防内忧 解外患

新一代数据安全解决方案
全知科技（杭州）有限责任公司

数据在流动 可见才安全
目录
Contents

1 数据安全观察 2 数据安全体系

3 基础能力建设 4 体系能力建设
数据安全观察 1
数据安全成为全社会都关注的问题

权利

黑灰产 企业
泄漏 价值

合规
竞争对手 国家安全
内部威胁-授权人员主动外泄数据

2017年3月，50亿条公民信息泄 2019年12月，裁判文书网公布，
露原因曝光，京东内鬼被抓。此 某省交管局由于中信国安驻场开
为盗卖公民信息的特大案件，50 发人员利用账号权限便利，泄露
亿条公民信息遭到泄漏，而嫌疑 公民信息1400万条，相关人员获
犯被传是京东网络安全部员工， 刑3年，部门负责领导获刑1年并
与黑客长期相互勾结。 处罚金1万元。

2021年4月，根据裁判文书网公开 非法窃取公司
2021年10月，宁波某支行行长售 裁定显示，某作案团伙应聘电商 信息并售卖
卖客户财产信息1100条，被处禁 客服、仓管、物流管理，获取账
止从事银行业工作5年，刑事处罚 号权限后离职拉取数据。流窜作
另并案处理。 案9家公司，拉取去重客户数据
108万条。
风险小结

观察一： 授权账号的非法使用 是数据泄露的常见原因由于人员职权复杂，流动性大，借用业

务行为隐蔽，是内部数据泄露的最大风险点。

观察二： 内部系统安全性不足 是泄漏事件孳生的土壤企业内部系统自身安全性较低，大部

分集中在准入性校验，进入系统后用户行为监测手段薄弱，是安全防范最薄弱的地方。
外部威胁-攻击者利用漏洞获取数据

2021年4月Facebook 5亿用
2021年6月，经过司法鉴
户数据泄漏，攻击者通过生
定，逯某通过其开发的软
成巨大的“电话簿”利用API
件利用某宝的API接口爬取
漏洞，涉及到用户的昵称，
用户的用户ID、昵称、手
邮箱，电话号码，家庭住址
机号码等信息共计11亿条。
信息。

2020年，微博被曝5亿数 2020年，Instagram 1.92亿

据泄露，官方回应称此次 数据泄露，许多高知名度用
的数据泄漏源于黑灰产利 户的电话号码和电子邮件被
用APP的用户查询API，批 黑客非法获取，泄露的原因
量获取用户信息。 是其API存在漏洞。
风险小结

观察一： 非法获取数据 为目的

数据黑灰产产业链快速滋长，黑客不再以侵占系统为目的，而以窃取个人隐私数据，实施电信
诈骗/营销等为目的。

观察二： API漏洞的利用 成为常见手段

由于可利用性高、数据体量大，Gartner预测API滥用将会成为企业数据泄露最主要的方式。
OWASP也发布了API security TOP 10。
监管合规-逐步明确的要求与处罚

数据安全，是指通过采取必要措施，确保数据处于
有效保护和合法利用的状态，以及具备保障持续安
全状态的能力

《个人信息 《网络数据 第二十九条开展数据处理活动应当加强风险监测，

发现数据安全缺陷、漏洞等风险时，应当立即采取
保护法》 安全管理条
《网络安 补救措施；发生数据安全事件时，应当立即采取处
例》 置措施，按照规定及时告知用户并向有关主管部门
全法》
报告。

《关键信息基 《数据 第四十五条 开展数据处理活动的组织、个人不履行...

础设施安全保 安全法》 由有关主管部门责令改正，给予警告，可以并处五万
护条例》 元以上五十万元以下罚款，...可以处一万元以上十万
元以下罚款；拒不改正或者造成大量数据泄露等严重
后果的...并可以责令暂停相关业务、停业整顿、吊销
相关业务许可证或者吊销营业执照，对直接负责的主
管人员和其他直接责任人员处五万元以上二十万元以
下罚款。
数据安全法解读
全知一直强调的数据可见，这是和传统安全相比最大的
差异，我们对数据的处理活动进行监控

第一章 第三条：数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等。数据安全，是指通过采取必要措施，确保数据处于有效
总则 保护和合法利用的状态，以及具备保障持续安全状态的能力。

企业90%以上的（敏感）数据处理活动都来自于业务系统

第二十七条 开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的
技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述
第四章 数据安全保护义务。 要求对数据暴露面要有缺陷（弱点）评估能力 数据泄漏、数据篡改、数据违规使用
数据安全
第二十九条 开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应
保护义务
当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。
第三十条 重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。

要求敏感数据使用需要留痕

第四十五条 开展数据处理活动的组织、个人不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门
第六章
责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下
法律责任
罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相
关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。
个人信息保护法解读
数据风险全知道 Know your data,Manage your risk

第五十一条 个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、
可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访
问以及个人信息泄露、篡改、丢失： 1、接口要求有完善的鉴权机制；
2、访问个人敏感信息的行为要求有审计记录；

一 二 三 四 五

制定内部管理制 对个人信息实行 采取相应的加密、 合理确定个人信 制定并组织实施

度和操作规程 分类管理 去标识化等安全 息处理的操作权 个人信息安全事
技术措施 限，并定期对从 件应急预案
业人员进行安全
强调数据处理过程中的去标识化，只有梳理出
所有的数据处理活动场景，才能看去标识化做 教育和培训
的是否合规、彻底
风险小结

观察一： 数据合规 成 为 企 业 面 临 的 新 安 全 问 题
除了数据泄漏之外，数据采集和使用的隐私合规性成为企业安全人员需要面对的新的风险维度。

观察二： 数据安全监管 执 行 和 处 罚 力 度 加 强

近几年频繁出台的数据安全法律和规范都在陆续变成实际可落地的执行标准。
数据安全关注点与痛点分析

• 客户关注点
– 监管合规

– 数据流向监测、追踪

– 数据泄露

• 客户痛点
– 业务零打扰

– 产出见效

– 低成本，包括预算、人力运营成本（尤为重要）
数据安全体系 2
全链路数据流动安全管理平台体系

全链路数据流动安全管理平台体系

全链路敏感数据留痕溯源分析 统一运营
平台管理 资产运营 风险运营
数据流动审计与运营 应用审计溯源 大数据平台操作溯源

数据库操作溯源 第三方数据共享溯源 常态运营 风险评估报告

告警与订阅

报表管理 数据流动风险管控 API安全网关 应用数据网关 数据运维管控 大数据平台管控 数据脱敏

可视化定制

用户管理 数据流动风险监测 互联网开放风险监测 内部员工风险监测 面向运维侧风险监测 大数据平台风险监测 数据外发风险监测

权限管理
应用服务弱点评估 大数据/数据库风险评估 数据合规评估
审计管理 数据采集合规 数据存储和删除合规
数据权限风险 数据暴露面 大数据/数据库脆弱性 大数据/数据库基线核查
数据流动风险评估
数据使用利用合规 数据共享合规
扩展能力 CVE漏洞 账户弱口令
异常数据流向 高危数据行为 数据主体权利知情、响应
数据出境合规
合规
流量分发
数据流动刻画 数据权限关系 数据暴露面 数据映射关联可视 数据流向
推送安装

探针监控 应用服务资产台账梳理 敏感数据分类分级 数据库资产梳理

数据资产底账梳理 应用API清单 文件、邮件清单 敏感数据规则 数据分类分级 数据库资产清单 数据表
自定义接口
双向敏感数据识别 数据分类分级 敏感数据打标 数据清单开放 数据字段 数据库访问情况
数据安全建设流程

数据资产梳理（静态） 数据流动梳理（动态） 数据风险评估 数据风险监测 风险管控措施

l 数据资产发现 l 数据库审计 l 合规评估 l 数据库风险 l 数据库管控

l 敏感数据识别 l 应用数据审计 l 风险评估 l API风险 l API风险管控

l 分类分级梳理 l 数据流动关联 l 规范评估 l 终端风险 l 动态脱敏

数据安全能力建设实施路线建议

摸清家底、识别风险、制定路线

第一 基于调研和合规评估，明确数据安全需求并
1 阶段 制定数据安全规划，制定管理体系。
梳理数据资产，完成分类分级
识别在业务活动数据流转过程中存在的风险

固化要求、实施工具、加强考核
基于管理要求和监测发现，固化数据访问规则，指导技术
第二
2 阶段 实施
实施各类数据安全防护措施和技术工具，完成管理体系要
求在数据安全生命周期的落地
细化考核评价指标，提升数据安全防护效果

评估评测、运营优化、持续改建
第三 通过数据安全评估、评测和审计，检验数据安全防护落地执行效果
3 阶段
在持续的运营监测中总结提升，形成数据安全态势感知
对运营、评估、评测和审计中的发现进行改进，持续提升数据安全能力
基础能力建设 3
知源

数据资产地图

提供全局的生产数据资产清单和分类分级管理

敏感数据识别
数据分类
数据分级
数据资产清单
分类分级项目实施方案

确定分类分 扫描数据库 咨询访谈获取分类分级数 元数据和清 沉淀数据规 数据安全赋

规则探索
级范围 数据 据清单并标签化 单映射 则 能及运营

1.定制api接口赋能
2.定期运营

1.规则沉淀，实现自动化的识别
和打标

1.根据映射关系表，探索并提取字段的命名规则、
内容特征

1.完成分类分级标签-元数据之间的映射关系，建立映
射关系表

1.咨询各个业务线的关键人完成个人信息分类分级清单
2.咨询业务线关键人对业务、监管、经营管理数据进行枚举
3.形成分类分级数据清单并标签化

1.调研数据库
2.扫描数据
1.确定分类分级标准范围
2.确定分类分级的目标范围
基础数据资产盘点

支持多种数据库类型，并可快速 数
水平扩展
据 形成表级/字段级的数据资产底
Oracle, mySQL, mariaDB,
库 账，分级工作基于资产底账开展
sqlServer, PostgreSQL, Hive,
DB2, Gbase, Greenplum, 的
ElasticSearch, Redis, 分 数据资产底账-表级
Hbase,OceanBase, GaussDB等 布
PostgreSQL ……
只读账号密码
资产扫描
技术探测
分级业务条
线 信贷业务系统 手机银行App系统
数据状况

数据库数量 6 1

数据实例数量 1 3 数据资产底账-字段级
数据库类型及版本 mysql 5.7 DB2 10.5

表数量 2891 3501

服务扫描 字段数量 45441 57021

记录数总量 77379502 102359441

是否有数据字典 有 有

表命名规范是否统一 部分统一 统一

是否有完善的表描述（能 大部分具备 具备
够理解业务含义）

字段命名是否统一 部分统一 统一

是否有完善的字段描述 大部分具备 具备
（能够理解业务含义）

数据字典标准的落实情况 基本落实 极大程度落实

探索发现

在分类分级框架的基础上，需要结合企业真实的数据资产将分类分级的清单细化。探索发现可以让我们通过具
体的数据来看清企业数据资产的实际构成，帮助专家构建分类分级的具体类目。常见的探索方式包括：
品

1. 人工预览：效率比较低，难抓住重点
2. 词云分析和智能推荐：通过对表和字段的语义分析，比较直观的呈现资产的特征。
产 功 --数据 产态势感

人工预览 词云分析 智能推荐

规则策略沉淀

通过人工逐个字段进行标记效率低下，专家在运营过程中需要不断将标签沉淀为自动化的策略，保障数据分
类分级持续有效。

多元素、多条件自由组合，发挥策略打标优势，应对复杂业务数据
库名 表名 表描述 字段名 字段描述 表
规则元素 匹配对 规则类型
字段备注 字段标签 字段标签 字段等级 字段等级 达
Step 1 象 （正则）
（机器） （人工） （机器） （人工）
式
智能分析 元素匹配模式 模糊匹配 正则表达

字段名称 REGEX loan

规则组合关系 与 或 非

字段描述 REGEX 时间
Step 2
规则组合 字段描述 REGEX 贷款

字段描述 REGEX 信贷

字段名称 REGEX date

Step 3 条件表达式
策略沉淀
(1|2|3)&(2|5)
 数据分类分级动态运营

定制api接口赋能 分类分级运营

•定期服务发现 存量数据运营
•数据安全级别复核
•自动识别新增数据库 •定期DB扫描 •重要数据识别
•自动识别新增表、字 •自动识别数据量动态变化 •表、字段分级结果修订
段 •自动识别表、字段动态变 •表、字段策略修订
化情况
增量数据运营 分级结果运营

识别策略运营 •安全影响专家评估
•数据级别变更调整
•表打标策略更新维护
•标签级别映射表维护
•字段打标策略更新维护
•关联字段级别提升维护

分级策略运营
知形

应用数据风险监测分析
“专注内部数据泄露”

提供企业业务应用系统数据安全管理能力
覆盖资产梳理、数据安全风险评估、数据使用异常行
为分析、数据安全风险运营和审计溯源多个维度
内部应用系统成为企业数据流动的主要场景

正式员工

供应商 外包员工
实习员工
合作商 离职员工
分销商 数据处理员

销售 客服
运营商

CRM系统 BI平台

营销系统 OA系统
仓储系统
应用数据安全面临的挑战

数据梳理

现状：集中在数据库静态资产的梳理
问题：无法知道业务人员数据访问、数据下载、数据流动情况

行为审计

现状：重点在控制用户访问准入，不关注用户业务数据使用情况
问题：无法在数据层面评估行为的风险程度

日志溯源

现状：只记录简单信息或无记录，无敏感数据内容记录
问题：当发生数据泄漏事件，无法进行溯源定位
以数据为中心的应用数据风险监测方案

数据账号权限梳理
自动识别用户账号，自动关联产出账号-人员-组
数据权 织架构的关系；识别用户获取数据行为特征以及
限梳理
获取的数据量；

数据行为审计
实时风险检查策略对用户行为进行实时检查，识
数据行 别类型包括：管理合规类、数据滥用类、异常特
应用数据 为审计
风险监测 征类、三大类28项风险场景；

数据泄露溯源
数据访问行为全留痕，针对泄漏场景，提供数据
数据泄
露溯源 泄漏人员定位，泄漏面影响评估；
从一个案例看应用数据安全

数据权限梳理
ERP系统 ERP系统 售卖诈骗
• 数据过度授权

大量
查询 完整
订单 订单
信息 信息
数据行为审计

• 未发现数据滥用

数据泄漏溯源

• 缺少数据行为记录
• 无法根据泄漏数据进行追溯 获取权限 下载数据 非法售卖
账号数据权限关系梳理

识别所有用户，生成用户和数据的关系

• 识别用户，包括部门、角色、活跃状态
• 关联用户访问的系统、获取的数据和文件
• 生成用户习惯及偏好，建立用户历史行为基线

账号 部门 岗位 状态 系统权限 数据权限
bob
bob 仓储物流部 正式员工
仓储物流部 正式员工 新发现
新发现 ERP，OA
ERP，OA 订单详细信息(手机号、姓名、订单号)
订单详细信息(手机号、姓名、订单号)
数据行为审计

行为合规类 账号 风险 类型 等级

bob 下载数据量异常 数据滥用类 高危

登陆认证类

机器特征类

数据拉取类

账号单日获取数据量异常 风险数据概览
账号离群类
持续：0天0小时4分钟5秒
日期：2021/09/23 风险开始时间：2021/11/12 13:34:45
风险结束时间：2021/11/12 15:31:04
数据滥用类 风险账号：bob
访问情况：共进行2次访问
风险接口：http://erp.inc/download 去重敏感数据：170条
所属应用：ERP系统 IP信息：1个IP
6类38条 数据分布：手机号(234), 银行卡(456),姓名…
数据泄露溯源

账号集中度

多人
投诉
数据
泄露

账号

数据泄露投诉 数据溯源 影响面评估

方案特色：快速落地，长效产出

流量接入后，自动识别业务 覆盖多种数据标签、员工标签、
系统、账号及其身份，不依 行为标签，风险特征库，并支
赖业务方对接，即插即用。 持自动学习识别。
无依赖 覆盖广

自动关联用户及数据关系，依 数据访问行为全留痕，记录
易运营 全留痕
据内置场景，定期产出用户数 账号和关键敏感数据内容，
据风险监测结果。 便于依据泄露的数据内容进
行追溯。
知影

API安全监测解决方案
“专注外部数据泄露”

提供API接口全生命周期（上线/变更/下线）安全监测
覆盖API接口梳理、数据流向分析、API接口脆弱性发现、
API接口数据安全运营等方面
API成为组织数字化转型的连接器

API（Application Programming
Interface）就像数据流转的阀门，
连接着各种服务、应用和终端。同
时也链接着企业的职能部门、客户
和合作伙伴，甚至整个商业生态。

API成为组织数字化转型的连接器
API数据安全面临的挑战

现状：停留在主机/服务/端口维度
资产
梳理 问题：无法知道有哪些API接口，哪些API可以获取敏感数据

现状：依赖扫描能力，效率低，覆盖不全
脆弱性
评估 问题：无法确认是否对所有重要接口做了安全评估

威胁 现状：基于已知特征的web攻击、木马、病毒
检测 问题：无法发现数据泄露以及针对API接口特性的攻击
以数据为中心的API风险监测方案

知己
有哪些API
有哪些对外暴露敏感数据的API
有哪些存在安全漏洞的API

知彼
是否有人尝试寻找或利用API漏洞
攻击者采用了哪些针对性的手法
是否有人成功实施了攻击

1 API梳理，缩减暴露面 2 弱点评估，修复漏洞 3 风险监测，发现威胁

全面盘点API“摸清家底”,缩减高危 发现API安全漏洞，推动修复，消除 监测网络攻击和API滥用行为，及时
数据暴露面。 数据泄露隐患。 响应避免引发安全事件。
从一个典型数据安全事件看API数据安全

资产梳理
l 过量数据（类型）暴露
l 敏感数据未做脱敏

脆弱性评估
l 接口未鉴权

风险监测
l 数据被遍历未触发风险告警
资产梳理-从“一锅粥”变成“一本账” 数 据 风 险 全 知 道 Know your data, Manage your risk

发现所有API，防止敏感数据暴露
l 持续清点所有API，包括影子API和僵尸API
l 识别暴露PII或其他敏感数据的API
l 缩减攻击面和数据暴露面

API 数据标签 等级 访问域 状态

api.bank.com/v2/userinfo 姓名，电话，身份证号码，银行卡号 高等级 互联网 待确认

脆弱性评估-从“分散多点”到“全面覆盖” 数 据 风 险 全 知 道 Know your data, Manage your risk

• 全面评估所有的API接口

安全规
范类
数据暴 口令认
露类 证类

5大类
数据权 高危接
30+项
限类 口类
风险监测-从“被动堵漏”转为“主动防护” 数 据 风 险 全 知 道 Know your data, Manage your risk

API攻击监测 数据泄露监测
参数遍历 3,675,324次

越权攻击 3次
识别攻击尝试， 防止攻击者窃取
扫描攻击 45,632次

发现API漏洞 公司或客户数据

账号安全监测 API生命周期监测
及时发现被攻破 掌握每一个API的
的账号 活跃状态
 数据库风险监测系统
产品简介
“数据库风险监测系统”是一款实时监控并记录数据库系统各类操作的流
量分析系统。通过对SQL语句和语法的分析，实时地、智能地解析对数据
库的各种操作，并记入数据库审计设备中以便日后进行查询、分析、过滤，
实现对目标数据库系统的用户操作的监控和审计。
数据风险全知道 Know your data, Manage your risk
核心能力
• 数据库资产识别。通过对数据库的分析，自动识别数据
库、表、字段数量，对数据库访问情况进行梳理。
• 行为基线。根据给定事件，完整还原用户事件，通过指定
用户，分析出该IP或用户的访问基线
• 风险监测。审计所有操作，通过行为分析预知潜在风险。
• 数据溯源。根据给定的敏感数据或者敏感表追溯访问者、
访问事件，流出数量。
适用场景
• 存在大量未登记数据库，数据分类分级无法全面覆盖。
• 落实分类分级后的数据流动监控。
• 数据库纷繁多杂，访问了哪些数据，是否违规，管理人
员一无所知，想了解数据被使用情况。
体系能力建设 4
数据流动风险统一运营
以数据为中心，监测数据，审计行为，实时防护

安全部门人员 安全研判人员 资产责任人员 值班人员 外部参观人员

04. 研判
01. 监测配置 05. 处置修复

06. 多维报告
全链路运营中心
基于数据行为，发现异常、研
判、处置提供支撑平台

02. 自动监测 03.策略下发

监 防
数据资产 行为风险 泄漏追溯 访问控制 攻击防护 敏感数据脱敏
测 护
三层关联 - 产品技术方案 数 据 风 险 全 知 道 Know your data, Manage your risk

数据安全风险感知平台
三层关联 - 手动建立关联 数 据 风 险 全 知 道 Know your data, Manage your risk

手动建立关联
• 应用服务与数据库
• API接口与数据表
三层关联 - 自动建立关联 数 据 风 险 全 知 道 Know your data, Manage your risk

API与数据表关联
• API  SQL Template

• SQL Template Table

从流量中梳理资产

• SQL请求+返回

• 采样与分类分级
三层关联 - 构建数据流动和分类分级的三层关联可视化 数 据 风 险 全 知 道 Know your data, Manage your risk
数据流动风险评估

技术风险 合规风险

数据载体脆弱性 数据采集合规

数据容器脆弱性 数据存储和删除合规

数据访问控制脆弱性 数据使用利用合规

数据暴露面脆弱性 数据共享公开交易合规

账号的数据权限风险 数据出境合规

异常跨域数据流向 数据主体权利知情合规

高危数据行为 数据主体权利响应合规
数据流动风险监测
数据流动风险管控

数据暴露面 数据流 数据分类分级

新型数据安全访问控制：
基于风险和细粒度数据资产
API安全网关 VDM、云桌面
数据库访问网关
大数据平台访问
网关
应用数据网关 终端文件沙箱
风险拦截 - 发现并拦截，减少恶意风险带来的影响
数据风险全知道 Know your data, Manage your risk
动态脱敏 - 保护数据在流转中的安全性
数据风险全知道 Know your data, Manage your risk