数据资产保护概述

可以按照脱敏规则一次性完成大批量数据的变形转换处理，静态脱敏通常用在将生产环境中的敏感数据交付至开发、测试或者外发环境的情况使用，适用于开发测试、数据分享、数据研究等场景。您可以通过DSC控制台创建脱敏任务，快速实现对数据库、大数据以及OBS的脱敏。

图1 静态脱敏操作流程

数据水印支持数据库、文档以及图片类型，如果对分发的数据添加水印，当信息泄露时，您可以第一时间从泄露的数据中提取水印标识。通过读取水印标识，可以追溯数据流转过程，精准定位泄露单位及责任人，实现数据溯源追责。对分发的数据添加水印，不会影响分发数据的正常使用。

图2 数据水印操作流程

数据库安全审计基于大数据分析技术，提供数据库审计，SQL注入攻击检测，风险操作识别等功能，保障云上数据库的安全。功能特性描述如表5所示。

详细功能介绍及使用请参见DBSS功能特性和DBSS用户指南。

数据库加密与访问控制是一款基于网关代理加密技术，实现敏感数据加密存储的数据库安全防护产品。

系统作为代理加密网关，部署在数据库和客户端应用程序之间，任何访问都需要经过该网关，从而实现数据加密和访问控制功能。系统组网场景如下图3所示。

图3 组网方式

• 数据加密

  系统支持对数据进行加密和完整性校验，满足等保、分保等评测要求，同时也满足商用密码系统应用与安全性评估的存储数据完整性和机密性保障的评测要求。

  • 加密算法：支持AES算法和SM4国密算法。
  • 完整性校验算法：支持AES-GCM算法和SM3-HMAC算法。
• 访问控制

  系统具有独立于数据库的访问授权机制，拥有合法访问权限可以访问加密数据，非授权用户无法访问加密数据，从而有效防止管理员越权访问及黑客拖库。

  系统支持系统管理员，安全管理员，审计管理员的三权分立管理，增强数据库使用的安全合规性。

• 使用场景

  数据库加密与访问控制可以满足合规要求，同时可以满足数据库敏感数据防护需求。

  满足国家评测的合规要求

  应用系统本身会根据用户的权限对数据进行处理，对于遗留系统（旧系统无法再做升级改造）以及开发时未考虑《网络安全法》中要求的个人隐私保护问题，如果重新更改代码过于复杂，需要依赖于外部技术实现数据的隐私保护。

  通过数据库加密与访问控制能够实现数据库的加密，满足各项法律法规。

  满足数据库敏感数据防护需求

  数据库加密与访问控制可以有效解决因数据库管理员DBA等高权限账号密码泄漏所导致的数据泄漏问题，同时也可防止因外部APT攻击或内部管理失当导致的数据库文件被下载、复制等数据泄漏风险，满足数据库的敏感数据防护需求。

  数据库加密与访问控制的主要功能如表6所示。

  表6 功能介绍

  功能名称	功能描述
  资产管理	支持数据库资产的增删改查以及数据源连通性测试，并支持数据库读写分离配置、加密模式配置、返回值配置、账号权限检测。
  敏感数据发现	支持敏感数据扫描、敏感数据类型管理、敏感数据行业模板管理。
  业务测试	支持业务仿真测试，模拟是否可以正常加解密；支持在加密前接入网络进行业务SQL流量分析，定位出加密后可能执行异常的SQL，并生产分析报表。
  数据加密	在数据加密模块对加密与解密队列管理，支持对客户端和数据库用户授权限制用户访问，查看并下载加密日志、回滚表结构、管理加密表、下载bypass插件。
  动态脱敏	支持对敏感数据配置脱敏算法，对明文数据进行动态脱敏展示。
  密钥管理	支持三级密钥算法、密钥来源配置、密钥(DSK)周期轮转更新，支持配置KMS对接，密钥记录查看与密钥检索。
  平台管理	在平台管理模块对系统进行基础网卡与路由配置、系统升级、配置数据的备份与恢复、查看应用访问记录、安全口令配置等管理操作。
  系统管理	系统管理模块支持对平台使用用户进行维护，包括账号的管理、组织架构管理、角色的管理、账号的审核等，同时支持对系统各类消息进行查看与管理。 展示设备状态，管理设备，对系统内核、CPU、硬盘等使用情况进行诊断、进行系统升级、系统安全配置等。
  日志管理	支持查看与检索系统所有操作行为的日志信息。

云堡垒机（Cloud Bastion Host，CBH）是华为云的一款4A统一安全管控平台，为企业提供集中的账号（Account）、授权（Authorization）、认证（Authentication）和审计（Audit）管理服务。

云堡垒机提供云计算安全管控的系统和组件，包含部门、用户、资源、策略、运维、审计等功能模块，集单点登录、统一资产管理、多终端访问协议、文件传输、会话协同等功能于一体。通过统一运维登录入口，基于协议正向代理技术和远程访问隔离技术，实现对服务器、云主机、数据库、应用系统等云上资源的集中管理和运维审计。

功能特性请参见如下内容，详细功能介绍及使用请参见CBH功能特性和CBH用户指南。

• 身份认证

  采用多因子认证和远程认证技术，加强用户身份认证管理。

  • 引用多因子认证技术，包括手机短信、手机令牌、USBKey、动态令牌等方式，安全认证登录用户身份，降低用户账号密码风险。
  • 对接第三方认证服务或平台，包括AD域、RADIUS、LDAP、Azure AD远程认证，支持远程认证用户身份，防止身份泄露。并支持一键同步AD域服务器用户，复用原有用户部署结构。

• 账户管理

  集中管理系统用户和资源账号信息，对账号全生命周期建立可视、可控、可管运维体系。

  • 用户账号管理：系统用户账号全生命周期管理，用户使用唯一账号登录系统，解决共享账号、临时账号、滥用权限等问题。
  • 资源账户管理：集中资源账户管理，资源账户全生命周期管理，实现单点登录资源，管理或运维无缝切换。

• 权限控制

  集中管控用户访问系统和资源的权限，对系统和资源的访问权限进行细粒度设置，保障了系统管理安全和资源运维安全。

  • 系统访问权限：从单个用户账号属性出发，控制用户登录和访问系统权限。
  • 资源访问权限：按照用户、用户组与资源账户、账户组之间的关联关系，建立用户对资源的控制权限。

• 操作审计

  基于用户身份系统唯一标识，从用户登录系统开始，全程记录用户在系统的操作行为，监控和审计用户对目标资源的所有操作，实现对安全事件的实时发现与预警。

  • 系统行为审计：系统操作行为全纪录，针对操作失误、恶意操作、越权操作等行为告警通知。
  • 资源运维审计：全程记录用户的运维操作，支持多种运维审计技术和审计形式，可随时审计用户操作行为，识别运维风险，为安全事件追溯和分析提供依据。

• 高效运维

  通过多种架构运维、多种运维资源、多种运维工具、多种运维形式的接入，全面提升运维效率。

  • Web浏览器运维：HTML5远程登录资源，无需安装客户端，一键登录运维资源，实现操作实时监控、文件上传下载等运维管理。
  • 第三方客户端运维：在不改变用户使用原来客户端习惯的前提下，支持一键接入多种运维工具，提升运维效率。
  • 自动化运维：线上多步骤复杂操作自动化执行，告别枯燥的重复工作，提高工作效率。

• 工单申请

  系统运维用户在运维过程中，遇到需运维资源而无权限情况，可提交系统工单申请资源控制权限，寻求管理人员授权审批。

  • 系统运维人员
    • 通过手动或自动触发工单系统，提交访问授权工单、命令授权工单、数据库授权工单申请权限。
    • 支持提交工单、查询工单、撤销工单、删除工单等功能。
  • 系统管理人员
    • 通过自定义审批流程，支持多级审批。
    • 支持批准单个工单、批量批准工单、驳回工单、撤销工单、查询工单、删除工单等功能。

API数据安全防护具有对web应用系统、API（Application Programming Interface，应用程序接口）服务进行请求接口自动梳理能力，实现对敏感数据的自动发现，敏感数据资产的可视展现，基于用户、接口、账号的数据授权，达成应用和API的细粒度数据访问控制、应用请求结果的动态数据脱敏、针对网页结果的数字水印、数据泄露的安全防护与全程溯源，以及应用访问安全日志审计与风险识别、态势分析等数据安全功能，为应用系统的业务数据合规正常使用和流转提供数据安全保障。

详细功能介绍如表1所示。