60多個(gè)核心技術(shù)系統(tǒng)，涉及全世界近百家供應(yīng)商，服務(wù)8大類客戶群，全球矚目的體育盛事……如何保障2022北京冬奧數(shù)據(jù)安全“零事故”?沒有能借鑒的行業(yè)成熟先例，更沒有可參考的成功經(jīng)驗(yàn)?zāi)Ｊ?，奇安信通過在實(shí)踐中的不斷探索，尋找到了一條建設(shè)路徑。
北京冬奧會(huì)之前，業(yè)界普遍認(rèn)為網(wǎng)絡(luò)安全不存在“絕對(duì)安全”的狀態(tài)，數(shù)據(jù)安全更是如此。從歷屆奧運(yùn)會(huì)來看，數(shù)據(jù)都是黑客、不法分子們覬覦的目標(biāo)，2012年倫敦奧運(yùn)、2016年里約奧運(yùn)、2020年東京奧運(yùn)等都出現(xiàn)過不少數(shù)據(jù)泄露事件，這足可見數(shù)據(jù)安全保障的任務(wù)難度和艱巨性。
2022北京冬奧堪稱數(shù)字科技含量最高的一屆冬奧會(huì)，對(duì)數(shù)據(jù)安全保障提出更苛刻的要求。作為北京冬奧網(wǎng)絡(luò)安全官方贊助商，奇安信早在開幕前數(shù)百天，就作出了“合規(guī)不踩線、數(shù)據(jù)不出事、業(yè)務(wù)不中斷”的“零事故”承諾。在具體實(shí)踐中，奇安信以冬奧數(shù)據(jù)資產(chǎn)為核心，打造“監(jiān)測(cè)—分析—調(diào)整—控制”的數(shù)據(jù)安全閉環(huán)體系，一方面全面保障數(shù)據(jù)安全和隱私保護(hù)合規(guī);另一方面，確保整個(gè)冬奧期間未發(fā)生一起數(shù)據(jù)泄露事件，圓滿完成冬奧數(shù)據(jù)安全的保障任務(wù)并兌現(xiàn)“零事故”承諾。
第一步：梳理數(shù)據(jù)資產(chǎn)，做好分級(jí)分類，識(shí)別敏感數(shù)據(jù)
知己知彼，方能百戰(zhàn)不殆?！跋啾扔诮K端、網(wǎng)絡(luò)、數(shù)據(jù)中心等可見設(shè)備，數(shù)據(jù)總是無形和抽象的。尤其北京冬奧會(huì)涉及的業(yè)務(wù)環(huán)境可以說空前復(fù)雜，各類數(shù)據(jù)在60多個(gè)技術(shù)系統(tǒng)中持續(xù)流動(dòng)，如何在一團(tuán)亂麻的數(shù)據(jù)資產(chǎn)中抽絲剝繭、理清思路,從而對(duì)癥下藥、量體裁衣，是冬奧數(shù)據(jù)安全面臨的首要挑戰(zhàn)?！逼姘残哦瑠W保障數(shù)據(jù)安全負(fù)責(zé)人這樣表示。
圖：北京冬奧會(huì)涉及業(yè)務(wù)環(huán)境
針對(duì)這些挑戰(zhàn)，奇安信數(shù)據(jù)安全團(tuán)隊(duì)很早就進(jìn)入場(chǎng)內(nèi)，系統(tǒng)化梳理冬奧會(huì)的網(wǎng)絡(luò)、信息系統(tǒng)及數(shù)據(jù)，并在收集、傳輸、存儲(chǔ)、使用和銷毀各個(gè)環(huán)節(jié)，掌握重要的數(shù)據(jù)存在哪、誰在使用、如何使用這三個(gè)核心問題。
掌握了這些基礎(chǔ)信息，團(tuán)隊(duì)進(jìn)一步梳理已有安全措施情況，是否應(yīng)用于重要數(shù)據(jù)資產(chǎn)的環(huán)境，從而形成詳實(shí)、全面的數(shù)據(jù)資產(chǎn)梳理報(bào)告。依托該報(bào)告作為指導(dǎo)依據(jù)，團(tuán)隊(duì)全面開展數(shù)據(jù)分類分級(jí)。
其中在分類方面，冬奧數(shù)據(jù)安全保障團(tuán)隊(duì)根據(jù)來源和應(yīng)用屬性的不同，將個(gè)人數(shù)據(jù)、競(jìng)賽數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)、運(yùn)行和安全數(shù)據(jù)依次分為A類、B類、C類、D類四大類。在安全分級(jí)方面，根據(jù)流轉(zhuǎn)場(chǎng)景和安全需求的不同，將其劃分為公開級(jí)(L1)、內(nèi)部級(jí)(L2)、敏感級(jí)(L3)、高敏感級(jí)(L4)四個(gè)等級(jí)。
圖：冬奧數(shù)據(jù)分級(jí)分類
“個(gè)人信息是冬奧數(shù)據(jù)最重要的部分。拿個(gè)人信息舉例，它就可以分為四級(jí)：合法公開的某個(gè)運(yùn)動(dòng)員身高、生日，就是L1公開級(jí)數(shù)據(jù);如果是內(nèi)部公開的工作人員信息，如工作人員的職務(wù)、電子郵箱、工作電話等，就是L2內(nèi)部級(jí)數(shù)據(jù);而到了個(gè)人基本資料、網(wǎng)絡(luò)身份標(biāo)識(shí)信息、個(gè)人教育工作信息、個(gè)人通信信息等牽涉私人信息的話，就屬于L3敏感級(jí);如果是個(gè)人身份、生物識(shí)別、網(wǎng)絡(luò)身份鑒權(quán)、個(gè)人健康生理、個(gè)人財(cái)產(chǎn)或其他隱私信息的話，就屬于L4高敏感級(jí)數(shù)據(jù)了?！痹撠?fù)責(zé)人表示。
通過數(shù)據(jù)資產(chǎn)梳理和分類分級(jí)矩陣，任何數(shù)據(jù)都可以對(duì)應(yīng)響應(yīng)的類別和分級(jí)，并能快速識(shí)別敏感數(shù)據(jù)。
第二步：依據(jù)不同級(jí)別，識(shí)別敏感數(shù)據(jù)，制定管控策略
完成冬奧海量數(shù)據(jù)分類分級(jí)，并定位和識(shí)別敏感數(shù)據(jù)之后，相關(guān)的安全策略和措施就可以有的放矢了。
首先，加密是數(shù)據(jù)安全的最基礎(chǔ)工作，針對(duì)不同級(jí)別的數(shù)據(jù)制定不同的加密策略。本次冬奧首個(gè)建設(shè)完成的專項(xiàng)，就是奇安信實(shí)施的冬奧密碼專項(xiàng)。該項(xiàng)目遵循“冬奧網(wǎng)絡(luò)安全總體規(guī)劃”，是奧運(yùn)歷史上首次使用國(guó)密算法保護(hù)信息系統(tǒng)的核心數(shù)據(jù)，實(shí)現(xiàn)了高安全(等保三級(jí)、密評(píng)安全三級(jí))，高復(fù)雜環(huán)境(國(guó)內(nèi)外、云與本地)，以及密碼與網(wǎng)絡(luò)安全密切配合的密碼服務(wù)能力。
同時(shí)，本著分層、精細(xì)化的原則，建立了與數(shù)據(jù)級(jí)別相對(duì)應(yīng)的分層數(shù)據(jù)權(quán)限管理體系。其中包括：根據(jù)數(shù)據(jù)級(jí)別制定相應(yīng)數(shù)據(jù)授權(quán)審批流程，合理授予、管理數(shù)據(jù)權(quán)限;高敏感級(jí)和敏感級(jí)數(shù)據(jù)僅能通過高權(quán)限賬戶訪問、提取和使用，高權(quán)限賬戶的數(shù)量應(yīng)嚴(yán)格限制;采取措施保障數(shù)據(jù)細(xì)粒度訪問控制
第三步：基于管控平臺(tái)+多種組件，實(shí)現(xiàn)數(shù)據(jù)流轉(zhuǎn)全鏈路風(fēng)險(xiǎn)監(jiān)測(cè)
只有全鏈路監(jiān)測(cè)、全穿透識(shí)別，才能做到數(shù)據(jù)安全風(fēng)險(xiǎn)看得清。在冬奧數(shù)據(jù)安全專項(xiàng)上，奇安信部署了數(shù)據(jù)庫監(jiān)測(cè)、身份認(rèn)證監(jiān)測(cè)、流轉(zhuǎn)數(shù)據(jù)監(jiān)測(cè)、跨境數(shù)據(jù)監(jiān)測(cè)、應(yīng)用訪問監(jiān)測(cè)、API訪問監(jiān)測(cè)、運(yùn)維訪問監(jiān)測(cè)、終端訪問監(jiān)測(cè)等多種監(jiān)測(cè)組件，采用多種監(jiān)測(cè)方法，清晰地看全數(shù)據(jù)流轉(zhuǎn)和訪問的完整路徑，直觀了解數(shù)據(jù)的流轉(zhuǎn)情況，能及時(shí)發(fā)現(xiàn)異常和風(fēng)險(xiǎn)，做到數(shù)據(jù)流轉(zhuǎn)的全鏈路可視。
北京冬奧是全球性的體育盛事，有91個(gè)國(guó)家和地區(qū)參加，存在廣泛的數(shù)據(jù)跨境流動(dòng)的場(chǎng)景。針對(duì)該場(chǎng)景，奇安信可以看清數(shù)據(jù)出境的數(shù)量、種類、范圍、敏感程度，清晰掌握企業(yè)數(shù)據(jù)的出境情況，及時(shí)發(fā)現(xiàn)違規(guī)行為，對(duì)于出現(xiàn)數(shù)據(jù)出境違法違規(guī)的情況進(jìn)行溯源取證。在發(fā)生數(shù)據(jù)違規(guī)情況后，通過數(shù)據(jù)安全管控平臺(tái)與跨境數(shù)據(jù)監(jiān)測(cè)系統(tǒng)、零信任安全網(wǎng)關(guān)的聯(lián)動(dòng)，及時(shí)制定處置策略，降低風(fēng)險(xiǎn)發(fā)生概率。
冬奧業(yè)務(wù)系統(tǒng)和網(wǎng)絡(luò)部署多種監(jiān)測(cè)組件，并依托數(shù)據(jù)安全管控平臺(tái)，最終實(shí)現(xiàn)了數(shù)據(jù)流轉(zhuǎn)全鏈路風(fēng)險(xiǎn)監(jiān)測(cè)。
第四步：風(fēng)險(xiǎn)關(guān)聯(lián)分析，實(shí)現(xiàn)更精準(zhǔn)的綜合研判
能看見風(fēng)險(xiǎn)、看清風(fēng)險(xiǎn)固然重要，但如果安全策略過嚴(yán)，可能影響正常業(yè)務(wù)運(yùn)行和數(shù)據(jù)流動(dòng)，過松則會(huì)導(dǎo)致風(fēng)險(xiǎn)事件升級(jí)。因此，對(duì)風(fēng)險(xiǎn)進(jìn)行關(guān)聯(lián)分析，實(shí)現(xiàn)更精準(zhǔn)的綜合研判至關(guān)重要。
圖：冬奧風(fēng)險(xiǎn)關(guān)聯(lián)分析及綜合研判
在冬奧項(xiàng)目中，安全團(tuán)隊(duì)基于復(fù)雜多樣的業(yè)務(wù)場(chǎng)景特性，配置專有的風(fēng)險(xiǎn)分析策略，并構(gòu)建風(fēng)險(xiǎn)分析模型，實(shí)現(xiàn)多源數(shù)據(jù)的關(guān)聯(lián)分析。例如對(duì)用戶登錄活動(dòng)、訪問行為、數(shù)據(jù)庫查詢、API調(diào)用等監(jiān)測(cè)數(shù)據(jù)進(jìn)行關(guān)聯(lián)分析，一旦發(fā)生數(shù)據(jù)違規(guī)事件，及時(shí)發(fā)現(xiàn)并告警;產(chǎn)生告警后，結(jié)合預(yù)置的各類檢測(cè)規(guī)則和策略，實(shí)現(xiàn)告警歸并和事件快速定位，同時(shí)綜合敏感數(shù)據(jù)分布、數(shù)據(jù)流轉(zhuǎn)情況、用戶行為畫像、異常行為監(jiān)測(cè)等信息，對(duì)數(shù)據(jù)安全事件進(jìn)行可視化呈現(xiàn)。
通過多維度、多規(guī)則、精細(xì)化的風(fēng)險(xiǎn)分析策略，以及強(qiáng)大的風(fēng)險(xiǎn)分析模型，安全團(tuán)隊(duì)能夠用全局視角，及時(shí)發(fā)現(xiàn)“隱蔽”的數(shù)據(jù)安全事件，并進(jìn)行精準(zhǔn)的綜合研判。
第五步：動(dòng)態(tài)策略調(diào)整及控制措施下達(dá)
在訪問控制上，奇安信為冬奧打造了多維訪問控制模型，能對(duì)數(shù)據(jù)操作、特權(quán)訪問、應(yīng)用訪問等不同顆粒度進(jìn)行精準(zhǔn)管控。這樣一來，能及時(shí)制止高危數(shù)據(jù)安全行為，有效化解從內(nèi)部“正常用戶”對(duì)外泄露敏感數(shù)據(jù)的危機(jī)。
比如，通過數(shù)據(jù)安全管控平臺(tái)，可以實(shí)現(xiàn)動(dòng)態(tài)策略調(diào)整，并將調(diào)整后的策略下發(fā)到相應(yīng)的控制網(wǎng)關(guān)，如在運(yùn)維安全網(wǎng)關(guān)方面，調(diào)整運(yùn)維操作權(quán)限，高危指令阻斷，敏感操作二次授權(quán);在零信任安全網(wǎng)關(guān)方面，通過調(diào)整身份賬號(hào)權(quán)限，縮小數(shù)據(jù)訪問權(quán)限范圍;在API安全網(wǎng)關(guān)方面，針對(duì)高危API進(jìn)行限流限速，緊急情況下阻斷該API;在終端安全網(wǎng)關(guān)方面，結(jié)合策略，阻斷該終端敏感文件外發(fā)行為;在數(shù)據(jù)庫運(yùn)維網(wǎng)關(guān)方面，對(duì)數(shù)據(jù)庫的操作進(jìn)行細(xì)粒度審計(jì)和管控，并憑借強(qiáng)大的風(fēng)險(xiǎn)關(guān)聯(lián)分析能力，發(fā)現(xiàn)數(shù)據(jù)庫管理員針對(duì)數(shù)據(jù)庫的惡意拖庫、刪庫行為，并及時(shí)進(jìn)行動(dòng)態(tài)策略調(diào)整。
通過面向5W1H的細(xì)顆粒度訪問控制策略，正確的人(WHO)、正確的時(shí)間(WHEN)、正確的地點(diǎn)(WHERE)、正確的原因(WHY)，用正確的方法(HOW)訪問授權(quán)數(shù)據(jù)(WHAT)，并基于多屬性、多來源風(fēng)險(xiǎn)進(jìn)行動(dòng)態(tài)策略調(diào)整，覆蓋端到端的全鏈路風(fēng)險(xiǎn)納管與綜合評(píng)估，提升風(fēng)險(xiǎn)響應(yīng)實(shí)時(shí)性，確保冬奧數(shù)據(jù)資產(chǎn)安全。
結(jié)束語：
圖：冬奧數(shù)據(jù)安全產(chǎn)品部署圖
如果說2022北京冬奧網(wǎng)絡(luò)安全保障是一張空前復(fù)雜的考試答卷，那么數(shù)據(jù)安全堪稱這份考卷中復(fù)雜度最高的壓軸大題。在北京冬奧數(shù)據(jù)安全保障中，奇安信基于體系化理念，制定了包括數(shù)據(jù)資產(chǎn)梳理/分級(jí)分類、制定管控策略、全鏈路風(fēng)險(xiǎn)監(jiān)測(cè)、風(fēng)險(xiǎn)關(guān)聯(lián)分析及綜合研判、動(dòng)態(tài)策略調(diào)整及控制措施下達(dá)等分步驟的完整方案，解決各種主要的數(shù)據(jù)安全問題，做到“能看清、能管好、能防住”，成了史上最復(fù)雜的數(shù)據(jù)安全保障任務(wù)。
數(shù)據(jù)顯示，整個(gè)冬奧防護(hù)期間，奇安信成功抵御了含社會(huì)面攻擊超過3.8億次，創(chuàng)造了包括數(shù)據(jù)安全在內(nèi)的“零事故”記錄。更重要的是，“零事故”讓數(shù)據(jù)安全建設(shè)結(jié)果可評(píng)估、可衡量，為客戶構(gòu)建其全新的安全建設(shè)結(jié)果評(píng)價(jià)體系提供了范式，顯著提升了行業(yè)競(jìng)爭(zhēng)門檻，形成了公司差異化的競(jìng)爭(zhēng)壁壘。
