摘　要

沒(méi)有數(shù)據(jù)安全就沒(méi)有國(guó)家安全，數(shù)據(jù)安全治理作為數(shù)據(jù)安全體系重要的組成部分引起了各行各業(yè)越來(lái)越多的關(guān)注。從大數(shù)據(jù)環(huán)境下海量數(shù)據(jù)面臨的安全風(fēng)險(xiǎn)出發(fā)，結(jié)合數(shù)據(jù)在使用過(guò)程 中的安全需求，給出了一種動(dòng)態(tài)防御的數(shù)據(jù)安全治理架構(gòu)， 并對(duì)該架構(gòu)下的關(guān)鍵技術(shù)進(jìn)行了研究。該架構(gòu)能夠?yàn)閿?shù)據(jù)安全治理提供體系化安全治理思路，其中的關(guān)鍵技術(shù)可以為該架構(gòu)的實(shí)現(xiàn)提供有效支撐。

內(nèi)容目錄：

1 數(shù)據(jù)安全風(fēng)險(xiǎn)

1.1 數(shù)據(jù)濫用風(fēng)險(xiǎn)

1.2 數(shù)據(jù)泄露風(fēng)險(xiǎn)

1.3 數(shù)據(jù)竊取風(fēng)險(xiǎn)

1.4 數(shù)據(jù)偽造風(fēng)險(xiǎn)

1.5 數(shù)據(jù)破壞風(fēng)險(xiǎn)

2 數(shù)據(jù)安全治理架構(gòu)

2.1 數(shù)據(jù)安全治理架構(gòu)設(shè)計(jì)原則

2.1.1 數(shù)據(jù)分類分級(jí)

2.1.2 細(xì)粒度權(quán)限管控

2.1.3 場(chǎng)景化安全策略

2.2 數(shù)據(jù)安全治理架構(gòu)設(shè)計(jì)

3 數(shù)據(jù)安全治理關(guān)鍵技術(shù)

3.1 數(shù)據(jù)安全風(fēng)險(xiǎn)主動(dòng)感知技術(shù)

3.2 統(tǒng)一訪問(wèn)控制與數(shù)據(jù)安全策略管理技術(shù)

3.3 業(yè)務(wù)行為分析與安全監(jiān)控技術(shù)

3.4 數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估與策略調(diào)整技術(shù)

3.4.1 綜合風(fēng)險(xiǎn)評(píng)估引擎

3.4.2 策略調(diào)整模型

3.5 數(shù)據(jù)安全風(fēng)險(xiǎn)追蹤溯源技術(shù)

4 結(jié) 語(yǔ)

《中華人民共和國(guó)數(shù)據(jù)安全法》(下文簡(jiǎn)稱： 數(shù)據(jù)安全法)的正式發(fā)布標(biāo)志著數(shù)據(jù)安全已經(jīng)上升至國(guó)家戰(zhàn)略高度，數(shù)據(jù)已經(jīng)成為國(guó)家基礎(chǔ)性戰(zhàn)略資源，沒(méi)有數(shù)據(jù)安全就沒(méi)有國(guó)家安全。數(shù)據(jù)安全法指出：“維護(hù)數(shù)據(jù)安全，應(yīng)當(dāng)堅(jiān)持總體國(guó)家安全觀，建立健全數(shù)據(jù)安全治理體系，提高數(shù)據(jù)安全保障能力?！?/span>

數(shù)據(jù)安全治理是以“讓數(shù)據(jù)使用更安全”為目的，在中國(guó)易于落地的數(shù)據(jù)安全建設(shè)的體系化方法論。數(shù)據(jù)安全治理的核心內(nèi)容如下文所述。

(1)3 個(gè)需求目標(biāo)： 數(shù)據(jù)安全保護(hù)(Protection)、合規(guī)性(Compliance) 、敏感數(shù)據(jù)管理(Sensitive)。(2) 核心理念： 分類分級(jí)(Classifying)、角色授權(quán)(Privilege)、場(chǎng)景化(Scene)。(3)數(shù)據(jù)安全治理的建設(shè)步驟：組織構(gòu)建、資產(chǎn)梳理、策略制定、過(guò)程控制、行為稽核和持續(xù)改善。(4) 核心實(shí)現(xiàn)框架： 數(shù)據(jù)安全人員組織(Person) 、 數(shù)據(jù)安全使用的策略和流 程 (Policy&Process)、數(shù)據(jù)安全技術(shù)支撐(Technology)。

隨著信息化和數(shù)字化的發(fā)展，以及數(shù)據(jù)安全法的 推動(dòng)下，越來(lái)越多的政府部門、企事業(yè)單位、金融機(jī)構(gòu)、能源集團(tuán)、運(yùn)營(yíng)商等各行各業(yè)，對(duì)數(shù)據(jù)安全合規(guī)的需求急劇增加，紛紛開(kāi)始了數(shù)據(jù)安全治理體系的建設(shè)和探索之路。本文結(jié)合數(shù)據(jù)在實(shí)際應(yīng)用中數(shù)據(jù)面臨的安全風(fēng)險(xiǎn)和用戶的安全需求給出了一種面向大數(shù)據(jù)環(huán)境下動(dòng)態(tài)防御的數(shù)據(jù)安全治理架構(gòu)，并對(duì)該架構(gòu)下的關(guān)鍵技術(shù)進(jìn)行了研究，以滿足數(shù)據(jù)的合規(guī)使用以及數(shù)據(jù)在使用中的安全防護(hù)需求。

01 數(shù)據(jù)安全風(fēng)險(xiǎn)

1.1 數(shù)據(jù)濫用風(fēng)險(xiǎn)

在大數(shù)據(jù)環(huán)境下包含了不同等級(jí)的數(shù)據(jù)，特別是敏感數(shù)據(jù)的分類分級(jí)。如果普通數(shù)據(jù)和敏感數(shù)據(jù)界定不清晰，將無(wú)法實(shí)現(xiàn)數(shù)據(jù)安全保護(hù)的精細(xì)化管控。數(shù)據(jù)的粗管粗放，將會(huì)出現(xiàn)“一管就嚴(yán)、一松就亂” 的局面，如各類數(shù)據(jù)存在越權(quán)使用的情況，部分用戶操作和使用超過(guò)自身權(quán)限的數(shù)據(jù)，還存在數(shù)據(jù)接口開(kāi)發(fā)不規(guī)范的情況，交互行為未進(jìn)行嚴(yán)格控制， 部分非業(yè)務(wù)需求的敏感數(shù)據(jù)可以跨系統(tǒng)訪問(wèn)和交互。

1.2 數(shù)據(jù)泄露風(fēng)險(xiǎn)

數(shù)據(jù)使用者安全意識(shí)不足，違規(guī)或不當(dāng)操作會(huì)泄露敏感數(shù)據(jù)，如存儲(chǔ)介質(zhì)濫用、違規(guī)傳輸、違規(guī)共享等。數(shù)據(jù)使用者還可能被引誘或收買，在日常工作任務(wù)中主動(dòng)收集、隱藏和轉(zhuǎn)移敏感數(shù)據(jù)。

1.3 數(shù)據(jù)竊取風(fēng)險(xiǎn)

外部間諜組織或其他國(guó)家網(wǎng)絡(luò)空間部隊(duì)，長(zhǎng)期潛伏在網(wǎng)絡(luò)空間中，使用高級(jí)持續(xù)性威脅(Advanced Persistent Threat，APT) 攻擊、間諜軟件、監(jiān)聽(tīng)等技術(shù)竊取國(guó)家重要戰(zhàn)略數(shù)據(jù)和關(guān)鍵技術(shù)信息，以及黑客組織或個(gè)人出于技術(shù)炫耀和利益竊取重要敏感數(shù)據(jù)。

1.4 數(shù)據(jù)偽造風(fēng)險(xiǎn)

數(shù)據(jù)在使用和傳輸過(guò)程中被非法篡改，導(dǎo)致數(shù)據(jù)失真，如果涉及重要技術(shù)指標(biāo)或控制指令可能會(huì)造成非常嚴(yán)重后果。

1.5 數(shù)據(jù)破壞風(fēng)險(xiǎn)

使用數(shù)據(jù)破壞性惡意軟件或工具，對(duì)數(shù)據(jù)進(jìn)行加密、刪除、覆蓋、粉碎等操作，破壞敏感數(shù)據(jù)完整性和可用性。

02 數(shù)據(jù)安全治理架構(gòu)

2.1 數(shù)據(jù)安全治理架構(gòu)設(shè)計(jì)原則

根據(jù)數(shù)據(jù)安全治理的概念，數(shù)據(jù)安全治理核心理念可以理解為在數(shù)據(jù)生命周期過(guò)程中，以數(shù)據(jù)為中心，以分類分級(jí)為基礎(chǔ)，以安全策略為驅(qū)動(dòng)，通過(guò)權(quán)限管控，確保數(shù)據(jù)在各類場(chǎng)景下使用的安全。在該理念下，數(shù)據(jù)安全治理架構(gòu)設(shè)計(jì)原則應(yīng)包含以下幾點(diǎn)。

2.1.1 數(shù)據(jù)分類分級(jí)

數(shù)據(jù)分類分級(jí)是數(shù)據(jù)保護(hù)的核心基礎(chǔ)，只有對(duì)數(shù)據(jù)進(jìn)行有效分類，才能夠避免一刀切的控制方式。在數(shù)據(jù)的安全管理上采用更加精細(xì)的措施，使數(shù)據(jù)在共享使用和安全使用之間獲得平衡，并對(duì)數(shù)據(jù)全面摸底，進(jìn)行數(shù)據(jù)資產(chǎn)梳理、敏感數(shù)據(jù)發(fā)現(xiàn)及梳理、數(shù)據(jù)資產(chǎn)分級(jí)、用戶及敏感資產(chǎn)權(quán)限梳理。

2.1.2 細(xì)粒度權(quán)限管控

數(shù)據(jù)在分類分級(jí)后，應(yīng)明確數(shù)據(jù)的訪問(wèn)角色和使用方式，針對(duì)不同的角色賦予不同的訪問(wèn)權(quán)限。數(shù)據(jù)細(xì)粒度權(quán)限管控是一種精細(xì)化的訪問(wèn)控制行為，目的是限制主體對(duì)于客體的訪問(wèn)，防止主體對(duì)客體的任何資源進(jìn)行未授權(quán)的訪問(wèn)。對(duì)大數(shù)據(jù)而言，訪問(wèn)控制不僅要防止非法用戶對(duì)數(shù)據(jù)資源的惡意獲取訪問(wèn)及篡改，而且要控制合法用戶的越權(quán)訪問(wèn)和越權(quán)操作。

2.1.3 場(chǎng)景化安全策略

大數(shù)據(jù)環(huán)境下，不同的業(yè)務(wù)有不同的需求，各類業(yè)務(wù)根據(jù)業(yè)務(wù)特點(diǎn)、使用需求適應(yīng)不同的使用場(chǎng)景。應(yīng)根據(jù)不同的場(chǎng)景進(jìn)行針對(duì)性地制定數(shù)據(jù)安全防護(hù)策略，即應(yīng)將業(yè)務(wù)人員分為不同等級(jí)以及不同的角色， 按照“數(shù)據(jù)訪問(wèn)最小化原則”，在不影響業(yè)務(wù)正常開(kāi)展的前提下，從時(shí)間和空間維度對(duì)用戶和數(shù)據(jù)行為進(jìn)行約束。

2.2 數(shù)據(jù)安全治理架構(gòu)設(shè)計(jì)

遵循上述的數(shù)據(jù)安全治理架構(gòu)設(shè)計(jì)原則，在該原則的基礎(chǔ)上結(jié)合用戶實(shí)際需求設(shè)計(jì)數(shù)據(jù)安全治理架構(gòu)，如圖 1 所示。

圖 1 數(shù)據(jù)安全治理架構(gòu)

圖 1 中的數(shù)據(jù)安全治理架構(gòu)以數(shù)據(jù)分級(jí)分類、授權(quán)管理、數(shù)據(jù)安全策略、統(tǒng)一審計(jì)、統(tǒng)一身份認(rèn)證、人工智能等技術(shù)為基礎(chǔ)，構(gòu)建包括數(shù)據(jù)梳理、行為分析、威脅分析、態(tài)勢(shì)感知、追蹤溯源、評(píng)估優(yōu)化等主要能力的大數(shù)據(jù)安全治理體系。該體系體現(xiàn)了動(dòng)態(tài)防護(hù)的理念，能夠作為大數(shù)據(jù)動(dòng)態(tài)防御體系 [11-15]的重要組成部分，為實(shí)現(xiàn)動(dòng)態(tài)防御能力提供支撐。

03 數(shù)據(jù)安全治理關(guān)鍵技術(shù)

本文基于上述的大數(shù)據(jù)安全治理架構(gòu)，梳理出了大數(shù)據(jù)環(huán)境下數(shù)據(jù)安全治理的 5 個(gè)關(guān)鍵技術(shù)，如圖 2 所示。

圖 2 大數(shù)據(jù)安全治理技術(shù)

3.1 　數(shù)據(jù)安全風(fēng)險(xiǎn)主動(dòng)感知技術(shù)

數(shù)據(jù)安全風(fēng)險(xiǎn)主動(dòng)感知技術(shù)是從多維度、全方位進(jìn)行數(shù)據(jù)收集，并利用數(shù)據(jù)行為分析、內(nèi)容分析、全流量分析技術(shù)對(duì)安全風(fēng)險(xiǎn)進(jìn)行主動(dòng)發(fā)現(xiàn)和感知。數(shù)據(jù)安全風(fēng)險(xiǎn)分析技術(shù)架構(gòu)包含兩個(gè)層次，分別是數(shù)據(jù)層和算法分析層，如圖 3 所示。其中，算法分析層一般運(yùn)行在實(shí)時(shí)流處理、近線增量處理、離線批量處理的大數(shù)據(jù)計(jì)算平臺(tái)上。

圖 3 數(shù)據(jù)安全風(fēng)險(xiǎn)主動(dòng)感知技術(shù)架構(gòu)

數(shù)據(jù)層負(fù)責(zé)對(duì)各類分析所需數(shù)據(jù)進(jìn)行采集和預(yù)處理。采集數(shù)據(jù)包括：安全類數(shù)據(jù)(防火墻、入侵 檢測(cè)、病毒查殺、前置機(jī)、數(shù)據(jù)庫(kù)防火墻等) 、用 戶類數(shù)據(jù)(用戶權(quán)限、用戶行為等) 、數(shù)據(jù)資產(chǎn)類 數(shù)據(jù)(數(shù)據(jù)屬性、數(shù)據(jù)分級(jí)分類、數(shù)據(jù)共享等) 、 流量行為類數(shù)據(jù)(網(wǎng)絡(luò)流量、數(shù)據(jù)流量) ，采集后的數(shù)據(jù)經(jīng)過(guò)抽取 - 轉(zhuǎn)換 - 加載(Extract-Transform- Load， ETL)處理后，按照算法分析層的要求為各類算法提供分析數(shù)據(jù)包，形成的算法包主要為數(shù)據(jù)實(shí)體和用戶提供安全風(fēng)險(xiǎn)監(jiān)測(cè)。

算法分析層主要包括在線分析處理(實(shí)時(shí)流處理) 、分析建模(近線增量處理)和離線分析(離線批量處理) 3 類時(shí)效分析。分析算法主要包括特征統(tǒng)計(jì)學(xué)習(xí)、動(dòng)態(tài)行為策略、時(shí)序前后分析 3 類。其關(guān)鍵技術(shù)包括基線及群組分析、異常檢測(cè)、安全知識(shí)圖譜和強(qiáng)化學(xué)習(xí)，具體如下文所述。

(1)基線及群組分析。通過(guò)歷史策略，構(gòu)建群組分析，可以跨越單個(gè)用戶或?qū)嶓w的局限，發(fā)現(xiàn)更大的事實(shí)，易于進(jìn)行異常檢測(cè)；通過(guò)概率評(píng)估可以降低誤報(bào)，提升信噪比；通過(guò)組合基線分析、群組分析，可以構(gòu)成全時(shí)空的上下文環(huán)境。(2)異常檢測(cè)。該技術(shù)專注于發(fā)現(xiàn)統(tǒng)計(jì)指標(biāo)異常、時(shí)序異常、序列異常、模式異常等異常信號(hào)。采用的技術(shù)包括孤立森林、K 均值聚類、時(shí)序分析、異常檢測(cè)、變點(diǎn)檢測(cè)等傳統(tǒng)機(jī)器學(xué)習(xí)算法; 也可以利用深度學(xué)習(xí)技術(shù)，包括基于變分自編碼器(Variational Auto Encoder，VAE) 的深度表征重建異常檢測(cè)、基于循環(huán)神經(jīng)網(wǎng)絡(luò)(Recurrent Neural Network，RNN) 和長(zhǎng)短時(shí)記憶網(wǎng)絡(luò)(Long Short- Term Memory，LSTM) 的序列深度網(wǎng)絡(luò)異常檢測(cè)、圖神經(jīng)網(wǎng)絡(luò)(Graph Neural Network，GNN) 的模式 異常檢測(cè)等。(3)安全知識(shí)圖譜。知識(shí)圖譜已經(jīng)成為人工 智能領(lǐng)域的熱點(diǎn)方向，在網(wǎng)絡(luò)安全中同樣也有巨大 的應(yīng)用潛力。知識(shí)圖譜可以從事件、告警、異常、 訪問(wèn)中抽取出實(shí)體及實(shí)體間關(guān)系，并構(gòu)建成一張網(wǎng)絡(luò)圖譜，任何一個(gè)事件、告警、異常，都可以集成 到網(wǎng)絡(luò)圖譜中，從而直觀、明晰地呈現(xiàn)多層關(guān)系， 能夠讓安全分析師近似真實(shí)地復(fù)現(xiàn)攻擊全過(guò)程，了解攻擊的路徑與脆弱點(diǎn)，評(píng)估潛在的受影響資產(chǎn)， 從而更好地進(jìn)行應(yīng)急響應(yīng)與處置。(4)強(qiáng)化學(xué)習(xí)。不同客戶的環(huán)境數(shù)據(jù)源具有多元性及差異性，以及用戶對(duì)異常行為的定義各有不同，因此，數(shù)據(jù)行為分析需要具有一定的自適應(yīng)性， 做到“入鄉(xiāng)隨俗”輸出更精準(zhǔn)的異常風(fēng)險(xiǎn)。強(qiáng)化學(xué)習(xí)能夠根據(jù)排查結(jié)果自適應(yīng)地調(diào)整正負(fù)權(quán)重反饋給系統(tǒng)，讓整體效果持續(xù)優(yōu)化改進(jìn)，進(jìn)而得到更符合客戶期望的風(fēng)險(xiǎn)評(píng)分。

3.2　統(tǒng)一訪問(wèn)控制與數(shù)據(jù)安全策略管理技術(shù)

如圖 4 所示， 統(tǒng)一訪問(wèn)控制與數(shù)據(jù)安全策略管理技術(shù)包括服務(wù)端與客戶端。服務(wù)端通過(guò)資源發(fā)現(xiàn)功能實(shí)現(xiàn)資源的管理和生成，并依據(jù)基于屬性的訪問(wèn)控制安全策略進(jìn)行判決，從而對(duì)數(shù)據(jù)進(jìn)行管理， 并基于資源和訪問(wèn)控制實(shí)現(xiàn)數(shù)據(jù)安全策略的定制和下發(fā)，客戶端從服務(wù)端獲取數(shù)據(jù)安全策略。

數(shù)據(jù)安全策略采用 3 級(jí)結(jié)構(gòu)模式，將組織中非常復(fù)雜的技術(shù)性數(shù)據(jù)安全策略由粗到細(xì)進(jìn)行實(shí)現(xiàn)。 第一級(jí)是權(quán)限控制策略，第二級(jí)是分級(jí)分類保護(hù)策略，第三級(jí)是數(shù)據(jù)防泄漏策略。

圖 4 統(tǒng)一訪問(wèn)控制與數(shù)據(jù)安全策略管理技術(shù)架構(gòu)

統(tǒng)一訪問(wèn)控制與數(shù)據(jù)安全策略管理技術(shù)進(jìn)行訪問(wèn)權(quán)限的統(tǒng)一管理和下發(fā)，業(yè)務(wù)系統(tǒng)和數(shù)據(jù)庫(kù)防火墻通過(guò)調(diào)用應(yīng)用程序接口(Application Programming Interface，API) 接口， 實(shí)現(xiàn)訪問(wèn)判決功能。統(tǒng)一訪問(wèn)控制與數(shù)據(jù)安全策略管理技術(shù)將訪問(wèn)權(quán)限推送至對(duì)應(yīng)的業(yè)務(wù)系統(tǒng)進(jìn)行本地緩存，實(shí)現(xiàn)高效的本地權(quán)限查詢、匹配和判決功能。

3.3　 業(yè)務(wù)行為分析與安全監(jiān)控技術(shù)

如圖 5 所示，業(yè)務(wù)行為分析與安全監(jiān)控技術(shù)在業(yè)務(wù)系統(tǒng)關(guān)鍵數(shù)據(jù)訪問(wèn)和處理點(diǎn)位上，采集系統(tǒng)行為上下文日志與數(shù)據(jù)流轉(zhuǎn)信息。經(jīng)過(guò)數(shù)據(jù)采集、數(shù)據(jù)清理、數(shù)據(jù)集成、數(shù)據(jù)轉(zhuǎn)換、數(shù)據(jù)規(guī)約、數(shù)據(jù)存儲(chǔ)和結(jié)果展示等步驟，實(shí)現(xiàn)業(yè)務(wù)系統(tǒng)操作日志的采集、存儲(chǔ)、查詢、審計(jì)、可視化和聚合分析等功能。同時(shí)，使用狀態(tài)機(jī)建模技術(shù)、頻繁序列挖掘技術(shù)和異常檢測(cè)技術(shù)等關(guān)鍵技術(shù)對(duì)業(yè)務(wù)應(yīng)用過(guò)程中行為活動(dòng)上所表現(xiàn)出來(lái)的規(guī)律進(jìn)行歸納和總結(jié)，建立正常業(yè)務(wù)行為基線，實(shí)現(xiàn)基于行為基線的異常行為分析、監(jiān)控和異常上報(bào)等功能。最終達(dá)到對(duì)各個(gè)業(yè)務(wù)系統(tǒng)的提供安全保障，發(fā)現(xiàn)潛在安全威脅和預(yù)警的目的。

圖 5 業(yè)務(wù)行為分析與安全監(jiān)控技術(shù)架構(gòu)

在數(shù)據(jù)采集層方面，以數(shù)據(jù)采集、數(shù)據(jù)清洗、數(shù)據(jù)集成、數(shù)據(jù)轉(zhuǎn)換和數(shù)據(jù)規(guī)約等技術(shù)為支撐，形成數(shù)據(jù)采集技術(shù)，完成底層數(shù)據(jù)來(lái)源的引接與采集。在數(shù)據(jù)存儲(chǔ)層方面，以數(shù)據(jù)管道、熱存儲(chǔ)和冷存儲(chǔ)等技術(shù)為支撐，并融合分布式隊(duì)列、分發(fā)網(wǎng)絡(luò)、檢索引擎、關(guān)系型數(shù)據(jù)庫(kù)、文件存儲(chǔ)和對(duì)象存儲(chǔ)等關(guān)鍵技術(shù)，確保采集數(shù)據(jù)的安全存儲(chǔ)。在數(shù)據(jù)計(jì)算層方面，主要運(yùn)用了數(shù)據(jù)查詢技術(shù)、數(shù)據(jù)聚合技術(shù)和并行計(jì)算技術(shù)，確保分析數(shù)據(jù)的時(shí)效性和準(zhǔn)確性。最后在狀態(tài)機(jī)建模技術(shù)、頻繁序列挖掘技術(shù)和異常檢測(cè)技術(shù)的支撐下，實(shí)現(xiàn)業(yè)務(wù)系統(tǒng)行為分析智能判斷，并融合數(shù)據(jù)可視化技術(shù)，對(duì)分析告警結(jié)果進(jìn)行有效展示。

3.4 　數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估與策略調(diào)整技術(shù)

如圖 6 所示，數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估與策略調(diào)整技術(shù)在數(shù)據(jù)風(fēng)險(xiǎn)分析感知的基礎(chǔ)上，對(duì)風(fēng)險(xiǎn)感知信息進(jìn)行綜合評(píng)估，將評(píng)估后的結(jié)果、應(yīng)用場(chǎng)景、策略執(zhí)行反饋信息等多維度信息作為輸入，通過(guò)環(huán)境(environment，E)、風(fēng)險(xiǎn)(risk，R)、主體(subject，S)、客體(object，O)、行為(act，A)五維度防御策略調(diào)整模型給出策略調(diào)整建議。

圖 6 數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估與策略調(diào)整技術(shù)架構(gòu)

3.4.1 綜合風(fēng)險(xiǎn)評(píng)估引擎

由于多維風(fēng)險(xiǎn)檢測(cè)往往是異常檢測(cè)類型的弱指示器，在實(shí)際部署過(guò)程中，會(huì)出現(xiàn)誤告警事件，而真正的檢出問(wèn)題往往淹沒(méi)在大量無(wú)關(guān)的告警中。為了解決這個(gè)問(wèn)題，可以使用打分技術(shù)，針對(duì)每個(gè)用戶，給出綜合的風(fēng)險(xiǎn)評(píng)判分?jǐn)?shù)或等級(jí)，直觀地呈現(xiàn)給管理者，從而可以更好地聚焦發(fā)現(xiàn)真正的安全風(fēng)險(xiǎn)，提升風(fēng)險(xiǎn)預(yù)警的實(shí)用價(jià)值。

風(fēng)險(xiǎn)綜合打分機(jī)制通常主要由算法、優(yōu)化策略和閾值設(shè)定 3 部分組成。(1)算法基于機(jī)器學(xué)習(xí)的方法主要是使用貝葉斯網(wǎng)絡(luò)、高斯核分布等方法，對(duì)直接帶權(quán)累加的方案進(jìn)行優(yōu)化。深度學(xué)習(xí)的方案則需要先針對(duì)預(yù)先設(shè)置的時(shí)間段對(duì)時(shí)間做編碼(encoding)，然后使用長(zhǎng)短時(shí)記憶網(wǎng)絡(luò)(Long Short-Term Memory，LSTM)模型進(jìn)行分?jǐn)?shù)預(yù)測(cè)。(2)優(yōu)化策略優(yōu)化策略包括對(duì)于數(shù)值的歸一化處理，以及從計(jì)量策略上的優(yōu)化，比如歷史分?jǐn)?shù)按照時(shí)間的推移，對(duì)風(fēng)險(xiǎn)等級(jí)的影響程度逐漸變小，總體分?jǐn)?shù)按照事件數(shù)量有一定的衰減嗎，利用貝葉斯網(wǎng)絡(luò)根據(jù)事件實(shí)際分布動(dòng)態(tài)調(diào)整權(quán)重等。(3)閾值設(shè)定風(fēng)險(xiǎn)綜合打分引擎的輸出是針對(duì)每個(gè)用戶 / 賬號(hào)的風(fēng)險(xiǎn)分?jǐn)?shù)，需要結(jié)合相應(yīng)的閾值，來(lái)判斷用戶的風(fēng)險(xiǎn)等級(jí)。通常，閾值的設(shè)定有人工設(shè)定、按環(huán)境變量動(dòng)態(tài)變化或者根據(jù)歷史分?jǐn)?shù)的預(yù)測(cè)值進(jìn)行判斷 3 種方法。

3.4.2　 策略調(diào)整模型

策略調(diào)整模型以風(fēng)險(xiǎn)綜合分析評(píng)估后的結(jié)果、應(yīng)用場(chǎng)景、策略執(zhí)行反饋信息等多維度信息作為輸入，通過(guò)五維度防御策略調(diào)整模型給出策略調(diào)整建議。五維度具體為：環(huán)境(environment，E)、風(fēng)險(xiǎn)(risk，R)、主體(subject，S)、客體(object，O)、行為(act，A)。集合(E,R,S,O,A)是一個(gè)基本要素集，在實(shí)際的評(píng)估過(guò)程中，可根據(jù)需要對(duì)維度要素進(jìn)行擴(kuò)展。模型將風(fēng)險(xiǎn)綜合分析評(píng)估后的結(jié)果作為模型中的風(fēng)險(xiǎn)信息(R)，應(yīng)用場(chǎng)景信息作為環(huán)境信息(E)，策略執(zhí)行反饋信息作為行為信息(A)，主體(S)為用戶或數(shù)據(jù)，客體(O)為用戶或數(shù)據(jù)，構(gòu)建五維調(diào)整判斷向量，按照設(shè)定的權(quán)值得出最終策略部調(diào)整建議，權(quán)值設(shè)定主要有人工設(shè)定、風(fēng)險(xiǎn)評(píng)定結(jié)果動(dòng)態(tài)變化或者根據(jù)歷史分?jǐn)?shù)的預(yù)測(cè)值 3 種方法進(jìn)行設(shè)定。

3.5 　數(shù)據(jù)安全風(fēng)險(xiǎn)追蹤溯源技術(shù)

數(shù)據(jù)安全風(fēng)險(xiǎn)追蹤溯源技術(shù)通過(guò)采集數(shù)據(jù)全生命周期的行為日志，構(gòu)建數(shù)據(jù)數(shù)量分布情況信息庫(kù)、數(shù)據(jù)等級(jí)分布情況信息庫(kù)、數(shù)據(jù)使用情況信息庫(kù)以及數(shù)據(jù)血緣關(guān)系庫(kù)；以數(shù)據(jù)標(biāo)簽為基礎(chǔ)，將數(shù)據(jù)標(biāo)簽與數(shù)據(jù)結(jié)合并貫穿于數(shù)據(jù)整個(gè)生命周期；利用大數(shù)據(jù)綜合關(guān)聯(lián)分析及機(jī)器學(xué)習(xí)對(duì)數(shù)據(jù)行為進(jìn)行分析并實(shí)行監(jiān)管；提供對(duì)已知和未知的數(shù)據(jù)安全威脅事件在事前、事中、事后的規(guī)避、發(fā)現(xiàn)和解決以及追蹤溯源等功能，為大數(shù)據(jù)安全提供動(dòng)態(tài)閉環(huán)的智能化治理能力。數(shù)據(jù)安全風(fēng)險(xiǎn)追蹤溯源技術(shù)架構(gòu)如圖 7 所示。

圖 7 數(shù)據(jù)安全風(fēng)險(xiǎn)追蹤溯源技術(shù)架構(gòu)

如圖 7， 數(shù)據(jù)安全風(fēng)險(xiǎn)追蹤溯源技術(shù)首先通過(guò)數(shù)據(jù)資產(chǎn)的自動(dòng)識(shí)別與發(fā)現(xiàn)和數(shù)據(jù)資產(chǎn)血緣分析， 實(shí)現(xiàn)對(duì)數(shù)據(jù)資產(chǎn)全體系、全譜系的統(tǒng)一梳理。其次， 基于數(shù)據(jù)資產(chǎn)構(gòu)建以任務(wù)為中心的數(shù)據(jù)物理拓?fù)浜?邏輯拓?fù)?，并基于任?wù)、用戶、數(shù)據(jù)資產(chǎn)的上下文 數(shù)據(jù)，利用機(jī)器學(xué)習(xí)和人工智能，動(dòng)態(tài)構(gòu)建面向任 務(wù)和用戶的數(shù)據(jù)行為基線，通過(guò)數(shù)據(jù)行為基線可進(jìn)行異常行為檢測(cè)。最后，通過(guò)基于人工智能的追蹤標(biāo)識(shí)和內(nèi)容標(biāo)識(shí)學(xué)習(xí)和標(biāo)記，以及通過(guò)基于機(jī)器學(xué)習(xí)的追蹤標(biāo)識(shí)跨域更新技術(shù)對(duì)多源異構(gòu)數(shù)據(jù)(結(jié)構(gòu) 化、半結(jié)構(gòu)化、非結(jié)構(gòu)化)進(jìn)行追蹤標(biāo)識(shí)和內(nèi)容標(biāo)識(shí)， 實(shí)現(xiàn)全路徑數(shù)據(jù)追蹤溯源。

04 結(jié) 語(yǔ)

數(shù)據(jù)安全治理是數(shù)據(jù)安全保護(hù)的一種思路或體 系，是一種將數(shù)據(jù)安全技術(shù)與數(shù)據(jù)安全管理融合在一起，并綜合業(yè)務(wù)、安全、網(wǎng)絡(luò)等多部門多角色的訴求， 系統(tǒng)化總結(jié)歸納的方法。本文從技術(shù)的角度， 圍繞數(shù)據(jù)安全治理的核心理念，給出了數(shù)據(jù)安全治理體系的架構(gòu)，并對(duì)該架構(gòu)下的關(guān)鍵技術(shù)進(jìn)行了梳 理和研究。本文提出架構(gòu)和方法體現(xiàn)了數(shù)據(jù)安全治 理的先進(jìn)性和實(shí)用性，能夠?yàn)橄嚓P(guān)的研究提供指導(dǎo)和借鑒。

引用本文： 許杰 , 張鋒軍 , 陳捷 , 等 . 面向大數(shù)據(jù)環(huán)境下的數(shù)據(jù)安全治理技術(shù) [J]. 通信技術(shù)，2021，54(12):2659-2665.

作者簡(jiǎn)介 >>>

許杰，男，博士，高級(jí)工程師，主要研究方向?yàn)榇髷?shù)據(jù)安全、信息 安全；張鋒軍 ，男， 博士研究生，研究員，主要研究方向?yàn)樵朴?jì)算和大數(shù)據(jù)安全、信息系統(tǒng)智能管控技術(shù)；陳 捷 ，女，博士研究生，研究員，主要研究方向?yàn)橥ㄐ啪W(wǎng)絡(luò)與信息安全；曾夢(mèng)岐 ， 男， 碩士， 高級(jí)工程師， 主要 研究方向?yàn)樾畔踩?；李慶華 ， 男， 學(xué)士， 高級(jí)工程師， 主要研究方向?yàn)檐浖こ?、云?jì)算與大數(shù)據(jù)安全技術(shù)；牛作元 ， 男， 碩士， 高級(jí)工程師， 主要 研究方向?yàn)樵朴?jì)算與大數(shù)據(jù)安全。

選自《通信技術(shù)》2021年第12期(為便于排版，已省去參考文獻(xiàn))

來(lái)源：信息安全與通信保密雜志社