# 配置敏感数据识别任务 企业敏感数据分散存放在数据库、对象存储、云日志等各类资源中，人工核查覆盖面有限、持续性不足，无法及时摸清敏感数据全貌，存在管控盲区。怎样实现敏感数据常态化自动摸排？用户可配置敏感数据识别任务，设定扫描对象、识别规则与调度周期，自动化探测全域敏感数据，持续梳理敏感数据资产分布。 敏感数据识别支持规则匹配方式和大模型推理方式两种： - 规则匹配方式基于数据识别引擎，对其储存结构化数据（RDS、DWS等）和非结构化数据（OBS）进行扫描、分类、分级。 - 大模型推理方式是基于大模型语言能力对非结构化数据（OBS）和结构化数据（仅支持[部分数据库](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0070.html#dsc_01_0070__section1097395724118)）进行自动分级分类。 大模型推理方式处于公测阶段，目前仅部分区域支持，详细支持的区域可通过控制台查询详情。 #### 前提条件 - 已完成云资产委托授权，具体请参见[云资产委托授权/停止授权](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0051.html)进行操作。 - 已添加OBS资产或者已授权数据库/大数据资产，具体请参见[将数据资产添加至DSC并授权](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0010.html)中添加和授权资产的操作。 #### 使用建议 表1使用建议 | 事项 | 说明 | |:---|:---| | 首次扫描范围建议 | 为保障扫描效果，建议设置扫描范围，避免全量扫描，设置扫描范围详细操作请参见[添加识别范围]。可优先选定单个数据库、指定OBS存储桶或部分文件开展首轮扫描。通过缩小初始扫描范围，能够精准适配识别模板中所需启用的识别规则，高效挖掘有效敏感数据。 大型数据扫描不建议开启所有的识别规则，建议按需选择性启用，全部开启识别规则会产生大量误报或者无效的识别结果，为评估结果产生困难。开启和关闭识别规则详细操作请参见[编辑模板](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0018.html#dsc_01_0018__section1521128102415)。 | | 任务启动时间设置建议 | 建议根据自身数据资产的更新频次，合理配置识别任务，按日、周、月设定固定时段自动执行扫描并生成报告。定期扫描可精准比对增量变动数据，及时发现新增及变更内容中的敏感信息；同时也便于长期观测数据风险的变化规律，快速捕捉异常态势与风险趋势。 | #### 扫描说明 扫描说明主要为您介绍扫描任务时长、扫描机制以及扫描结果说明。 #### 扫描时长 DSC服务扫描的时长将由您所扫描数据源的数据量、扫描规则数、扫描模式决定，[表2]中提供的扫描时长仅作参考。 表2扫描时长 | 数据源 | 数据量 | 扫描模式 | 扫描时长 | |:---|:---|:---|:---| | RDS（关系型数据库） | 1000张表 | 快速扫描 | 5分钟 | | CSS（云搜索服务） | 1000Wdoc | 快速扫描 | 15分钟 | | OBS（对象存储服务） | 100M | 快速扫描 | 1分钟 | | OBS（对象存储服务） | 100M | 全量扫描 | 15分钟 | #### 扫描机制 - 系统默认任务：全量扫描目标资产中的所有的数据，按照系统默认扫描周期执行。 - 自定义识别任务：自定义识别范围，按照自定义的扫描周期对指定范围内的数据资产进行识别扫描。 #### 扫描结果 敏感识别任务的敏感等级，以当前任务所使用的识别模板中的识别模板的敏感等级决定，以命中的最高敏感等级为准。DSC的内置敏感等级有L1、L2、L3、L4，数字越大敏感等级越高，同时也支持[自定义分级](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0018.html#dsc_01_0018__section2559146181517)。N/A表示未识别到敏感数据。 #### 创建敏感数据识别任务 敏感数据识别任务包含规则匹配方式和大模型推理方式两种识别方式，请您根据需要选择合适类型的识别任务。本章节介绍如何创建传统敏感数据识别任务和大语言模型敏感数据识别任务。 - [新建规则匹配方式的分类分级任务] 1. [登录DSC服务控制台](https://console.huaweicloud.com/dsc/)。 2. 单击左上角的![](https://support.huaweicloud.com/usermanual-dsc/zh-cn_image_0000002561725755.png)，选择区域或项目。 3. 在左侧导航树中，选择"分类分级 \> 任务管理"，进入"任务管理"界面。 4. 在任务列表左上角，单击"新建任务"。 5. 在"新建任务"界面，选择"规则匹配方式"页签，参照[表3]配置相关参数。 目前仅部分区域支持大模型推理方式，详细支持的区域可通过控制台查询详情。 图1新建任务 ![](https://support.huaweicloud.com/usermanual-dsc/zh-cn_image_0000002567888019.png "点击放大") 表3新建任务参数说明 | 参数 | 说明 | |:---|:---| | 任务名称 | 您可以自定义敏感数据识别任务名称。 任务名称需要满足以下要求： - 4\~255个字符。 - 字符可由中文、英文字母、数字、下划线或中划线组成。 - 开头需为中文或者字母。 - 任务名称不能与已有的任务名称重复。 | | 数据源 | 选择识别的数据类型，可多选。 - OBS：DSC将对已添加的华为云OBS里的资产进行敏感数据识别，添加OBS资产的相关操作请参见[添加非结构化数据OBS](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0011.html)。 - 数据库：DSC将对已授权的数据库资产进行敏感数据识别，授权数据库资产的相关操作请参见[添加数据库资产并授权](https://support.huaweicloud.com/usermanual-dsc/dsc_01_3931.html)。 - 大数据：DSC将对已授权的大数据资产进行敏感数据识别，授权大数据源资产请参见[添加大数据资产并授权](https://support.huaweicloud.com/usermanual-dsc/dsc_01_3932.html)。 - LTS：DSC将对已授权的LTS资产进行敏感数据识别，添加日志流请参见[添加日志流](https://support.huaweicloud.com/usermanual-dsc/dsc_01_3904.html)。 | | 识别模板 | 选择内置模板或者自定义模板，DSC将根据您选择的模板对数据进行分级分类展示。新增模板请参见[新建模板](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0018.html#dsc_01_0018__section16995133911811)。 | | 识别范围 | 当"数据类型"选择"LTS"显示该参数，请选择识别日志范围，可选1天、2天和3天。 | | 识别灵敏度 | 当"数据类型"选择"LTS"显示该参数，请选择识别日志的灵敏度，有高、中、低三种程度供选择，灵敏度越高采样数据越多。 | | 识别周期 | 设置数据识别任务的执行策略： - 单次：根据设置的执行计划，在设定的时间内或者立即执行一次该识别任务。 - 每天：选择该选项，即在每天的固定时间执行该识别任务。 - 每周：选择该选项，即在设定的每周这一时间点执行该识别任务。 - 每月：选择该选项，即在设定的每月这一时间点执行该识别任务。 | | 识别模式 | 根据需求选择增量识别或者全量识别： - 增量识别：选择增量识别，已识别过的数据将不再进行重复识别。 - 全量识别：选择全量识别将对全部内容重新进行识别。 | | 执行计划 | "识别周期"为"单次"时，显示该选项： - 立即执行：选择该选项，单击"确定"，系统立即执行数据识别任务。 - 定时启动：在指定时间执行一次该识别任务。 | | 启动时间 | "识别周期"为"每天"、"每周"、"每月"时显示该选项： 选择识别任务执行时间。选择时间后，该任务在每天、每周、每月或者指定时间点执行此识别任务。 | | 通知主题 | - 单击下拉列表选择已创建消息通知主题或者单击"查看通知主题"创建新的主题，用于配置接收告警通知的终端。 - 如果不配置通知主题，可在识别任务列表查看识别结果，详情请参考[查看并下载敏感数据识别结果](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0071.html)。 | | 添加识别范围（可选） | "数据类型"选择具体资产后会显示该参数，单击"添加OBS识别范围"或"添加数据库识别范围"或"添加大数据识别范围"或者"添加LTS识别范围"添加资产识别范围，如果不添加默认对选择的资产进行全局扫描，添加步骤详情参见[添加识别范围]章节。 | | 开启非结构数据AI辅助识别 | "数据类型"选择OBS，选择桶资产后显示该参数。 AI辅助识别采用**自研自然语言处理引擎** 扫描进行辅助识别，实现数据处理的自动化，开启后会对内置的[支持AI辅助算法二次校验的内置规则](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0070.html#dsc_01_0070__section345215403225)进行二次确认，降低误报率。开启后可能会使得识别速度变慢。 如果上述内置规则没有匹配到敏感数据，即使勾选了"非结构数据AI辅助识别"也不会进行二次识别。 | 6. 单击"确定"，界面右上角提示新建任务成功，即识别任务创建成功。 7. 在待启动任务行的"操作"列单击"立即识别"，右上角弹框提示扫描任务开始扫描，即执行成功。 在"状态"列，可查看任务的识别进展。 - [新建大模型推理方式分类分级任务] 大模型推理方式是基于大模型语言能力对非结构化数据（OBS）和结构化数据（仅支持[部分数据库](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0070.html#dsc_01_0070__section1097395724118)）进行自动分级分类。目前仅部分区域支持大模型推理方式，详细支持的区域可通过控制台查询详情。 1. [登录DSC服务控制台](https://console.huaweicloud.com/dsc/)。 2. 单击左上角的![](https://support.huaweicloud.com/usermanual-dsc/zh-cn_image_0000002530886090.png)，选择区域或项目。 3. 在左侧导航树中，选择"分类分级 \> 任务管理"，进入"任务管理"界面。 4. 在任务列表左上角，单击"新建任务"。 5. 在"新建任务"界面，选择"大模型推理方式"页签，参照[表4]配置相关参数。 表4新建任务参数说明 | 参数 | 说明 | |:---|:---| | 任务名称 | 您可以自定义敏感数据识别任务名称。 任务名称需要满足以下要求： - 4\~255个字符。 - 字符可由中文、英文字母、数字、下划线或中划线组成。 - 开头需为中文或者字母。 - 任务名称不能与已有的任务名称重复。 | | 数据类型 | 选择识别的数据类型，仅OBS类型和部分数据库支持大模型推理方式，支持的数据库类型详情参见[大模型推理方式支持的数据源类型](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0070.html#dsc_01_0070__section1097395724118)，添加OBS资产的相关操作请参见[添加非结构化数据OBS](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0011.html)。 | | 单文件抽样比例 | 拖动滑块选择抽样比例，单文件最长扫描前2000个字符，然后再对这2000个字符进行单文件抽样，比如10%则扫描单文件200个字符。 | | 识别模板 | 选择大模型模板，DSC将根据您选择的模板使用大模型语言能力对数据进行分级分类，新增模板请参见[步骤三：新增并编辑识别模板](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0018.html#dsc_01_0018__section2693113401815)。 | | 识别周期 | 设置数据识别任务的执行策略： - 单次：根据设置的执行计划，在设定的时间内或者立即执行一次该识别任务。 - 每天：选择该选项，即在每天的固定时间执行该识别任务。 - 每周：选择该选项，即在设定的每周这一时间点执行该识别任务。 - 每月：选择该选项，即在设定的每月这一时间点执行该识别任务。 | | 执行计划 | "识别周期"为"单次"时，显示该选项： - 立即执行：选择该选项，单击"确定"，系统立即执行数据识别任务。 - 定时启动：在指定时间执行一次该识别任务。 | | 启动时间 | "识别周期"为"每天"、"每周"、"每月"时显示该选项： 选择识别任务执行时间。选择时间后，该任务在每天、每周、每月或者指定时间点执行此识别任务。 | | 通知主题（可选） | - 单击下拉列表选择已创建消息通知主题或者单击"查看通知主题"创建新的主题，用于配置接收告警通知的终端。 - 如果不配置通知主题，可在识别任务列表查看识别结果，详情请参考[查看并下载敏感数据识别结果](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0071.html)。 | | 添加识别范围（可选） | "数据类型"选择具体资产后会显示该参数，单击"添加OBS识别范围"添加资产识别范围，如果不添加默认对选择的资产进行全局扫描，添加步骤详情参见[添加识别范围]章节。 | 6. 单击"确定"，界面右上角提示创建任务成功，即识别任务创建成功。 7. 在待启动任务行的"操作"列单击"立即识别"，右上角弹框提示扫描任务开始扫描，即执行成功。 在"状态"列，可查看任务的识别进展。 - [添加识别范围] DSC默认对选择的资产进行全局扫描，您也可以参考本章节的内容添加具体的扫描范围。 1. [登录DSC服务控制台](https://console.huaweicloud.com/dsc/)。 2. 单击左上角的![](https://support.huaweicloud.com/usermanual-dsc/zh-cn_image_0000002561725755.png)，选择区域或项目。 3. 在左侧导航树中，选择"分类分级 \> 任务管理"，进入"任务管理"界面。 4. 单击"新建任务"，进入"新建任务"界面。 5. 选择"数据类型"并选择具体扫描资产名称，单击"确定"。 6. 在新建识别任务界面左下角单击添加识别范围，进行扫描范围配置，可以同时添加多项识别范围，参数配置如[表5]所示。 表5扫描范围配置参数说明 | 资产类型 | 配置参数 | 说明 | |:---|:---|:---| | OBS | 资产 | 单击下拉框选择需要扫描的桶，支持多选。 | | OBS | 扫描范围配置 | - "文件名前缀"：如：将文件名前缀为*dsc_* 添加为包含条件时，就会扫描所有前缀为*dsc_* 的文件。 文件名前缀的包含条件最多只能添加1个。 - "文件名后缀"：文件名后缀包括"."后面的文件类型，如：*dsc_security.txt* 后缀可以是*security.txt* 或者.txt等所有条件为组合关系，只扫描满足所有筛选条件的文件。 文件名后缀的包含条件最多只能添加1个。 - "目录名"：扫描指定目录名下的所有文件。 目录名包含条件最多只能添加1个。 填写文件名前缀/后缀/目录名称后，单击"添加为包含条件"将其添加为包含条件。单击"添加为不包含条件"将其添加为不包含条件。 如：选择"文件名前缀"，输入前缀为*dsc_* ，单击"添加为包含条件"，添加到包含条件，扫描时只会对文件名前缀为*dsc_* 的文件进行扫描。如果单击"添加为不包含条件"，添加到不包含条件，则扫描时只会扫描前缀除了*dsc_*以外的文件。 | | OBS | 扫描深度 | - "全局扫描"：如果选择全局扫描是对指定范围内的全部数据进行扫描。 - "指定扫描范围"：选择"指定扫描范围"，输入扫描深度值，根目录深度为1，依次类推，根目录深度值不能超过10。 | | 数据库/大数据/MRS | 资产 | 单击下拉框选择实例名称，支持多选。 | | 数据库/大数据/MRS | 扫描范围配置 | - "前缀"：前缀的包含条件最多只能添加1个。如：输入前缀为*dsc_* 时，单击"添加为包含条件"添加为包含条件后就会只扫描表名前缀为*dsc_* 的表数据。如果单击"添加为不包含条件"添加为不包含条件就只扫描表名前缀除*dsc_*以外的表数据。 - "后缀"：后缀的包含条件最多只能添加1个。原理如同表名前缀所示。 | | LTS | 资产 | 单击下拉框选择实例名称，支持多选。 | | LTS | 扫描范围配置 | - "key前缀"：添加为包含条件会扫描包含该key前缀的日志内容。添加为不包含条件会扫描除该key前缀的日志内容。 - "key后缀"：原理如同key前缀所示。 说明： - key前缀和key后缀最多可各添加1个包含条件。 - key前缀和key后缀总共可以添加10个不包含条件。 | 图2扫描范围配置 ![](https://support.huaweicloud.com/usermanual-dsc/zh-cn_image_0000002561726015.png "点击放大") #### 相关操作 - **编辑任务**：在目标任务"操作"列单击"更多 \> 编辑"进入"编辑任务"界面，编辑和修改任务内容。 - **停止任务**：如果您需要停止正在执行的任务，请在目标任务"操作"列，单击"停止"。 - **关闭任务**：如果需要关闭定时任务，请在目标任务"操作"列，选择"更多 \> 关闭任务"。 - **删除任务** ： 如果识别任务正在运行，需先停止任务或者待任务识别完成后再执行删除操作。删除操作无法恢复，请谨慎操作。 1. 在目标任务"操作"列单击"更多 \> 删除"。 2. 如果需要将该任务对应的识别结果及资产目录中的分类分级结果信息清除，请打开"是否同步清除资产透视中对应资产的识别结果（非结构化数据默认清除资产透视对应资产的识别结果）？"开关。 3. 单击"确定"。 #### 相关文档 - **查看识别结** **果** ：待敏感数据识别任务执行成功后，可单击任务"操作"列的"识别结果"查看敏感数据识别结果，识别结果支持线上查看同时也支持下载到本地查看，详细操作请参见[查看并下载敏感数据识别结果](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0071.html)。 - 了解DSC支持哪些识别模板以及如何配置识别规则，可参见[配置敏感数据识别规则](https://support.huaweicloud.com/usermanual-dsc/dsc_01_0018.html)。