专栏首页FreeBuf数据安全实践之数据资产管理

数据安全实践之数据资产管理

前言

在企业安全建设中,资产管理是很多安全工作的基础。而数据资产管理可以帮助我们更准确的发现安全风险,执行更有效的控制措施,在数据安全体系化建设中也有着举足轻重的作用。

数据安全视角的数据资产

整体架构与价值

数据资产管理主要分为三部分:数据采集,数据整合与识别,数据使用

数据调取,访问的权限管控,根据数据目录,数据负责人,建立管控流程 识别重要数据系统,接口,推进安全防护项目,包括数据加密,脱敏,认证,日志等改造 数据泄露事件的告警,溯源,审计,提供基础数据和综合分析平台

数据资产收集

数据一般在数据库,文件中静态存储,也通过应用,工具等方式进行流转。

1.数据类型和数据分布的收集

(1)全内网网络扫描识别数据库服务器IP、端口、服务类型

nmap -sP 获取存货主机

nmap -sV -iL [nmaptest.txt]  数据库端口服务发现

(2)DBA或者运维申请数据库查询权限,如DBA有管理平台或相关数据,也可以直接对接收集数据

(3)获取数据结构和数据类型

获取库名:

$SQL = 'show databases';

获取表明:

SELECT
   table_name    获取表明
FROM
 INFORMATION_SCHEMA.COLUMNS

获取表结构(字段,数据类型,注释):

SELECT
  COLUMN_NAME 列名,
  COLUMN_TYPE 数据类型,
  DATA_TYPE 字段类型,
 CHARACTER_MAXIMUM_LENGTH 长度,
  IS_NULLABLE 是否为空,
  COLUMN_DEFAULT 默认值,
  COLUMN_COMMENT 备注
FROM
 INFORMATION_SCHEMA.COLUMNS
where
-- db为数据库名称,到时候只需要修改成你要导出表结构的数据库即可
-- table_schema ='db'

(4)数据样本信息获取

每个库表获取10-20条样本数据

select * from [table] limit 0,20 

获取20条样本,也可以根据需要调整阈值

2.数据所属应用,应用数据接口

应用一般从CMDB或公司的资产管理平台中获取,注意的是需要有一个唯一标识将应用和数据库进行关联。

应用数据接口可以通过网络流量分析获取流量中所有被访问接口URL。

提取URL和HOST加入资产列表

Request判断是否是敏感请求

Resbonse判断是否是敏感请求

数据分级分类

等级划分一般企业为四级分发,L1-L4级。L1为***息,L2位秘密信息(或内部公开),L3为保密信息,L4为绝密信息。

针对不同的数据类型设定密级,根据公司情况信息密级可能不同:

L4:如生物识别信息,密码,公司重大计划或战略数据等 L3:如电话,住址,画像,个人喜好等 L2:如姓名,国籍,日常统计数据等 L1:昵称,公开评论,已发布公告等

数据资产管理中阈值数据分级分类字典,如:

数据标签

数据分类

数据分级

手机号

用户数据

L3

用户画像

用户数据

L3

员工工资

公司数据

L3

昵称

用户数据

L0

敏感数据识别

1.结构化数据敏感数据识别

基于关键字的敏感数据打标:通过字段名称,注释信息

基于正则的敏感数据打标:通过样本数据

基于机器学习的敏感数据打标:整个表中所有字段名,样本数据,与其他表的相似度进行训练

如对账号字段打标:

  var i= fieldName.toLowerCase().indexOf("user");
  var j = fieldName.toLowerCase().indexOf("id");
  var a = fieldDesc.indexOf("登录名");
  var b = fieldDesc.indexOf("用户名");
  var rexEmail =/[0-9a-zA-Z\_\.]{1,19}@[0-9a-zA-Z\_\.]{1,23}\.[com,cn,net,org,edu,gov,hk,tw]{1,3}/;
  var rexMobile = /((^1(3|8)\d{9})|(^(14(5|7|9)|17[0135678]|15[012356789]|19[89]|16[6])\d{8}))$/;
  return ((rexEmail.test(fieldValue) || rexMobile.test(fieldValue)) && (i != -1 ||j != -1))||(a!= -1 ||b != -1);

2.敏感数据接口识别

从流量中获取数据包对response的body内容进行数据解析:

通过正则提取是否含有批量敏感数据,如匹配***,手机号等。

通过格式化body内容,并匹配关键字可以进一步提升识别率和检出率。

如果匹配到敏感数据,提升准确率可适当调证匹配个数阈值,提取request中的url加入敏感数据接口,并获取域名,数据类型,统计访问量等信息。

3.文件等数据

采用DLP产品对文件进行识别和审计

文件系统,邮件系统,办公终端,移动终端等。

数据资产应用场景

场景一:敏感数据接口监控和日志审计

监控非授权访问,过度权限,高频获取数据 建立人员行为画像,对行为进行风险评分

场景二:数据访问权限申请

线上系统/应用间数据调取的权限控制 人员从应用内,DB,大数据平台访问/导出数据的权限控制

场景三:数据泄露事件溯源

人员行为画像,系统数据画像分析数据源 数据接口的访问日志/流量溯源 通过数据资产分布溯源

*本文原创作者:Alkaid13 ,本文属于FreeBuf原创奖励计划,未经许可禁止转载

本文分享自微信公众号 - FreeBuf(freebuf),作者:Alkaid13

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2020-02-07

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 2020年三大网络安全预测:企业将通过并购活动收集数据并将其武器化

    2020年及以后,安全和风险专业人士将发现,网络安全决策会具备前所未有的社会影响力。我们生活、学习和社交都越来越依赖于技术,而这种依赖性也使技术成为攻击目标。

    FB客服
  • 大数据安全保护思考

    大数据安全保护思考 随着大数据时代的来临,企业数据开始激增,各种数据在云端、移动设备、关系型数据库、大数据库平台、pc端、采集器端等多个位置分散。对数据安全来说...

    FB客服
  • GDPR重点条例分析

    2018年,欧盟发布实施了GDPR,一时间引起了轩然大波,先后一些科技巨头公司纷纷被控诉举报违反GDPR,遭到罚款处罚。本文主要是结合条例和日常工作,做一个简单...

    FB客服
  • 大佬专访盘点 | 我在大数据领域创业的那些事儿!

    2016年刚刚过去,这注定是被铭记的一年。在这一年里,数据猿采访了七十多位大数据领域专家、学者以及创业者。他们用理念和实践推动着中国大数据产业发展。 我们对这些...

    数据猿
  • 大佬专访盘点 | 我在大数据领域创业的那些事儿!

    2016年刚刚过去,这注定是被铭记的一年。在这一年里,数据猿采访了七十多位大数据领域专家、学者以及创业者。他们用理念和实践推动着中国大数据产业发展。 我们对这些...

    数据猿
  • 西贝两万员工待业,海底捞日亏近1亿!疫情期间,活下来的企业都做对了什么?

    从1月23日武汉封城到4月8日解禁,这次新冠肺炎疫情让中国线下企业停摆超过两个月。

    大数据文摘
  • 大麦网周宇红:用大数据打破票务行业的天花板

    “每天一个数据”分析师新一期内容奉上,请享用~ 采访 | Penny 整理 | Sophie 转载请注明来自CDA数据分析师 否则小编将举报到底! 人物档案 周...

    CDA数据分析师
  • 后Excel时代,如何变身讲述“数据故事”的高手?

    作者 CDA编译团队 如何看待数据分析师这项职业? CDA记者:如今, 数据分析师是一个很热门的职业,薪资水平普遍很高。很多人也因为高薪,纷纷向数据分析师发展...

    CDA数据分析师
  • 凯哥讲数据原生架构:Rise of Data Native Architecture(一)

    我一直在思考信息化时代和数字化时代的区别,从流程驱动到数据驱动的数字化转型,无数的现象告诉我,这个世界是由无数的数据模型构成的,万物互联,所有的一切都可以用...

    凯哥
  • “数据货币化”战略的五大要素

    当今,在认知计算时代下的数字化商业模型中,数据带来了新的收入流。如果一个公司能够高效地利用数据,那么认知计算学就能为其带来额外的收入流。 在大数据中,我们称之...

    灯塔大数据

扫码关注云+社区

领取腾讯云代金券