# OBS数据安全防护最佳实践
本文介绍如何使用数据安全中心（DSC），对OBS中存储的敏感数据进行识别、分类分级和保护。
#### 背景信息
敏感数据主要包括个人隐私信息、密码、密钥、敏感图片等高价值数据，这些数据通常会以不同的格式存储在您的OBS桶中，一旦发生泄漏，会给企业带来重大的经济和名誉损失。
DSC在您完成数据源识别授权后，从您存储在OBS的海量数据中快速发现和定位敏感数据，对敏感数据分类分级并统一展示，同时追踪敏感数据的使用情况，并根据预先定义的安全策略，对数据进行保护和审计，以便您随时了解OBS数据资产的安全状态。
#### 应用场景
- 敏感数据识别 OBS中存储了大量的数据与文件，但无法准确获知这些OBS数据中是否包含敏感信息以及敏感数据所在的位置。
  您可以使用DSC内置算法规则，或根据其行业特点自定义规则，对其存储在OBS中的数据进行整体扫描、分类、分级，并根据结果做进一步的安全防护，如利用OBS的访问控制和加密功能等。
  
- 异常检测和审计
  DSC可检测敏感数据相关的访问、操作、管理等异常，并提供告警提示信息，用户可以对异常事件进行确认和处理。通常情况下，以下行为均被视为异常事件：
  - 非法用户在未经授权的情况下对敏感数据进行了访问、下载。
  
  - 合法用户对敏感数据进行了访问、下载、修改、权限更改、权限删除。
  
  - 合法用户对敏感数据的桶进行权限更改、权限删除。
  
  - 访问敏感数据的用户登录终端异常等情况。
    
 
#### 操作步骤
1. [购买数据安全中心服务](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0008.html)。
2. 在左侧导航栏中，选择"资产中心 \> 资产管理"，进入"资产管理"界面。
3. 单击"云资产授权"旁边的"修改"，进入"云资产委托授权"页面。
4. 在OBS资产所在行的"操作"列，单击![](https://support.huaweicloud.com/bestpractice-dsc/zh-cn_image_0000002046162972.png)开启授权。
5. 添加OBS资产，具体的操作请参见[添加OBS资产](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0011.html)。
6. 在左侧导航树中，选择"分类分级 \> 任务管理"，单击"新建任务"，配置敏感数据的扫描任务。 
   "数据类型"选择[5]中添加的OBS资产，其他配置请参见[创建敏感数据识别任务](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0028.html)。
   表1新建任务参数说明 
   | 参数   | 说明                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                      | 取值样例          |
   |:---|:---|:---|
   | 任务名称 | 您可以自定义敏感数据识别任务名称。 任务名称需要满足以下要求： - 4\~255个字符。  - 字符可由中文、英文字母、数字、下划线或中划线组成。  - 开头需为中文或者字母。  - 任务名称不能与已有的任务名称重复。   | Test_OBS      |
   | 数据源  | 选择"OBS"。 DSC将对已添加的华为云OBS里的资产进行敏感数据识别。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                     | OBS           |
   | 识别模板 | 选择内置模板或者自定义模板，DSC将根据您选择的模板对数据进行分级分类展示。添加模板请参见[配置敏感数据识别策略](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0018.html)章节中的"新建识别模板"的内容。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                              | 通用云数据安全分类分级模板 |
   | 识别周期 | 设置数据识别任务的执行策略： - 单次：根据设置的执行计划，在设定的时间执行一次该识别任务。  - 每天：选择该选项，即在每天的固定时间执行该识别任务。  - 每周：选择该选项，即在设定的每周这一时间点执行该识别任务。  - 每月：选择该选项，即在设定的每月这一时间点执行该识别任务。                                                                                                             | 单次            |
   | 执行计划 | "识别周期"为"单次"时，显示该选项： - 立即执行：选择该选项，单击"确定"，系统立即执行数据识别任务。  - 定时启动：在指定时间执行一次该识别任务。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                | 立即执行          |
      
   
   
7. 单击目标任务"操作"列的"识别结果"查看识别结果。 
   在页面左上角，识别任务名称选择Test_OBS、资产类型选择OBS、资产名称选择全部资产，筛选OBS敏感数据识别结果。
   
   
8. 在目标扫描对象所在行的"操作"列，单击"详情"，进入"分类分级结果详情"弹框，如[图1]所示。
   
   图1分类分级结果详情
   ![](https://support.huaweicloud.com/bestpractice-dsc/zh-cn_image_0000002585477948.png)
   
   1. 在异常告警列表中，根据风险等级查看异常情况，排查是否存在高风险事件。具体操作请参见[OBS使用审计](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0024.html)。
   
   2. 在OBS控制台，针对存在风险的桶或文件，修改读写权限。具体操作请参见[桶策略](https://support.huaweicloud.com/perms-cfg-obs/obs_40_0004.html)。