CN115733681A - 一种防止数据丢失的数据安全管理平台 - Google Patents

Abstract

本发明涉及数据安全管理技术领域，具体为一种防止数据丢失的数据安全管理平台，包括数据安全防控和检测、数据安全识别能力和数据安全防控能力和数据安全检测能力，所述数据安全防控和检测包括溯源图技术、攻击检测绕过技术、木马通信识别技术、攻击检测技术、数据分类分级技术、数据流转追踪技术、泄漏溯源技术。本发明针对性开展数据安全运营能力提升，定期完成数据梳理工作，制定数据安全策略，构建敏感数据地图和数据风险态势等至少两个层次的可视化分析能力，进而辅助日常数据安全运营工作，加强数据泄露的快速感知、及时响应、协同处置、全程溯源运营能力，提升数据泄露事件的应急响应能力。

Description

一种防止数据丢失的数据安全管理平台

技术领域

本发明涉及数据安全管理技术领域，具体为一种防止数据丢失的数据安全管理平台。

背景技术

目前常见的数据安全管理平台，基本属于根据传统资产CMDB基础上发展来的平台或是利用传统的运维管理平台进行改造，缺乏整体式针对性的数据安全管理平台。

传统的数据安全平台存在以下问题：

1、数据资产不清：当前对数据资产家底缺乏有效的梳理，如数据库中敏感数据的内容、数据类型、数据的位置等，由于数据业务系统众多，人工梳理无法满足当前管理的需求，缺乏自动化梳理手段，对数据进行有效的梳理。

2、安全防护能力不足：数据安全事件20％来自于外部，而80％的来自于内部。各种外部攻击的防护非常受重视，但内部人员造成的数据泄露往往更加隐蔽、更难发现和管控，针对内部人员的安全管控是更加不足，这对数据安全的防护造成了新的挑战。

3、安全策略管理缺失：虽然很多单位都有安全管理制度，但安全策略往往过于抽象，从安全管理制度到具体的数据安全产品策略，这之间有巨大的真空，虽然部署了多种数据安全产品，但各种产品各自为政，无法获知整体安全风险，安全管理制度也无法真正落地。

4、缺乏有效溯源能力：在数据共享或者传输过程中发生的泄露，目前缺乏有效的数据标识能力，一旦发生数据泄露，无法有效进行溯源，定位相关责任人，也无法对数据泄露形成有效的威慑。

5、数据安全风险未知：有审计无分析，针对运维操作、应用操作、接口访问行为只是记录，甚至还未记录，同时缺乏有效的数据安全风险分析识别能力，无法对用户历史行为变化和同类型用户的行为进行有效分析，数据风险不能有效防范。

6、传统的威胁检测手段由于使用特征库匹配，所以检测维度比较单一，导致经常会出现大量误报的情况，每天数以千条甚至上万条告警极大的增加了数据安全管理人员的工作负担，数据安全管理和运营人员每天疲于处置冗余和误报告警，根本无法及时关注真正有价值的告警信息。

因此亟需一种防止数据丢失的数据安全管理平台来解决上述问题。

发明内容

本发明的目的在于提供一种防止数据丢失的数据安全管理平台，以解决上述背景技术中提出现有的数据安全平台数据资产不清、安全防护能力不足、安全策略管理缺失、缺乏有效溯源能力、数据安全风险未知、数据安全风险未知检测维度比较单一，导致经常会出现大量误报的情况的问题。

为实现上述目的，本发明提供如下技术方案：一种防止数据丢失的数据安全管理平台，包括数据安全防控和检测、数据安全识别能力和数据安全防控能力和数据安全检测能力，数据安全遵循安全规划、安全建设、安全运营的安全三同步原则，所述数据安全防控和检测包括溯源图技术、攻击检测绕过技术、木马通信识别技术、攻击检测技术、数据分类分级技术、数据流转追踪技术、泄漏溯源技术；

溯源图技术是基于标签的溯源图技术，通过内核级溯源图采集工具采集溯源信息，通过解析审计日志和应用日志获取审计级和应用级溯源信息，使用标签对多种溯源图进行统一化存储与版本管理，精准识别、还原攻击的全过程；

攻击检测绕过技术是基于机器学习的攻击检测绕过技术，采用基于3-gram的算法，自动检测http流量中的恶意攻击，读取数据中的所有文件内的攻击语句，通过插值的方法来统计每个三元组出现的频率，记录每种攻击类型中出现的三元组以及相应的频率信息作为模型；

木马通信识别技术是基于深度学习的木马通信识别技术，采用LSTM(Longshort-termmemory长短期记忆网络)来学习字符序列(域名的模式，LSTM是一种能够拥有记忆模式的神经网络模型，利用超过千万条的记录DGA(DomainGenerationAlgorithm域名生成算法)域名和正常域名通过LSTM神经网络来训练出能够比较准确判断DGA域名的模型；

攻击检测技术是基于语义分析的攻击检测技术，通过语义分析检测技术，将待分析字符串进行模板语句拼接，然后进行词法语法分析，成功解析并建立语法树(AST)的认为是一个SQL语句，对语法树(AST)进行遍历，根据攻击类SQL语句的常用函数进行攻击特征提取；

数据分类分级技术是基于聚类算法的数据分类分级技术，利用深层神经网络结构对原始数据进行特征学习，基于K-Means聚类算法在低维空间进行聚类，实施持续的迭代训练和学习，使得机器能够自动发现高价值或敏感数据，实现数据分类分级的自动化、智能化；

数据流转追踪技术是基于加密标签的数据流转追踪技术，采用强加密算法加密传输的数据字段生成数据标签，每生成一个数据标签对应采用一个独有的密钥，生成数据标签后附着在传输的数据块上，结合数据标签可实时识别出合法授权的数据共享数据流；

泄漏溯源技术是基于数据元组的泄露溯源技术，通过利用数据库水印技术中的伪行算法，使用数据字典来生成字符型属性，利用伪随机生成器生成数值型属性，实现数据元组中各个属性的生成，并利用一定的嵌入算法选择元组嵌入位置，在数据泄露以后，通过水印提取算法进行水印的提取，并将处理后的数据与泄露数据进行比对从而确定出泄密者。

优选的，所述数据安全识别能力包括数据安全资产梳理和数据分类分级两个部分，所述数据安全识别能力构建贯穿数据全生命周期的安全识别能力，从采集、传输、存储、共享、使用、销毁各环节，实现数据资产自动识别的能力，可对结构化数据、非结构化数据进行识别，利用敏感数据自动识别机制识别出数据中的敏感数据，依据数据分类分级方法将数据标识为不同的类别级别，为后续的数据使用、共享阶段提供防护依据，降低数据泄露风险，同时可对数据库服务的分布以及数据库中的数据资产进行发现，并对数据的分布情况进行分析和展示，有效识别现有数据管理措施，以及安全管控措施的落地，明确并完善数据安全管理组织和制度体系，保障各层级数据安全责任到人，管控措施落实到位，同时所述数据安全资产梳理通过自动扫描方式，对所有数据进行梳理，建立数据资产清单，依据数据分类分级方法，判定数据的敏感类别和级别，并将数据的类别级别等属性信息纳入数据资产清单，所述数据分类分级通过多维数据特征准确描述并识别基础数据类型，实施对归集数据的有效管理，并能按类别正确开发利用数据资源，从而实现政府数据价值的最大挖掘利用，数据分级目的在于确定各类型数据资源的敏感程度，从而为不同类型数据的开放和共享策略的制定提供支撑，不限于在主题、行业和服务维度对数据资源进行分类。

优选的，所述数据分类分级包括数据资源管理、数据资产发现和敏感数据识别、数据资产目录和数据分类分级，所述数据资源管理提高圈定数据资源的使用目的、方式和范围，包括部门组织架构关系，以便针对数据资产开展责任认定，明确数据资产归属，对接入数据源进行鉴别，防止数据源伪冒，定数据导入、导出安全操作流程及规范，对不同类别数据制定不同的安全管理策略和保障措施，对数据清洗、转换和加载过程中，明确操作方法、手段和流程，避免数据遗漏和丢失，开展安全审计，对超规模、超范围使用数据等异常行为进行监控，所述所述数据资产发现和敏感数据识别通过数据安全自适应风险与信任评估的运营体系要求首先具备发现数据能力，既包括发现静态存储数据，也包括动态流转数据，梳理清楚数据资产之后，按照分类分级策略和标准为不同的数据分类并打标签，同时针对不同敏感级别或重要程度的数据、根据动态的环境变化，实现数据操作配置的动态变更，并针对流动数据和存储数据的情况，做出风险评估，对于无法做或不适合做标记的数据保护单元，需要对其分类分级或敏感特征制作识别规则模型，对平台内数据库服务的分布以及数据库中的敏感数据资产进行发现，并对敏感数据的分布情况进行分析和展示，所述数据资产目录通过依靠数据资产发现能力，对大数据平台内可用于分析和应用的数据进行提炼，结合业务场景和数据资源关联关系，建立数据资产清单目录，所述所述数据分类分级通过平台内各部门和行业数据，依据各相关部门和行业数据安全规范，按部门和行业分别制定数据分级标准，进行数据分级，对不同部门和行业之间因相关数据安全规范差异产生的数据分级标准差异，应保留差异，分别进行数据分级，并对不同部门和行业来源的数据在大数据平台执行与来源部门和行业的数据分级保护标准相应的管控措施，然后与各单位、部门、业务口或场景的具体管控措施进行差异化关联，并落地具体管控措施，针对应用系统中各类重要数据、敏感信息，数据分类分级和敏感特征的细化制作与管控措施关联，由点到面、由粗到细的原则逐步进行，优先最重要、高级别的数据，并按业务场景分别进行。

优选的，所述数据安全防控能力包括数据特权管控、数据流转管控、数据加密控制、数据脱敏管控和数据泄露管控，所述数据安全防护能力从基础安全、架构安全、数据安全、应用安全入手，包括覆盖数据全周期的安全防护能力，提供其原生的安全组件进行防护，其设计的核心目标是为了在进行防护的同时不能影响到平台整体运行性能，通过对大数据共享交换平台的整体业务流程进行详细分析，在数据采集、数据传输、数据存储、数据使用、数据共享阶段会涉及到诸多安全防护点，同时所述数据安全防控能力也包括基础安全、架构安全、数据安全和应用安全四个方面，所述基础安全是解决数据平台外联单位前置系统涉及技术层面解安全接入认证能力，涉及管理层面统一权限管理能力，所述架构安全是解决传输阶段链路加密、数据加密能力，数据存储阶段数据灾备及可用性能力，所述数据安全是解决采集阶段数据治理控制、分类分级管理、敏感数据保护能力，数据存储阶段敏感数据加密、数据备份能力，数据使用阶段访问权限管理、数据再利用能力，数据共享阶段数据共享交换、策略管控能力，所述应用安全是解决数据采集阶段安全控制，数据传输阶段数据接口安全、传输加密能力，数据使用阶段接口访问、数据调用、权限管控能力。

优选的，所述数据特权管控包括特权场景管控、特权账号统一发现、特权账号统一纳管、特权账号访问控制、特权账号自动改密和特权会话管理，其中所述特权场景管控又包括特权账号管控、特权行为管控、特权账号审计分析，所述特权场景管控通过明确特权账号的使用场景和使用规则，并配套建立审批授权机制，能够详细记录特权账号的访问过程、操作记录和特权行为，配备事后审计机制，所述特权账号管控通过建立特权保护机制，确保用户对数据合理的授权访问，建立特权管控平台，统一特权访问入口，面向特权账号发现、纳管、授权、改密、审计与分析，所述特权行为管控通过建立对特权异常行为有效阻断能力，识别与拦截高危操作、管控威胁命令及资源访问控制，建立对敏感数据有效保护能力，数据和传输加密、权限管理、静/动态脱敏、数据流动限制，建立数据交换及共享边界控制能力，终端、网络、应用级的数据防泄密，数据隔离及共享交换层面的数据防泄露，所述特权账号审计分析通过建立数据访问和违规行为审计能力，开展特权操作分析与审计、敏感数据访问与内容审计、应用业务安全审计、数据库访问及运维审计，所述特权账号统一发现通过构建全类型资产的特权账号统一发现能力，采集和发现应用开发、测试、运维、应用调用和临时场景下多用途、多途径的特权账号，覆盖大数据平台内的全量资产类型，如IOT设备、网络设备、操作系统、大数据平台、大数据组件、数据库、中间件、安全设备、Devops开发工具等，所述特权账号统一纳管通过构建统一的特权账号管控能力，提供集中存储、加密存储的安全保护，提供统删、统建、统改的全生命周期管理功能，确保特权密码的可靠性，逃生通道密码的可用性，密码密钥安全性和完整性，以及国密多重保护，所述特权账号访问控制通过建立集中统一的访问控制策略和细粒度的命令控制策略，确保用户拥有的权限是完成任务所需的最小权限，授权用户可访问的目标资源、定义危险操作管控策略，当用户越权执行特定命令的时候，实时进行阻断、告警，用户访问核心资源需要其上级领导现场授权方可执行，确保信息系统安全运行，所述特权账号自动改密通过建立基于策略的密码校验、轮换、重置能力，利用改密插件实现密码管理自动化，同时可以为大数据平台中间件提供帐密代填能力，应用、工具、脚本等均强制替换内嵌明文/密文密码，实现应用的凭证安全管理，所述特权会话管理通过建立用户、链路、资源的主客体特权会话管控机制和控制能力，集中管控人机交互过程中特权会话操作，能够识别和控制面向大数据平台内的系统维护、安全审计、操作运维、开发测试、临时用户等不同特权场景。

优选的，所述数据流转管控通过建立数据流转和管控机制，实现应用交互场景、离线交换场景、外部二次分发场景下的敏感数据保护能力，流转管控加强数据采集、数据传输、数据共享和数据使用缓解的事前监控、事中监控和控制、事后分析及溯源管控，(1)数据接收管控：加强数据采集后接收处理数据信息状态监控能力，(2)数据查询管控：加强数据查询信息与数据信息状态监控能力，(3)数据调用管控：加强数据调用信息与数据信息状态有效性监控能力，(4)数据交换及共享管控：加强数据共享信息与数据信息状态共享权限、共享机制、内部交换、外部共享、数据转让等监控能力，(5)数据销毁管控：加强数据销毁管控机制(销毁场景、机制、措施、管理、评估)，所述数据加密控制通过建立平台内覆盖数据全周期的加密控制能力，实现字段级、文本级、文档级、库表级数据加密能力，覆盖终端、网络、链路、应用、接口、中间件、数据库、存储、外发通道、密码基础设施等，(1)统一密码基础设施：建设平台统一密码服务能力，(2)数据加密：针对流转数据加密控制，(3)文件加密：建立终端、服务器、应用系统的文件数据加密管控能力，(4)数据库加密：建立数据库级数据加密管控能力，(5)链路加密：建立传输链路数据加密管控能力，(6)国密：支持国密算法，满足合规要求，所述数据脱敏管控通过建立数据脱敏管控能力，技术层面保障脱敏有效性、真实性、稳定性和可配置性，管理层面保障敏感信息识别准确、敏感信息安全可控、过程可审计追溯、脱敏过程安全可靠，(1)管控机制：结合数据资源特性，制定完备的数据脱敏规范和流程，对可能接触到脱敏数据的相关方进行数据脱敏规程严格落实，并定期评估和维护数据脱敏规程内容，以保证数据脱敏工作执行的规范性和有效性，(2)过程控制：在敏感数据发现、标识敏感数据、确定脱敏方法、定义脱敏规则、执行脱敏操作和评估脱敏效果等过程中，深度融合脱敏控制能力，利用自动化工具执行数据发现，确保敏感数据标识信息不易被恶意攻击删除或篡改，静态/动态脱敏时对数据源和时效性对接差异化工具，优化完善脱敏策略，并建立脱敏效果持续评估能力，所述数据泄露管控通过建立从边界到业务内的数据防泄露管控机制，覆盖终端、网络、大数据平台存储环境、数据库、文件外发、数据交换等场景，基于数据治理过程中分级分类成果，对含敏感数据的文件做加密或审计处理，面向平台的数据分发源(业务系统、核心数据、数据文件等)、数据分发对象开展数据水印、溯源管控、时效评估、影响评估、责任判定等管控工作，(1)终端数据防泄露能力：建立终端数据泄露管控，覆盖大数据平台内部用户、外设、打印、开发、运维以及其他关联第三方终端用户，(2)网络数据防泄露能力：建立网络层数据防泄露检控能力，覆盖基础网络设施、大数据平台虚拟网络、数据交换通道等，(3)数据库防泄露能力：建立数据库类存取环境的数据防泄露检控能力，覆盖独立数据库、分布式数据库、业务系统内数据库、共享交换库、衍生数据库等，(4)存储防泄露能力：建立面向存储场景的数据防泄露检控能力，文件服务器、临时存储服务器及其他文件级存储场景。

优选的，所述数据安全检测能力包括数据行为监控分析、特权账号的威胁监控、数据安全审计定责和数据泄露事件溯源，所述数据安全检测能力通过以平台数据为核心，以安全视角建立对数据资产及其安全风险的可知、可见、可控机制，动态地、整体地洞悉安全风险，提升对数据安全威胁的发现识别、理解分析和响应处置能力，通过建立整体的数据安全视图，建立数据流动和分布风险感知机制，建立数据脆弱性管理和攻击监测机制，以视图的方式将分析能力及结果进行展示，实现对已知和未知数据安全事件的分等级的有效事前预测、事中处置和事后追溯，数据安全态势感知同时能够接入网络安全态势感知，纳入网络安全态势感知的信息源和分析结果进行综合分析，所述数据行为监控分析，数据行为主要是因为由于用户或系统的操作行为而引起的数据流动行为，大数据平台能够基于数据安全识别和防护能力获取大量数据资源的状态信息，通过数据安全态势分析，从四个方面增强监控分析能力，分别是信息泄露检测、高级威胁检测、用户意图关联分析、用户风险行为分析，(1)信息泄露检测：由于短时间内连续、少量、多次敏感信息访问、获取、下载等行为，容易形成敏感数据快速积累，对于数据平台现有多放数据的情况下，会造成潜在数据泄露的风险，需要建立能够检测阶段时间内的累计泄露风险行为能力，(2)高级威胁检测：高级持续威胁(APT)对于平台防护的挑战主要源自核心数据资源，数据流转、传输、共享、调用、维护、测试等业务活动过程中，务必关注潜在隐蔽隧道通信的检测，隐蔽隧道、加密通信、木马等非常规通信机制下，需要具备深度检测和持续监测能力，(3)用户意图分析：数据安全风险还包括来合法用户未发生但具备潜在意图的风险，利用用户行为分析的技术手段，结合用户多维关联数据，智能预测用户潜在的具有离职、邮件泄露、同部门异常行为、大量囤积敏感文件、频繁更换登录用户等意图，识别跨境传输数据、大量下载传输业务数据、大量删除\拷贝\压缩\另存文件的意图，并根据实际业务分析意图类型、意图严重度等，(4)用户风险行为分析：平台汇聚了大量业务数据，跨部门、跨行业、跨应用，用户合法使用数据资源过程中，会积累大量业务行为数据，对于频繁、大量、非正常访问，应具备实现日志的关联分析功能，实时监控方案，提高对危险行为的处置能力和响应速度，基于机器学习算法对数据使用过程进行多维度分析，实现应用、用户行为的关联分析，预判危险行为并实时处理，针对数据使用过程中的违规、危险行为开展深度分析挖掘。

优选的，所述特权账号是数据平台内特殊的一组数据资源，分布在主机、网络设备、数据库等资产上具有较高访问权限的账号，衍生到一切资产上具有可访问权限的账号，确保数据使用过程中账号的唯一性，以保证日志审计时能够准确的定位到个人，数据使用尽量避免离线操作，而采用线上方式实现，并对批量读取和下载的功能进行权限管控，禁止所有特权操作，查询用户敏感数据时，确保所有查询操作经过用户授权，并留存授权记录，禁止在未经用户授权的情况下进行查询操作，通过技术手段持续监控账号异常登录、弱口令、长期不改密、账号权限变更等带来的数据泄露风险，建立特权账号管控机制，结合安全基础设施的特权管控能力，对登录账号进行统一纳管，识别长期未接入、未登录、未使用的账户，定期评估账号管控风险，监控账号动态，及时变更账号权限，必须覆盖账号创建、使用、变更、维护、冻结、回收等环节，采用高度信任度的认证框架，引入零信任防护理念，消除特权账号潜在风险。

优选的，所述数据安全审计定责数据安全态势感知的实现，依赖于数据安全审计的基础之上，态势感知的覆盖面、信息源和管理等部分内容与审计基本一致，可直接转用，态势感知的策略、方法和技术部分包含审计对应部分的内容，在审计内容的基础上增加基于强化技术手段的内容和可视化内容，所述数据泄露事件溯源数据处理活动的主要操作包括但不限于：数据查询、数据读取、数据索引、批处理、交互式处理、流处理、数据统计分析、数据预测分析、数据关联分析、数据可视化、生成分析报告等，数据处理过程中主要防范敏感信息的泄露风险，对数据本身应做好脱敏处理，对数据处理环境、数据处理后存储数据的再生库都应做好安全防护，(1)建立全面的数据源：覆盖终端、网络、应用、数据库、统一认证管理等综合日志数据资源，(2)开展安全数据处理：通过平台的数据能力，开展安全数据采集、过滤、提取、富化及关联处理，形成多种数据类型库/主题库，(3)细化检索能力：结合业务和数据特点，通过分析引擎、模型、算法等开展数据检索，(4)集中溯源分析：建立面向访问主体的数据溯源分析和面向泄露事件导向的线索溯源分析能力。

与现有技术相比，本发明的有益效果是：

1、本平台针对性开展数据安全运营能力提升，定期完成数据梳理工作，制定数据安全策略，构建敏感数据地图和数据风险态势等至少两个层次的可视化分析能力，进而辅助日常数据安全运营工作，加强数据泄露的快速感知、及时响应、协同处置、全程溯源运营能力，提升数据泄露事件的应急响应能力。

2、本平台解决了数据的归集、存储，平台上已经运行了较为丰富的业务应用，海量数据集中催生的安全问题和风险集中在数据资源上，如何更好地保护核心数据、敏感信息、个人隐私等，是不能忽略的问题，在信息化基础设施和平台防护层面已经解决了部分的安全保障能力，但数据安全与业务场景结合紧密，仅仅注重数据本身安全，不足以支撑体系下的数据防护要求，因此，需要在贯彻国家网络空间安全战略，做好关键信息基础设施的安全保护，在满足国家政策、法律、法规等要求的前提下，统筹开展全体系数据安全支撑能力，数据安全遵循安全规划、安全建设、安全运营的安全三同步原则，在系统规划阶段，对数据安全进行同步规划和评审，在系统建设阶段，同步建设数据安全防护手段，在系统运营阶段，对系统进行安全监测，同时，建设过程中的实际情况，以安全叠加演进的方式重点对数据安全“识别、防护、监测、服务”四个维度的能力体系开展能力设计，以系统工程的思路将建设任务和建设工程，按照阶段计划开展能力建设。

3、本平台在数据安全防控和检测方面通过将数据安全管理和数据溯源图、机器学习等新技术相结合，解决传统数据安全管理产品在日常安全运营工作中，真正的威胁往往会被淹没在大量的未确认安全事件的问题，而这些告警的分析确认和处置往往会成为令人头疼的问题，传统的数据安全检测能力主要依托特征库匹配的检测机制，虽然能够有效的检测并拦截普通的低级威胁，但也会产生大量的冗余和误报告警，如果不对安全策略和检测机制进行优化，数据安全管理人员无法在发生威胁的第一时间判断出哪些威胁造成了严重的影响，需要优先处置。

4、本平台通过溯源图、检测引擎、威胁情报、场景化检测规则、机器学习和关联规则等多个维度进行威胁的研判，帮助快速定位真正的威胁，同时优化现有的传统威胁检测手段，减少告警的误报和冗余情况，将威胁告警数量控制在人工可分析的数量级。

5、基于电子信息科学技术的数据安全管理平台围绕数据安全全生命周期展开，从“识别、防护、监测、服务”四个维度对数据进行数据安全防护，实现数据安全三个100％：敏感数据识别率100％、数据资源分类分级100％、敏感数据安全传输100％，建立了数据安全管理和运营体系，管理无死角，技术防得住。

附图说明

图1为本发明的安全三同步原则示意图；

图2为本发明的数据安全防控和检测示意图；

图3为本发明的数据安全识别能力步骤示意图；

图4为本发明的数据安全防控能力示意图；

图5为本发明的数据安全识别能力示意图；

图6为本发明的数据资源管理示意图；

图7为本发明数据脱敏管控的过程控制示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参阅图1-7，本发明提供的一种实施例：一种防止数据丢失的数据安全管理平台，包括数据安全防控和检测、数据安全识别能力和数据安全防控能力和数据安全检测能力，数据安全遵循安全规划、安全建设、安全运营的安全三同步原则，数据安全防控和检测包括溯源图技术、攻击检测绕过技术、木马通信识别技术、攻击检测技术、数据分类分级技术、数据流转追踪技术、泄漏溯源技术；

溯源图技术是基于标签的溯源图技术，通过内核级溯源图采集工具采集溯源信息，通过解析审计日志和应用日志获取审计级和应用级溯源信息，使用标签对多种溯源图进行统一化存储与版本管理，精准识别、还原攻击的全过程；

攻击检测绕过技术是基于机器学习的攻击检测绕过技术，采用基于3-gram的算法，自动检测http流量中的恶意攻击，读取数据中的所有文件内的攻击语句，通过插值的方法来统计每个三元组出现的频率，记录每种攻击类型中出现的三元组以及相应的频率信息作为模型；

木马通信识别技术是基于深度学习的木马通信识别技术，采用LSTM(Longshort-termmemory长短期记忆网络)来学习字符序列(域名的模式，LSTM是一种能够拥有记忆模式的神经网络模型，利用超过千万条的记录DGA(DomainGenerationAlgorithm域名生成算法)域名和正常域名通过LSTM神经网络来训练出能够比较准确判断DGA域名的模型；

攻击检测技术是基于语义分析的攻击检测技术，通过语义分析检测技术，将待分析字符串进行模板语句拼接，然后进行词法语法分析，成功解析并建立语法树(AST)的认为是一个SQL语句，对语法树(AST)进行遍历，根据攻击类SQL语句的常用函数进行攻击特征提取；

数据分类分级技术是基于聚类算法的数据分类分级技术，利用深层神经网络结构对原始数据进行特征学习，基于K-Means聚类算法在低维空间进行聚类，实施持续的迭代训练和学习，使得机器能够自动发现高价值或敏感数据，实现数据分类分级的自动化、智能化；

数据流转追踪技术是基于加密标签的数据流转追踪技术，采用强加密算法加密传输的数据字段生成数据标签，每生成一个数据标签对应采用一个独有的密钥，生成数据标签后附着在传输的数据块上，结合数据标签可实时识别出合法授权的数据共享数据流；

泄漏溯源技术是基于数据元组的泄露溯源技术，通过利用数据库水印技术中的伪行算法，使用数据字典来生成字符型属性，利用伪随机生成器生成数值型属性，实现数据元组中各个属性的生成，并利用一定的嵌入算法选择元组嵌入位置，在数据泄露以后，通过水印提取算法进行水印的提取，并将处理后的数据与泄露数据进行比对从而确定出泄密者。

进一步的，数据安全识别能力包括数据安全资产梳理和数据分类分级两个部分，数据安全识别能力构建贯穿数据全生命周期的安全识别能力，从采集、传输、存储、共享、使用、销毁各环节，实现数据资产自动识别的能力，可对结构化数据、非结构化数据进行识别，利用敏感数据自动识别机制识别出数据中的敏感数据，依据数据分类分级方法将数据标识为不同的类别级别，为后续的数据使用、共享阶段提供防护依据，降低数据泄露风险，同时可对数据库服务的分布以及数据库中的数据资产进行发现，并对数据的分布情况进行分析和展示，有效识别现有数据管理措施，以及安全管控措施的落地，明确并完善数据安全管理组织和制度体系，保障各层级数据安全责任到人，管控措施落实到位，同时数据安全资产梳理通过自动扫描方式，对所有数据进行梳理，建立数据资产清单，依据数据分类分级方法，判定数据的敏感类别和级别，并将数据的类别级别等属性信息纳入数据资产清单，数据分类分级通过多维数据特征准确描述并识别基础数据类型，实施对归集数据的有效管理，并能按类别正确开发利用数据资源，从而实现政府数据价值的最大挖掘利用，数据分级目的在于确定各类型数据资源的敏感程度，从而为不同类型数据的开放和共享策略的制定提供支撑，不限于在主题、行业和服务维度对数据资源进行分类。

进一步的，数据分类分级包括数据资源管理、数据资产发现和敏感数据识别、数据资产目录和数据分类分级，数据资源管理提高圈定数据资源的使用目的、方式和范围，包括部门组织架构关系，以便针对数据资产开展责任认定，明确数据资产归属，对接入数据源进行鉴别，防止数据源伪冒，定数据导入、导出安全操作流程及规范，对不同类别数据制定不同的安全管理策略和保障措施，对数据清洗、转换和加载过程中，明确操作方法、手段和流程，避免数据遗漏和丢失，开展安全审计，对超规模、超范围使用数据等异常行为进行监控，数据资产发现和敏感数据识别通过数据安全自适应风险与信任评估的运营体系要求首先具备发现数据能力，既包括发现静态存储数据，也包括动态流转数据，梳理清楚数据资产之后，按照分类分级策略和标准为不同的数据分类并打标签，同时针对不同敏感级别或重要程度的数据、根据动态的环境变化，实现数据操作配置的动态变更，并针对流动数据和存储数据的情况，做出风险评估，对于无法做或不适合做标记的数据保护单元，需要对其分类分级或敏感特征制作识别规则模型，对平台内数据库服务的分布以及数据库中的敏感数据资产进行发现，并对敏感数据的分布情况进行分析和展示，数据资产目录通过依靠数据资产发现能力，对大数据平台内可用于分析和应用的数据进行提炼，结合业务场景和数据资源关联关系，建立数据资产清单目录，数据分类分级通过平台内各部门和行业数据，依据各相关部门和行业数据安全规范，按部门和行业分别制定数据分级标准，进行数据分级，对不同部门和行业之间因相关数据安全规范差异产生的数据分级标准差异，应保留差异，分别进行数据分级，并对不同部门和行业来源的数据在大数据平台执行与来源部门和行业的数据分级保护标准相应的管控措施，然后与各单位、部门、业务口或场景的具体管控措施进行差异化关联，并落地具体管控措施，针对应用系统中各类重要数据、敏感信息，数据分类分级和敏感特征的细化制作与管控措施关联，由点到面、由粗到细的原则逐步进行，优先最重要、高级别的数据，并按业务场景分别进行。

进一步的，数据安全防控能力包括数据特权管控、数据流转管控、数据加密控制、数据脱敏管控和数据泄露管控，数据安全防护能力从基础安全、架构安全、数据安全、应用安全入手，包括覆盖数据全周期的安全防护能力，提供其原生的安全组件进行防护，其设计的核心目标是为了在进行防护的同时不能影响到平台整体运行性能，通过对大数据共享交换平台的整体业务流程进行详细分析，在数据采集、数据传输、数据存储、数据使用、数据共享阶段会涉及到诸多安全防护点，同时数据安全防控能力也包括基础安全、架构安全、数据安全和应用安全四个方面，基础安全是解决数据平台外联单位前置系统涉及技术层面解安全接入认证能力，涉及管理层面统一权限管理能力，架构安全是解决传输阶段链路加密、数据加密能力，数据存储阶段数据灾备及可用性能力，数据安全是解决采集阶段数据治理控制、分类分级管理、敏感数据保护能力，数据存储阶段敏感数据加密、数据备份能力，数据使用阶段访问权限管理、数据再利用能力，数据共享阶段数据共享交换、策略管控能力，应用安全是解决数据采集阶段安全控制，数据传输阶段数据接口安全、传输加密能力，数据使用阶段接口访问、数据调用、权限管控能力。

进一步的，数据特权管控包括特权场景管控、特权账号统一发现、特权账号统一纳管、特权账号访问控制、特权账号自动改密和特权会话管理，其中特权场景管控又包括特权账号管控、特权行为管控、特权账号审计分析，特权场景管控通过明确特权账号的使用场景和使用规则，并配套建立审批授权机制，能够详细记录特权账号的访问过程、操作记录和特权行为，配备事后审计机制，特权账号管控通过建立特权保护机制，确保用户对数据合理的授权访问，建立特权管控平台，统一特权访问入口，面向特权账号发现、纳管、授权、改密、审计与分析，特权行为管控通过建立对特权异常行为有效阻断能力，识别与拦截高危操作、管控威胁命令及资源访问控制，建立对敏感数据有效保护能力，数据和传输加密、权限管理、静/动态脱敏、数据流动限制，建立数据交换及共享边界控制能力，终端、网络、应用级的数据防泄密，数据隔离及共享交换层面的数据防泄露，特权账号审计分析通过建立数据访问和违规行为审计能力，开展特权操作分析与审计、敏感数据访问与内容审计、应用业务安全审计、数据库访问及运维审计，特权账号统一发现通过构建全类型资产的特权账号统一发现能力，采集和发现应用开发、测试、运维、应用调用和临时场景下多用途、多途径的特权账号，覆盖大数据平台内的全量资产类型，如IOT设备、网络设备、操作系统、大数据平台、大数据组件、数据库、中间件、安全设备、Devops开发工具等，特权账号统一纳管通过构建统一的特权账号管控能力，提供集中存储、加密存储的安全保护，提供统删、统建、统改的全生命周期管理功能，确保特权密码的可靠性，逃生通道密码的可用性，密码密钥安全性和完整性，以及国密多重保护，特权账号访问控制通过建立集中统一的访问控制策略和细粒度的命令控制策略，确保用户拥有的权限是完成任务所需的最小权限，授权用户可访问的目标资源、定义危险操作管控策略，当用户越权执行特定命令的时候，实时进行阻断、告警，用户访问核心资源需要其上级领导现场授权方可执行，确保信息系统安全运行，特权账号自动改密通过建立基于策略的密码校验、轮换、重置能力，利用改密插件实现密码管理自动化，同时可以为大数据平台中间件提供帐密代填能力，应用、工具、脚本等均强制替换内嵌明文/密文密码，实现应用的凭证安全管理，特权会话管理通过建立用户、链路、资源的主客体特权会话管控机制和控制能力，集中管控人机交互过程中特权会话操作，能够识别和控制面向大数据平台内的系统维护、安全审计、操作运维、开发测试、临时用户等不同特权场景。

进一步的，数据流转管控通过建立数据流转和管控机制，实现应用交互场景、离线交换场景、外部二次分发场景下的敏感数据保护能力，流转管控加强数据采集、数据传输、数据共享和数据使用缓解的事前监控、事中监控和控制、事后分析及溯源管控，(1)数据接收管控：加强数据采集后接收处理数据信息状态监控能力，(2)数据查询管控：加强数据查询信息与数据信息状态监控能力，(3)数据调用管控：加强数据调用信息与数据信息状态有效性监控能力，(4)数据交换及共享管控：加强数据共享信息与数据信息状态共享权限、共享机制、内部交换、外部共享、数据转让等监控能力，(5)数据销毁管控：加强数据销毁管控机制(销毁场景、机制、措施、管理、评估)，数据加密控制通过建立平台内覆盖数据全周期的加密控制能力，实现字段级、文本级、文档级、库表级数据加密能力，覆盖终端、网络、链路、应用、接口、中间件、数据库、存储、外发通道、密码基础设施等，(1)统一密码基础设施：建设平台统一密码服务能力，(2)数据加密：针对流转数据加密控制，(3)文件加密：建立终端、服务器、应用系统的文件数据加密管控能力，(4)数据库加密：建立数据库级数据加密管控能力，(5)链路加密：建立传输链路数据加密管控能力，(6)国密：支持国密算法，满足合规要求，数据脱敏管控通过建立数据脱敏管控能力，技术层面保障脱敏有效性、真实性、稳定性和可配置性，管理层面保障敏感信息识别准确、敏感信息安全可控、过程可审计追溯、脱敏过程安全可靠，(1)管控机制：结合数据资源特性，制定完备的数据脱敏规范和流程，对可能接触到脱敏数据的相关方进行数据脱敏规程严格落实，并定期评估和维护数据脱敏规程内容，以保证数据脱敏工作执行的规范性和有效性，(2)过程控制：在敏感数据发现、标识敏感数据、确定脱敏方法、定义脱敏规则、执行脱敏操作和评估脱敏效果等过程中，深度融合脱敏控制能力，利用自动化工具执行数据发现，确保敏感数据标识信息不易被恶意攻击删除或篡改，静态/动态脱敏时对数据源和时效性对接差异化工具，优化完善脱敏策略，并建立脱敏效果持续评估能力，数据泄露管控通过建立从边界到业务内的数据防泄露管控机制，覆盖终端、网络、大数据平台存储环境、数据库、文件外发、数据交换等场景，基于数据治理过程中分级分类成果，对含敏感数据的文件做加密或审计处理，面向平台的数据分发源(业务系统、核心数据、数据文件等)、数据分发对象开展数据水印、溯源管控、时效评估、影响评估、责任判定等管控工作，(1)终端数据防泄露能力：建立终端数据泄露管控，覆盖大数据平台内部用户、外设、打印、开发、运维以及其他关联第三方终端用户，(2)网络数据防泄露能力：建立网络层数据防泄露检控能力，覆盖基础网络设施、大数据平台虚拟网络、数据交换通道等，(3)数据库防泄露能力：建立数据库类存取环境的数据防泄露检控能力，覆盖独立数据库、分布式数据库、业务系统内数据库、共享交换库、衍生数据库等，(4)存储防泄露能力：建立面向存储场景的数据防泄露检控能力，文件服务器、临时存储服务器及其他文件级存储场景。

进一步的，数据安全检测能力包括数据行为监控分析、特权账号的威胁监控、数据安全审计定责和数据泄露事件溯源，数据安全检测能力通过以平台数据为核心，以安全视角建立对数据资产及其安全风险的可知、可见、可控机制，动态地、整体地洞悉安全风险，提升对数据安全威胁的发现识别、理解分析和响应处置能力，通过建立整体的数据安全视图，建立数据流动和分布风险感知机制，建立数据脆弱性管理和攻击监测机制，以视图的方式将分析能力及结果进行展示，实现对已知和未知数据安全事件的分等级的有效事前预测、事中处置和事后追溯，数据安全态势感知同时能够接入网络安全态势感知，纳入网络安全态势感知的信息源和分析结果进行综合分析，数据行为监控分析，数据行为主要是因为由于用户或系统的操作行为而引起的数据流动行为，大数据平台能够基于数据安全识别和防护能力获取大量数据资源的状态信息，通过数据安全态势分析，从四个方面增强监控分析能力，分别是信息泄露检测、高级威胁检测、用户意图关联分析、用户风险行为分析，(1)信息泄露检测：由于短时间内连续、少量、多次敏感信息访问、获取、下载等行为，容易形成敏感数据快速积累，对于数据平台现有多放数据的情况下，会造成潜在数据泄露的风险，需要建立能够检测阶段时间内的累计泄露风险行为能力，(2)高级威胁检测：高级持续威胁(APT)对于平台防护的挑战主要源自核心数据资源，数据流转、传输、共享、调用、维护、测试等业务活动过程中，务必关注潜在隐蔽隧道通信的检测，隐蔽隧道、加密通信、木马等非常规通信机制下，需要具备深度检测和持续监测能力，(3)用户意图分析：数据安全风险还包括来合法用户未发生但具备潜在意图的风险，利用用户行为分析的技术手段，结合用户多维关联数据，智能预测用户潜在的具有离职、邮件泄露、同部门异常行为、大量囤积敏感文件、频繁更换登录用户等意图，识别跨境传输数据、大量下载传输业务数据、大量删除\拷贝\压缩\另存文件的意图，并根据实际业务分析意图类型、意图严重度等，(4)用户风险行为分析：平台汇聚了大量业务数据，跨部门、跨行业、跨应用，用户合法使用数据资源过程中，会积累大量业务行为数据，对于频繁、大量、非正常访问，应具备实现日志的关联分析功能，实时监控方案，提高对危险行为的处置能力和响应速度，基于机器学习算法对数据使用过程进行多维度分析，实现应用、用户行为的关联分析，预判危险行为并实时处理，针对数据使用过程中的违规、危险行为开展深度分析挖掘。

进一步的，特权账号是数据平台内特殊的一组数据资源，分布在主机、网络设备、数据库等资产上具有较高访问权限的账号，衍生到一切资产上具有可访问权限的账号，确保数据使用过程中账号的唯一性，以保证日志审计时能够准确的定位到个人，数据使用尽量避免离线操作，而采用线上方式实现，并对批量读取和下载的功能进行权限管控，禁止所有特权操作，查询用户敏感数据时，确保所有查询操作经过用户授权，并留存授权记录，禁止在未经用户授权的情况下进行查询操作，通过技术手段持续监控账号异常登录、弱口令、长期不改密、账号权限变更等带来的数据泄露风险，建立特权账号管控机制，结合安全基础设施的特权管控能力，对登录账号进行统一纳管，识别长期未接入、未登录、未使用的账户，定期评估账号管控风险，监控账号动态，及时变更账号权限，必须覆盖账号创建、使用、变更、维护、冻结、回收等环节，采用高度信任度的认证框架，引入零信任防护理念，消除特权账号潜在风险。

进一步的，数据安全审计定责数据安全态势感知的实现，依赖于数据安全审计的基础之上，态势感知的覆盖面、信息源和管理等部分内容与审计基本一致，可直接转用，态势感知的策略、方法和技术部分包含审计对应部分的内容，在审计内容的基础上增加基于强化技术手段的内容和可视化内容，数据泄露事件溯源数据处理活动的主要操作包括但不限于：数据查询、数据读取、数据索引、批处理、交互式处理、流处理、数据统计分析、数据预测分析、数据关联分析、数据可视化、生成分析报告等，数据处理过程中主要防范敏感信息的泄露风险，对数据本身应做好脱敏处理，对数据处理环境、数据处理后存储数据的再生库都应做好安全防护，(1)建立全面的数据源：覆盖终端、网络、应用、数据库、统一认证管理等综合日志数据资源，(2)开展安全数据处理：通过平台的数据能力，开展安全数据采集、过滤、提取、富化及关联处理，形成多种数据类型库/主题库，(3)细化检索能力：结合业务和数据特点，通过分析引擎、模型、算法等开展数据检索，(4)集中溯源分析：建立面向访问主体的数据溯源分析和面向泄露事件导向的线索溯源分析能力。

对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化囊括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。

Claims (9)

1.一种防止数据丢失的数据安全管理平台，其特征在于：包括数据安全防控和检测、数据安全识别能力和数据安全防控能力和数据安全检测能力，数据安全遵循安全规划、安全建设、安全运营的安全三同步原则，所述数据安全防控和检测包括溯源图技术、攻击检测绕过技术、木马通信识别技术、攻击检测技术、数据分类分级技术、数据流转追踪技术、泄漏溯源技术；

溯源图技术是基于标签的溯源图技术，通过内核级溯源图采集工具采集溯源信息，通过解析审计日志和应用日志获取审计级和应用级溯源信息，使用标签对多种溯源图进行统一化存储与版本管理，精准识别、还原攻击的全过程；

攻击检测绕过技术是基于机器学习的攻击检测绕过技术，采用基于3-gram的算法，自动检测http流量中的恶意攻击，读取数据中的所有文件内的攻击语句，通过插值的方法来统计每个三元组出现的频率，记录每种攻击类型中出现的三元组以及相应的频率信息作为模型；

木马通信识别技术是基于深度学习的木马通信识别技术，采用LSTM(Longshort-termmemory长短期记忆网络)来学习字符序列(域名的模式，LSTM是一种能够拥有记忆模式的神经网络模型，利用超过千万条的记录DGA(DomainGenerationAlgorithm域名生成算法)域名和正常域名通过LSTM神经网络来训练出能够比较准确判断DGA域名的模型；

攻击检测技术是基于语义分析的攻击检测技术，通过语义分析检测技术，将待分析字符串进行模板语句拼接，然后进行词法语法分析，成功解析并建立语法树(AST)的认为是一个SQL语句，对语法树(AST)进行遍历，根据攻击类SQL语句的常用函数进行攻击特征提取；

数据分类分级技术是基于聚类算法的数据分类分级技术，利用深层神经网络结构对原始数据进行特征学习，基于K-Means聚类算法在低维空间进行聚类，实施持续的迭代训练和学习，使得机器能够自动发现高价值或敏感数据，实现数据分类分级的自动化、智能化；

数据流转追踪技术是基于加密标签的数据流转追踪技术，采用强加密算法加密传输的数据字段生成数据标签，每生成一个数据标签对应采用一个独有的密钥，生成数据标签后附着在传输的数据块上，结合数据标签可实时识别出合法授权的数据共享数据流；

泄漏溯源技术是基于数据元组的泄露溯源技术，通过利用数据库水印技术中的伪行算法，使用数据字典来生成字符型属性，利用伪随机生成器生成数值型属性，实现数据元组中各个属性的生成，并利用一定的嵌入算法选择元组嵌入位置，在数据泄露以后，通过水印提取算法进行水印的提取，并将处理后的数据与泄露数据进行比对从而确定出泄密者。

2.根据权利要求1所述的一种防止数据丢失的数据安全管理平台，其特征在于：所述数据安全识别能力包括数据安全资产梳理和数据分类分级两个部分，所述数据安全识别能力构建贯穿数据全生命周期的安全识别能力，从采集、传输、存储、共享、使用、销毁各环节，实现数据资产自动识别的能力，可对结构化数据、非结构化数据进行识别，利用敏感数据自动识别机制识别出数据中的敏感数据，依据数据分类分级方法将数据标识为不同的类别级别，为后续的数据使用、共享阶段提供防护依据，降低数据泄露风险，同时可对数据库服务的分布以及数据库中的数据资产进行发现，并对数据的分布情况进行分析和展示，有效识别现有数据管理措施，以及安全管控措施的落地，明确并完善数据安全管理组织和制度体系，保障各层级数据安全责任到人，管控措施落实到位，同时所述数据安全资产梳理通过自动扫描方式，对所有数据进行梳理，建立数据资产清单，依据数据分类分级方法，判定数据的敏感类别和级别，并将数据的类别级别等属性信息纳入数据资产清单，所述数据分类分级通过多维数据特征准确描述并识别基础数据类型，实施对归集数据的有效管理，并能按类别正确开发利用数据资源，从而实现政府数据价值的最大挖掘利用，数据分级目的在于确定各类型数据资源的敏感程度，从而为不同类型数据的开放和共享策略的制定提供支撑，不限于在主题、行业和服务维度对数据资源进行分类。

3.根据权利要求2所述的一种防止数据丢失的数据安全管理平台，其特征在于：所述数据分类分级包括数据资源管理、数据资产发现和敏感数据识别、数据资产目录和数据分类分级，所述数据资源管理提高圈定数据资源的使用目的、方式和范围，包括部门组织架构关系，以便针对数据资产开展责任认定，明确数据资产归属，对接入数据源进行鉴别，防止数据源伪冒，定数据导入、导出安全操作流程及规范，对不同类别数据制定不同的安全管理策略和保障措施，对数据清洗、转换和加载过程中，明确操作方法、手段和流程，避免数据遗漏和丢失，开展安全审计，对超规模、超范围使用数据等异常行为进行监控，所述所述数据资产发现和敏感数据识别通过数据安全自适应风险与信任评估的运营体系要求首先具备发现数据能力，既包括发现静态存储数据，也包括动态流转数据，梳理清楚数据资产之后，按照分类分级策略和标准为不同的数据分类并打标签，同时针对不同敏感级别或重要程度的数据、根据动态的环境变化，实现数据操作配置的动态变更，并针对流动数据和存储数据的情况，做出风险评估，对于无法做或不适合做标记的数据保护单元，需要对其分类分级或敏感特征制作识别规则模型，对平台内数据库服务的分布以及数据库中的敏感数据资产进行发现，并对敏感数据的分布情况进行分析和展示，所述数据资产目录通过依靠数据资产发现能力，对大数据平台内可用于分析和应用的数据进行提炼，结合业务场景和数据资源关联关系，建立数据资产清单目录，所述所述数据分类分级通过平台内各部门和行业数据，依据各相关部门和行业数据安全规范，按部门和行业分别制定数据分级标准，进行数据分级，对不同部门和行业之间因相关数据安全规范差异产生的数据分级标准差异，应保留差异，分别进行数据分级，并对不同部门和行业来源的数据在大数据平台执行与来源部门和行业的数据分级保护标准相应的管控措施，然后与各单位、部门、业务口或场景的具体管控措施进行差异化关联，并落地具体管控措施，针对应用系统中各类重要数据、敏感信息，数据分类分级和敏感特征的细化制作与管控措施关联，由点到面、由粗到细的原则逐步进行，优先最重要、高级别的数据，并按业务场景分别进行。

4.根据权利要求1所述的一种防止数据丢失的数据安全管理平台，其特征在于：所述数据安全防控能力包括数据特权管控、数据流转管控、数据加密控制、数据脱敏管控和数据泄露管控，所述数据安全防护能力从基础安全、架构安全、数据安全、应用安全入手，包括覆盖数据全周期的安全防护能力，提供其原生的安全组件进行防护，其设计的核心目标是为了在进行防护的同时不能影响到平台整体运行性能，通过对大数据共享交换平台的整体业务流程进行详细分析，在数据采集、数据传输、数据存储、数据使用、数据共享阶段会涉及到诸多安全防护点，同时所述数据安全防控能力也包括基础安全、架构安全、数据安全和应用安全四个方面，所述基础安全是解决数据平台外联单位前置系统涉及技术层面解安全接入认证能力，涉及管理层面统一权限管理能力，所述架构安全是解决传输阶段链路加密、数据加密能力，数据存储阶段数据灾备及可用性能力，所述数据安全是解决采集阶段数据治理控制、分类分级管理、敏感数据保护能力，数据存储阶段敏感数据加密、数据备份能力，数据使用阶段访问权限管理、数据再利用能力，数据共享阶段数据共享交换、策略管控能力，所述应用安全是解决数据采集阶段安全控制，数据传输阶段数据接口安全、传输加密能力，数据使用阶段接口访问、数据调用、权限管控能力。

5.根据权利要求4所述的一种防止数据丢失的数据安全管理平台，其特征在于：所述数据特权管控包括特权场景管控、特权账号统一发现、特权账号统一纳管、特权账号访问控制、特权账号自动改密和特权会话管理，其中所述特权场景管控又包括特权账号管控、特权行为管控、特权账号审计分析，所述特权场景管控通过明确特权账号的使用场景和使用规则，并配套建立审批授权机制，能够详细记录特权账号的访问过程、操作记录和特权行为，配备事后审计机制，所述特权账号管控通过建立特权保护机制，确保用户对数据合理的授权访问，建立特权管控平台，统一特权访问入口，面向特权账号发现、纳管、授权、改密、审计与分析，所述特权行为管控通过建立对特权异常行为有效阻断能力，识别与拦截高危操作、管控威胁命令及资源访问控制，建立对敏感数据有效保护能力，数据和传输加密、权限管理、静/动态脱敏、数据流动限制，建立数据交换及共享边界控制能力，终端、网络、应用级的数据防泄密，数据隔离及共享交换层面的数据防泄露，所述特权账号审计分析通过建立数据访问和违规行为审计能力，开展特权操作分析与审计、敏感数据访问与内容审计、应用业务安全审计、数据库访问及运维审计，

所述特权账号统一发现通过构建全类型资产的特权账号统一发现能力，采集和发现应用开发、测试、运维、应用调用和临时场景下多用途、多途径的特权账号，覆盖大数据平台内的全量资产类型，如IOT设备、网络设备、操作系统、大数据平台、大数据组件、数据库、中间件、安全设备、Devops开发工具等，所述特权账号统一纳管通过构建统一的特权账号管控能力，提供集中存储、加密存储的安全保护，提供统删、统建、统改的全生命周期管理功能，确保特权密码的可靠性，逃生通道密码的可用性，密码密钥安全性和完整性，以及国密多重保护，所述特权账号访问控制通过建立集中统一的访问控制策略和细粒度的命令控制策略，确保用户拥有的权限是完成任务所需的最小权限，授权用户可访问的目标资源、定义危险操作管控策略，当用户越权执行特定命令的时候，实时进行阻断、告警，用户访问核心资源需要其上级领导现场授权方可执行，确保信息系统安全运行，所述特权账号自动改密通过建立基于策略的密码校验、轮换、重置能力，利用改密插件实现密码管理自动化，同时可以为大数据平台中间件提供帐密代填能力，应用、工具、脚本等均强制替换内嵌明文/密文密码，实现应用的凭证安全管理，所述特权会话管理通过建立用户、链路、资源的主客体特权会话管控机制和控制能力，集中管控人机交互过程中特权会话操作，能够识别和控制面向大数据平台内的系统维护、安全审计、操作运维、开发测试、临时用户等不同特权场景。

6.根据权利要求5所述的一种防止数据丢失的数据安全管理平台，其特征在于：所述数据流转管控通过建立数据流转和管控机制，实现应用交互场景、离线交换场景、外部二次分发场景下的敏感数据保护能力，流转管控加强数据采集、数据传输、数据共享和数据使用缓解的事前监控、事中监控和控制、事后分析及溯源管控，(1)数据接收管控：加强数据采集后接收处理数据信息状态监控能力，(2)数据查询管控：加强数据查询信息与数据信息状态监控能力，(3)数据调用管控：加强数据调用信息与数据信息状态有效性监控能力，(4)数据交换及共享管控：加强数据共享信息与数据信息状态共享权限、共享机制、内部交换、外部共享、数据转让等监控能力，(5)数据销毁管控：加强数据销毁管控机制(销毁场景、机制、措施、管理、评估)，所述数据加密控制通过建立平台内覆盖数据全周期的加密控制能力，实现字段级、文本级、文档级、库表级数据加密能力，覆盖终端、网络、链路、应用、接口、中间件、数据库、存储、外发通道、密码基础设施等，(1)统一密码基础设施：建设平台统一密码服务能力，(2)数据加密：针对流转数据加密控制，(3)文件加密：建立终端、服务器、应用系统的文件数据加密管控能力，(4)数据库加密：建立数据库级数据加密管控能力，(5)链路加密：建立传输链路数据加密管控能力，(6)国密：支持国密算法，满足合规要求，所述数据脱敏管控通过建立数据脱敏管控能力，技术层面保障脱敏有效性、真实性、稳定性和可配置性，管理层面保障敏感信息识别准确、敏感信息安全可控、过程可审计追溯、脱敏过程安全可靠，(1)管控机制：结合数据资源特性，制定完备的数据脱敏规范和流程，对可能接触到脱敏数据的相关方进行数据脱敏规程严格落实，并定期评估和维护数据脱敏规程内容，以保证数据脱敏工作执行的规范性和有效性，(2)过程控制：在敏感数据发现、标识敏感数据、确定脱敏方法、定义脱敏规则、执行脱敏操作和评估脱敏效果等过程中，深度融合脱敏控制能力，利用自动化工具执行数据发现，确保敏感数据标识信息不易被恶意攻击删除或篡改，静态/动态脱敏时对数据源和时效性对接差异化工具，优化完善脱敏策略，并建立脱敏效果持续评估能力，所述数据泄露管控通过建立从边界到业务内的数据防泄露管控机制，覆盖终端、网络、大数据平台存储环境、数据库、文件外发、数据交换等场景，基于数据治理过程中分级分类成果，对含敏感数据的文件做加密或审计处理，面向平台的数据分发源(业务系统、核心数据、数据文件等)、数据分发对象开展数据水印、溯源管控、时效评估、影响评估、责任判定等管控工作，(1)终端数据防泄露能力：建立终端数据泄露管控，覆盖大数据平台内部用户、外设、打印、开发、运维以及其他关联第三方终端用户，(2)网络数据防泄露能力：建立网络层数据防泄露检控能力，覆盖基础网络设施、大数据平台虚拟网络、数据交换通道等，(3)数据库防泄露能力：建立数据库类存取环境的数据防泄露检控能力，覆盖独立数据库、分布式数据库、业务系统内数据库、共享交换库、衍生数据库等，(4)存储防泄露能力：建立面向存储场景的数据防泄露检控能力，文件服务器、临时存储服务器及其他文件级存储场景。

7.根据权利要求1所述的一种防止数据丢失的数据安全管理平台，其特征在于：所述数据安全检测能力包括数据行为监控分析、特权账号的威胁监控、数据安全审计定责和数据泄露事件溯源，所述数据安全检测能力通过以平台数据为核心，以安全视角建立对数据资产及其安全风险的可知、可见、可控机制，动态地、整体地洞悉安全风险，提升对数据安全威胁的发现识别、理解分析和响应处置能力，通过建立整体的数据安全视图，建立数据流动和分布风险感知机制，建立数据脆弱性管理和攻击监测机制，以视图的方式将分析能力及结果进行展示，实现对已知和未知数据安全事件的分等级的有效事前预测、事中处置和事后追溯，数据安全态势感知同时能够接入网络安全态势感知，纳入网络安全态势感知的信息源和分析结果进行综合分析，所述数据行为监控分析，数据行为主要是因为由于用户或系统的操作行为而引起的数据流动行为，大数据平台能够基于数据安全识别和防护能力获取大量数据资源的状态信息，通过数据安全态势分析，从四个方面增强监控分析能力，分别是信息泄露检测、高级威胁检测、用户意图关联分析、用户风险行为分析，(1)信息泄露检测：由于短时间内连续、少量、多次敏感信息访问、获取、下载等行为，容易形成敏感数据快速积累，对于数据平台现有多放数据的情况下，会造成潜在数据泄露的风险，需要建立能够检测阶段时间内的累计泄露风险行为能力，(2)高级威胁检测：高级持续威胁(APT)对于平台防护的挑战主要源自核心数据资源，数据流转、传输、共享、调用、维护、测试等业务活动过程中，务必关注潜在隐蔽隧道通信的检测，隐蔽隧道、加密通信、木马等非常规通信机制下，需要具备深度检测和持续监测能力，(3)用户意图分析：数据安全风险还包括来合法用户未发生但具备潜在意图的风险，利用用户行为分析的技术手段，结合用户多维关联数据，智能预测用户潜在的具有离职、邮件泄露、同部门异常行为、大量囤积敏感文件、频繁更换登录用户等意图，识别跨境传输数据、大量下载传输业务数据、大量删除\拷贝\压缩\另存文件的意图，并根据实际业务分析意图类型、意图严重度等，(4)用户风险行为分析：平台汇聚了大量业务数据，跨部门、跨行业、跨应用，用户合法使用数据资源过程中，会积累大量业务行为数据，对于频繁、大量、非正常访问，应具备实现日志的关联分析功能，实时监控方案，提高对危险行为的处置能力和响应速度，基于机器学习算法对数据使用过程进行多维度分析，实现应用、用户行为的关联分析，预判危险行为并实时处理，针对数据使用过程中的违规、危险行为开展深度分析挖掘。

8.根据权利要求7所述的一种防止数据丢失的数据安全管理平台，其特征在于：所述特权账号是数据平台内特殊的一组数据资源，分布在主机、网络设备、数据库等资产上具有较高访问权限的账号，衍生到一切资产上具有可访问权限的账号，确保数据使用过程中账号的唯一性，以保证日志审计时能够准确的定位到个人，数据使用尽量避免离线操作，而采用线上方式实现，并对批量读取和下载的功能进行权限管控，禁止所有特权操作，查询用户敏感数据时，确保所有查询操作经过用户授权，并留存授权记录，禁止在未经用户授权的情况下进行查询操作，通过技术手段持续监控账号异常登录、弱口令、长期不改密、账号权限变更等带来的数据泄露风险，建立特权账号管控机制，结合安全基础设施的特权管控能力，对登录账号进行统一纳管，识别长期未接入、未登录、未使用的账户，定期评估账号管控风险，监控账号动态，及时变更账号权限，必须覆盖账号创建、使用、变更、维护、冻结、回收等环节，采用高度信任度的认证框架，引入零信任防护理念，消除特权账号潜在风险。

9.根据权利要求8所述的一种防止数据丢失的数据安全管理平台，其特征在于：所述数据安全审计定责数据安全态势感知的实现，依赖于数据安全审计的基础之上，态势感知的覆盖面、信息源和管理等部分内容与审计基本一致，可直接转用，态势感知的策略、方法和技术部分包含审计对应部分的内容，在审计内容的基础上增加基于强化技术手段的内容和可视化内容，所述数据泄露事件溯源数据处理活动的主要操作包括但不限于：数据查询、数据读取、数据索引、批处理、交互式处理、流处理、数据统计分析、数据预测分析、数据关联分析、数据可视化、生成分析报告等，数据处理过程中主要防范敏感信息的泄露风险，对数据本身应做好脱敏处理，对数据处理环境、数据处理后存储数据的再生库都应做好安全防护，(1)建立全面的数据源：覆盖终端、网络、应用、数据库、统一认证管理等综合日志数据资源，(2)开展安全数据处理：通过平台的数据能力，开展安全数据采集、过滤、提取、富化及关联处理，形成多种数据类型库/主题库，(3)细化检索能力：结合业务和数据特点，通过分析引擎、模型、算法等开展数据检索，(4)集中溯源分析：建立面向访问主体的数据溯源分析和面向泄露事件导向的线索溯源分析能力。

Images