组织内数据安全的建设不是独立于其他信息安全建设之外的，是基于良好的信息化基础设施建设、安全的通信网络环境建设等逐步发展起来的，同样数据安全建设本身也需要从管理和技术两大角度实现。一般来说，数据安全管理建设包括人员设立、制度编制和流程设立，是一类需要与组织内的业务紧密结合且需要长期、持续性完善的内容；数据安全技术建设通常需要将各类技术落地于产品而实现，因此技术建设的程度既依赖于技术的发展，也依赖于数据安全类产品功能的完善。以下针对目前数据安全技术建设中常用的技术手段、该技术解决的问题和该技术相关的产品做详细介绍。
一、数据资产梳理
技术介绍：
数据安全治理的第一步，是了解数据资产本身。想要对分散且庞大的数据资产梳理出分布、类型、甚至是动态访问状况，就需要借助可以完成数据资产梳理的工具实现。根据主要功能的不同可分为静态梳理和动态梳理，数据类型可分为结构化和非结构化数据。
常见功能：
通用功能
数据库和文件服务器的IP、端口、状态、账号权限等数据存储介质的状况（静态梳理）
结构化数据的数据量、表信息、字段信息，非结构数据的名称和类别（静态梳理）
数据分类分级的规则、分类分级结果展示、分类分级结果报表
数据访问热度分析、数据库数据变化信息、数据流动分析图谱（动态梳理）
附加功能
数据库安全漏洞扫描、风险分析
数据库日志分析、数据库补丁升级
数据安全设备管控联动
应用场景：
数据资产盘点
数据分类分级
数据库运维检查
相关产品：
数据安全治理平台、数据资产监测平台、数据安全管理平台
通常该类产品可以同时实现静态梳理和动态梳理，而静态梳理比动态梳理更易实现，因为动态梳理需要安装插件获取数据访问流量完成流量分析，动态梳理效果受流量分析效果的影响。
该类产品也会同时实现对结构化数据和非机构化资产的梳理，但通常结构化数据的梳理比非机构化数据的梳理更易实现，因为非结构化数据文件类型多样、敏感字段定义和提取复杂。
二、数据库运维与操作审计
技术介绍：
可以监测数据库运行状态、管控数据库操作行为的数据库运维安全管控技术很早就以数据库运维管理平台的形式出现，但这类平台出现时主要是方便DBA对多个数据库部署、监控等运维管理，安全防护的要求相对较弱。随着数据挖掘、数据分析的数据操作需求增加，除DBA之外更多角色需要直连获取数据库内的数据，开始出现可以实现审批、实时监控、高危操作阻断、数据库操作的综合安全防护技术要求。
在等级保护要求和网络安全法中均提到需要留存日志不少于6个月的要求，因此可以记录用户数据库操作行为、可生成合规报告、可事后追溯的数据库审计技术就成了组织信息安全合规的必要满足项。虽然数据库平台本身也可以记录数据库操作行为，但是在可视化、易操作性和报表分析上还是弱项，同时还受存储空间的限制，因此对于一般性的较复杂网络环境都需要独立的数据库操作审计平台。
常见功能：
数据库操作账号、时间、行为、结果详细记录
数据库操作异常行为告警
数据库运维单点登录
数据库操作定期报表分析
数据库操作申请审批
应用场景：
日常数据库运维管理
第三方业务系统连接数据库抽取数据
数据库操作行为监控
相关产品：
数据库审计平台、数据库安全评估平台、数据库运维管理平台
数据库运维管理和数据库审计既可能以功能二合一平台的形式实现，也可能各自以单独平台呈现。目前这类产品已经发展相对成熟，主要竞争点在于平台的易操作性。
三、数据库安全访问管控
技术介绍：
为了识别和阻挡来自外部的入侵攻击行为、管控进出网络的访问行为，需要在网络环境边界部署防火墙，后来随着安全防护需求的细化，又出现了针对网站的web应用防火墙，同样也出现了专门针对数据库的安全管控需求。
数据库安全管控不是简单的实现流量包过滤，而是需要详细解析每一条到达数据库的SQL语句，既要分析该语句是否具有注入风险，也要判断该操作是否越权。而实际中不同企业的数据库操作访问行为和细粒度都是不同的，需要匹配的业务应用也是不同的，因此数据库安全管控要求与企业的业务紧密结合，甚至会出现定制化设计的需求。
常见功能：
数据库操作权限管控
数据库漏洞扫描分析
数据库虚拟补丁防护
数据库操作行为记录
数据库操作异常阻断并告警
应用场景：
数据库漏洞安全防护
数据库操作行为管控
相关产品：
数据库防火墙、数据库防护系统
数据库防火墙和数据库审计在部分功能上重合，甚至同一个系统根据部署方式不同可以分别实现数据库防火墙和数据库审计的效果，而能精确匹配并管控SQL语句是数据库防火墙的关键。
四、数据脱敏
技术介绍：
数据脱敏技术早已实现并且应用到了很多场景中，比如火车票上的身份证号码遮蔽、测试时将真实数据仿真为测试数据。数据脱敏的主要目的就是保护数据的安全性保证敏感数据不被泄露，核心技术是数据脱敏算法。目前随着数据量剧增、数据开放范围加大、数据应用范围广，对数据脱敏技术提出了更高要求。
保证数据的可用性，脱敏后的数据不能失去原有的数据特征影响数据应用。
增强数据的关联性，脱敏后的数据应遵循原有数据之间的逻辑性，保留原有数据的关系特征。
提高脱敏的实时性，可以应对多应用连接数据库实时数据脱敏和数据量增加的需求。
根据数据脱敏操作方式，可以分为静态脱敏和动态脱敏。静态脱敏为用前一次性脱敏，动态脱敏为用时即时脱敏，从应用来看，动态脱敏需求比静态脱敏需求更广泛。
常见功能：
多种数据库匹配连接
数据脱敏规则设定
脱敏数据内容选取
脱敏结果展示和导出
应用场景：
测试部门抽取真实数据用于测试
业务部门调取数据用于统计分析
数据外发给第三方仅展示部分信息
相关产品：
静态数据脱敏、动态数据脱敏
数据脱敏技术既可以借助产品完成，也可以对应用系统功能改造后实现，但通常出于普适性考虑会选择直接在应用和数据库中间增加数据库脱敏类的产品。
五、数据防泄漏
技术介绍：
组织在开展业务活动时，就会存在数据共享或外发的需求，可能是不同部门之间的数据共享，也可能是给第三方的数据外发，为了防止数据在外发后造成超范围使用、二次扩散的情况，需要对敏感数据采取安全防泄露技术。
具体来说，减少数据外发共享时数据泄露的风险，是数据防泄漏技术的目的之一，根据数据防泄漏的场景实现需求，可分为水印、数据加密、权限控制、数据脱敏等多种方式。
数据防泄漏技术一开始出现主要是针对非结构化数据的外发控制，主要使用文档加水印和文档加密的功能实现，目前也逐渐发展出了结构化数据加水印的技术，但技术能力有待发展。
常见功能：
数据外发文档加水印或加密控制
数据外发敏感字监控审核
文档打印、剪切、读写、截屏控制
移动存储介质安全管理
应用场景：
软件开发部门防止代码泄露
内部员工越权数据拷贝
敏感文件外发给第三方
管控外来人员数据访问操作
相关产品：
终端防泄漏、网络防泄漏、文件水印系统、终端安全管控系统
终端防泄漏的产品（DLP）已经得到了普遍应用，并且很多终端防病毒产品也具有部分防泄漏的功能，除了终端防泄漏之外还出现了可以通过检测流量的网络防泄漏产品。
六、数据存储加密
技术介绍：
数据库一旦被入侵后极易发生数据拖库的情况，另外也会因权限过大导致内部员工获取非必需的数据，通过将原明文存储的数据加密后密文存储，可以极大地降低此类风险。部分类型的数据库自身可以实现数据加密操作，当然也可以使用专门的数据库加密产品，无论是哪种方式，都会受限于加密算法的易破解性和数据加解密效率的影响，因此数据加密算法的选择是数据加密技术的关键。
常见功能：
数据库表或列加密方式选择
数据库加密算法选择
数据库访问权限和加密功能联动
应用场景：
重要数据加密存储
数据加密库对库共享
相关产品：
数据库加密系统、数据库加密网关
简单的加密算法加解密效率较高、占用空间小，但很容易被破解，若使用复杂加密算法可以提高加密数据的安全性，但同时也会造成数据加解密效率低下，甚至还会出现解密后的数据与原来的明文不一致的情况，因此实际上很多组织会特别慎重使用数据库加密系统，反而更担心因为数据加密造成业务影响。
七、数据备份与恢复
技术介绍：
数据库一旦遭受物理损坏或感染病毒，会造成整个库的数据受到破坏，影响业务的可用性和连续性，数据备份是解决以上问题的途径之一。提到数据“备份”，离不开的一个词就是“容灾”，两者从概念上和侧重点上有所区分，但其实不论是“容灾”还是“备份”，最终目的都是为了应对安全事件影响数据可用性，从而导致业务无法正常开展的问题，也因此出现了将两者功能整合的容灾备份一体化产品。
事实上，数据库备份与恢复技术最初作为业务保障的方式在数据库运维时得到应用，到目前为止该技术已经发展的十分成熟，而近些年因勒索病毒的出现，数据库备份与恢复技术又开始成为一种应对数据勒索的安全措施。
常见功能：
完全备份
差量备份
增量备份
应用场景：
重要数据备份
数据防勒索
相关产品：
数据库备份系统
从建设方式上来看，数据库备份既有两地三中心的复杂式容灾备份，也有将数据复制同步到另一台存储介质的简单式备份(产品的形式实现)，对于中小型企业来说更偏向于选择后者。
224
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
