数据安全基础知识.docx

数据平安基础入门
1 .什么是数据平安
数据平安是保护企业数据和防止数据因未经授权的访问而丧失的过程。这包 括保护你的数据免受可以加密或破坏数据的攻击，例如勒索软件，以及可以修改 或破坏你的数据的攻击。数据平安性还确保组织中有权访问数据的任何人都可以 使用数据。
目前一些行业需要高水平的数据平安性以符合数据保护法规。例如，处理支 付信息的组织必须平安地使用和存储支付数据，社保局、医保局必须按照我国数 据平安法和个人数据保护法标准保护私人隐私信息。
但是，即使你的组织不受法规或合规标准的约束，现代企业的生存也取决于 数据平安，这可能会影响组织的关键资产和属于其客户的私人数据。
2 .为什么数据平安很重要
目前很多研究机构通过对数据泄露本钱研究发现，数据泄露造成的损失为 50-800万美元左右，平均有2万个用户账号在数据泄漏事件中受到影响，意味着 除了经济损失之外，大多数事件还会导致客户失去信任和声誉受损。
3 .数据平安与数据隐私
数据隐私是计算机系统中可以与第三方共享的数据（非私有数据）和不能与 第三方共享的数据（私有数据）之间的区别。执行数据隐私有两个主要方面： ＞访问控制一一确保任何试图访问数据的人都经过身份验证以确认其身份，并
被授权仅访问他们被允许访问的数据。
＞数据保护一一确保即使未经授权的方设法访问数据，他们也无法查看或对其 造成损害。数据保护方法确保加密，防止任何人在没有私人加密密钥的情况 下查看数据，以及防止用户将敏感数据传输到组织外部的数据丧失预防机制。 数据库活动监控一一监控关系数据库、数据仓库、大数据和大型机，以生成 有关违反政策的实时警报。
警报优先级一一使用AI和机器学习技术来查看平安事件流并确定最重要的 事件的优先级。
-10-
数据平安与数据隐私有很多重叠之处。用于确保数据隐私的相同机制也是组 织数据平安策略的一局部。
主要区别在于数据隐私主要侧重于对数据保密，而数据平安主要侧重于防止 恶意活动。例如，加密可能是保护隐私的充分措施，但可能缺乏以作为数据平安 措施。攻击者仍可能通过擦除数据或对其进行双重加密以防止授权方访问来造成 损害。
4 .数据平安风险
以下是各种规模的组织在尝试保护敏感数据时面临的几个常见问题。
4.1. 意外接触
很大一局部数据泄露不是恶意攻击的结果，而是由于疏忽或意外泄露敏感数 据造成的。企业的员工共享、授予访问权限、丧失或错误处理有价值的数据是很 常见的，这可能是偶然的，也可能是因为他们不了解平安策略。
这个主要问题可以通过员工培训来解决，也可以通过其他措施来解决，例如 数据丧失预防(DLP)技术和改进的访问控制。
4.2. 网络钓鱼和其他社会工程攻击
社会工程学攻击是攻击者用来访问敏感数据的主要载体。它们涉及操纵或诱 骗个人提供私人信息或访问特权帐户。
网络钓鱼是一种常见的社会工程学形式。它涉及的消息看似来自受信任的来 源，但实际上是由攻击者发送的。当受害者遵守时，例如通过提供私人信息或点 击恶意链接，攻击者可以破坏他们的设备或访问公司网络。
4.3. 内部威胁
内部威胁是指无意或有意威胁组织数据平安的员工。内部威胁分为三种类型: (1)非恶意内部人员一一这些用户可能会因疏忽或不了解平安程序而意外造成伤
害。
(2)恶意内部人员一一这些用户为了个人利益而积极尝试窃取数据或对组织造成 伤害。
⑶被入侵的内部人员一一这些用户不知道他们的帐户或凭据已被外部攻击者入 侵。然后攻击者可以假装是合法用户执行恶意活动。
44勒索软件
勒索软件是各种规模公司数据的主要威胁。勒索软件是一种感染企业设备并 加密数据的恶意软件，如果没有解密密钥，它就毫无用处。攻击者显示赎金信息， 要求支付赎金以释放密钥，但在许多情况下，即使支付赎金也无效，数据丧失。
许多类型的勒索软件可以迅速传播，并感染企业网络的大局部。如果组织不 维护定期备份，或者勒索软件设法感染备份服务滞，那么可能无法恢复。
1.5, 云上数据丧失
许多组织正在将数据迁移到云端，以促进更便捷的共享和协作。但是，当数 据迁移到云端时，更难以控制和防止数据丧失。用户通过个人设备和不平安的网 络访问数据。与未经授权的各方共享文件太容易了，无论是意外还是恶意。
1.6, SQL 注入
SQL注入是攻击者用来非法访问数据库、窃取数据和执行不需要的操作的常 用技术。它通过向数据库查询添加恶意代码来工作。
SQL注入通过将特殊字符添加到更改查询上下文的用户输入来操纵SQL代 码。数据库希望处理用户输入，但开始处理恶意代码，从而推进攻击者的目标。 SQL注入可能会暴露客户数据、知识产权或给予攻击者对数据库的管理访问权限, 这可能会产生严重后果。
SQL注入漏洞通常是不平安的编码实践的结果。如果编码人员使用平安机制 来接受用户输入，那么防止SQL注入相对容易，这些机制在所有现代数据库系 统中都可用。
5 .常见的数据平安解决方案和技术
目前没有哪一种技术说可以完全解决，一般是通过多种技术相结合实现数据 平安解决方案。
5.1, 数据发现与分类分级
现代IT环境将数据存储在服务器、端点和云系统上。数据流的可见性是了 解哪些数据有被盗或滥用风险的重要第•步。为了正确保护你的数据，你需要了 解数据的类型、位置以及用途。数据发现和分类工具可以提供帮助。
数据检测是了解你拥有哪些数据的基础。数据分类允许你创立可扩展的平安 解决方案，方法是识别哪些数据是敏感的并且需要保护。数据检测和分类解决方 案支持在端点、文件服务器和云存储系统上标记文件，让你可视化整个企业的数 据，以应用适当的平安策略。
5.2, 数据屏蔽
数据屏蔽可让你创立组织数据的合成版本，可用于软件测试、培训和其他不 需要真实数据的目的。目标是保护数据，同时在需要时提供功能替代方案。
数据屏蔽保存数据类型，但更改值。可以通过多种方式修改数据，包括加密、 字符混洗以及字符或单词替换。无论选择哪种方法，都必须以无法逆向工程的方 式更改值。
5.3, 身份访问管理
身份和访问管理(IAM)是一种业务流程、战略和技术框架，使组织能够管理 数字身份。IAM解决方案允许IT管理员控制用户对组织内敏感信息的访问。
用于IAM的系统包括单点登录系统、双因素身份验证、多因素身份验证和 特权访问管理。这些技术使组织能够平安地存储身份和配置文件数据，并支持治 理，确保将适当的访问策略应用于基础架构的每个局部。
54数据加密
数据加密是一种将数据从可读格式（明文）转换为不可读编码格式（密文） 的方法。只有使用解密密钥对加密数据进行解密后，才能读取或处理数据。
在公钥加密技术中，不需要共享解密密钥一一发送者和接收者都有自己的密 钥，它们组合起来执行加密操作。这本质上更平安。
数据加密可以防止黑客访问敏感信息。它对于大多数平安策略都是必不可少 的，并且是许多合规标准的明确要求。
55 数据丧失防护（DLP）
为了防止数据丧失，组织可以使用多种保护措施，包括将数据备份到另一个 位置。物理冗余可以帮助保护数据免受自然灾害、中断或对本地服务器的攻击。 冗余可以在本地数据中心内执行，也可以通过将数据复制到远程站点或云环境来 执行。
除了备份等基本措施外，DLP软件解决方案还可以帮助保护组织数据。DLP 软件自动分析内容以识别敏感数据，实现数据保护策略的集中控制和执行，并在 检测到敏感数据的异常使用时实时发出警报，例如，大量数据复制到公司网络之 外。
5.6, 密码策略
数据平安最简单的最正确实践之一是确保用户拥有唯一的强密码。如果没有中 央管理和强制执行，许多用户将使用容易猜到的密码或对许多不同的服务使用相 同的密码。密码喷洒和其他蛮力攻击很容易危及密码较弱的帐户。
一个简单的措施是强制使用更长的密码并要求用户经常更改密码。然而，这 些措施还不够，组织应考虑多因素身份验证（MFA）解决方案，该解决方案要求 用户使用他们拥有的令牌或设备或通过生物识别手段来识别自己。
5.7, 认证和授权
组织必须采用强大的身份验证方法，例如用于基于Web的系统的OAuth。 强烈建议在任何用户（无论是内部用户还是外部用户）请求敏感数据或个人数据 时强制执行多因素身份验证。
此外，组织必须有一个明确的授权框架，以确保每个用户都拥有执行功能或 使用服务所需的访问权限，仅此而已。应使用定期审查和自动化工具来清理权限 并删除不再需要的用户的授权。
5.8, 数据平安审计
组织应至少每隔几个月进行一次平安审计■。这可以识别组织平安状况中的差 距和漏洞。通过第三方专家执行审计是一个好主意，例如在渗透测试模型中。但 是，也可以在内部进行平安审计。最重要的是，当审计暴露平安问题时，组织必 须投入时间和资源来解决和补救这些问题。
5.9, 反恶意软件、防病毒和端点保护
恶意软件是现代网络攻击最常见的载体，因此组织必须确保员工工作站、移 动设备、服务器和云系统等端点具有适当的保护。基本措施是防病毒软件，但这 已缺乏以应对无文件攻击和未知专日恶意软件等新威胁。
端点保护平台（EPP）采用更全面的端点平安方法。他们将防病毒软件与基 于机器学习的设备异常行为分析相结合，有助于检测未知攻击。大多数平台还提 供端点检测和响应（EDR）功能，这有助于平安团队在端点上发生违规行为时对 其进行识别、调查，并通过锁定和重新映像受影响的端点来做出响应。
5.10, 零信任
零信任的基本原那么是网络上的任何实体都不应该被信任，无论它是在网络外 围还是在网络外围。
零信任特别关注数据平安，因为数据是攻击者感兴趣的主要资产。零信任架构旨 在通过持续验证所有访问尝试并默认拒绝访问来保护数据免受内部和外部威胁。 冬信任平安机制围绕敏感数据构建多个平安层一一例如，它们使用微分段来确保 网络上的敏感资产与其他资产隔离。在真正的零信任网络中，攻击者对敏感数据 的访问权限非常有限，并且有一些控制可以帮助检测和响应对数据的任何异常访 问。
6 .数据库平安
数据库平安涉及保护数据库管理系统（例如Oracle＞ SQL Server或MySQL） 免受未经授权的使用和恶意网络攻击。受数据库平安保护的主要元素是： ＞ 数据库管理系统（DBMS）。
＞存储在数据库中的数据。
A与DBMS关联的应用程序。
＞物理或虚拟数据库服务器和任何底层硬件。
＞用于访问数据库的任何计算和网络基础设施。
数据库平安策略涉及平安配置和维护数据库环境内的平安性并保护数据库 免受入侵、误用和损坏的工具、流程和方法。
7 .大数据平安
大数据平安涉及用于保护大型数据集和数据分析过程的实践和工具。大数据 通常采用财务日志、医疗保健数据、档案和商业智能数据集的形式。在大数据边 界内，需要保护三个主要场景：入站数据传输、出站数据传输和静态数据。大数 据平安旨在防止大量数据的意外和故意破坏、泄漏、丧失和外泄。让我们回顾一 下流行的大数据服务，看看保护它们的主要策略。
8 •保护企业应用程序中的数据
企业应用程序为各种规模的组织中的关键任务操作提供动力。企业应用平安旨在保护企业应用免受外部攻击、滥用权限和数据盗窃。
8.1, 电子邮件平安
电子邮件平安是通过保护电子邮件免受网络威胁来确保电子邮件通信的可 用性、完整性和可靠性的过程。
技术标准机构推荐了电子邮件平安协议，包括SSL/TLS、发件人策略框架 (SPF)和域密钥识别邮件(DKIM)o这些协议由电子邮件客户端和服务器(包括 Microsoft Exchange和Google G Suite)实施，以确保电子邮件的平安传送。除了 实施平安协议外，平安的电子邮件网关还可以帮助组织和个人保护他们的电子邮 件免受各种威胁。
8.2, 企业 ERP
ERP是一种软件，旨在将财务、人力资源、供应链和库存管理等核心业务流 程的功能管理和集成到一个系统中。ERP系统存储高度敏感的信息，根据定义, 它是一个关键任务系统。
ERP平安是一套广泛的措施，旨在保护ERP系统免受未经授权的访问，并 确保系统数据的可访问性和完整性。信息系统审计与控制协会(ISACA)建议定期 对ERP系统进行平安评估，包括软件漏洞、错误配置、职责别离(SoD)冲突以 及对供应商平安建议的遵守情况。
8.3, 企业数字化数据
数字资产管理(DAM)是用于组织、存储和获取富媒体以及管理数字权利和 许可的技术平台和业务流程。富媒体资产包括照片、音乐、视频、动画、播客和 其他多媒体内容。存储在DAM系统中的数据很敏感，因为它通常代表公司IP, 并用于销售、营销和向观众和网络访问者交付媒体等关键流程。
DAM的平安最正确实践包括：
＞实施最小特权原那么。
＞对文件目标使用许可名单。
＞使用多因素身份验证来控制第三方的访问。
＞定期审查自动化脚本，限制所使用命令的权限，并通过日志记录和警报控制 自动化过程。
84客户关系管理平安
客户关系管理（CRM）是企业用来管理和分析整个客户生命周期中的客户交 互和数据的实践、策略和技术的组合。CRM数据非常敏感，因为它可以暴露组 织最有价值的资产一一客户关系。CRM数据也是个人身份信息（PII）,并受数据 隐私法规的约束。
CRM的平安最正确实践包括：
＞对CRM系统执行定期IT风险评估审计。
＞执行CRM活动监控以识别异常或可疑的使用。
＞鼓励CRM管理员遵循平安最正确实践。
＞对CRM用户进行平安最正确实践教育。
如果您将CRM作为SaaS运营，请对SaaS提供商的平安实践进行尽职调 查。
9 .建议参考的数据平安策略及方法＞数据库防火墙一一阻止SQL注入和其他威胁，同时评估漏洞。
＞用户权限管理一一监控特权用户的数据访问和活动，以识别过多、不适当和 未使用的权限。
＞数据屏蔽和加密一一混淆敏感数据，因此即使以某种方式提取，它对不良行 为者也是无用的。
＞数据丧失防护（DLP）—检查动态数据、服务器、云存储或端点设备上的静态 数据。
＞用户行为分析一一建立数据访问行为的基线，使用机器学习来检测异常和潜 在风险活动并发出警报。
＞数据发现和分类一一揭示本地和云端数据的位置、数量和上下文。