數(shù)據(jù)安全治理關(guān)鍵技術(shù)之?dāng)?shù)據(jù)庫脫敏技術(shù)詳解
數(shù)據(jù)安全治理之API監(jiān)測系統(tǒng) ,解決API接口安全問題【安華金和】
新一代數(shù)據(jù)庫脫敏技術(shù),為敏感數(shù)據(jù)建立保護盾!
數(shù)據(jù)庫脫敏系統(tǒng)與金融行業(yè)案例解讀
數(shù)據(jù)安全治理建設(shè)思路的著力點——數(shù)據(jù)安全咨詢服務(wù)【安華金和】
數(shù)據(jù)庫防火墻功能有哪些?-數(shù)據(jù)安全-安華金和
數(shù)據(jù)安全關(guān)鍵技術(shù)之?dāng)?shù)據(jù)庫脫敏技術(shù)詳解【安華金和】
中國數(shù)據(jù)安全治理落地指導(dǎo)書籍《數(shù)據(jù)安全治理白皮書5.0》正式發(fā)布(附下載)
數(shù)據(jù)脫敏(DM)是一種技術(shù),旨在通過向用戶提供高度仿真的數(shù)據(jù),而不是真實和敏感的數(shù)據(jù),同時保持其執(zhí)行業(yè)務(wù)流程的能力,從而防止濫用敏感數(shù)據(jù)。
數(shù)據(jù)和關(guān)系發(fā)現(xiàn)
相同的敏感數(shù)據(jù)類型可能存在于同一數(shù)據(jù)庫的多個表以及整個組織中的其他數(shù)據(jù)庫中。如果需要脫敏,則應(yīng)將其應(yīng)用于所有所需表和數(shù)據(jù)庫中的所有數(shù)據(jù)實例。正確保持這些關(guān)系對于存儲脫敏數(shù)據(jù)的數(shù)據(jù)庫和使用脫敏數(shù)據(jù)的應(yīng)用程序是至關(guān)重要的。
脫敏規(guī)則定義
應(yīng)在一個“中央儀表盤”中定義數(shù)據(jù)脫敏規(guī)則,以便跨多個交叉引用的數(shù)據(jù)庫實現(xiàn)這些規(guī)則的全面應(yīng)用。這確保了脫敏的一致性,以及節(jié)省時間和資源。與對每個數(shù)據(jù)庫分別定義和應(yīng)用脫敏規(guī)則相比,這種方法也是更為有效的,以此確保在相互引用的數(shù)據(jù)庫中的被脫敏的數(shù)據(jù)的一致性。
脫敏操作與管理
數(shù)據(jù)脫敏產(chǎn)品應(yīng)提供工具來管理脫敏數(shù)據(jù)的完整生命周期:
部署脫敏規(guī)則
計劃或觸發(fā)脫敏作業(yè)
監(jiān)控SDM(靜態(tài)脫敏)或DDM(動態(tài)脫敏)操作的性能
在解決方案架構(gòu)(服務(wù)器,設(shè)備,插件,代理等)的不同組件中部署脫敏規(guī)則的功能可以顯著減少管理工作量,并保持實時的變化同步從而提高解決方案的可靠性。所有這些組件的工作狀態(tài)也應(yīng)該是可見的,并且在發(fā)生故障時產(chǎn)生警報,以防止安全漏洞或其他業(yè)務(wù)操作的負面影響。
脫敏工作調(diào)度和管理是可調(diào)用,提供對外開放的API或服務(wù)也是很重要的。
監(jiān)控解決方案的性能,對于檢測可能影響脫敏作業(yè)耗時的數(shù)據(jù)規(guī)?;蛟L問方法,以及脫敏耗時的趨勢也很重要,或者監(jiān)控DDM(動態(tài)脫敏)中高于用戶預(yù)期的長時間滯后響應(yīng)的行為。
合規(guī)報告
數(shù)據(jù)脫敏工具應(yīng)能夠?qū)γ舾袛?shù)據(jù),數(shù)據(jù)依賴關(guān)系和應(yīng)用脫敏技術(shù)等信息形成報告。此外,他們應(yīng)該能夠跨多個數(shù)據(jù)源跟蹤和報告脫敏的數(shù)據(jù)。
報告可以檢測到無意中發(fā)生的錯誤,發(fā)現(xiàn)未被脫敏的易受攻擊的數(shù)據(jù)以及在各種數(shù)據(jù)庫中發(fā)現(xiàn)交叉引用的數(shù)據(jù)。它還將反映對于特定數(shù)據(jù)不夠安全的脫敏技術(shù)。報告增加了企業(yè)的審計準(zhǔn)備,并且證明了所有適用的政策是由內(nèi)部或外部要求(如PCI DSS,HIPAA或GDPR)所驅(qū)動的。報告可視化脫敏結(jié)果,使開發(fā)人員/測試人員和審核員更加透明。
靜態(tài)數(shù)據(jù)脫敏(SDM)
SDM用于對開發(fā)或測試中的數(shù)據(jù)集而不是生產(chǎn)中的數(shù)據(jù)集。數(shù)據(jù)在使用之前被脫敏,因此數(shù)據(jù)在存儲和隨后的使用或傳播過程中受到保護。它最經(jīng)常實現(xiàn)為手動啟動,按計劃或由應(yīng)用程序驅(qū)動的批處理。脫敏行為也可以是數(shù)據(jù)復(fù)制或復(fù)制虛擬化層的一部分,從而導(dǎo)致目標(biāo)環(huán)境中的靜態(tài)數(shù)據(jù)集被脫敏。
SDM還可用于創(chuàng)建與真實數(shù)據(jù)一起使用的脫敏數(shù)據(jù)副本,以動態(tài)管理對不同用戶組的數(shù)據(jù)庫視圖的訪問。結(jié)果類似于DDM,但是當(dāng)需要訪問脫敏后的大數(shù)據(jù)集時,比起DDM性能影響大大降低了 (以增加的存儲空間為代價),因為數(shù)據(jù)已經(jīng)被脫敏過了。這種方法主要適用于分析和大數(shù)據(jù)環(huán)境,因為不是所有的應(yīng)用程序都可以支持創(chuàng)建額外的視圖和結(jié)構(gòu)來存儲被脫敏的數(shù)據(jù)。
SDM是一個相對成熟的市場,與測試數(shù)據(jù)管理和數(shù)據(jù)管理市場密切相關(guān)。SDM主要用于在以下情況下保護數(shù)據(jù):
應(yīng)用程序開發(fā)和測試 - 在用戶需要代表性數(shù)據(jù)但不需要查看真實數(shù)據(jù)的開發(fā)和測試環(huán)境中保護數(shù)據(jù)并減少合規(guī)范圍
數(shù)據(jù)發(fā)布和共享 - 生成身份識別數(shù)據(jù),供各方交換或出版
商業(yè)智能(BI)和分析 - 保護業(yè)務(wù)分析應(yīng)用或用戶所需的數(shù)據(jù)庫,倉庫和大數(shù)據(jù)環(huán)境中的數(shù)據(jù),其中一些或所有用戶需要被阻止查看真實數(shù)據(jù)
動態(tài)數(shù)據(jù)脫敏(DDM)
DDM在應(yīng)用程序或個人根據(jù)授權(quán)訪問數(shù)據(jù)時,實時進行脫敏操作。原始敏感數(shù)據(jù)駐留在存儲庫中,并且在應(yīng)用程序訪問時按策略授權(quán)進行數(shù)據(jù)提供。沒有權(quán)限訪問敏感信息的用戶和應(yīng)用程序提供了脫敏數(shù)據(jù)。DDM不會更改底層存儲庫中的數(shù)據(jù)。
DDM操作可以在不同的應(yīng)用層進行。大多數(shù)商業(yè)解決方案在本地(例如,關(guān)系數(shù)據(jù)庫管理系統(tǒng)[RDBMS]內(nèi)核的一部分)或者通過代理(作為數(shù)據(jù)庫和應(yīng)用程序之間的代理),或者在應(yīng)用程序服務(wù)器級別脫敏數(shù)據(jù),作為一個插件,或通過在不同層級的API。其他實現(xiàn)形式也存在,例如,在展現(xiàn)層或消息傳遞層。數(shù)據(jù)的訪問權(quán)限所依賴的訪問者身份和和上下文信息,對于不同的目標(biāo)應(yīng)用程序體系結(jié)構(gòu)而有所不同。一些解決方案將應(yīng)用程序主機或終端設(shè)備也作為上下文,但脫敏動作依然是通過代理或類似代理的服務(wù)執(zhí)行脫敏。
這些解決方案的每種都需要對客戶環(huán)境進行不同程度和類型的更改,以實現(xiàn)與現(xiàn)有數(shù)據(jù)安全層(例如加密)的兼容性。而且,即使不需要代碼更改的解決方案,也將對受保護系統(tǒng)的應(yīng)用程序生命周期管理產(chǎn)生影響。
DDM主要用于在以下情況下保護數(shù)據(jù):
業(yè)務(wù)應(yīng)用程序 – 對于業(yè)務(wù)應(yīng)用程序訪問生的產(chǎn)數(shù)據(jù)庫和倉庫中的數(shù)據(jù),對于某些用戶需要防止其查看真實數(shù)據(jù)。
BI和分析 -對于在業(yè)務(wù)分析環(huán)境下,存儲在數(shù)據(jù)庫、數(shù)據(jù)倉庫中的大量數(shù)據(jù),需要防止某些用戶看到真正的數(shù)據(jù)。
DDM還可用于應(yīng)用程序開發(fā)和測試環(huán)境,其中某些授權(quán)戶需要查看真實數(shù)據(jù)或環(huán)境特性(例如,刷新頻率要求)會阻止SDM的有效使用。
非結(jié)構(gòu)化和半結(jié)構(gòu)化數(shù)據(jù)改寫
組織可以使用數(shù)據(jù)改寫技術(shù)保護敏感的非結(jié)構(gòu)化(PDF,Excel文件,文本文件,日志文件等)和半結(jié)構(gòu)化(XML,JSON等)內(nèi)容。數(shù)據(jù)脫敏供應(yīng)商對數(shù)據(jù)改寫的需求不如關(guān)系數(shù)據(jù)平臺和數(shù)據(jù)平臺的SDM和DDM需求強勁,但許多廠商都有能力:
存儲在RDBMS,大型數(shù)據(jù)平臺或文件系統(tǒng)中的結(jié)構(gòu)化和半結(jié)構(gòu)化數(shù)據(jù)
通過日志文件或服務(wù)中的應(yīng)用程序來處理敏感數(shù)據(jù)的擴散
支持的文件格式通常限于PDF,Microsoft Office文件和純文本格式,例如CSV,XML,JSON和各種日志文件。脫敏供應(yīng)商支持的非結(jié)構(gòu)化數(shù)據(jù)改寫用例通常具有明確的系統(tǒng)和數(shù)據(jù)所有權(quán)結(jié)構(gòu)。具有復(fù)雜數(shù)據(jù)所有權(quán)和使用模式的共享存儲庫中的非結(jié)構(gòu)化數(shù)據(jù)的數(shù)據(jù)改寫可能難以用DM產(chǎn)品實現(xiàn)。
基于研發(fā)團隊對數(shù)據(jù)庫的深入理解,安華金和數(shù)據(jù)庫脫敏系統(tǒng)(DBMasker)2016年面市,具有四大特點:1、便捷易用的自動發(fā)現(xiàn);2、智能高效的數(shù)據(jù)梳理;3、高適應(yīng)性的方案配置;4、完善而靈活的任務(wù)管理。從上市至今,安華金和數(shù)據(jù)庫脫敏系統(tǒng)已經(jīng)在政府、金融、社保、軍工、能源、教育、醫(yī)療等眾多行業(yè)積累了廣泛用戶,并得到了用戶的一致認可和好評。
讓用戶自由而放心的使用敏感數(shù)據(jù),安華金和一直在努力。