数据安全治理中的数据资产梳理技术

数据安全 ，始于数据资产梳理。数据资产梳理是数据库安全治理的基础，通过对数据资产的梳理，可以确定敏感性数据在系统内部的分布、确定敏感数据是如何被访问的、确定当前的账号和授权的状况。

（1）静态梳理技术

静态梳理是完成对敏感数据的存储分布状况的摸底，从而帮助安全管理人员掌握系统的数据资产分布情况。

静态梳理可以分为结构化数据梳理和非结构化数据梳理。

对于结构化数据的梳理，通过静态的扫描技术可以获得数据的以下基本信息：

A、通过端口扫描和特征发现，可以得到系统网段内存在的数据库列表，以及所分布的IP，从而获得数据库资产清单；

B、根据所定义的企业内不同敏感数据的特征，以及预先定义的这些数据的类别和级别，通过对表中的数据进行采样匹配，获得不同的列、表和库中的数据所对应的级别和类别；

对于非结构化数据，通过磁盘扫描技术，根据预先定义的数据特征，对于CSV、HTML、XML、PDF、Word、Excel和PPT等文档中的内容进行扫描，获得这些文件中所具有的信息的类别和级别。

无论是结构化还是非结构化，都要建立对应的敏感数据资产清单。

（2）动态梳理技术

动态梳理技术是基于对网络流量的扫描，实现对系统中的敏感数据的访问状况的梳理，包括：敏感数据的存储分布、敏感数据的系统访问状况、敏感数据的批量访问状况、敏感数据的访问风险。

通过动态梳理技术可以获得数据的以下基本信息：

哪些IP（数据库主机）是数据的来源；

哪些IP（业务系统或运维工具）是数据的主要访问者；

敏感数据是如何被业务系统访问的（时间、流量、操作类型、语句）；

敏感数据是如何被运维人员访问的（IP、用户、操作）；

动态梳理同样要分为对结构化数据访问网络流量的扫描，以及非结构化数据访问的网络流量的扫描。结构化数据的网络流量，主要是对各种RDBMS、NOSQL、MPP数据库的通讯协议的流量监控；非结构化数据主要是对Mail协议、HTTP、FTP等协议的监控和解析。

（3）数据状况的可视化呈现技术

通过可视化技术将静态资产和动态资产梳理技术梳理出的信息以可视化的形式呈现；比如敏感数据的访问热度、资产在组织内不同部门或业务系统内的分布、系统的账号和权限图、敏感数据的范围权限图。

（4）数据资产存储系统的安全现状评估

安全现状评估是将已定位、梳理的数据库资产进行全面检测评估，评估项包括：口令和账户、弱安全策略、权限宽泛、权限提升漏洞、日志、补丁升级等，评估是否存在安全漏洞。通过安全风险检查让数据资产管理员全面了解数据库资产运行环境是否存在安全风险。

通过安全现状评估能有效发现当前数据库系统的安全问题，对数据库的安全状况进行持续化监控，保持数据库的安全健康状态。

安全现状评估的价值：

（1）提升数据库使用安全系数：检测出数据库的DBMS漏洞、缺省配置、权限提升漏洞、缓冲区溢出、补丁未升级等问题。对检测出的问题进行有针对性的修复，整体提升数据库使用安全系数。

（2）降低数据库被黑客攻击风险：检测出数据库使用过程中由于人为疏忽造成的诸多安全隐患，例如：低安全配置、弱口令、高危程序代码、权限宽泛等。对上述安全隐患进行针对性处理后可有效降低黑客攻击风险。

（3）满足政策检测要求：在进行安全现状评估后，数据库管理人员可针对数据库漏洞、风险使用等方面的风险进行改进，满足相关政策对数据库安全使用的检测要求。

根据本单位的数据价值和特征，梳理出本单位的核心数据资产，对其分级分类，在此基础之上针对数据的安全管理才能确定更加精细的措施。

数据资产梳理能够有效地解决企业对资产安全状况摸底及资产管理工作；改善以往传统方式下企业资产管理和梳理的工作模式，提高工作效率，保证了资产梳理工作质量。合规合理的梳理方案，能做到对风险预估和异常行为评测，很大程度上避免了核心数据遭破坏或泄露的安全事件。