数据安全治理技术指南指导书.docxVIP

第

第PAGE100页/共161页

项目编号：

数据安全治理项目

安全体系规划

技

术

指

南

角色

姓 名

版 本

时 间

操 作

编写人

安全团队

V1.0

2024/12/01

创 建

签发人

-

-

-

-

目录

TOC\o1-3\h\u1安全治理 9

1.1概论与过程 9

1.2框架与度量 9

2数据采集 12

2.1隐私声明 12

2.1.1基本框架 12

2.2设备指纹 13

2.2.1采集方法 13

2.2.2实现技术 14

2.2.3分控策略 16

2.3数据防爬 18

2.3.1基本策略 18

2.3.2进阶策略 20

2.3.3高阶策略 28

A.使用API网关：如使用基于OpenResty的APIGateway的Orange，实现统一的登录认证、访问限速（自定义如404状态）、全局统计、自定义监控等。 28

3保密传输 29

3.1隧道技术 29

3.1.1VPN隧道 29

3.1.2SFTP技术 30

3.1.3SSH隧道 30

3.2HTTPS技术 32

3.2.1技术概述 32

3.2.2部署配置 35

3.2.3运营问题 37

3.3CDN加密 38

3.3.1CDN使用问题 38

3.3.2KeylessSSL技术 38

备注：需对Nginx和OpenSSL进行修改，使私钥相关操作能远程且无阻塞进行，这样Nginx可在等待远程操作完成时处理别的工作。RSA握手图示如下： 38

4加密存储 39

4.1磁盘文件加密 39

4.1.1定制磁盘加密 39

4.1.2分区与卷加密 41

4.1.3文件系统加密 42

4.2结构化数据加密 44

4.2.1应用层数据加密 44

4.2.2数据库透明加密 44

4.2.3数据库网关加密 45

4.3非结构化数据加密 46

4.3.1文件存储网关 46

4.3.2视频资源保护 48

4.3.3静态资源保护 53

4.4ETL数据加密 55

4.5密钥管理服务 59

5.1集群统一管理 62

5.2开发运维分离 65

5.3数据资产梳理 67

5.3.1数据资产发现 67

5.3.2生命周期管理 68

5.3.3数据分类分级 69

5.3.4数据识别标注 70

5.4资产外防内控 73

5.4.1防止拖库 73

5.4.2防止注入 78

5.4.3控制接入 79

5.4.4控制通道 80

5.4.5管控权限 81

5.4.6防止下载 84

5.5终端防泄露 85

5.5.1通用检测技术 85

5.5.2设备管控与加密技术 86

5.5.3终端与网络方案使用 87

5.6监控与审计 89

5.6.1监控审计 89

5.6.2风险预警 89

6认证鉴权 90

6.1SSO技术 90

6.1.1技术概述 90

6.1.2基本流程 91

6.1.3技术实现 92

6.2Token使用 95

6.2.1技术概述 95

6.2.2技术实现 96

6.2.3RESTfulAPI应用 97

6.3Ticket认证 98

6.3.1技术概述 98

6.3.2认证配置 99

6.3.3技术实现 102

Kerberosticket实现的流程如下图所示： 102

6.4RPC鉴权 103

6.4.1技术概述 104

6.4.2Filter鉴权 104

6.4.3Token鉴权 105

6.5API网关 106

6.5.1技术概述 106

6.5.2认证管理 108

6.5.3限流管理 110

6.5.4日志审计 111

6.6行为审计 113

7数仓安全 117

7.1透明加密 117

7.1.1技术概述 117

7.1.2配置实现 119

7.2数仓网关 122

7.2.1技术概述 122

7.2.2配置流程 122

7.2.3网