽重點(diǎn)保障全程參與，持續(xù)護(hù)航，累積投入35000+人天，1184臺(tái)設(shè)備，累積分析800+億條日志，防護(hù)2600+萬(wàn)次攻擊，提交5500+份報(bào)告,不辱使命，出色完成保障任務(wù)。
云上數(shù)據(jù)安全整體架構(gòu)通過(guò)云上技術(shù)體系整體保障支撐核心業(yè)務(wù)應(yīng)用，并通過(guò)數(shù)據(jù)安全運(yùn)營(yíng)體系再護(hù)航保障過(guò)程中不斷基于風(fēng)險(xiǎn)評(píng)估持續(xù)優(yōu)化防護(hù)方案。
云上數(shù)據(jù)安全技術(shù)體系，通過(guò)資產(chǎn)梳理、數(shù)據(jù)庫(kù)審計(jì)監(jiān)控、接口監(jiān)測(cè)、數(shù)據(jù)水印、數(shù)據(jù)脫敏、權(quán)限管控、防泄漏、態(tài)勢(shì)感知等基礎(chǔ)能力的云化部署、針對(duì)多租戶場(chǎng)景強(qiáng)化云上安全資源的自動(dòng)編排能力，實(shí)現(xiàn)安全能力服務(wù)總線，按需支撐業(yè)務(wù)系統(tǒng)的數(shù)據(jù)安全防護(hù)需求，并持續(xù)監(jiān)控保障業(yè)務(wù)數(shù)據(jù)資產(chǎn)的安全態(tài)勢(shì)。
云上數(shù)據(jù)安全運(yùn)營(yíng)體系通過(guò)賽事側(cè)、場(chǎng)館側(cè)場(chǎng)景化調(diào)優(yōu)與持續(xù)運(yùn)營(yíng)，優(yōu)化數(shù)據(jù)安全風(fēng)險(xiǎn)監(jiān)測(cè)模型，持續(xù)進(jìn)行新業(yè)務(wù)場(chǎng)景的風(fēng)險(xiǎn)評(píng)估與閉環(huán)。
杭州亞運(yùn)的數(shù)據(jù)安全防護(hù)整體設(shè)計(jì)上，通過(guò)在競(jìng)賽場(chǎng)館側(cè)通過(guò)堡壘機(jī)、數(shù)據(jù)庫(kù)安全網(wǎng)關(guān)、數(shù)據(jù)庫(kù)審計(jì)、一體化終端安全管控系統(tǒng)、網(wǎng)絡(luò)防泄漏管理運(yùn)維層面的數(shù)據(jù)訪問(wèn)權(quán)限控制，防范多角色用戶接入層面的數(shù)據(jù)泄露安全風(fēng)險(xiǎn)。賽事系統(tǒng)側(cè)應(yīng)用云上數(shù)據(jù)安全資源池，防護(hù)數(shù)據(jù)訪問(wèn)使用中的篡改、泄露、異常請(qǐng)求事件。在賽事運(yùn)營(yíng)側(cè)，通過(guò)統(tǒng)一數(shù)據(jù)安全管控平臺(tái)，實(shí)現(xiàn)數(shù)據(jù)安全態(tài)勢(shì)一屏通覽，持續(xù)監(jiān)測(cè)涉亞系統(tǒng)的數(shù)據(jù)安全態(tài)勢(shì)。
安恒信息在云上數(shù)據(jù)安全防護(hù)能力上提供了敏感數(shù)據(jù)發(fā)現(xiàn)、數(shù)據(jù)脫敏、數(shù)據(jù)調(diào)用接口監(jiān)測(cè)、數(shù)據(jù)訪問(wèn)權(quán)限精細(xì)管控、敏感數(shù)據(jù)防泄漏、整體態(tài)勢(shì)感知能力，針對(duì)亞運(yùn)防護(hù)難點(diǎn)，覆蓋對(duì)應(yīng)5個(gè)主要業(yè)務(wù)場(chǎng)景。
一、敏感數(shù)據(jù)發(fā)現(xiàn)與梳理
涉亞49個(gè)核心業(yè)務(wù)系統(tǒng)大量異構(gòu)數(shù)據(jù)源，多種數(shù)據(jù)庫(kù)中的結(jié)構(gòu)化和非結(jié)構(gòu)化數(shù)據(jù)。其中票務(wù)、注冊(cè)中心等業(yè)務(wù)系統(tǒng)中含有大量運(yùn)動(dòng)員、注冊(cè)人員、觀眾、工作人員等個(gè)人信息敏感信息。
整體設(shè)計(jì)規(guī)劃上：安恒信息結(jié)合數(shù)安法、個(gè)人信息保護(hù)法等上位法要求，結(jié)合北京奧運(yùn)會(huì)、G20峰會(huì)、成都大運(yùn)會(huì)等過(guò)往重保成功經(jīng)驗(yàn)，制定了一套契合杭州亞運(yùn)會(huì)現(xiàn)狀的《重大賽事數(shù)據(jù)安全分類分級(jí)標(biāo)準(zhǔn)》，作為系統(tǒng)化梳理全量數(shù)據(jù)的標(biāo)準(zhǔn)規(guī)范。
技術(shù)保障上：將云與數(shù)據(jù)安全深度耦合，通過(guò)與阿里云賬號(hào)體系的打通，全面對(duì)接ODPS、RDS、OSS等云上服務(wù)模塊，做到資產(chǎn)的自同步。同時(shí)引入AI大模型進(jìn)行敏感數(shù)據(jù)建模，通過(guò)大量數(shù)據(jù)的學(xué)習(xí)，敏感數(shù)據(jù)精確識(shí)別率達(dá)到95%以上。
后續(xù)應(yīng)用上：將敏感數(shù)據(jù)精確識(shí)別、分類分級(jí)后，會(huì)基于等級(jí)進(jìn)行敏感數(shù)據(jù)打標(biāo)，為后續(xù)數(shù)據(jù)安全防護(hù)與監(jiān)測(cè)奠定基礎(chǔ)，不同等級(jí)的敏感數(shù)據(jù)后續(xù)在跨系統(tǒng)調(diào)用、人員讀取時(shí)進(jìn)行不同等級(jí)的管控措施。同時(shí)打通分類分級(jí)與其他數(shù)據(jù)安全產(chǎn)品，實(shí)現(xiàn)直接把分類分級(jí)的結(jié)果同步給像脫敏、網(wǎng)關(guān)等其他數(shù)據(jù)安全能力設(shè)備，作為下一步處置的基礎(chǔ)條件。
二、數(shù)據(jù)資產(chǎn)運(yùn)維安全
本次亞運(yùn)會(huì)合作商眾多，涉及不同維度、多層面的系統(tǒng)維護(hù)保障工作，數(shù)據(jù)范圍十分廣泛。因此需要負(fù)責(zé)開(kāi)發(fā)運(yùn)維的人員也繁多，因此如何精準(zhǔn)管控運(yùn)維動(dòng)作、實(shí)時(shí)發(fā)現(xiàn)高峰風(fēng)險(xiǎn)操作并能夠及時(shí)處理將會(huì)變得十分關(guān)鍵。
針對(duì)數(shù)據(jù)資產(chǎn)運(yùn)維安全，安恒信息構(gòu)建起“身份權(quán)限管控+數(shù)據(jù)處理管控”的雙重保障機(jī)制。一方面，運(yùn)維人員全部要通過(guò)浙政釘掃碼登陸，進(jìn)行身份認(rèn)證，獲取唯一的權(quán)限賬號(hào)，保證專人、專賬號(hào)、專權(quán)限，一旦發(fā)生問(wèn)題，能夠快速定位人員進(jìn)行精準(zhǔn)回溯。另一方面，通過(guò)數(shù)據(jù)安全安全網(wǎng)關(guān)對(duì)于通過(guò)SQL語(yǔ)句對(duì)數(shù)據(jù)庫(kù)進(jìn)行的操作進(jìn)行細(xì)顆粒度管控，結(jié)合前面場(chǎng)景講到的分類分級(jí)結(jié)果的同步，針對(duì)高敏感數(shù)據(jù)的運(yùn)維操作進(jìn)行風(fēng)險(xiǎn)告警或向上審批的不同防護(hù)機(jī)制。同時(shí)實(shí)現(xiàn)操作過(guò)程錄像、操作命令記錄、傳輸文件備存等功能，便于后期全面審計(jì)溯源。
三、數(shù)據(jù)共享交換安全
當(dāng)前產(chǎn)業(yè)數(shù)字化發(fā)展如火如荼，數(shù)據(jù)的傳遞也從1.0階段的表格復(fù)制共享，到2.0階段的前置機(jī)文件共享交換，慢慢到3.0階段通過(guò)API接口進(jìn)行調(diào)用。因此如何加強(qiáng)對(duì)于API的監(jiān)控，對(duì)于數(shù)據(jù)安全的管控來(lái)說(shuō)異常關(guān)鍵。
為做好數(shù)據(jù)的交換管控：首先方案中先對(duì)于API接口資產(chǎn)進(jìn)行精確識(shí)別，通過(guò)對(duì)報(bào)文頭的檢測(cè)有效區(qū)分URL靜態(tài)地址與Restful API接口資產(chǎn)，防止出現(xiàn)大量無(wú)效告警，影響運(yùn)維人員的判斷；其次對(duì)于API接口調(diào)用流量進(jìn)行雙向識(shí)別，通過(guò)與分類分級(jí)能力的打通，對(duì)于回包流量中的敏感數(shù)據(jù)進(jìn)行精確定位；同時(shí)，安恒信息通過(guò)與阿里云的深度合作解決了云上租戶業(yè)務(wù)引流的難題，通過(guò)與阿里云ODPS的對(duì)接，實(shí)現(xiàn)了無(wú)agent情況下的流量解析分析。
四、辦公網(wǎng)數(shù)據(jù)防泄漏
辦公網(wǎng)場(chǎng)景是最容易發(fā)生數(shù)據(jù)泄露的場(chǎng)景之一。辦公網(wǎng)涉及人員眾多，場(chǎng)館辦公場(chǎng)所條件不一，導(dǎo)致辦公網(wǎng)的管控措施難以有效落地。針對(duì)此場(chǎng)景，我們首先進(jìn)行了泄露路徑的盤點(diǎn)，主要分兩大類，一類是通過(guò)網(wǎng)絡(luò)流量側(cè)的泄露（如：IM軟件、郵件等），另一類是終端側(cè)的泄露（如：U盤、移動(dòng)硬盤等外設(shè)，以及攝屏）。緊接著便基于不同的路徑進(jìn)行針對(duì)性措施加以管控，網(wǎng)絡(luò)側(cè)封堵各類即時(shí)通訊軟件發(fā)送模式，基于郵件的發(fā)送做好流量審計(jì)；終端側(cè)通過(guò)一體化終端辦公組件的加持，對(duì)接入用戶進(jìn)行認(rèn)證、殺毒和外接終端的安全監(jiān)測(cè)。同時(shí)通過(guò)暗水印的方式做好屏攝的回溯審計(jì)，有效震懾此類泄露行為。
除了對(duì)于外泄途徑的管控，辦公網(wǎng)場(chǎng)景方案還進(jìn)行了防護(hù)左移，終端用戶接入賽事AGIS專網(wǎng)之前，除了通過(guò)浙政釘進(jìn)行身份認(rèn)證以外，還通過(guò)agent進(jìn)行了終端環(huán)境的安全感知，檢查終端運(yùn)行狀態(tài)，評(píng)估運(yùn)行環(huán)境達(dá)到安全要求后，才會(huì)基于權(quán)限放開(kāi)后端應(yīng)用的訪問(wèn)。
五、數(shù)據(jù)安全監(jiān)測(cè)與審計(jì)
前面分類分級(jí)、運(yùn)維、共享交換、辦公網(wǎng)是整個(gè)亞運(yùn)安保過(guò)程中最重要的幾個(gè)細(xì)分場(chǎng)景，那如何將亞運(yùn)數(shù)據(jù)安全態(tài)勢(shì)做整體呈現(xiàn)？這時(shí)候就要發(fā)揮整體監(jiān)測(cè)審計(jì)的能力了，通過(guò)數(shù)據(jù)安全管控平臺(tái)與各數(shù)據(jù)安全探針的對(duì)接，能夠?qū)?chǎng)館側(cè)、賽事側(cè)、供應(yīng)鏈服務(wù)商側(cè)的數(shù)據(jù)安全狀態(tài)進(jìn)行一體化展示，真正的做到了數(shù)據(jù)安全風(fēng)險(xiǎn)態(tài)勢(shì)的一屏通覽。
通過(guò)數(shù)據(jù)的匯集，也可以從最前端用戶通過(guò)應(yīng)用對(duì)數(shù)據(jù)的調(diào)用動(dòng)作，到通過(guò)應(yīng)用中間件對(duì)相應(yīng)API接口發(fā)起訪問(wèn)，到最終通過(guò)SQL語(yǔ)句對(duì)于數(shù)據(jù)庫(kù)落盤數(shù)據(jù)進(jìn)行訪問(wèn)的全鏈條數(shù)據(jù)行蹤鏈進(jìn)行梳理，真正做到數(shù)據(jù)全生命周期的血緣分析，理清風(fēng)險(xiǎn)脈絡(luò)。同時(shí)數(shù)據(jù)安全管控平臺(tái)也可以通過(guò)與探針的對(duì)接，基于風(fēng)險(xiǎn)類別，一鍵下發(fā)處置策略，高效完成數(shù)據(jù)安全風(fēng)險(xiǎn)的操作閉環(huán)。
同時(shí)，安恒信息在本次云棲大會(huì)云安全產(chǎn)品板塊展出了安恒云安全的整體解決方案，通過(guò)底層等保合規(guī)、云數(shù)據(jù)安全、商用密碼、攻防實(shí)戰(zhàn)等原子能力，構(gòu)建面向公有云、私有云、混合云、行業(yè)云、邊緣云等全場(chǎng)景云安全方案。同時(shí)靈活提供安全托管服務(wù)MSS、在線SaaS安全服務(wù)的服務(wù)模式，解決客戶上云過(guò)程中的安全建設(shè)和安全運(yùn)營(yíng)問(wèn)題。
此次深度參與云棲大會(huì)，安恒云再次亮相?；谧陨砬把氐募夹g(shù)與豐富的經(jīng)驗(yàn)，安恒信息將繼續(xù)與阿里云開(kāi)展全面開(kāi)放的合作，共建安全云生態(tài)，為用戶提供更安全可靠的云安全服務(wù)。
往期精彩回顧
2023-11-03
2023-11-02
2023-11-01
