数据安全合规实践(三)数据溯源系统的思考.pdfVIP

子曰:“知者不惑，仁者不忧，勇者不惧。”——《论语》

数据安全合规实践(三)：数据溯源系统的思量

最近正好在做数据管理相关的工作，所以来记录一下关于数据溯源的相关想

法。

我们都知道在数据管理中，最重要的三个系统是：

➢数据资产管理系统(元数据管理系统)

➢数据分类分级系统(数据标签管理系统)

➢数据溯源系统(数据地图、数据血缘、数据流转图)

其中，数据溯源系统往往有不少说法，在同乙方进行沟通时，各家都在将自己

的能力往上面靠，但是不是真的和你想要的一致，需要好好分辨。我认为目前大家

所说的“数据溯源”有以下几个类型：(1)单点溯源(2)大数据数据血缘(3)

数据流转图

这个是目前市面上乙方厂商最多的产品。这种产品能解决的是两个节点之间的

数据访问情况，但不能连成一张完整的网络，即一张完整的数据流转图。

这种里面有两类代表：(1)应用侧api管理(2)数据库侧数据库审计(3)DLP

系统

子曰:“知者不惑，仁者不忧，勇者不惧。”——《论语》

某数据安全明星厂商的一款产品，基于应用系统的流量分析，通过关键词、数

据字典、正则表达式、语义分析等技术，分析出流量中的敏感数据；通过api接口

中的关键词或者用户标注，识别出重点api，比如登录、数据查询等等；通过登录

用户名、ip、session、时间戳等方式，跟踪用户访问行为。于是该产品便可以得

到用户访问这些api的相关行为画像，然后根据之前设定的规则，如访问频率、访

问时间、访问数据量等等，识别出异常行为。并且可以通过关键词查询，比如企业

发现的泄露的电话号码，那查询是谁访问了该电话号码。

因为基于应用流量，因此只能识别在应用侧的流转情况，而不能识别数据库侧

应用侧的识别，也仅能识别“一跳”，即每两个节点之间的流转行为无法串联在一

起

正如该产品技术原理，其所合用的就是企业api管理，由于当前企业越来越多

的应用系统，到底数据从哪些api进来，尤其重要的是敏感数据又从哪些api出

去，是非常重要的。

在试用的过程中，其实可以看出，其敏感数据识别的规则还是会有不少误报的

地方，比如姓名等等，这些其实还需要进一步完善语义分析、词法分割等等。同

时，api的分类往往也需要安全人员自行梳理，系统没法自动分出哪些是外部

api，哪些是第三方应用系统访问的api。因此可以把这些数据作为基础初筛的数

子曰:“知者不惑，仁者不忧，勇者不惧。”——《论语》

据，再辅助于企业的特点，制定第二层自定义规则，筛出重点关注的对象。比如以

重点系统出发，或者以重点数据出发。

在数据库侧的产品，基本是从数据库审计产品延伸而来。目前，在溯源这一概

念下，说的较多的是某厂商的三层关联。

其三层关联指的是识别用户-》应用-》数据库这三层的识别。其技术原理，是

通过在应用服务器上，安装一个插件，该插件使用的是类似于IAST中使用的插桩

技术，在访问数据库的请求中，插入惟一标记，这样将用户访问请求和数据库访问

请求关联起来，从而实现三层关联。然后再通过数据库审计的相关技术，对数据库

访问流量的异常行为进行分析。

其以访问数据库