煉石網絡：免改造數據安全的實踐與思考（2023）（24頁）.pdf

《煉石網絡：免改造數據安全的實踐與思考（2023）（24頁）.pdf》由會員分享，可在線閱讀，更多相關《煉石網絡：免改造數據安全的實踐與思考（2023）（24頁）.pdf（24頁珍藏版）》請在三個皮匠報告上搜索。

1、1免改造數據安全的實踐與思考煉石網絡創始人、CEO 白小勇2023年4月2“安全需求”側重“不希望發生什么”從而確?！鞍l生什么”安全是一種業務需求“傳統業務需求”側重于“希望發生什么”商務合作市場拓展數據共享資源互換應用系統服務器數據庫3各種“安全”含義都可以映射到“業務需求”Security安全防攻擊Reliability可靠性業務需求Sureness確定性Trustiness誠信度Safety安全可靠4從業務視角重新思考數據安全數據安全業務目標數據安全保護對象是有價值的數據（比如個人信息）數據安全業務目標就是“不希望數據發生什么”數據的價值計算機模型中，一切皆數據數據作為新型生產要素，在流

2、動中體現價值數據是實現業務價值的主要載體業務視角數據安全需求機密性（Confidentiality）數據泄露會削弱或歸零數據的業務價值完整性（Integrity）數據被篡改直接破壞業務目標原真性（Authenticity）數據起源鑒別所有安全產品或能力，都是在“某個業務”中實現了“不希望發生什么”5數據安全需求，來自于業務處理的“風險映射”應用層平臺層基礎設施層“主體到應用內用戶、客體到字段”的細顆粒度防護操作系統、中間件，數據庫、文件系統等安全防護CPU、內存、磁盤、網線、光纖等加密從空間維度，數據在不同層的不同防護顆粒度需求從時間維度，數據在全生命周期的安全需求收集存儲使用加工傳輸公開提供

3、 合法 正當 必要 告知 監督 檢測 內控 風險 響應 加密 脫敏 約定 評估 保護 監督 危害 分析 影響 加密 控制 審計6凡是有處理數據的業務場景就會存在風險，也就有了數據安全幾乎無邊界的復雜業務需求帶來同樣復雜的數據安全需求數據安全邊界，取決于業務邊界7“艱難的防守者”重新思考數據保護的意義如果攻擊者投入足夠資源，最終總是能竊取到目標數據無法杜絕數據泄露，但可以使竊取成本高于數據獲利8對數據有效保護手段的評價戰爭是雙方消耗資源，構建局部優勢，降低我方成本、提高敵方成本防守方評估技術手段、排序優先，用更少成本、消耗攻擊者更多成本9安全機制和業務處理紐結纏繞、難以改造應用系統升級涉及面廣，

4、成本高周期長已上線系統升級風險大，影響業務連續銀行應用功能架構圖示例銀行應用系統總體架構圖示例個人信息與重要數據保護主要是面向應用的功能型安全需求：業務與安全研發排期不吻合，業務團隊技術與響應跟不上功能型安全需求要在應用中融合實現，但改造應用成本高、風險大、周期長數據保護不落實，則合規風險越來越大、因泄露導致的業務風險會快速累積重要數據權限控制訪問審計數字簽名水印追溯去標識化數據加密風險監測防止篡改未授權的數據訪問風險運維人員內控風險業務人員越權訪問風險數據外發合規風險數據違規外發風險業務操作身份風險數據過量訪問風險數據訪問內控風險10切面安全：在數據流動的切面上重建安全規則，實現安全與業務在

5、技術上解耦、能力上融合參考Spring：從耦合式編程到AOP解耦式編程面向切面的數據安全11部署模式：統一平臺下的多控制點，對數據精準識別和保護結構化數據前臺系統后臺系統CRMTFE/FDE模塊保護非結構化數據文件系統/數據庫應用用戶訪問安全代理用戶MySQLKMS密管系統數據安全管理平臺數據審計追溯系統數據資產管理系統數據安全SDK集成安全能力CipherSuite非結構化數據AOE模塊保護結構化數據存儲公開收集使用加工傳輸提供TDE模塊保護結構化數據12數據保護【結構化】：免改造應用的字段級保護支持ABAC的訪問控制策略，實現用戶與字段文檔級防護面向用戶側動態脫敏面向服務側存儲加密AOE插

6、件數據庫姓名賬號郵箱住址89773423431860000134=mfdas43姓名身份證手機號=jfn4321jnd竊取數據用戶1用戶2用戶36210875612517712348471中關村大街周林6210*125177*8471*大街周林住址*姓名身份證手機號*住址姓名身份證手機號住址姓名身份證手機號數據安全管理平臺密鑰管理系統應用服務示例應用查看脫敏后數據示例應用看到密文示例DBA工具查看脫敏數據示例DBA工具查看密文不影響業務人員使用、不影響DBA運維主體到人細粒度訪問控制客體到字段AOE代理【防范內外】面向運維：防范應用外數據訪問威脅存儲加密：防范內部DBA、外包、黑客面向用戶：防

7、范應用內數據訪問威脅動態脫敏：防范業務人員越權訪問風險監測：監測業務人員風險操作審計追溯：追溯業務人員數據泄露【方案優勢】應用系統免開發改造，敏捷實施數據加密結合用戶身份解密細控，不改變用戶習慣13授權進程可讀取文件明文密文磁盤存儲密文應用程序1應用程序2應用程序3明文數據安全管理平臺內核態用戶態密鑰管理系統OSTFE文件安全模塊掛載磁盤或卷后可讀取文件明文密文磁盤存儲密文應用程序1應用程序2應用程序3明文內核態用戶態FDE全磁盤加密未授權進程只能讀密文密文OSTFE安全模塊FDE安全模塊數據保護【非結構化】：兼容Linux/Win的文檔級保護14產品矩陣：免改造的全面數據保護，支持靈活部署煉

8、石數據安全主平臺數據檢測響應系統數據加密系統?數據資產管理系統?略?數據審計追溯系統?事中事后事前數據去標識化系統?DSM/PIP數據安全合規系統?免改造增強數據安全高性能國密保障效率適應復雜應用架構集中式管控分布式保護?創?PCT?Intel CPU?SM4?140Gbps?JAVA?C?Linux/?OS/Windows?15防護方案示例：在數據控制點上，施加防繞過動態保護企業業務部門企業IT部門企業網絡外包工作區域面向用戶重建安全規則：只有符合權限的用戶才能訪問到其應該使用的數據結合業務場景的風險監測可定責到人的高置信審計PLMERPMESSCMCRMOA面向運維重構數據邊界：沒有任何人

9、能從應用后臺獲取敏感數據明文信息與權限體系結合的解密策略，無法被繞過免改造數據控制點企業數據中心在數據控制點可實施多樣安全能力，優選嵌入密碼能力16%#￥34dfsd675&g5g45c456#%*ffgth$#fgcvcv%$fgf342&Fg7Fdt756fg%ghgfgcvcv%#￥34dfsd675&g5g45c456#%*ffgth$#fgcvcv%$fgf342&Fg7Fdt756fg%ghgfgcvcv%系統管理員審計管理員安全保密員外包實施人員系統管理員直接訪問后臺數據通過維護命令接觸后臺數據利用漏洞獲取敏感數據內部潛伏敵特已淪陷的交換機從交換機上無法獲取敏感數據應用服務器明文

10、密文密文密文攻擊者無法直接從運維側獲取敏感數據IT運維、外包實施、管理員、內部惡意人員、被控制主機、特木等人員和手段均無法直接從后臺獲取敏感數據數據庫/文件服務器免改造控制點外部黑客通過控制數據庫主機獲得數據17%#￥34dfsd675&g5g45c456#%*ffgth$#fgcvcv%$fgf342&Fg7Fdt756fg%ghgfgcvcv%#￥34dfsd675&g5g45c456#%*ffgth$#fgcvcv%$fgf342&Fg7Fdt756fg%ghgfgcvcv%SQL注入攻擊已淪陷的交換機應用服務器明文密文密文密文攻擊者無法從用戶側獲取未授權的敏感數據根據數據使用人員的權限

11、、工作內容差異，定向脫敏核心數據對于不應該看到數據卻需要數據來工作的員工，僅開放其權限內的數據數據庫/文件服務器免改造控制點低安全意識人員Web攻擊人員只返回最小權限數據特權賬號人員檢測風險訪問、即時阻斷和記錄盜取賬戶的攻擊者只返回最小權限數據、風險檢測、阻斷和記錄18用戶端數據庫Java/C/Python等應用服務數據安全管理平臺數據庫管理員密鑰管理系統消除數據庫側安全威脅數據錨點解密強制細控非授權用戶無法獲取明文基于屬性的訪問控制面向切面數據安全模塊數據庫用戶端密文明文脫敏后數據應用服務端免改造應用敏捷實施適應企業復雜應用架構覆蓋事前事中事后的防繞過保護機制免改造數據安全：交付快、兼容廣、

12、防護全19基于SM4的保留格式加密（FPE）加密10億條手機號，僅耗時20秒SM2SM3SM4SM9ZUC基于PKI的數字信封加密協同簽名身份鑒別密鑰派生接口EVP國密接口FPE格式保留加密140Gbps!性能高：PCT專利保護的高速國密實現，不影響業務效率20部署和實施方案項目背景介紹客戶行業：政府項目名稱：XX碼疫情防控信息保護項目需求：XX碼系統包含海量公民隱私信息，蘊藏巨大價值，是境外敵對勢力、灰黑產等攻擊的重點目標。密碼法GB/T 38961-2020個人健康信息碼參考模型等法律法規要求，采用符合國家密碼管理要求的算法進行加密保護。在抗疫持久戰局勢下，健康碼亟待實施基于商用密碼的實戰

13、化數據安全防護項目建設內容：1.涉及某省3000萬市民在10個應用系統中15個字段的、1.4億條數據進行加解密實施；2.方案調研和設計花費3天，分2天分批上線（實際為2個4小時，實施窗口期只有0點-4點）。項目收益：1.讓健康碼業務正常運轉和安全防護二者兼得，保護了3000萬人民的隱私信息；2.創新技術示范可復制到更廣泛場景。!#$!#$%&()&()!#$!#$!#!#$實踐1：某省3000萬人民的防疫健康碼數據保護21客戶行業：政府項目名稱：某省XX健康通數據保護項目需求：XX健康通服務近億常住人口，從多渠道廣泛收集大量個人隱私信息用于疫情分析，海量隱私數據在“裸奔”,需要針對系統建設的安

14、全性進行等級保護測評和商用密碼應用安全性評估。項目建設內容：簡化復雜數據處理場景，保護數據中臺核心數據，把控數據出入口，采用AOE插件實現實時流轉數據入庫加密、出庫解密，且不影響對外接口和日常數據處理；采用SDK對SQL導入導出文件進行加解密處理，支持海量數據的實時處理。涉及某省億級健康碼用戶在40個應用服務中400多個字段的、150億條數據加解密實施。項目收益：1、不影響數據中臺業務的同時，保護了總數超1億用戶的防疫隱私數據；2、支持豐富的數據處理場景，保障數據存儲、處理、流轉安全，支撐高峰時期5萬多人同時使用。3、滿足國家關于政策合規、商用密碼信息系統密碼應用規范要求。項目背景介紹部署和實

15、施方案實踐2：某省近億人民的防疫健康碼數據保護22客戶行業：銀行項目名稱：某銀行數據加密項目項目需求：某商業銀行掌握著海量用戶個人隱私數據，但面對愈加嚴峻的內外部數據安全威脅，銀行亟需兼顧用戶隱私保護與經濟發展需求之間的平衡，在運用數據為用戶提供產品服務的同時，強化個人敏感信息的保護。項目實施痛點：l 待保護的數據量達到億級，且數據存在形式多、訪問人員眾多、存儲分散、易傳播；l 開發改造應用疊加數據安全，周期長、難度大、風險高；l 信息系統環境復雜，涉及字段類型多、數據庫種類多，涉及分庫分表、存儲過程、模糊查詢等使用場景；l 加解密過程不可影響或中斷正常業務的運行。項目背景介紹項目建設方案面向

16、重要數據與個人信息保護，依托自主研發的AOE加解密模塊，打造免開發改造應用的數據保護、高性能密碼產品，構建高覆蓋率的安全增強點組合，有效保護結構化與非結構化數據，保障數據全生命周期安全，實現主體到應用內用戶、客體到字段級的防護，打造實戰化數據安全防護體系。Kettle4節點AOE-Proxy集群DBA 1節點堡壘機MySQL數據庫sql寫入核心系統（明文）原表（密文）管理端（明文）網貸系統管理端（明文）明文通過DBA工具（目前未定）訪問數據庫AOE模塊案例3：某商業銀行數據安全23公司成立安天投資2015應用融合數據安全2016Pre-A輪國科嘉和投資2017免改造數據安全2018免改造數據保護平臺2019A輪騰訊投資2020數據安全主平臺2021煉石是以“免改造”為創新特色的數據安全產品廠商，并為客戶提供專業數據安全服務?產品共研 深度融合?威脅檢測系統安全強化煉石系統安全能力?強化煉石安全算法能力公司介紹：煉石免改造數據安全數據安全產品+服務2022A+輪領航新界投資2023?拓展市場戰略布局?24謝謝！加我微信交流煉石網絡CEO 白小勇