自《中華人民共和國數(shù)據(jù)安全法》（以下簡稱“數(shù)據(jù)安全法”）正式施行以來，正值一周年。作為我國第一部針對數(shù)據(jù)安全的上位法律，《數(shù)據(jù)安全法》的頒布實施，首次將數(shù)據(jù)安全工作升至國家安全最高監(jiān)管層級，并帶動各行各業(yè)陸續(xù)出臺數(shù)據(jù)安全標(biāo)準(zhǔn)細(xì)則。

盡管數(shù)據(jù)安全已得到了全行業(yè)的重視，但作為一個涉及多維度的復(fù)雜領(lǐng)域，企業(yè)在數(shù)據(jù)安全保護(hù)和治理方面依然面臨很多挑戰(zhàn)。在近期舉行的“2022年國家網(wǎng)絡(luò)安全宣傳周”上，數(shù)據(jù)安全再次成為社會關(guān)注焦點。瑞數(shù)信息作為應(yīng)用安全和數(shù)據(jù)安全領(lǐng)域的專業(yè)廠商，對企業(yè)如何做好數(shù)據(jù)安全給出了相應(yīng)的建議。

數(shù)據(jù)安全的法律定義

在《數(shù)據(jù)安全法》出臺之前，有關(guān)“數(shù)據(jù)”“數(shù)據(jù)庫”以及“數(shù)據(jù)安全”等提法，已經(jīng)在一些法律法規(guī)中有所體現(xiàn)。但是，法律意義上的數(shù)據(jù)安全到底是什么？數(shù)據(jù)處理的義務(wù)邊界在哪里？

對此，《數(shù)據(jù)安全法》第三條規(guī)定：“數(shù)據(jù)處理，包括數(shù)據(jù)的收集、存儲、使用、加工、傳輸、提供、公開等。”具體而言，做好數(shù)據(jù)安全需要做很多事情，需要針對數(shù)據(jù)的收集、存儲、使用、加工、傳輸、提供、公開等各個環(huán)節(jié)進(jìn)行數(shù)據(jù)安全風(fēng)險的監(jiān)測、評估和防護(hù)等，也需要用到權(quán)限管控、數(shù)據(jù)脫敏、數(shù)據(jù)加密、審計溯源等多種技術(shù)手段。

目前，市面上已有很多單點的安全技術(shù)或數(shù)據(jù)技術(shù)，能夠針對數(shù)據(jù)處理某一個環(huán)節(jié)提供服務(wù)。但隨著數(shù)據(jù)領(lǐng)域的不斷發(fā)展，這些單點技術(shù)之間缺乏聯(lián)動，也覆蓋不了廣闊的數(shù)據(jù)處理環(huán)節(jié)，很難達(dá)到國家數(shù)據(jù)安全的監(jiān)管要求。

如何應(yīng)對合規(guī)要求，建立與《數(shù)據(jù)安全法》等法律法規(guī)相適配的防護(hù)策略和技術(shù)支撐，成為各大企業(yè)數(shù)據(jù)安全落地的首要挑戰(zhàn)。

構(gòu)建應(yīng)用數(shù)據(jù)安全的主動防御體系

瑞數(shù)信息指出，《數(shù)據(jù)安全法》明確提出了兩個較新的數(shù)據(jù)處理環(huán)節(jié)——提供、公開，這是企業(yè)數(shù)字化深化過程中出現(xiàn)頻率越來越多的使用和處理環(huán)節(jié)，也是近年來數(shù)據(jù)泄露風(fēng)險最常發(fā)生的環(huán)節(jié)。

《2021年數(shù)據(jù)泄露調(diào)查報告》顯示，80%的數(shù)據(jù)泄露來自外部，61%的數(shù)據(jù)泄露牽涉登錄，39%的數(shù)據(jù)泄露事件由Web攻擊導(dǎo)致。這表明企業(yè)在提供和公開數(shù)據(jù)時，面臨著眾多的數(shù)據(jù)安全風(fēng)險。

這是由于企業(yè)互聯(lián)網(wǎng)化進(jìn)程的不斷深入，使得越來越多的業(yè)務(wù)被遷移到互聯(lián)網(wǎng)上，大量的應(yīng)用數(shù)據(jù)被產(chǎn)生、傳輸、公開、共享。與此同時，新一代應(yīng)用通過 Web、H5、App、API、微信和小程序等多種業(yè)務(wù)渠道接入，導(dǎo)致應(yīng)用敞口風(fēng)險和鏈條管控難度加大，各類變化多端的撞庫攻擊、暴力破解、爬蟲攻擊、API接口濫用，也導(dǎo)致企業(yè)數(shù)據(jù)泄露風(fēng)險加劇。

正因如此，瑞數(shù)信息基于數(shù)據(jù)的傳輸、提供、公開等關(guān)鍵生命周期節(jié)點，推出了基于多種安全技術(shù)打造的“應(yīng)用數(shù)據(jù)安全主動防御解決方案”，以保障應(yīng)用數(shù)據(jù)傳輸安全，防止API敏感數(shù)據(jù)泄露、實現(xiàn)對應(yīng)用身份信息防護(hù)、惡意爬蟲防護(hù)。

l  數(shù)據(jù)傳輸環(huán)節(jié)：動態(tài)混淆技術(shù)，保障數(shù)據(jù)傳輸?shù)谋Ｃ苄院屯暾?/strong>

瑞數(shù)信息通過動態(tài)混淆技術(shù)，實現(xiàn)對應(yīng)用代碼、Cookie混淆，有效防止攻擊者分析應(yīng)用代碼，盜用 Cookie 獲取身份信息，提高攻擊門檻。同時，對數(shù)據(jù)傳輸進(jìn)行動態(tài)混淆，防止攻擊者攔截數(shù)據(jù)傳輸?shù)膱笪陌l(fā)起中間人攻擊，有效保證數(shù)據(jù)傳輸?shù)谋Ｃ苄院屯暾浴?/p>

l  數(shù)據(jù)提供環(huán)節(jié)：API敏感數(shù)據(jù)管控，防止API敏感數(shù)據(jù)泄露

近期大規(guī)模數(shù)據(jù)泄露事件都和API接口有關(guān)，API接口的敏感數(shù)據(jù)管控成為各企業(yè)數(shù)據(jù)安全建設(shè)重點。瑞數(shù)應(yīng)用數(shù)據(jù)安全主動防御系統(tǒng)，通過API敏感接口自動識別、敏感數(shù)據(jù)和攻擊檢測、訪問行為分析和異常處置，實現(xiàn)API敏感數(shù)據(jù)泄露防護(hù)。通過API資產(chǎn)自動發(fā)現(xiàn)和建立數(shù)據(jù)訪問API的安全基線，對可能造成批量數(shù)據(jù)泄漏的API濫用、API異常數(shù)據(jù)獲取等行為進(jìn)行數(shù)據(jù)安全風(fēng)險識別和管控。

l  數(shù)據(jù)公開環(huán)節(jié)：人機識別技術(shù)，實現(xiàn)身份信息防護(hù)和爬蟲攻擊防護(hù)

瑞數(shù)信息能夠通過人機識別、行為分析、按需攔截等技術(shù)，對Web、APP、小程序、H5、微信、API等全業(yè)務(wù)接入渠道，實現(xiàn)對外掛和數(shù)據(jù)爬蟲的防護(hù)。

有數(shù)據(jù)顯示，超過60%的數(shù)據(jù)泄露和賬號有關(guān)，隨著大量數(shù)據(jù)泄露事件的爆發(fā)，黑產(chǎn)社工庫積累了大量的賬號和密碼數(shù)據(jù)，攻擊者編寫腳本對企業(yè)登錄頁面和接口，批量發(fā)起撞庫和暴力破解攻擊。瑞數(shù)應(yīng)用數(shù)據(jù)安全主動防御系統(tǒng)，通過“人機識別”技術(shù)和內(nèi)置的各種業(yè)務(wù)威脅模型，透視撞庫和暴力破解行為，實時攔截攻擊行為，防止由于賬號泄露造成的進(jìn)一步數(shù)據(jù)泄露。

爬蟲是交互數(shù)據(jù)類應(yīng)用和公開數(shù)據(jù)類應(yīng)用的主要威脅之一，也是各種應(yīng)用數(shù)據(jù)泄漏的的主要

途徑和入口，攻擊者通過編寫爬蟲工具，批量爬取敏感數(shù)據(jù)。瑞數(shù)應(yīng)用數(shù)據(jù)安全主動防御解

決方案，通過人機識別和可編程對抗技術(shù)實現(xiàn)對各種自動化工具的識別，提供實時和深入的

Bots攻擊抵御，有效防止爬蟲攻擊。

守住數(shù)據(jù)安全“最后的防線”反勒索

由于數(shù)據(jù)對企業(yè)的價值越來越高，數(shù)據(jù)也已經(jīng)成為勒索病毒主要的攻擊目標(biāo)。據(jù)Sophos發(fā)布的“2021勒索軟件報告”顯示，因勒索軟件攻擊而挽回?fù)p失的平均總成本預(yù)計在2021年同比會增加一倍多，且成本增加的趨勢在未來十年都不會緩解。

毫無疑問，隨著勒索軟件的攻擊手段越來越復(fù)雜，防御措施也受到了更大挑戰(zhàn)。傳統(tǒng)的安全防御一般將重心放在網(wǎng)絡(luò)邊界和應(yīng)用、主機側(cè)，它們的作用是防止勒索軟件入侵、阻斷勒索軟件擴(kuò)散。然而，勒索軟件具有很高的隱蔽性和偽裝性，一旦進(jìn)入網(wǎng)絡(luò)/主機層后，往往攻擊者會潛伏很長時間，在獲取更高的權(quán)限并掌握大量關(guān)鍵數(shù)據(jù)后才會發(fā)起勒索，此時網(wǎng)絡(luò)/主機層往往已經(jīng)無法阻止勒索攻擊。

為了守住數(shù)據(jù)安全“最后一道防線”，對關(guān)鍵數(shù)據(jù)進(jìn)行實時的安全檢測和備份刻不容緩，而這正是《數(shù)據(jù)安全法》對兩大數(shù)據(jù)處理環(huán)節(jié)——存儲、使用的安全要求。

事實上，傳統(tǒng)的災(zāi)備系統(tǒng)已無法滿足勒索軟件攻擊場景下的安全需求，由于傳統(tǒng)災(zāi)備定期對全量數(shù)據(jù)進(jìn)行備份，一方面不能完全識別備份數(shù)據(jù)是否健康、是否可恢復(fù)、是否完整，一旦原始數(shù)據(jù)被感染，災(zāi)備數(shù)據(jù)同樣會被感染，導(dǎo)致數(shù)據(jù)無法使用；另一方面，備份數(shù)據(jù)量巨大，恢復(fù)周期漫長，無法保證業(yè)務(wù)的連續(xù)性。

基于此，瑞數(shù)信息推出了國內(nèi)首個數(shù)據(jù)安全檢測與應(yīng)急響應(yīng)系統(tǒng)（DDR)，定位于企業(yè)核心數(shù)據(jù)備份、快速恢復(fù)備份數(shù)據(jù)，正是數(shù)據(jù)反勒索“收官的防線”。

l  數(shù)據(jù)存儲環(huán)節(jié)：備份數(shù)據(jù)安全隔離、安全存儲

盤點數(shù)據(jù)資產(chǎn)與排查系統(tǒng)隱患是做好數(shù)據(jù)安全的第一步。瑞數(shù)DDR系統(tǒng)首先對企業(yè)數(shù)據(jù)進(jìn)行健康體檢，基于創(chuàng)新的“深度文件內(nèi)容檢測”技術(shù)，能夠高效生成企業(yè)數(shù)據(jù)完整性、數(shù)據(jù)資產(chǎn)分布及權(quán)限審計等報告，協(xié)作企業(yè)全面掌控數(shù)據(jù)資產(chǎn)的現(xiàn)狀。

在對企業(yè)關(guān)鍵數(shù)據(jù)進(jìn)行備份后，瑞數(shù)DDR能夠?qū)浞輸?shù)據(jù)進(jìn)行安全隔離，防止惡意軟件或黑客進(jìn)行破壞或篡改。

其次，瑞數(shù)DDR系統(tǒng)具備安全儲技術(shù)，其防篡改保護(hù)功能，通過加密技術(shù)防止存儲中的數(shù)據(jù)泄露，同時可以按設(shè)定保留策略過期刪除，保留周期只可以延長不可以縮短。

l  數(shù)據(jù)使用環(huán)節(jié)：備份數(shù)據(jù)安全檢測、快速恢復(fù)

不同于傳統(tǒng)備份系統(tǒng)必須將備份格式轉(zhuǎn)化生產(chǎn)數(shù)據(jù)格式，恢復(fù)時間往往需要數(shù)天甚至數(shù)周，

瑞數(shù)基于創(chuàng)舉的”智能快速恢復(fù)引擎”，無論多大數(shù)據(jù)量，瑞數(shù)DDR系統(tǒng)都能夠自動生成可直接掛載的干凈磁盤鏡像，達(dá)到分鐘級的數(shù)據(jù)恢復(fù)，將業(yè)務(wù)中斷的時間降到較低。

這是因為瑞數(shù)DDR系統(tǒng)對備份數(shù)據(jù)的使用，都是備份數(shù)據(jù)的內(nèi)部存儲快照，不需要數(shù)據(jù)合并、數(shù)據(jù)格式轉(zhuǎn)化、數(shù)據(jù)移動拷貝才能恢復(fù)。同時，對備份數(shù)據(jù)本身不做任何操作，也能確保備份數(shù)據(jù)存儲中始終有一份干凈的、未受感染的數(shù)據(jù)用于恢復(fù)業(yè)務(wù)。

即便企業(yè)遭遇了勒索軟件攻擊，瑞數(shù)DDR系統(tǒng)基于創(chuàng)舉的“離線智能深度檢測引擎”，也能夠?qū)账鬈浖暨^程中損毀的文件進(jìn)行安全檢測，找到被勒索病毒感染的文件及感染時間點，協(xié)助安全管理人員快速移除勒索軟件，找出干凈可用的數(shù)據(jù)，讓企業(yè)隨時都有干凈可用的數(shù)據(jù)用于快速恢復(fù)。

總體而言，瑞數(shù)DDR系統(tǒng)的優(yōu)勢在于防批量數(shù)據(jù)破壞、安全隔離備份數(shù)據(jù)、分鐘級快速恢復(fù)、生產(chǎn)環(huán)境低干擾、自動化可編排運維，能夠很好地突破傳統(tǒng)災(zāi)備系統(tǒng)面對勒索攻擊威脅時的瓶頸，使得企業(yè)在關(guān)鍵數(shù)據(jù)的存儲和使用環(huán)節(jié)得到很好的防護(hù)，這種將安全檢測與數(shù)據(jù)備份融合的技術(shù)正是瑞數(shù)信息所獨有的。

結(jié)語

《數(shù)據(jù)安全法》正式施行一周年，政策、市場、行業(yè)、企業(yè)在數(shù)據(jù)安全方面都有了深刻的變革，同時也催生了各類新興安全技術(shù)。瑞數(shù)信息基于多年來對數(shù)據(jù)安全的認(rèn)知和技術(shù)積累，針對數(shù)據(jù)全生命周期各階段面臨的安全風(fēng)險，推出了一系列的安全解決方案，為企業(yè)直面數(shù)據(jù)安全合規(guī)和實戰(zhàn)化挑戰(zhàn)提供了有力的“兵器”。