概述

**本人博客网站 **IT小神 www.itxiaoshen.com

数据分类分级管理不仅是加强数据交换共享、提升数据资源价值的前提条件，也是数据安全保护场景下的必要条件。《数据安全法》规定国家建立数据分类分级保护制度，对数据实行分类分级保护，数据分类分级工作是基础和核心，数据分类分级是数据使用管理和安全防护的基础，为数据尤其是重要数据制定分类分级制度并依规管理，是实现数据安全目标的重要工作；数据分类分级不仅是数据安全治理的第一步，也是当前数据安全治理的痛点和难点，数据分类分级是非常有挑战性的工作。总结数据分类分级的基本流程包括4个重要的方面

该流程具有科学的方法论指导作用，但其问题在于缺乏实践过程中的具体方法。数据分类分级的行业差异性很大，不同行业数据具有不同的属性和业务处理目标，在开展数据分类分级时，需要深入理解行业业务需求，研究设计具有针对性的方法和工具。

数据分类分级对于数据的安全管理至关重要，安全分类分级是一个“硬核课题”，从数据治理开始，除了标准化和价值应用，重要的课题就是质量+安全。安全是底线，是价值应用的前提和基础。数据分类可以为数据资产结构化管理、UEBA（用户及实体行为分析）、个人信息画像等数据治理工作提供有效支撑；数据分级通过对不同级别的数据设置相应访问权限、加密规则、脱敏规则等，可大大提升数据安全管控效率，是数据安全精细化管理的重要一步

政务数据分类分级的痛点问题和挑战

数据分类面临的痛点问题和挑战

• 如何选择分类维度的问题

对于数据进行分类可以有很多维度，包括基于数据形式和数据内容等。基于数据形式可以按照数据的存储方式、数据更新频率、数据所处地理位置、数据量等进行分类；数据内容可以根据数据所涉及的主体、业务维度等多个维度进行分类。

不同维度各有价值，如何选择一个维度对数据进行分类需要考虑数据分类的目的，但很多时候大家都希望通过一个分类维度实现多个目标，或者将两个分类维度混合进行分类。分类维度的不清晰会导致后续基于分类的很多操作都存在问题

• 单一分类维度下的类别划分问题

例如，基于内容进行分类的维度，面临数据可能分类不全、类别不清晰的问题。主要原因是大范围内的内容分类是一个很复杂的问题，甚至可能涉及知识分类的问题，这在目前还是一个较为难以解决的问题。类别划分有问题会导致有些数据无法分到一个分类下，而有些数据又同属于两个分类

数据分级面临的痛点问题和挑战

• 定性到定量的问题

针对信息资源的分级，需要根据信息内容确定。目前尚无科学的方法和范式支撑构建信息内容的数学模型，因此很难准确定量地进行数据内容描述。

举个例子，我国目前已有一些针对政务信息资源的安全级别描述，其中有按损害影响程度进行的数据定级，但没有关于影响程度定量的描述，所谓针对公民的损害，是造成财产损失还是身体伤害？造成什么量级的财产损失？这样的描述难以在实际操作过程中给定级的人员准确的依据去判断政务信息资源属于哪一个级别

• 分级的级数问题

在政府部门进行政务信息资源分级时，需要找到一个合适的级数，使得在使用过程中达到效率和安全管控的平衡。过多的分级会给实际使用带来困难，太少的分级又会使得管控难以准确地约束数据。

目前针对不涉密的政务信息资源主要分为非密和内部两级，但是在实际使用过程中这两个级别并不能满足对于数据处理的需求，并不是所有非密的数据都适合让公众知晓，也不是所有内部数据都只能政府部门使用，因此将不涉密的的政务信息资源只简单的分为两级是不合适的。

• 分级的粒度问题

在进行分级的时候，分级的粒度是影响分级效果的主要因素之一。以什么样的粒度进行分级才可以既达到分级防护的目的，同时不影响正常的业务仍是一个有待进一步研究明确的问题。

政府部门的信息资源涉及各行各业，数据存储的格式众多，有文件、表、行列、字段等不同的数据粒度。不同行业中影响信息资源级别的属性要素也不一，例如地理信息资源地图的比例尺和所包含的地图元素是影响信息资源的级别的关键因素。

• 分级的有效落实问题

有些地方政府专门成立了大数据管理部门，来规范政府部门对信息资源的共享使用，也出台了相关的数据共享条例、数据安全保障条例等，但是还缺乏完整的流程和环节来完成从数据梳理、数据分类分级到数据存储保护、数据共享使用。

现有的数据使用模式，是以部门为单位，各自负责自己所拥有的数据，因此相应的规章制度更多注重部门内部，缺乏跨部门的数据使用规范。目前相对成熟的跨部门的具体数据规范主要是公安部门的人口库信息，但是其他部门相对较弱。

• 数据的升降级方法问题

政务信息资源是动态变化的，因此数据会发生合并、摘抄等简单操作，也会进行分析融合等复杂操作。这些操作会对已经进行了分级的政务信息资源的级别产生变化。而由于政务信息资源众多，不同部门对信息资源的使用方式、需求粒度都不统一，信息资源的级别发生变化时，人工重新判定的标准难以统一，也无法完全以自动化的方式进行。

数据安全分类分级

基础理念

• 数据资产和元数据关联，是数据安全最终的落脚点；
• 数据定级，这个是数据安全定级的操作标准，从数据标准引申到定级标准，然后为后续的技术性措施提供指引；
• 安全策略，这个是数据分类分级的真正核心，就是当有了一套所谓的管理制度和规范后，具体如何衔接到纯粹的技术措施和方法，从制度到方法，中间需要一个“实施策略”。
  • 这里的安全策略，是一个基于数据环境，同时主要从数据环境的变更作为“管控点”的策略。它的基本思路是：
  • 数据是依托于环境进行采集、存储的，在企业的实际工作中，就静止数据而言，环境的安全策略已经基本覆盖了数据的安全策略，包括系统、网络、用户权限等。
  • 只有在环境发生变更，就是数据出现了传输等过程，从一个环境变迁到另一个环境，这个时候，静止数据的环境安全策略无法覆盖，需要就环境变更产生的动态情况进行安全策略的制定，这就是数据的脱敏、加密等技术保护措施的实施动因

在现代企业中，静止数据的安全措施总体上是有一定基础的，相对于动态数据而言也是更加丰富和完整的。比如物理的机房准入，网络的访问控制，防火墙的管理，用户访问权限，数据生命周期的管理等等。薄弱点在于动态数据部分。比如，当一份生产数据要传输到第三方，这个时候如何处理？谁负责这个事情？具体要做什么处理？谁实施这个操作？在什么地方进行？这些内容，就容易出现空白。

所以，数据安全分类分级工作，要从企业实际情况出发，不是枉顾实际情况，单纯援引理论直接单搞一套重复建设，而是要和企业已有的安全基础设施、制度体系框架、组织结构和流程机制等结合，从痛点入手，查漏补缺，快速的补短板，形成一套更加完整的数据安全管控体系。

而这套体系如果仅仅停留在《办法》、《规范》、《指引》上，那还是不接地气，最终要平台化、系统化。通过数据资产盘点、数据标准制定、数据安全定级的索引，再通过数据溯源定位好数据主人，基本上可以在系统平台上解决“WHO”的问题和动员组织能力提供了一个抓手。

把做什么想明白，把谁来做想明白，把怎么做平台化

数据安全分类分级理解

数据分类

数据分类是指企业、组织的数据按照部门归属、业务属性、行业经验等维度对数据进行类别划分，是个系统的复杂工程。数据分类的目的是要便于数据的管理、利用。基本原则是：分类要合理，即在一个明确的业务目标下，确定逻辑清晰的分类维度，并确保数据有且只有一个分类类别。可以从三个维度进行分类

• 数据管理维度：根据数据的一些客观属性进行分类，便于数据管理机构对数据进行管理，便于数据管理系统的规划
• 数据应用维度：根据数据内容的固有属性进行分类，便于数据理解和应用
• 数据所涉及的对象维度：对数据内容的理解的维度，不过更偏向于支撑便于数据权属分析和数据安全管理

数据分级

数据分级则是从数据安全、隐私保护和合规的角度对数据的敏感程度进行等级划分。整体来看，建议在数据分类的基础上，根据某类数据的安全属性(如完整性、保密性、可用性)，集合数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用时，对国家安全、公共利益或者公民、组织合法权益造成的危害程度，结合自身组织情况将数据分为4—5个安全保护级别。

• 针对定性到定量的问题，需要按照行业需求，结合科学的方法，进行数据信息模型的研究。在实际工作中，可先行结合业务经验进行总结和实践尝试；
• 针对数据分级级数如何确定的问题，根据Gartner报告表明，合理的数据分级最好在3-5级之间，太多会造成大量的管理负担，不利于正常的实施。在政务信息共享领域，可参考2017年发改委发布的《政务信息资源目录编制指南》文件中的数据分级的描述（见下表），并结合本部门业务实际情况进行研究，确定适合的分级级数；
• 针对分级粒度的问题，并无标准化的粒度划分方法，实际工作中又可从3个方面进行评估确定：
  • 首先，需要考虑数据会用来干什么，例如查询统计、建模分析、数据密布型人工智能算法。进行查询统计的数据可以针对查询项和统计项进行细粒度的定级，其他项可以适当增大分级粒度；
  • 其次，要考虑数据的处理方式，例如原始数据未改变、融合产生新数据、剪裁产生新数据、更新等。若原始数据未改变，信息资源分级的粒度可以适量大一些；若要融合产生新数据，分级粒度应当更细一些，避免数据融合分析过程中，暴露原本想隐藏的信息，导致原级别定义不准确；
  • 第三，参考数据在信息系统中的存储和处理方式进行定级粒度划分。结构化和半结构化的信息资源在定级的时候，可以根据用途按照行列或者表级的粒度来定级。非结构化的信息资源定级的粒度建议以单个文件的粒度进行；
• 针对数据分级如何落实的问题，以政务信息共享为例，需要建立更为完善的数据分级流程，理清数据分级在政务信息共享工作中的位置。同时建立分级人员的培训制度、分级的责任制度等，使得对政务信息资源分级能够切实的实施；
• 针对数据的升降级方法问题，需要制定一系列数据分级的升降级原则，明确在什么情况下数据会发生生升降级变化，通过判断哪些要素进行升降级处理，并制定有效的自动化升降级信息资源预处理机制。

数据定级流程

数据安全定级过程包括数据资产梳理、数据安全定级准备、数据安全级别判定、数据安全级别审核及数据安全级别批准

数据定级流程基本步骤

• 数据资产梳理:
  • 第一步:对数据进行盘点、梳理与分类，形成统一的数据资产清单，并进行数据安全定级合规性相关准备工作。
• 数据安全分级准备:
  • 第二步:明确数据分级的颗粒度( 如库文件、表、字段等) ;
  • 第三步:识别数据安全定级关键要素（影响对象、影响范围、影响程度）。
• 数据安全级别判定:
  • 第四步:按照数据定级规则，结合国家及行业有关法律法规、部门规章，对数据安全等级进行初步判定;
  • 第五步:综合考虑数据规模、数据聚合、数据时效性、数据形态(如是否经汇总、加工、统计、脱敏或匿名化处理等)等因素，对数据安全级别进行复核，调整形成数据安全级别评定结果及定级清单。
• 数据安全级别审核:
  • 第六步:审核数据安全级别评定过程和结果，必要时重复第三步及其后工作，直至安全级别的划定与本单位数据安全保护目标相一致。
• 数据安全级别批准:
  • 第七步:最终由数据定级工作领导组织对数据安全分级结果进行审议批准。

数据级别变更

数据级别变更应由数据的主管业务部门/属主部门或数据安全管理部门发起，并按照数据定级流程实施。在数据定级完成后出现下列情形时，应对相关数据的安全级别进行变更:

• 数据内容发生变化，导致原有数据的安全级别不适用变化后的数据;
• 数据内容未发生变化，但因数据时效性、数据规模、数据应用场景、数据加工处理方式等发生变化，导致原定的数据级别不再适用;
• 不同数据类型经汇聚融合形成新的数据类别，使得原有的数据级别不适用，应重新进行级别判定;
• 因国家或行业主管部门要求，导致原定的数据级别不再适用;
• 需要对数据级别进行变更的其它情形。

安全管控策略

根据数据分类分级结果，从管理、流程和技术等方面，制定基于数据安全视角的全生命周期数据安全管控策略，管理方面包括不限于规范管理决策职责、规范日常维护职责、规范岗位人员职责等；流程方面包括不限于制定数据安全管理整体机制流程安全管控策略、权限管理操作流程管控策略等；技术方面包括不限于制定基础架构的整体安全支撑技术、加密、脱敏、数据防泄漏等的管控策略。

国内企业数据分类分级产品

卫士通

卫士通牵头、参与了数据安全领域的多个国家及地方的标准研究和编制，包括《信息安全技术 大数据安全管理指南》、《信息安全技术 大数据服务安全能力要求》、《政务信息资源安全分级指南》、《雄安新区数据资源目录定级指南》、《雄安集团数据使用暂行办法》等。

在政务、金融、交通、智慧城市和大型央企等项目中，建设探索解决政务信息共享环节数据缺乏分类分级防护、数据权责难以界定以及数据流转监管困难等问题，针对政务数据资源管理缺乏分类分级方法、数据权责难以界定、数据流转监管困难、企业数据权限管理困难、金融数据分级标准落地等问题，卫士通总结形成了涵盖数据分类分级工作的数据安全解决方案，并在项目中进行了不同程度的落地实践。我们希望基于当前的研究和工作，能够帮助用户确定本单位的数据安全分类分级管理制度、标准，协助用户完成已有数据定权分级，提供基于数据分类分级后的安全防护方案设计和建设服务。

在实际项目中，卫士通也已积累沉淀形成了专业的数据分类分级产品，如下图所示

该产品通过自动化技术，将分类分级的专家经验和方法固化为规则模型和识别引擎，有效避免了采用全人工进行数据分类分级时存在的因人员经验背景知识不足导致的不确定性问题，并且降低了人力成本。

同时，在具体实施过程中根据不同场景，可与数据资产管理系统、传统数据库、大数据库等进行对接，还可根据不同行业选择不同的识别引擎，通过识别关键要素，结合分类分级的规则进行自动化分类分级

深信服

深信服智能数据分类分级平台引入了人工智能与机器学习算法，相较于传统数据分类分级做法，采用机器学习技术，大大提升了准确率，进一步提升了工作效率，减少了人力成本，在数据分类分级上作了一次有效实践，深信服智能数据分类分级平台工作机制如下：

• 分类分级策略定义
  • 平台内置通用的分类分级策略，用户可根据国家与行业相关的数据分类分级标准和规范进行设置，其中数据分类策略用于定义数据的类型，数据分级策略用于定义数据的安全等级。
• 多维数据特征提取
  • 平台能够对接各种类型的数据库，实现数据资产的自动发现和数据目录的生成，通过机器学习算法对数据进行多维度元数据特征向量自动提取，对相似字段的数据字段进行聚合归类。
• 智能分类分级推荐
  • 平台接着会对相似数据类别与级别进行智能推荐，实现数据的智能分类分级，同时在用户分类分级过程中也会不断学习用户对数据的标注，提升智能推荐率，目前分类分级智能推荐率达到90%以上。

同时，分类分级结果以API的形式对外开放，业务系统和安全系统均可以调用API，以根据数据的分类分级结果进行精细化的数据管控与安全防护。

深信服以智能数据分类分级为核心的数据共享安全解决方案荣获贵州数博会 2021 年“数字政府方案案例创新奖”，在行业内已小有名气

安恒信息

自动化数据分类分级打标

标签化可以通过对数据打标签的方式降低数据安全管理的门槛，帮助单位进行数据的分类管理，分级防护。目前业内的专用工具可基于关联补齐后的数据，结合数据分类分级结果，在原数据基础上进行标记。

• 结构化数据的打标过程
  • 工具自动方式
    • 工具自动打标签可以通过两种方式实现，一种是通过从数据库中提取元数据，进行自动分级分类，分级分类策略可配置。另一种为借助敏感标签能力，对元数据中的敏感程度和数据定级自动智能推荐，并快速完成数据分级管理。同时自动化工具能够支持数据分级支持对表、字段进行识别和分级标识，可自定义定级规则，并支持标记和变更数据敏感级别，通用的敏感级别包括公开、内部、敏感、机密等。
  • 机器学习方式
    • 目前业内智能化打标一般指的是针对敏感数据进行打标。借助正则表达式、关键词、文档指纹、OCR、机器学习、自然语言处理等先进AI技术提取敏感数据特征，建立相应敏感识别规则，然后统一录入规则引擎。识别规则除机器学习获得以外，还包括系统内置规则及用户根据敏感特征自定义规则，可进行精确的、更多场景的敏感数据识别。识别后的数据与敏感标签库进行匹配，命中规则数据则会打上相应标签，根据标签则可以查看数据分级分类结果以及敏感数据分布情况。
• 非结构化数据的打标过程
  • 针对文档、图像、视频等非结构化数据，通过标记文件头的方式进行打标。

基于数据分类分级的某市政务数据安全管控实践

政务数据由基础信息、行业、主题等各类别的结构化、非结构化数据的汇集而成。某市政数据为规范市政数局、区委办局两级数据管理的相关标准，规范政务数据安全管控的规则，基于政务数据分类分级管理方法论进行了数据安全管控。

工作流程

制度建设

由政务数据主管部门牵头，信息安全部门制定分类分级相关的制度规范，包括组织人员岗位职责规范、分类分级规范、分类分级矩阵（含定级方法、安全管控策略）等。

培训推广

由政务数据主管部门组织，信息安全部门为业务部门提供数据安全培训，除了针对分类分级制度规范解读、工具使用、安全管控实施细则等，培训内容还涵盖数据安全的常识、数据加密方式方法、数据脱敏方式方法、数据防泄漏等相关方面。通过开展不同角色的安全培训，覆盖政务管理培训和技术培训，将数据安全理论、数据安全最佳实践赋能XX市政务人员，达到培训提高数据安全意识、增强数据分类分级能力的目的。

实施落地

• 梳理数据现状。业务部门梳理本部门的全量数据范围，明确数据产生方式、数据结构化特征、数据更新频率、数据应用情况、数据质量情况、数据敏感程度等。
• 初步确定数据分类分级。依据GB/T 21063.6-2007政务信息资源目录体系第4部分：政务信息资源分类相关要求，业务部门结合自身业务，初步判定数据在确定各分类维度的分类类别和数据安全等级。
• 部门自主审核。业务部门应对数据在各维度的初步分类结果及数据分级结果进行部门内部自主审核，审核通过后提交至政务数据主管部门审查。
• 数据分类示例：

• 数据分类分级管控策略矩阵示例

检查评审

合规性审查。政务数据主管部门对本级及下级业务部门的数据分类和分级结果进行合规性审查。经政务数据主管部门合规性审查通过后，最终确定业务部门的数据在各维度分类下的结果和数据安全等级。

安全管控

• 确定最终数据分类分级。经政务数据主管部门合规性审查通过后，最终确定业务部门的数据分类分级结果。
• 数据安全分级管控。依据数据分级分类规范中的分级管控要求，落实具体管控措施。
• 变更维护。业务部门应定期组织对分类分级结果的合理性、有效性进行评估，当数据状态、服务范围等方面发生变化时，及时对分类分级结果进行调整，并记录变更过程。

安华金和

帮助组织梳理数据资产，制定数据分类分级的标准指南，制定切实可落地的数据安全策略，从而保障数据安全治理工作的顺利开展。

国外企业数据分类分级产品

Netwrix数据分类软件

Netwrix是美国一家提供信息安全与治理技术的网络安全公司，为用户提供以数据为中心的安全服务，被评为2020年Gartner文件分析软件市场指南“代表性供应商”、2020年Gartner Peer Insight文件分析软件“客户之选”

Netwrix数据分类平台概述

Netwrix数据分类平台通过使用数据发现和分类工具（Data Discovery and Classification Tool，简称DDC）实现分类功能。工具自动识别不同应用程序的结构化和非结构化数据，并结合预定义的分类法对文件进行分类，基于分类结果展示数据的分布状态统计。

无需部署客户端，使用基于WEB的管理控制台执行数据分类操作；通过HTTP协议和第三方应用API接口定位数据源；支持预定义的分类规则，实现对受GDPR、GLBA、HIPAA和其他监管标准保护数据的识别，也可以通过自定义分类规则查询识别其他数据；使用逻辑化和持续化的全文本索引模式，配合使用机器学习算法、语义分析自动查询文件内容；并为每种分类规则设置关联度得分，得分值可依据数据分类结果实时调整，用以调整文件匹配的范围；支持包括英语、德语、法语、汉语、日语、韩语等50余种语言的数据分类

Netwrix数据分类平台功能

Netwrix数据分类平台主要包括三个功能：数据采集、数据分类和数据分类结果的可视化呈现。上述功能通过基于WEB的管理控制台（Management Console）贯穿为一体，实现对分类过程的操作配置

• 数据采集
  • 运行在数据分类服务器（Data Classification Server）上的数据分类采集服务（Data Classification Collector Service），采集数据源（Data Source）的文档后，将文档转换为纯文本，并形成文件元数据（Metadata）存储于数据分类SQL数据库（Data Classification SQL Database）。数据分类索引服务（Data Classification Index Service）基于收集的文档内容和元数据，创建全文本查询索引（Full-text Search Index），并将其存储至索引库（Data Classification Index）
  • 数据源是需采集和分类的数据存储库。通过管理控制台的数据源内容配置功能，实现对需采集数据源的添加和管理，添加后可查看数据采集结果
  • Netwrix支持分类的数据源有：Windows文件系统、Windows Server系列服务器、Linux文件系统（SMB/CIFS/NFS）、Office 365、数据库、Outlook（2010以上版本）、DropBox、Exchange服务器/邮箱、Google Drive、SharePoint等。在数据采集阶段，除了选择需采集的数据源类型，还需针对每种数据源配置相应的采集选项，以便于更精细化地定位
    • 数据库：Netwrix支持对SQL Server（2008以上版本）、Oracle、PostgreSQL、EMC等主流数据库内容的采集及分类。采集前需要先设置数据库访问用户名（如Windows服务或IIS程序池用户）或连接信息。数据库连接创建成功后，数据分类采集服务即可将采集到的内容智能映射为元数据。数据库内容采集的主要配置项如下：
      • 数据库类型。从SQLServer、Oracle、MySQL、PostgreSQL等选项中选取所需采集的数据库类型
      • 数据库服务器信息。设置采集目标数据库的服务器地址、具体数据库名称、登录用户名和身份认证方式
      • OCR处理模式。Netwrix可以通过OCR模式采集数据库文件中的图片内容，可从“禁用/默认路径/标准质量/增强质量”4种模式中选择
      • 数据库采集范围。设置需采集内容的数据库表、列的范围。
    • 文件系统：Netwrix支持对Windows文件系统和Linux文件系统的内容采集
      • 文件（夹）路径。设置需采集内容的文件（夹）路径
      • 文件夹级别。设置采集文件夹深度，可以选择是否包含子文件夹、是否采集所有子文件夹，以及子文件夹深度的范围（2-99级）
      • 文件夹访问信息。设置访问文件夹所需的系统帐户和密码，以及是否允许匿名访问文件目录
      • 重新索引周期。当源文件发生变更（增加/修改）后，Netwrix分类会定期更新索引，默认更新周期为7天
      • 文件类型。设置需采集的文件类型
      • 是否采集相同内容的副本文件，以及采集文件的优先级
    • 查看数据源采集结果
      • 数据采集流程自动对数据源进行采集、格式转换和创建索引的处理操作后，即可在管理控制台上查看数据源采集结果，包括：数据源类型、数据源文件位置、数据源采集状态、数据源索引创建状态、数据源采集文件数量及总大小
• 数据分类
  • 数据分类服务（Data Classification Classifier Service）根据Netwrix预定义的第三方分类法（Taxonomies）和用户自定义的分类法，对文件内容匹配后分类，最终将分类结果存储于数据分类采集数据库（Data Classification Collector Database）中
  • Netwrix数据分类工具提供预定义分类法，这些分类法包括数百个现成的分类规则。每种分类法包含一系列术语（term），术语又由一系列配置规则（configuration clue）定义。通过使用规则与文件内容进行匹配，最终定位源文件的所属分类
    • 分类法
      • Netwrix数据分类平台所提供的预定义分类法共8种，其中4种核心分类法覆盖了个人、金融、医疗等领域，包括：财务信息（Financial Records）、PII（Personal Identifiable Information，个人可识别信息）、第三方支付行业数据安全标准（Payment Card Industry Data Security Standard，PCI DSS）、患者健康信息（Patient Health Information，PHI），余下4种衍生于核心分类法，用于满足部分特定的合规性要求，称为衍生分类法，包括：GDPR（通用数据保护条例）、GDPR第九章中涉及的个人信息特殊类别、GLBA（金融现代法案）、HIPAA（医疗保险可携性和责任法案）。除了上述预定义分类法外，用户也可以添加自定义分类法
    • 分类规则
      • 分类规则通过复合词精确/模糊匹配、区分大小写、单词发音、正则表达式、语种类型匹配等11种匹配方式，查询文件内容后对其分类。此外，用户也可以添加自定义分类规则，添加时可设置规则的分数，代表其与分类特征的关联度。分数越高，则关联度越高，此项规则可用于对文件进行分类的概率越大。
      • 分类规则用于描述文档中发现的语言，使得文档归属于特定的主题。Netwrix提供预定义分类规则用于查询文件内容，这些规则涵盖了如英语、法语、德语、西班牙语等多语种的个人可识别信息（姓名、家庭住址等），以及英国、新加坡、南非等多个国家的识别码和登记码
    • 分类标签
      • Netwrix支持将分类标签写入被采集数据的属性中。具体操作方式为：在管理控制台上，将分类标签写入到指定数据源的属性中。分类标签可采用[分类名称|分类ID]的格式呈现
      • 例如：农业分类法中有农场（ID为11）和生产（ID为32）两个子分类。当同时包含农业和生产的文件分类完成后，分类标签即写入该文件的属性中，即文件属性增加项——属性名称农业，属性值[农业|11;生产|32]
• 分类结果展示
  • 通过查看管理控制台上的数据源及分类规则详细信息、统计审计报告如文件分布地图等功能，展示数据分类结果
  • 数据分类结束后，即可在管理控制台通过多种方式查看分类结果
    • 通过数据源查看
      • 选择某项数据源，即可查看已采集的数据信息，包括：文件名称、路径、分类状态、匹配的分类等内容。
      • 数据源查看文件分类结果
    • 通过规则查看
      • 选择分类法及其子节点中的术语，即可查看该术语对应的规则信息，包括：规则类型、规则名称、规则的分数。选择每种规则，即可查看与之匹配的文件数量
    • 文件分析报告（Data Analysis Report）
      • 可在Netwrix管理控制台上查看数据分析报告，对报告中的数据进行筛选和细化，以查询包含文件按照分类结果的分布状态。常用的报告有三种：文件分布地图（按分类和数据源分组统计），以及最近一周分类标签分配情况
      • 文件分布地图-按分类法分组统计
      • 文件分布地图-按数据源分组统计
      • 最近7天分类标签分配情况

小结

Netwrix作为全球500余家公司的数据安全治理供应商，实际数据分类、数据审计、数据安全功能远不止这些。Netwrix的数据分类工具作为数据安全的基础，提供了诸多参考方向，例如：无需单独部署客户端，使用一套服务器、一个WEB管理控制台的轻量化部署，即可完成数据分类全过程；可基于不同种类的分类数据源配置相应的分类配置项，为更精确的定位数据源提供支撑；使用预定义的数据合规分类法及其规则，满足国外对个人隐私数据识别的主流需求；使用多维度的象限统计图表，更直观地查看数据的分布情况。除此之外，Netwrix的数据审计和数据安全功能，能够提供以数据分类为基石、以用户实体行为分析UEBA（User and Entity Behavior Analytics）为核心的数据安全审计功能，最终形成数据防护流程体系。

资料

数据安全分级分类文档资料列表名称

第一章 信息安全保障概述

信息安全保障背景

信息：事物运行的状态和状态变化的方式

信息技术发展各个阶段：

电讯技术的发明

计算机技术发展

互联网的使用

信息技术的消极影响：信息泛滥、信息污染、信息犯罪

信息安全发展阶段：

信息保密

计算机安全

信息安全保障

信息安全保障的含义：运行系统的安全、系统信息的安全

信息安全的基本属性：

机密性、完整性、可用性、可控性、不可否认性

信息安全保障体系框架：

保障因素：技术、管理、工程、人员

安全特征：保密性、完整性、可用性

生命周期：规划组织、开发采购、实施交付、运行维护、废弃

P2DR 模型：策略(核心)、防护、监测、响应

IATF 信息保障的指导性文件：

核心要素：人员、技术(重点)、操作

IATF 中 4 个技术框架焦点域：

保护本地计算环境

保护区域边界

保护网络及基础设施

保护支持性基础设施

信息安全保障工作的内容：

确定安全需要

设计实施安全方案

进行信息安全评测

实施信息安全监控和维护

信息安全评测的流程：受理申请、静态评测、现场评测、风险分析

信息监控的流程：受理申请、非现场准备、现场准备、现场监控、综合分析

信息技术及其发展阶段

信息技术两个方面：

生产：信息技术产业；
应用：信息技术扩散

信息技术核心：微电子技术，通信技术，计算机技术，网络技术

第一阶段，电讯技术的发明；
第二阶段，计算机技术的发展；
第三阶段，互联网的使用

信息技术的影响

积极：社会发展，科技进步，人类生活

消极：信息泛滥，信息污染，信息犯罪

信息安全保障基础

信息安全发展阶段

通信保密阶段（20世纪四十年代）：机密性，密码学

计算机安全阶段（20世纪六十和七十年代）：
	机密性、访问控制与认证，公钥密码学（Diffie Hellman，DES），计算机安全标准化（安全评估标准）

信息安全保障阶段：

信息安全保障体系（IA），

PDRR模型：保护（protection）、检测（detection）、响应(response)、恢复（restore），

我国PWDRRC模型：保护、预警（warning）、监测、应急、恢复、反击（counter-attack），

BS/ISO 7799标准（有代表性的信息安全管理体系标准）：信息安全管理实施细则、信息安全管理体系规范

信息安全的含义

一是运行系统的安全，

二是系统信息的安全：口令鉴别、用户存取权限控制、数据存取权限方式控制、审计跟踪、数据加密等

信息安全的基本属性：完整性、机密性、可用性、可控制性、不可否认性

信息安全问题产生的根源：信息系统的复杂性，人为和环境的威胁

信息安全技术

核心基础安全技术：密码技术

安全基础设施技术：标识与认证技术，授权与访问控制技术

基础设施安全技术：主机系统安全技术，网络系统安全技术

应用安全技术：网络与系统安全攻击技术，网络与系统安全防护与响应技术，安全审计  与责任认定技术，恶意代码监测与防护技术

支撑安全技术：信息安全评测技术，信息安全管理技术

信息安全保障体系

信息安全保障体系框架

生命周期：规划组织，开发采购，实施交付，运行维护，废弃

保障要素：技术，管理，工程，人员

安全特征：机密性，完整性，可用性

信息系统安全模型与技术框架

 P2DR安全模型：策略（policy），防护，检测，响应；
 防护时间大于检测时间加上响应时间，安全目标暴露时间=检测时间+响应时间，越小越好；
 提高系统防护时间，降低检测时间和响应时间

 信息保障技术框架（IATF）：纵深防御策略：人员，技术，操作；
 技术框架焦点域：保护本地计算机，保护区域边界，保护网络及基础设施，保护支撑性基础设施

信息安全保障基本实践

信息安全保障工作的内容

确定安全需求，设计和实施安全方案，进行信息安全评测，实施信息安全监控

第二章 信息安全基础技术与原理

密码技术

对称密码与非对称密码

对称密钥密码体制：发送方和接收方使用相同的密钥

非对称密钥密码体制：发送方和接收方使用不同的密钥

对称密钥体制：

加密处理速度快、保密度高，密钥管理分发复杂代价高、数字签名困难

分组密码：

一次加密一个明文分组：DES，IDEA，AES；

序列密码：

一次加密一位或者一个字符：RC4，SEAL

加密方法：

代换法：单表代换密码，多表代换；
置换法

安全性：

攻击密码体制：穷举攻击法（对于密钥长度128位以上的密钥空间不再有效），密码分析学；

典型的密码攻击：

唯密文攻击，已知明文攻击，
选择明文攻击（加密算法一般要能够抵抗选择明文攻击才认为是最安全的，分析方法：差分分析和线性分析），
选择密文攻击

基本运算：异或，加，减，乘，查表

设计思想：扩散，混淆；

乘积迭代：

乘积密码，常见的乘积密码是迭代密码，DES，AES

数据加密标准 DES：

基于Feistel网络，3DES，有效密钥位数：56

国际数据加密算法 IDEA：

利用128位密钥对64位的明文分组，经连续加密产生64位的密文分组

高级加密标准 AES：SP 网络

分组密码：

电子密码本模式ECB，密码分组链模式CBC，密码反馈模式CFB，输出反馈模式OFB，计数模式CTF

非对称密码：

基于难解问题设计密码是非对称密码设计的主要思想，NP问题NPC问题
克服密钥分配上的困难、易于实现数字签名、安全性高，降低了加解密效率

RSA：

基于大合数因式分解难得问题设计；既可用于加密，又可用于数字签名；目前应用最广泛

ElGamal：

基于离散对数求解困难的问题设计

椭圆曲线密码 ECC：

基于椭圆曲线离散对数求解困难的问题设计
通常采用对称密码体制实现数字加密，公钥密码体制实现密钥管理的混合加密机制

哈希函数

单向密码体制，从一个明文到密文的不可逆的映射，只有只有加密过程，没有解密过程
可将任意长度的输入经过变换后得到固定长度的输出（原消息的散列或消息摘要）

应用：

消息认证（基于哈希函数的消息认证码），
数字签名（对消息摘要进行数字签名口令的安全性，数据完整性）

消息摘要算法 MD5：128 位

安全散列算法 SHA：160 位

SHA比MD5更安全，SHA比MD5速度慢了25%，SHA操作步骤较MD5更简单

数字签名

通过密码技术实现，其安全性取决于密码体制的安全程度

普通数字签名：RSA，ElGamal，椭圆曲线数字签名算法等

特殊数字签名：

盲签名，代理签名，群签名，不可否认签名，具有消息恢复功能得签名等

常对信息的摘要进行签名

美国数字签名标准 DSS：签名算法 DSA

应用：鉴权：重放攻击；完整性：同形攻击；不可抵赖

密钥管理

包括密钥的生成，存储，分配，启用与停用，
控制，更新，撤销与销毁等诸多方面密钥的分配与存储最为关键

借助加密，认证，签名，协议和公证等技术保证：

密钥的秘密性，完整性，真实性

密钥产生：

噪声源技术（基于力学，基于电子学，基于混沌理论的密钥产生技术）；主密钥，加密密钥，会话密钥的产生

密钥分配：

分配手段：人工分发（物理分发），密钥交换协议动态分发

密钥属性：秘密密钥分配，公开密钥分配

密钥分配技术：基于对称密码体制的密钥分配，基于公钥密码体制的密钥分配

密钥信息交换方式：人工密钥分发，给予中心密钥分发，基于认证密钥分发

人工密钥分发：主密钥

基于中心的密钥分发：利用公开密钥密码体制分配传统密码的密钥；

可信第三方：密钥分发中心KDC，密钥转换中心KTC；拉模型，推模型；
密钥交换协议：Diffie-Hellman算法

公开密钥分配：

公共发布；公用目录；公约授权：公钥管理机构；

公钥证书：证书管理机构 CA，目前最流行

私钥存储：

 用口令加密后存放在本地软盘或硬盘；
 存放在网络目录服务器中：私钥存储服务PKSS；
 智能卡存储；USB Key存储

认证技术

消息认证

消息加密：

整个消息的密文作为认证码

消息认证码（MAC）：

利用密钥对消息产生定长的值，并以该值作为认证码；基于DES的MAC算法

哈希函数：

将任意长的消息映射为定长的哈希值，并以该哈希值作为认证码

身份认证

身份认证系统：

认证服务器、认证系统客户端、认证设备
系统主要通过身份认证协议（单向认证协议和双向认证协议）和认证系统软硬件进行实现

认证手段：

1.静态密码方式

动态口令认证：动态短信密码，动态口令牌（卡）

USB Key认证：挑战/应答模式，基于PKI体系的认证模式

2.生物识别技术

认证协议：基于口令的认证协议，基于对称密码的认证，基于公钥密码的认证

访问控制技术

访问控制模型：

自主访问控制（DAC）：

访问矩阵模型：访问能力表（CL），访问控制表（ACL）；商业环境中，大多数系统，如主流操作系统、防火墙等

强制访问控制（DAC）：

安全标签：具有偏序关系的等级分类标签，非等级分类标签，比较主体和客体的安全标签等级，访问控制安全标签列表（ACSLL）；

访问级别：

最高秘密级，秘密级，机密级，无级别及；

Bell-Lapadula 模型：
只允许向下读、向上写，保证数据的保密性，Biba 不允许向下读、向上写，保护数据完整性；
Chinese Wall 模型：
多边安全系统中的模型，包括了 MAC 和 DAC 的属性

基于角色的访问控制（RBAC）：

要素：用户，角色，许可；面向企业，大型数据库的权限管理；
用户不能自主的将访问权限授权给别的用户；MAC基于多级安全需求，RBAC不是

访问控制技术

集中访问控制：

认证、授权、审计管理（AAA 管理）

拨号用户远程认证服务RADIUS：提供集中式AAA管理；客户端/服务器协议，运行在应用层，使用UDP协议；组合认证与授权服务

终端访问控制器访问控制系统 TACACS：TACACS+使用 TCP；
更复杂的认证步骤；分隔认证、授权、审计

Diameter：协议的实现和 RADIUS 类似，采用 TCP 协议，支持分布式审计

非集中式访问控制：

单点登录 SSO

Kerberos：

   使用最广泛的身份验证协议；引入可信的第三方。
   Kerberos验证服务器；能提供网络信息的保密性和完整性保障；支持双向的身份认证

SESAME：认证过程类似于 Kerberos.

RADIUS运行在UDP协议上，并且没有定义重传机制，而Diameter运行在可靠的传输协议TCP、SCTP之上。

Diameter 还支持窗口机制，每个会话方可以动态调整自己的接收窗口，以免发送超出对方处理能力的请求。RADIUS协议不支持失败恢复机制，而Diameter支持应用层确认，并且定义了失败恢复算法和相关的状态机，能够立即检测出传输错误。
RADIUS固有的C/S模式限制了它的进一步发展。

Diameter采用了peer-to-peer模式，peer的任何一端都可以发送消息以发起计费等功能或中断连接。
Diameter还支持认证和授权分离，重授权可以随时根据需求进行。
而RADIUS中认证与授权必须是成对出现的。

审计和监控技术

审计和监控基础

审计系统：

日志记录器：收集数据，系统调用Syslog收集数据；
分析器：分析数据；
通告器：通报结果

审计和监控技术

恶意行为监控：

主机监测：可监测的地址空间规模有限；
网络监测：蜜罐技术（软件honeyd），
蜜网（诱捕网络）：高交互蜜罐、低交互蜜罐、主机行为监视模块

网络信息内容审计方法：

网络舆情分析：舆情分析引擎、自动信息采集功能、数据清理功能；
技术：网络信息内容获取技术（嗅探技术）、网络内容还原分析技术；
模型：流水线模型、分段模型；
不良信息内容监控方法：网址、网页内容、图片过滤技术

第三章 系统安全

操作系统安全

操作系统安全基础

基本安全实现机制：

CPU模式和保护环：内核模式、用户模式

进程隔离：使用虚拟地址空间达到该目的

操作系统安全实践

UNIX/Linux 系统：

文件系统安全：

所有的事物都是文件：正规文件、目录、特殊文件（/dev下设备文件）、链接、Sockets；

文件系统安全基于i节点中的三层关键信息：UID、GID、模式；模式位，权限位的八进制数表示；

设置SUID（使普通用户完成一些普通用户权限不能完成的事而设置）和SGID，
体现在所有者或同组用户权限的可执行位上；

chmod改变文件权限设置、chown、chgrp；unmask创建文件默认权限

账号安全管理：

/etc/passwd、/etc/shadow；
伪用户账号；

root 账户管理：

超级用户账户可不止一个，将UID和GID设置为0即可，使用可插入认证模块PAM进行认证登录

日志与审计：

日志系统：记录连接时间的日志：/var/log/wtmp、/var/run/utmp，
进程统计：pacct与acct，错误日志：/var/log/messages

Windows 系统：

Windows安全子系统：winlogon和图形化标识和验证GINA、本地安全认证、安全支持提供者的接口（SSPI）、
				认证包、安全支持提供者、网络登录服务、安全账号管理器（SAM）

登录验证：Kerberos

用户权力与权限：用户权限：目录权限、文件权限；共享权限

日志与审计：系统日志、应用程序日志、安全日志

安全策略：密码策略；锁定策略；审核策略；用户全力指派；安全选项；装载自定义安  全模板；windows加密文件系统

可信计算技术：

可信计算平台联盟（TCPA），可信计算组织（TCG）

可信PC，可新平台模块（TPM），可信软件栈（TSS），可信网络连接（TNC）

可信平台模块（TPM）：具有密码运算能力和存储能力，是一个含有密码运算部件和存储部件的小型片上系统；
物理可信、管理可信的；

可信密码模块（TCM）：中国

可信计算平台：三个层次：可信平台模块（信任根）、可信软件栈、可信平台应用软件；

我国：可信密码模块、可信密码模块服务模块、安全应用

可信网络连接（TNC）：开放性、安全性

数据库安全

数据库安全基础

统计数据库安全

现代数据库运行环境：多层体系结构，中间层完成对数据库访问的封装

数据库安全功能：

用户标识和鉴定

存取控制：

自主存取控制：用户权限有两个要素组成：数据库对象和操作类型，GRANT语句向用户授予权限，REVOKE语句收回授予的权限，角色：权限的集合；强制存取控制：主体和客体，敏感度标记：许可证级别（主体）、密级（客体），首先要实现自主存取控制

审计：用户级审计、系统审计；AUDIT 设置审计功能，NOAUDIT 取消审计功能

数据加密

视图与数据保密性：将视图机制与授权机制结合起来使用，首先用视图机制屏蔽一部分保密数据，然后在视图上再进一步定义存取权限

数据完整性：

语义完整性，参照完整性，实体完整性

约束：

优先于使用触发器、规则和默认值

默认值：CREATE DEFAULT

规则：CREATE RULE，USE EXEC sp_bindefault，DROP RULE

事务处理：BEGAIN TRANSACTION，COMMIT，ROLLBACK；

原子性、一致性、隔离性、持久性；

自动处理事务、隐式事物、用户定义事物、分布式事务

数据库安全实践

数据库十大威胁：

过度的特权滥用；合法的特权滥用；特权提升；平台漏洞；
SQL注入；不健全的审计；拒绝服务；数据库通信协议漏洞；
不健全的认证；备份数据库暴露

安全防护体系：事前检查，事中监控，事后审计

数据库安全特性检查：

端口扫描（服务发现）：对数据库开放端口进行扫描；

渗透测试：黑盒式的安全监测，攻击性测试，对象是数据库的身份验证系统和服务监听系统，
		监听器安全特性分析、用户名和密码渗透、漏洞分析；

内部安全监测：安全员数据、内部审计、安全配置检查、漏洞检测、版本补丁检测

数据库运行安全监控：网络嗅探器、数据库分析器、SQL分析器、安全审计

第四章 网络安全

网络安全基础

网络协议

数据链路层协议：地址解析协议（ARP），逆向地址解析协议（RARP）

网络层协议：IP协议，

Internet控制报文协议（ICMP）：发送出错和控制消息，提供了一个错误侦测与回馈机制

传输层协议：TCP协议，UDP协议

应用层协议：HTTP，SMTP和POP3，DNS

网络安全威胁技术

扫描技术

互联网信息搜集

IP地址扫描：操作系统命令ping（网络故障诊断命令）、tracer，自动化的扫描工具Namp 、Superscan

端口扫描：Namp软件；TCP全连接扫描，TCP SYN扫描，TCP FIN扫描，UDP的ICMP端口不可达扫描，ICMP扫描；乱序扫描和慢速扫描

漏洞扫描：网络漏洞扫描：模拟攻击技术；主机漏洞扫描：漏洞特征匹配技术、补丁安装信息的检测

弱口令扫描：基于字典攻击的弱口令扫描技术、基因穷举攻击的弱口令扫描技术

综合漏洞扫描：Nessus

扫描防范技术：

防火墙，用安全监测工具对扫描行为进行监测

网络嗅探

非主动类信息获取攻击技术

防范：

实现对网络传输数据的加密，VPN、SSL、SSH等加密和传输的技术和设备，
利用网络设备的物理或者逻辑隔离的手段

网络协议欺骗

IP地址欺骗：和其他攻击技术相结合

ARP欺骗：中间人欺骗（局域网环境内实施），伪装成网关欺骗（主要针对局域网内部主机与外网通信的情况）；
	防范：MAC地址与IP地址双向静态绑定

TCP欺骗：将外部计算机伪装成合法计算机；非盲攻击：
	网络嗅探，已知目标主机的初始序列号，盲攻击：攻击者和目标主机不在同一个网络上

DNS欺骗：基于DNS服务器的欺骗，基于用户计算机的DNS欺骗

诱骗式攻击

网站挂马：

攻击者成功入侵网站服务器，具有了网站中网页的修改权限

技术：

框架挂马：直接加在框架代码和框架嵌套挂马；

JS脚本挂马；

body挂马；

伪装欺骗挂马

防范：Web服务器，用户计算机

诱骗下载：

主要方式：多媒体类文件下载，网络游戏软件和插件下载，热门应用软件下载，电子书爱好者，P2P种子文件

文件捆绑技术：多文件捆绑方式，资源融合捆绑方式，漏洞利用捆绑方式

钓鱼网站

社会工程

软件漏洞攻击利用技术

软件漏洞：操作系统服务程序漏洞，文件处理软件漏洞，浏览器软件漏洞，其他软件漏洞

软件漏洞攻击利用技术：直接网络攻击；

诱骗式网络攻击：基于网站的诱骗式网络攻击，网络传播本地诱骗点击攻击

拒绝服务攻击

实现方式：

利用目标主机自身存在的拒绝服务性漏洞进行攻击，耗尽目标主机CPU和内存等计算机资源的攻击，
耗尽目标主机网络带宽的攻击

分类：

IP层协议的攻击：发送ICMP协议的请求数据包，Smurf攻击；

TCP协议的攻击：利用TCP本身的缺陷实施的攻击，包括SYN-Flood和ACK-Flood攻击
		，使用伪造的源IP地址，利用TCP全连接发起的攻击，僵尸主机；

UDP 协议的攻击；

应用层协议的攻击：脚本洪水攻击

分布式拒绝服务（DDos）：攻击者，主控端，代理端，僵尸网络

防范：支持 DDos 防御功能的防火墙

Web 脚本攻击

针对 Web 服务器端应用系统的攻击技术：

 注入攻击：SQL注入，代码注入，命令注入，LDAP注入，XPath注入；

 防范：遵循数据与代码分离的原则

访问控制攻击，非授权的认证和会话攻击

针对 Web 客户端的攻击技术：

跨站脚本攻击（XSS）：反射型XSS（非持久性的跨站脚本攻击），存储型XSS（持久型的跨站脚本攻击）

DOM-based XSS（基于文档对象模型的跨站脚本攻击）：从效果上来说属于反射型XSS

跨站点请求伪造攻击（CSRF）：伪造客户顿请求；

防范：使用验证码，在用户会话验证信息中添加随机数

点击劫持攻击

远程控制

木马：

具有远程控制、信息偷取、隐藏传输功能的恶意程序；通过诱骗的方式安装；一般没有病毒的的感染功能；

特点：伪装性，隐藏性，窃密性，破坏性；

连接方式：C/S结构；最初的网络连接方法；

反弹端口技术：服务器端主动的发起连接请求，客户端被动的等待连接；

木马隐藏技术：线程插入技术、DLL动态劫持技术、RootKit（内核隐藏技术）

Wwbshell：用Web脚本写的木马后门，用于远程控制网站服务器；
	以ASP、PHP、ASPX、JSP等网页文件的形式存在；
	被网站管理员可利用进行网站管理、服务器管理等

网络安全防护技术

防火墙

 一般部署在网络边界，也可部署在内网中某些需要重点防护的部门子网的网络边界

功能：

在内外网之间进行数据过滤；
对网络传输和访问的数据进行记录和审计；
防范内外网之间的异常网络行为；
通过配置NAT提高网络地址转换功能

分类：

硬件防火墙：X86架构的防火墙（中小企业），ASIC、NP架构的防火墙（电信运营商）；

软件防火墙（个人计算机防护）

防火墙技术：

包过滤技术：默认规则；
主要在网络层和传输层进行过滤拦截，不能阻止应用层攻击，也不支持对用户的连接认证，不能防止IP地址欺骗

状态检测技术（动态包过滤技术）：增加了对数据包连接状态变化的额外考虑，有效阻止Dos攻击

地址翻译技术：静态NAT，NAT池，端口地址转换PAT

应用级网关（代理服务器）：在应用层对数据进行安全规则过滤

体系结构：

双重宿主主机体系结构：至少有两个网络接口，在双重宿主主机上运行多种代理服务器，有强大的身份认证系统

屏蔽主机体系结构：防火墙由一台包过滤路由器和一台堡垒主机组成，通过包过滤实现了网络层传输安全的同时，
				还通过代理服务器实现了应用层的安全

屏蔽子网体系结构：由两个包过滤路由器和一台堡垒主机组成；最安全，支持网络层、传输层、应用层的防护功能；
			添加了额外的保护体系，周边网络（非军事区，DMZ）通常放置堡垒主机和对外开放的应用服务器；
			堡垒主机运行应用级网关

防火墙的安全策略

入侵检测系统和入侵防御系统

入侵检测系统（IDS）：

控制台：在内网中，探测器：连接交换机的网络端口

分类：

根据数据采集方式：基于网络的入侵检测系统（NIDS）、基于主机的入侵检测系统（HIDS）；

根据检测原理：误用检测型入侵检测系统、异常检测型入侵检测系统

技术：

误用检测技术：专家系统、模型推理、状态转换分析；

异常检测技术：统计分析、神经网络；

其他入侵检测技术：模式匹配、文件完整性检验、数据挖掘、计算机免疫方法

体系结构：集中式结构：单一的中央控制台；分布式结构：建立树形分层结构

部署：

一个控制台可以管理多个探测器，控制台可以分层部署，主动控制台和被动控制台

入侵防御系统（IPS）：

部署：网络设备：网络中需要保护的关键子网或者设备的网络入口处，控制台

不足：可能造成单点故障，可能造成性能瓶颈，漏报和无保的影响

PKI

公共密钥基础设施是创建、管理、存储、分布和作废数字证书的一场系列软件、硬件、人员、策略和过程的集合

组成：

数字证书是PKI的核心；安全策略；证书认证机构（CA）；
证书注册机构；证书 分发机构；基于PKI的应用接口

数字证书

信任模式：单证书认证机构信任模式，层次信任模型，桥证书认证机构信任模型

VPN

利用开放的物理链路和专用的安全协议实现逻辑上网络安全连接的技术

网络连接类型：

远程访问型VPN（Client-LAN）客户机和服务器都安装VPN软件；

网络到网关类型的VPN（LAN-LAN）客户端和服务器各自在自己的网络边界部署硬件VPN网关设备

VPN 协议分类：

网络隧道技术

第二层隧道协：封装数据链路层数据包；
介于二、三层之间的隧道协议；

第三层隧道协议IPSec，通用路由封装协议（GRE）；
传输层的SSL VPN协议：SSL协议工作在TCP/IP和应用层之间

网络安全协议

Internet 安全协议（IPSec）：

引入加密算法、数据完整性验证和身份认证；
网络安全协议：认证协议头（AH）、安全载荷封装（ESP，传输模式、隧道模式），
密钥协商协议：互联网密钥交换协议（IKE）

传输层安全协议（SSL）：

解决点到点数据安全传输和传输双方身份认证的网络安全传输协议；
记录协议和握手协议

应用层安全协议：

Kerberos协议；

SSH协议：加密所有传输的数据，能防止DNS欺骗和IP欺骗；
	安全超文本传输协议（SHTTP）；
	安全多用途网际邮件扩充协议（S/MIME）；
	安全电子交易协议（SET）

第五章 应用安全

根据漏洞的生命周期不同阶段的划分：

0day漏洞、1day漏洞、已公开漏洞

漏洞定义的三个要素：

①漏洞是计算机系统本身存在的缺陷 ②漏洞的存在和利用都有一定的环境要求
③漏洞的存在本身是没有什么危害的，只有被攻击者恶意利用，才能给计算机系统带来威胁和损失

软件漏洞危险等级的划分：

第一级：紧急；第二级：重要；第三级：中危；第四级：低危

国内外知名的软件库有：CVE、Bugtraq、NVD、CNNVD、EDB…

常见的软件漏洞

  ①缓冲区漏洞：栈溢出漏洞、堆溢出漏洞、单字节溢出漏洞

  ②格式化字符串漏洞

  ③整数溢出漏洞：存储溢出、运算溢出、符号问题

  ④数组越界漏洞

  ⑤写污点值到污点地址漏洞

  ⑥内存地址对象破坏性调用漏洞

Windows 操作系统中提供的主要几种漏洞防范技术：

GS Stack protection、DEP、ASLR、SafeSEH、SEHOP

软件生命周期：

问题定义、可行性分析、总体描述、系统设计、
编码、调试和测试、验收与运行、维护升级到废弃

软件开发生命周期模型

瀑布模型/改进的瀑布模型、螺旋模型、迭代模型、快速原型模型

软件开发技术：

建立安全威胁模型、安全设计、安全编码、安全测试

微软的软件安全开发周期 SDL，其生命周期模型包括 13 个阶段

第0阶段：准备阶段     第1阶段：项目启动阶段  第2阶段：定义需要遵守的安全设计原则

第3阶段：产品风险评估  第4阶段：风险分析     第5阶段：创建安全文档、安全配置工具

第6阶段：安全编码策略  第7阶段：安全测试策略  第8阶段：开发团队自身进行的全面，安全分析监测

第9阶段：最终安全评审  第10阶段：组建安全响应团队制定安全响应计划

第11阶段：产品发布    第12阶段：安全响应执行

软件安全监测技术

 静态安全监测：词法分析、数据流分析、污点传播、符号执行、模型检查、定理证明

 动态安全监测：模糊测试、智能模糊测试、动态污点分析

 动静结合的安全监测：BitBlaze

基于软件技术的软件安全保护技术：

注册信息验证技术、软件防篡改技术、代码混淆技术、
软件水印技术、软件加壳技术、反调试反跟踪技术

代码混淆技术：

词法转换、控制流转换、数据转换

·基于硬件技术的软件安全保护技术：

加密狗（常用）、光盘保护技术、专用的计算机接口卡

恶意程序的分类：

单一功能病毒（文件感染型病毒、宏病毒、引导型病毒、邮件型病毒）、
木马、蠕虫、恶意脚本、综合型病毒

恶意程序的传播方法：

网站挂马、诱骗下载、通过移动存储介质传播、
通过电子邮件和即时通信软件传播、通过局域网传播

恶意程序的破坏功能：

浏览器配置被修改、窃取用户密码账号等隐私信息、实现远程控制、破坏系统或网络的正常运行

恶意程序监测查杀技术：

特征码查杀、启发式查杀、虚拟机查杀、主动防御技术

Web 应用的十大安全威胁排名：

注入、跨站脚本、遭破坏的身份认证和会话管理、
不安全的直接对象引用、伪造跨站请求、安全配置错误、
不安全的加密存储、没有限制的URL访问、传输层保护不足、未验证的重定向和转发

Web 安全防护：

客户端安全防护、网络通信安全防护、服务器端安全防护

Web 安全监测：

黑盒检测、白盒检测

第六章 信息安全管理

信息安全管理体系 ISMS 提现预防控制为主的思想、本着控制费用与风险平衡的原则

标准信息系统的组成：

人员、过程、数据、信息、软件、硬件

因特网组件：

服务器、网络设置（路由器、集线器、交换器）、保护设备（防火墙、代理服务）、电缆

信息安全管理方面的内容：

信息安全管理体系（ISMS）、信息安全风险管理、信息安全管理措施

信息安全风险管理：

风险识别、风险评估、风险控制策略

风险评估分为自评估和检查评估

信息安全管理体系提现预防控制为主的思想

信息安全管理体系的审核包括管理和技术两个方面的审核

信息安全评估原则：

自主、适应度量、已定义过程、连续过程的基础

风险控制策略中缓解是一种控制方法，包括：

事件响应计划、灾难恢复计划、业务持续性计划

要制定一套好的安全管理策略，必须与决策层进行有效沟通，并得到组织机构高层领导的支持与承诺

访问控制分为：

预防性的访问控制、探查性访问控制、纠正性访问控制

访问控制的实现：

行政性访问控制、逻辑/技术性访问控制、物理性访问控制

重要安全管理过程：

系统获取、开发和维护；信息安全事件管理与应急响应；业务连续性管理与灾难恢复

事故响应分四个阶段：

计划；检测；反应；恢复

第七章 信息安全标准与法规

信息技术安全评价的通用准则（CC），是由六个国家（美国、加拿大、英国、法国、德国、荷兰）于 1996 年联合提出。CC 标准是第一个信息技术安全评价国际标准，它的发布对信息安全具有重要意义，是信息技术安全评价标准以及信息安全技术发展的一个重要里程碑。

ISO 13335 标准首次给出了关于 IT 安全的 6 个方面的含义：

机密性、完整性、可用性、审计性、认证性、可靠性。

BS 7799 是依据英国的工业、政府和商业共同需求和发展的一个标准，它分为：信息安全管理事务准则；信息安全管理体系的规范。

《计算机信息系统安全保护等级划分标准》将信息系统安全分为 5 个等级：

自主保护级；系统审计保护级；安全标记保护级；结构化保护级；访问验证保护级

主要的安全考核指标有：

身份认证；自主访问控制；数据完整性；审计

CC 将评估过程划分为功能和保证两个部分，评估等级分为

EAL1，EAL2,EAL3,EAL4,EAL5,EAL6,EAL7 七个等级

每一个级均需评估 7 个功能类,分别是：

配置管理、分发和操作、开发过程、指导文献、生命的技术支持、测试和脆弱性评估

定级四要素：

信息系统所需类型、业务数据类型、信息系统服务范围、业务自动化处理程序

GB/T 22239《信息系统安全等级保护基本要求》从五个层面提出：

物理安全；网络安全；主机安全；数据安全，安全管理

基本管理要求：

安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理

基本技术要求和基本管理要求是确保信息系统安全不可分割的两个部分

国家秘密的密级分为： 绝密（30 年），机密（20 年），秘密（10 年）

数据安全背景

**本人博客网站 **IT小神 www.itxiaoshen.com

** **数据化转型过程中数据治理和低代码平台开发都在各自赛道中大放光彩，本篇我们主要讨论当今火热的框题数据安全治理。

** ****2021年9月1日数据安全法开始实行，规格高、范围广、影响远， 非常及时弥补中国在数据安全领域的法律缺失，与国家安全法（2015年7月1日实行）、网络安全法（2017年6月1日实行）、个人信息保护法（2021年11月1日实行）四法并驱建设一张自顶向下全方位、立体化的法律法规体系的安全网，是保障在经济社会发展和安全的落脚点。我们总结提炼几点：第一点数据安全法统一数据定义和范畴，包括什么是数据、数据处理和数据安全，解决各行各业理解的不一致，没有比这部数据安全法在权威的解释了；第二点建立一个数据安全领导体系，中央的国家安全领导机构负责战略决策，国家网信部负责统筹与监管，相关行业主管部门负责本领域的监控职责；第三点明确数据安全和发展的关系，国家既要发展数据安全又要发展数据产业，支持数据开发利用比如制定大数据发展战略、数字经济发展规划，数据安全产品开发，数据安全的检测认证评估培训等等服务；第四点建立国家级数据安全管理制度，这就涉及到数据分类分级保护制度、风险评估、应急处理、审查制度，出口管制等等这些制度建立算是进一步完善数据安全的治理体系；第五点明确数据安全的保护义务和主体责任，比如说不管你是个人还是组织，在数据安全领导哪些能做哪些不能做现在已经说明清楚了，如果踩了红线就得依法处置了。 **

** 2021北京网络安全大会，以“经营安全，安全经营”为主题，随着十四五全面展开，数据化已经贯穿经济社会发展的全领域、多层级，成为国家治理经济发展和社会运行的核心驱动力，而数据作为新的生产要素的核心定位也成为数据化过程中最关键的驱动力，国家发展数据化经济提出更高的要求，数据治理先行同步统筹安全和发展，其中以数据安全治理为核心的数据安全能力框架2.0和零信任身份安全解决方案动态细粒度访问控制能力和业务应用控制相结合，实现对数据流转的精准控制，做到主体的数字身份可信，行为操作合规以及计算环境和数据实体有效防护，推进数据安全治理产品化、体系化走向一个新的台阶。 **

** **随着国庆节前刚刚结束的2021世界互联网大会乌镇峰会，数据安全也作为本次博览会的一大焦点亮相绽放光彩，在数字时代下将诞生越来越多数据安全企业和产品，从以上看从事数据及安全的产业和服务就重大利好了。

数据安全能力框架

数据安全能力框架从原来那种零散和外挂的形式走向深度融合和体系化建设，包括数据应用安全、身份认证安全等等，围绕数据安全能力框架，将会有很多从事数据与安全领域的企业进入数据安全生态中，从管理、技术和运行维护三大视角建立宏观及全方位数据安全意识，抓紧脚步围绕生态体系构建基于自身优势数据安全产品。围绕数据安全生产出更多新的安全能力，在技术视角除了数据全生命周期全规程，特别注意到数据是伴随的业务进行流转的，数据是流动的，数据安全应该和业务有更多的交互形成内生安全或者内置安全，嵌入到整个业务过程内部去产生作用，从数据安全能力的设计上我们也要梳理数据的脉络，把安全能力和举措嵌入进去，产生如隐私计算、区块链IPFS、强访问控制等更多数据安全技术，解决主客体之间访问控制问题。基于业务数据流转的访问控制，区别于RBAC而采用ABAC即基于属性访问控制策略，动态权限访问控制执行如网关、应用代理、API、数据服务Daas,业务应用和数据作为客体评估安全等级，数据治理涵盖了内容识别、数据发现（AI自动化）、数据地图（数据资产可视化、敏感数据地图、合规地图）、数据标签(自动化大标)、分类分级(AI智能分类分级)、资源视图、资源目录、资源属性、安全策略制定。选择重要数据集、梳理相关的业务场景和数据脉络，关键环节(环节包括你的数据在哪、有什么数据、数据行为是什么)到底有哪些重要数据。

数据安全行业剖析

2021年9月30日,全国信息安全标准化技术委员会秘书处发布关于对《网络安全标准实践指南——数据分类分级指引（征求意见稿）》公开征求意见的通知

关于对《网络安全标准实践指南——数据分类分级指引（征求意见稿）》公开征求意见的通知** **https://www.tc260.org.cn/front/postDetail.html?id=20210930200900

工业和信息化领域数据安全管理办法试行** **https://www.miit.gov.cn/cms_files/filemanager/1226211233/attach/20219/6b7e6d62a890492996225806cc530144.pdf

** **浙江省作为国家推进数据化改革的先驱，浙江省作省、市、区IRS即一体化数字资源系统和各市、区一体化智能化公共数据平台，立足于政府数据的共享和开放，集合各委办局的数据，紧紧围绕数字化改革总目标，按照“以用促建、共建共享”的原则，打造省市区一体统筹、集约高效、自主可控、安全可信、开放兼容、分级维护的区级一体化智能化公共数据平台，建设完善区级基础设施、数据资源、应用支撑、业务应用、政策制度、标准规范、组织保障、政务网络安全的“四横四纵”八大体系，推动“浙里办”“浙政钉”两大终端应用。有效支撑党政机关整体智治、数字政府、数字经济、数字社会、数字法治全领域改革，数字赋能决策、服务、执行、监督和评价履职全周期。各市区大数据局非常紧凑的推进数据安全包括数据安全管理制度和数据分类分级工作的开展，随着浙江省大数据发展管理局关于征求公共数据安全体系建设指南和评估规范（征求意见稿）意见的函，说明各行各业已经在体系化、标准化制定切实有效的落地到实际建设当中的实施指南，让各级组织单位能否方便开展实施。

** **随着数据安全监管和发挥要求国内已快速形成规模化基于数据安全治理的公司包括卫士通、深信服、全知科技、安恒信息、安华金和、闪捷信息等脱颖而出，分别推出基于数据安全治理咨询服务和数据分类分级、数据安全防护等数据安全治理的产品或工具。基于数据安全发展道路可以形成数据安全治理咨询服务、数据安全治理解决方案实施、数据安全工具化平台产品如自动化数据分类分级、数据安全全生命周期管理平台、数据安全检测和评估机构、数据安全培训机构。数据安全的随着国家发展要求将会快速发展，接下来将会快速形成一大批从事数据安全的企业或机构，你会是这里的一个吗？

** **数据安全需要有系统化工程化方法论指引，如基础理论DSG，数据安全评估理论DSMM、数据安全治理理论等等

数据安全管理规定

浙江省大数据发展管理局关于征求公共数据安全体系建设指南和评估规范（征求意见稿）意见的函

数据分类分级

** **数据分类分级在国家法律法规特别是数据安全法和个人信息保护法和国家标准、地方标准等指导下，立足公共数据安全的起脚点，明确公共数据资产的分布和使用状况，制定数据分类分级的标准指南，实现资产结构化管理和利用，形成体系化政务分类更方便于公共数据的管理，对一体化智能化公共数据进行有效分类分级避免一刀切的控制方式，以便于后续在数据安全管理上采用更加精细的措施，基于数据分类分级制定安全管控策略，使数据在共享使用和安全使用之间获得平横，数据分级通过对不同级别的数据设置相应访问权限、加密规则、脱敏规则等，可大大提升数据安全管控效率，是数据安全精细化管理的重要一步。

** **根据数据分类分级结果，从管理、流程和技术等方面，制定基于数据安全视角的全生命周期数据安全管控策略，管理方面包括不限于规范管理决策职责、规范日常维护职责、规范岗位人员职责等；流程方面包括不限于制定数据安全管理整体机制流程安全管控策略、权限管理操作流程管控策略等；技术方面包括不限于制定基础架构的整体安全支撑技术、加密、脱敏、数据防泄漏等的管控策略。

** **建立数据资产全景视图和数据资源目录，制定数据分类分级审核、批准以及变更流程，从制度管理、技术防护、运行维护等多维度最终实现数据分类分级的闭环管理。

数据安全资料