全链路管控 多手段防数据泄漏 | H电力公司的数据保护创新之路

随着H电力公司信息化建设的持续推进，营销、人资、财务、资产、协同、综合等核心系统中存储着大量的业务往来、用户隐私等重要敏感数据。

H电力公司信息化规模庞大、系统繁杂、人员众多，日常工作中发生越权访问、下载或篡改数据等违规操作行为难以及时发现和定位，往往对内部数据安全事件的预防和调查造成困扰。

H电力公司的网络复杂、业务特殊、数据库众多，在运维专区中，使用堡垒机来对运维人员进行管理，但这种管理方式在数据安全防护上存在一定问题：运维人员不按操作规范或既定方案进行数据库运维操作、非法导出敏感数据、数据库操作行为没有细粒度的审计记录等。

由于H电力公司数据错综复杂，各业务数据流转通道各不相同，按照数据的分级分类标准，在对数据进行共享时，应针对重要数据进行脱敏降级，确保数据接收方不会对数据内容进行二次扩散。

通过引入CloudQuery，对数据库的访问及其他操作行为进行细粒度防御、审计分析，从而全程监控、记录包括非法访问、数据库违规操作、数据批量导出或篡改在内等一系列风险行为，实现对所有数据访问行为进行审计记录，然后通过数据分析技术结合数据操作审计典型策略要求，对风险行为进行挖掘和预警，并可在安全事件发生后，做到准确、高效的溯源定责。

在确保不影响正常开展运维工作的前提下，建立数据库运维操作的审批机制和技术措施。通过CloudQuery对所有涉及敏感数据的操作进行限制，强化对数据库运维操作的监管力度，及时阻断越权操作行为的发生，令运维工作实际操作与计划操作保持一致。

CloudQuery支持绝大多数国内外主流数据库以及中间件，目前支持Oracle、SQLServer、MySQL、PostgreSQL、Redis、Hbase、达梦、RDS for MySQL等，未来将支持更多种类的数据库及中间件数据源。覆盖H电力公司目前使用的主要数据库数据源。同时，CloudQuery完美支持各数据库特性，契合操作人员日常数据操作习惯。

脱敏还会应用在以下场景：

• 导出：导出的数据条目只要符合脱敏设定，那么不管是什么样的文件格式，其内容都会被脱敏；

• 转储：转储的SQL语句，其内容也会被脱敏。

针对可能存在的用户越权访问、非法导出等违规行为，CloudQuery从不同需求和不同维度进行细粒度权限控制：

• 操作权限：根据不同的数据源可以分配不同权限，权限由创建连接的账号所拥有的权限列表为全集，可以向下分发，默认加入连接的用户只拥有select（查询）权限，其他均需要手动赋权或通过流程进行提权申请。

• 限时限量：可对数据操作进行限时限量权限管控，约定允许操作的开始日期时间和结束日期时间；选择每周能操作的天数；限制用户每个自然周期查询可以得到的记录数，周期结束限量会清零。周期可以灵活配置（天、周、月）。

• 高危操作限制：对核心业务系统中，重要的有库、表操作非常关键，随意变更可能会带来灾难性影响，在Cloud Query将其定义为“高危资源”，在其上的所有变更操作(DML、DDL)都会生成工单；危险性较高的操作，比如truncate, delete等等，也同样可被管理员设置为“高危操作”。所有高危操作需要走工单，获取短期的权限，解封操作。

• 数据过滤：数据库过滤在某种程度上实现了用户的多租，即多个用户使用同一个数据库连接，看到的是不同的数据“视图”，千人千面，这极大的增加了权限的灵活性。

• 数据导出限制：数据导出目前支持excel、csv、txt、pdf等格式，支持加密、水印，内容为表格状。结果集导出会受到权限的制约，默认都是关闭状态，如果需要某张表的导出权限可以在流程中向连接管理员发起申请，审批通过后即可进行导出操作。导出同时受到过滤以及脱敏等相关权限的制约，例如当用户在查询结果集时某一列受到脱敏限制，同时在导出时该列也是被脱敏的状态。

CloudQuery审计系统可跟踪用户在平台上的所有操作，覆盖数据库、流程、权限等方面的查询和变更。审计明细包含用户、连接、库、操作对象、动作、摘要、时间、结果、IP来源等，可按条件过滤，并支持Excel导出。

而通过应用探针或Cloud Query提供的审计驱动可对应用的数据操作进行审计分析。相对于面向人的操作审计，应用数据审计主要是站在数据库管理员和安全的视角，对应用的数据访问进行分析，找出违反审计规则的语句，每一个应用包含一个审计视图。主要包含：

• 审计明细：包含应用ID、数据源、库、操作对象、动作、摘要、时间、结果、IP来源等。

• 慢查询：数据库语句执行时间连续超过某一个阈值的语句聚合，采样窗口（分钟）可由系统设置。

• 高危操作：识别出应用中对特定资源的非法操作。

• 非法地址：根据IP来源，识别与数据库不匹配的操作。比如生产环境，只能限于生成应用IP，不能是测试应用IP。

同时应用审计会基于SQL模式进行数据分析，支持以下维度的分析

• 常用热点表：基于数据库下每张表的读写次数计算出每张表的热度，尽量排序得出热度前十的表进行展示

• 应用Top SQL：基于应用的语句执行次数统计出排行前20的SQL，方便DBA及时查看进行索引调整等SQL优化

• 应用慢SQL：基于语句执行时长列出应用的慢SQL，为DBA等相关工作人员进行SQL审核提供方便

CloudQuery可以提供一个集中监控平台，连接管理员可以看到自己管纳连接的数据库负载情况，针对每一种数据源会有不同的监控指标，方便更直观的排查与定位问题。

基于细粒度的权限管控体系，CloudQuery通过「用户-角色-权限」，在快速授权的同时精准控制每个用户的访问及操作权限，规避了H电力公司原先可能面临的越权访问、下载或篡改数据等违规操作行为。

CloudQuery以独创的「查导分离」作为数据防泄漏的最后一道防线，将导出动作单独形成一种权限类型，与查询动作分离开来。即使H电力公司内部人员恶意获取数据也无法将数据落地至PC电脑，更别提在企业内部甚至外部进行流通。

CloudQuery作为企业内部的第四道安全防护门。对平台内部众多操作进行埋点，保证H电力公司的用户每一个动作都可追踪、可溯源。一旦有用户执行恶意语句或误操作可以及时定位到问题用户及用户PC IP。同时，CloudQuery辅助以告警模块，从不同风控视角来监测当前平台内用户的操作风险性，可以让H电力公司在发生数据泄漏时间后快速、精准定位到责任人，及时还原丢失数据。