业务应用敏感数据保护关键技术.doc

成果上报申请书 成果名称 业务应用敏感数据保护关键技术 关键词索引（3～5个） 数据流重组，业务流，业务敏感数据模型 对企业现有标准规范的符合度：无 成果来源：2012年集团重点研发项目“金库模式及客户信息研究”的子项目 专利情况：如果该成果产出相关专利，且专利处于国知局专利申请审查阶段或已授权，请说明专利名称、类型、申请号、状态、是否海外申请等情况。（按填写说明7） 无 成果简介：通过本项目研究，构建了一套基于业务敏感内容保护系统。该系统通过对核心交换链路的分光/镜像等技术手段，旁路采集网络数据流并进行重组、还原，然后通过应用业务自动识别，发现业务数据流，并对业务交互中出现的敏感内容进行识别，从而对访问敏感内容的行为进行监管。当发现敏感信息泄露后能够精确定位原始用户，为事后的责任追查提供有利依据 省内试运行效果： 本成果在省内应用1年左右，系统运行稳定，对敏感信息的保护发挥了很好的作用，防护效率和准确度较高，建议在全省范围内推广。 文章主体（3000字以上，可附在表格后）：根据成果研究类别，主体内容的要求有差异，具体要求见表格后的“填写说明8”。 业务应用敏感数据保护关键技术 研究成果的主体内容 现状及需求 随着信息技术的高速发展，用户私人信息的泄露情况也日益严重，已经成为一种亟待解决的社会现象，据统计88.9%的人表示曾因个人信息泄露遭遇困扰，其中84.2%的人认为个人电话号码最需要立法保护。电信企业拥有大量有价值用户信息和自身敏感的商业数据，成为信息泄露源头之一。据统计，泄露个人信息前三位分别是电信机构、招聘网站和猎头公司、各类中介机构。电信企业如何防止信息泄露，加强数据安全管理，成为各方关注焦点。 敏感数据安全管理现状 音乐基地敏感数据主要存在于音乐基地六大门户（WWW网站，WAP门户，IVR门户，手机客户端，PC客户端，短信门户）业务系统及中音平台 从访问者、访问途经的角度来分析，音乐基地敏感数据的泄露存在于以下几个环节中： 开发环节，涉及集成商、第三方、音乐基地开发和测试人员、外围系统人员(包括应用开发环节、数据迁移、应用接口、应用测试等环节) 运维环节，涉及音乐基地维护人员、代维厂商(包括主机管理、数据库管理、应用管理、安全管理、存储管理、网络管理等环节) 使用环节，涉及音乐基地业务支撑部门以外的业务部门和人员包括客户服务环节（营业厅、客服坐席、跨区服务面向最终用户服务、渠道或代销合作伙伴。 由此可见，音乐基地网络复杂，数据存储分布较广，访问者数量较大，访问角色较多，这给敏感数据的安全管理带来了一定难度。 目前，音乐基地已经建立了比较完善的管理制度，同时结合身份认证、访问控制、后台审计等技术手段来进行数据安全管理。这些技术手段主要是针对访问网络的人，进行身份的验证，控制其访问和范围，并从访问者的行为角度对其访问行为进行记录和审计。由此可见，现有的技术手段是以访问控制为基础，达到防止违规访问的目的，并通过日志审计对合法访问者的访问进行审计。综合以往的信息泄露事件来看，敏感信息的泄露，往往是具有合法身份的人对敏感数据合法或非法的访问。如果合法访问者采取较为隐蔽、复杂的方式访问敏感数据，如采用跳转、运行脚本等，则很难单纯地利用审计日志分析其行为的合法性。为了达到防止敏感数据泄露的目的，除了需要建立完善的访问控制机制来控制、审计访问行为外，还需要从网络数据中感知传输的敏感数据、分析敏感数据全局网络流向，关联分析访问行为，从而全面发现敏感数据的非法访问。 相关技术简要描述 镜像数据接入采集及还原技术 信息时代的业务应用利用高速的计算机网络来传递信息，实现了高效的业务应用，随之而来的风险则是敏感信息往往也通过网络向外泄露。因此，对于业务应用敏感数据的保护，首先在于对网络环境中，业务敏感数据流的管控。 音乐基地网络结构复杂，业务数据的交互都需通过核心交换机来进行。因此，对于网络数据流量的管控可以通过在核心交换机上镜像数据或是对核心交换链路进行分光，复制出网络数据流，然后通过对网络数据流利用旁路捕包技术，实现对网络数据的采集。网络数据底层 采用UDP、TCP/IP进行传输，对采集的网络数据按照UDP、TCP/IP协议规范进行还原、重组，得到目前网络中交互的各种数据。同时，根据底层通信的五元组信息，可以确定通信双方的基本信息，从而达到定位敏感信息和敏感信息流向的目的。 数据采集通过普通网卡或是专用采集卡来实现。由于音乐基地网络环境具有高带宽的特点，普通的网卡实际处理能力很难达到接入带宽的需求。除了网卡本身的处理能力限制以外，操作系统也会成为监控系统的另一瓶颈，从操作系统的内核把报文数据传递的监控程序运行的用户态也需要大量的计算资源。本方案采用专为网络安全应用