基于数据安全网关的数据安全防护体系研究

1数据安全防护现状2022年最新发布的《国家数据资源调查报告（2021年）》中显示，2021年全球数据总产量达到67ZB，我国数据产量总规模达到6.6ZB，同比增长了29.4%，仅次于美国的16ZB，位居全球第二位。近3年来，我国数据产量呈井喷式增长，保持每年30%左右的增长速度。在各行各业信息化数据中心，充分体现数据规模大、系统接口多、实时处理要求高、数据交互关系复杂等特点，随之出现的是数据管理混乱、流转困难、泄露事件频发、数据价值难以充分挖掘等问题。近年来，数据安全在政、产、学、研、法领域不断加强交流，需探索数据全治理更加全面的解决思路。1.1数据安全问题分析随着各行各业数据资产规模快速增长，多层次数据之间的相互影响关系也更加复杂，数据面临的安全威胁也变得多样化。数据安全问题主要体现为以下6点。1.1.1敏感数据意外泄露在数据中心存储着大量个人敏感信息或者敏感数据，但由于数据使用规范的缺失、人员的违规操作、数据安全防护技术手段不健全，经常导致数据在流转、共享、传输过程中遭到意外泄露。Verizon发布的《2022年数据泄露调查报告》中指出，由于数据安全防护整体解决方案的缺失，让黑客有机可乘，从凭证窃取、网络钓鱼、漏洞利用和僵尸网络等多种手段非法获取各类敏感数据。1.1.2数据非法访问和滥用由于不同标识的数据在数据流转过程中需要进行分类分级处理，但目前应用系统之间数据流转普遍存在数据滥用情况，大量高密数据资产、高权限接口、未授权接口被低权限用户和未授权系统访问。应用系统之间海量数据在流转、处理、分析过程中如何做到高效、快速的数据权限访问控制，也是各企业在数据安全治理过程中的痛点之一。1.1.3数据恶意篡改内部人员或者黑客攻击者通过利用系统账号登录到内网中，非法篡改后台任意数据内容或者数据格式，往往会造成系统瘫痪、数据价值丢失，影响企业正常运行并造成巨大的经济损失。1.1.4数据管理混乱大量数据的合理性管理，一直是通过海量数据分析、数据挖掘、机器学习等技术进行数据潜在价值提取的前提条件。但由于数据中心各类数据格式类型的不统一、数据量巨大、数据质量参差不齐，直接使用将严重影响数据分析结果，数据价值大打折扣。加之外部采集数据中往往容易混杂病毒或者木马程序，严重影响了内网系统的安全。1.1.5数据安全防护技能缺乏由于数据安全防护技术还处于发展期，安全运维人员缺乏数据安全防护技能，企业数据安全防护体系建设的思路普遍不清晰、数据安全防护意识淡薄，导致企业整体数据安全防护能力低下。1.1.6数据安全措施与应用系统结合难度大数据安全防护的对象为应用系统中的全量数据，在应用系统设计之初对安全问题考虑较少是一种普遍现象，即使设计者在设计前期会从单一问题点出发去解决某一个系统安全问题，但由于缺乏整体数据安全考虑，也会导致应用系统与数据安全防护措施后期设计融合困难、技术对接难度大、整改时间长等问题，数据安全防护手段被应用系统绕行的情况也常有发生。1.2数据安全技术研究现状数据安全技术发展是推动数据安全防护能力提升的基础，越来越多的安全学者对数据安全技术展开研究。数据安全技术一方面把数据作为主体，是实现数据安全保护的核心手段，另一方面为实现数据安全监管、隐私保护的安全措施提供技术支撑。张素芳等人提出了以零信任作为基础的数据安全解决方案；李雪妮等人

提出了从评估项、评估维度、评估等级分析数据安全治理能力；胡贞华等人从安全保障措施、数据治理安全架构、数据安全管理制度、关键信息数据保护4个方面论述数据安全治理措施；彭雅讨论了大数据云计算环境下数据安全保护方法；高磊等人以分类分级为切入点，提出一种数据安全治理的思路、原则、方法以及技术架构。不同于上述学者在数据安全方向展开的安全治理技术、数据治理理论的研究，本文着重针对大型数据中心网络结构复杂、应用系统服务众多、数据交互困难等痛点，通过研究数据安全网关，设计一种结合数据网关的数据安全防护体系，致力于解决应用系统与数据安全防护手段结合困难、数据安全治理措施利用率低下等问题。2数据安全防护体系设计数据安全网关是一种从用户客户端、数据采集端与提供业务服务的应用系统之间的数据安全防护手段，本文设计的数据安全网关以解耦安全系统与应用系统为目的，提供可灵活扩展的、分布式的、具有数据防护能力的网关系统。数据安全防护不再单单是通过数据安全管理对数据资产进行安全管理，数据中心的数据安全防护需要多维度、多形式对数据全生命周期进行安全治理。结合数据安全网关的数据安全防护体系是利用数据安全治理核心手段，整合数据安全网关关键技术，从数据产生到消亡整体考虑数据安全防护方法，具体体系框架设计如下。如图1所示，本文所阐述的数据安全防护体系从数据安全网关防护、数据安全综合保护、数据安全监管3个安全防护层次与一个安全防护对象进行整体设计，核心防护对象贯穿数据全生命周期，致力于提高数据安全防护能力。图1数据安全防护体系2.1数据安全网关防护通过整合传统数据安全治理部分技术到数据安全网关，主要解决数据安全治理体系与应用系统整合技术壁垒高、实际应用落地困难大等问题。利用数据安全网关在数据进出口对数据的集中控制，通过集成数据安全综合保护能力，实现全量数据的安全保护，为更进一步提升数据安全治理能力提供支撑。数据安全网关作为多种类型安全能力的聚合接口，集成了身份认证、数据标识、数据接入控制、流量采集、日志上报、反向代理等功能。数据安全网关能够实现对外部请求权限的统一控制，对其数据访问进行统一安全策略控制。在数据采集场景，重点解决在大型数据中心结构化和非结构化数据混杂、传统手段无法完成数据全量管理、管理效率低下问题，通过手动和自动两种方式对所有接入数据完成分级分类标识，明确数据的身份属性、敏感性和重要性，依据分级分类属性从多维度制定数据流转保护策略，实现不同级别数据流转过程中的安全保护。数据安全网关作为内网与外界流量的进出口，针对数据流转的具体场景制定不同标准的数据安全保护策略，实现数据中心不同业务系统之间，关联数据流转过程中对敏感数据进行相应的脱敏、加解密、防泄露检测处理等保护措施，提高数据使用安全性，同时保护用户隐私且不降低数据的可用性。2.2数据安全综合保护数据安全综合保护作为集中式数据安全治理能力的提供者，由统一身份鉴别、统一安全策略管理、统一访问控制、统一数据脱敏、统一数据防泄露、统一密码服务和统一安全事件应急处置多个子系统构成，为数据全生命周期安全治理过程中安全需求提供统一、简便、全面的安全防护服务。针对应用系统数据安全防护需求，提供统一用户身份鉴别、各类用户请求和应用请求实现细粒度访问控制；利用数据脱敏系统、数据防泄露系统、数据密码服务系统为数据在处理或者流转过程中提供安全防护。针对应用系统内所有系统运行日志、用户操作日志、安全日志进行集中采集分析，实现各类日志信息关联分析。2.3数据安全监管数据安全防护结果需要直观地反馈给使用者，让用户或者安全员快速获取数据中心存在的安全风险。通过数据流转溯源记录数据在整个生命周期内，从生成到消亡处理整个过程，实现对数据流转过程以全路径图形化方式进行追溯。数据安全监控为数据中心提供统一的、高效的海量数据安全审计、综合安全态势分析，从而提升数据安全威胁事前防御、事中告警、事后溯源能力。2.4数据全生命周期安全数据安全防护需要从数据采集、传输、存储、处理、共享和销毁6个过程进行全生命周期防护。在采集阶段，需要对采集数据身份和数据内容进行合规性检测，防止非法来源数据进入内部系统，依据分级分类规则对采集数据实现安全标签标识。在传输阶段，根据数据访问控制策略控制数据传出、传入等敏感操作；通过密码组件结合数据安全策略，利用完整性校验、不同密码算法加密保护等手段为数据传输过程提供保护。在数据存储阶段，以分级分类结果为基础对数据进行隔离存放；利用密码组件实现存储数据分级分类保护，防止存储设备遗失导致数据泄露；制定存储系统容灾备份与恢复机制，防止意外风险导致数据遗失。在数据处理阶段，把数据细粒度访问级别控制作为目标，通过解析访问控制策略与业务请求权限判定结果对业务数据访问阻断、放行。依据分级分类保护策略完成脱敏、加解密加工处理，杜绝明文处理、存储引起的数据意外泄露和内外部威胁引发的数据窃取。在数据共享阶段，对数据共享、移交、下载等高危敏感操作进行权限判定，依据数据属性解析结果实现对操作数据的防泄露安全检查。在数据销毁阶段，对整个数据销毁过程进行监督；通过采用覆盖式清除模式，防止数据被恢复导致信息泄露；对物理介质采用物理方式进行完全销毁，最终保证已销毁的数据不可再恢复。3基于数据安全网关的数据安全防护体系应用基于数据安全网关的数据安全防护体系的设计，着重点在于充分利用数据安全网关在大型数据中心安全防护体系建设中心侧、边缘侧灵活部署的特点，结合统一的数据安全综合保护能力和安全监管能力，为数据全生命周期提供一种可落地的安全防护思路，如图2所示。图2数据安全防护体系应用下面以通用的数据中心应用系统使用场景为例，说明数据安全网关如何在数据安全防护体系中发挥关键作用。整体体系中数据的采集是数据安全防护的第一道关卡，从各终端进行采集后的全量数据流经数据安全网关赋予安全属性身份，通过实现对全量数据进行自动或者手动强制打标操作，确保每一个数据都具有分级分类属性，以便在后续数据传输、流转、处理等各个环节中识别数据对象身份，进而提供细粒度的安全防护措施。数据中心及各网点应用系统业务请求经过数据安全网关实现统一的权限认证，数据安全网关联动安全子系统调用统一认证服务、策略管理服务，根据预置的安全策略对用户身份、请求类型、数据类型进行分析，判定每一次用户请求的合法性，判别数据访问请求主体、客体、动作和结果的合规性。根据策略管理服务器制定的数据安全保护策略及安全防护设备的灵活运用，用户请求数据在应用系统之间流转之前，通过数据分级分类属性与安全访问策略结合分析结果实现对敏感数据脱敏、防泄露、加密等安全手段保护，最终形成一套纵深动态防御体系，形成授权、认证、隔离、安全保护（脱敏、防泄露、加解密等）多层次数据安全威胁防御体系。数据安全网关作为整个体系的“安全守卫”，数据中心内部应用系统的所有应用程序接口（ApplicationProgrammingInterface，API）都不会再对外暴露，由安全网关实现统一的API安全性保护，根据访问请求权限动态判决结果，决定是否将请求路由到后端应用系统。首先，利用数据中心流量信息、业务系统与安全系统运行日志、关系型与非关系型数据库操作信息、硬件设备运行信息实现全量采集；其次，数据安全网关联动应用系统与安全防护设备统一上报信息给数据安全风险分析区，实现数据流转溯源分析、数据操作风险审计、数据异常告警与威胁阻断、安全态势实时展示，为大型数据中心提供一套无监管的数据安全防护解决方案