数据安全入门浅析|晚安是一只小猫
⭐免责说明⭐文章内容用来个人学习笔记与分享交流使用，来源网络各个角落的知识积累，如有部分理解雷同，纯属巧合
目录
前言
一、什么是数据安全？
1.定义
2.数据安全和网络安全
二、数据安全场景
1.外部攻击
2.内部失窃
三、数据安全基础能力
1.数据防泄漏（网络侧）
2.数据脱敏
3.数据库审计
4.数据加解密
总结
前言
随着互联网科技的迅猛发展，人类社会已经迎来了数据大爆炸时代。企业的生产经营活动、个人的私人生活已经与信息化、数据化密不可分，各类数据迅猛增长、海量聚集，对经济发展、社会治理、人民生活都产生了重大而深刻的影响。
企业作为数据的聚集地之一，如何保障企业对内对外的数据安全，成为生产和运营的主要问题之一。
一、什么是数据安全？
1.定义
数据安全的旧定义：在网络架构相对简单的早期，数据一般只在服务器、网络和办公电脑之间留存，因此数据安全通常被定义为数据库安全和内部数据防泄漏。
数据安全的新定义：随着中国数字经济的高速发展，数据的流存节点和区域变得繁杂，流动量呈现指数级增长，使用方式也不断多样化，于是《中国人民共和国数据安全法》的第三条中，给出了新的数据安全定义。
（1）数据，是指任何以电子或者其他方式对信息的记录；数据处理包括数据的收集、存储、使用、加工、传输、提供、公开等。（2）数据安全，是指通过采取必要措施， 确保数据处于有效保护和合法利用的状态 ，以及 具备保障持续安全状态的能力。
2.数据安全和网络安全
通常，我们可能会认为，将网络安全作为数据安全的关键点，打造以网络为中心的安全体系，使用防火墙、网络访问控制、分布式拒绝服务等防护手段，强调节点和区域的保护形式，并随着云计算、网络的延伸，逐步拓展至网络空间安全。
然而，新型攻击手段层出不穷，单独的以网络为中心的安全体系无法保证全生命周期的保护。于是，以数据为中心的安全体系应运而生，以数据的采集、传输、存储、处理（使用）、交换、销毁等覆盖全生命周期的安全为目标，侧重于从数据产生到销毁的全生命周期的保护，强调数据的所有权、管辖权、隐私权等。
二、数据安全场景
1.外部攻击
（1）防黑客攻击场景
系统入侵：仿冒、伪造采集前端，导致系统存在被入侵的风险
链路监听：传输链路被监听、嗅探、导致数据被篡改、窃取
（2）开放API场景-客户/合作伙伴
假冒数据共享对象身份获取数据数据共享对象越权获取数据超出业务需要大批量调用接口
（3）数据开放共享场景-合作伙伴
隐私数据违规开放第三方、数据违规出境
2.内部失窃
（1）开发运维场景
越权违规操作： 数据治理、BI分析人员、DBA等特权人员越权、违规操作数据存储系统违规窃取数据： 第三方厂商违规窃取数据、账号员工共享&离职、账号失窃
（2）业务人员违规操作
人员借用/共用高权限账号进行数据操作违规开放权限给非业务部门人员、特权账号滥用
（3）外围人员违规窃取
通过应用系统违规窃取或滥用数据通过邮件、论坛、微博等将敏感数据二次分发给外部单位终端用户通过usb、蓝牙等外设发送敏感数据通过截屏、拍照等方式窃取数据
三、数据安全基础能力
针对不同的数据安全场景，有不同的数据安全能力对其进行防护，以下简单介绍一些数据安全的基础能力；
1.数据防泄漏（网络侧）
数据防泄漏（Data Loss Prevention，DLP）技术是一种旨在防止敏感数据在企业内外传输、存储或使用过程中意外或故意泄露的安全措施。它通过对数据内容进行识别和分类，以确定哪些数据属于敏感信息，并采取相应的防护措施。
一般来说，数据防泄漏采取的方式为在系统安全防护的边界，部署数据防泄漏的安全网关，通过旁挂出口路由器的方式，对互联网途径泄露敏感信息的行为进行监控，实现对敏感信息泄露的风险及时掌握和补救；
有硬件安全网关的同时，往往也会在边界内，有一个软件管理平台，具有策略配置、用户管理、日志审计、报表展现等功能。
2.数据脱敏
数据脱敏是指对敏感数据进行处理，使其在保留原始数据格式和特性的同时，不再包含敏感信息的一种技术；
例如在客户安全数据或者一些商业性敏感数据的情况下，在不违反系统规则条件下，对真实数据进行改造并能够供给使用，如用户的身份证号、手机号、卡号等个人信息都需要进行数据脱敏。
在数据脱敏过程中，通常会采用不同的算法和技术，以根据不同的需求和场景对数据进行处理。
例如，对于手机号，可以使用掩码算法（masking）将前几位数字保留，其他位用 “X” 或 “*” 代替：
139****6399
常用的数据脱敏原则-转载【数据安全】数据脱敏方案总结-CSDN博客
替换(常用)：将敏感数据中的特定字符或字符序列替换为其他字符。例如，将信用卡号中的中间几位数字替换为星号（*）或其他字符。
删除：将敏感数据中的部分内容随机删除。比如，将电话号码的随机 3 位数字进行删除。
重排：将原始数据中的某些字符或字段的顺序打乱。例如，将身份证号码的随机位交错互换。
加噪：在数据中注入一些误差或者噪音，达到对数据脱敏的效果。例如，在敏感数据中添加一些随机生成的字符。
加密（常用）：使用加密算法将敏感数据转换为密文。例如，将银行卡号用 MD5 或 SHA-256 等哈希函数进行散列。
3.数据库审计
数据库审计（简称DBAudit）以安全事件为中心，以全面审计和精确审计为基础，实时记录网络上的数据库活动，对数据库操作进行细粒度审计的合规性管理，对数据库遭受到的风险行为进行实时告警。
它通过对用户访问数据库行为的记录、分析和汇报，来帮助用户事后生成合规报告、事故追根溯源，同时通过大数据搜索技术提供高效查询审计报告，定位事件原因，以便日后查询、分析、过滤，实现加强内外部数据库网络行为的监控与审计，提高数据资产安全。
例如黑客的SQL注入攻击行为，可以通过数据库审计发现。
4.数据加解密
数据加解密系统是一种用于保护数据安全的系统，它结合了加密算法和密钥管理技术，可以对数据进行加密和解密操作，以确保数据的机密性、完整性和可用性。
当业务系统向数据库存储数据时，数据加解密系统会现根据租户ID查询到具体的算法和密钥进行加密，并存放一定的密钥ID值。然后存放到密文数据库中；
当业务系统读取数据库中存放的数据时，数据加解密系统会根据密文中的算法、密钥ID值查询到具体的算法和密钥，再进行解密，最后吐给业务系统使用。
总结
数据安全已成为国家层面的战略焦点，在确保符合国家与行业监管及合规标准的前提下，深化数据暴露面的安全防护与审计机制显得尤为重要。鉴于数据的高度流动性和海量特征，在部署安全能力时，必须精心策划，力求最小化对业务运作的侵扰，力求在不影响业务发展的同时，实现安全监控的无缝融入，达到业务与安全并进的和谐状态。
每日金句：这个世界上没有人在乎你 也没有人记得你 但拿出你的激情 你可以改变人生