阿里云SDDP(敏感数据保护)测试调研

海量数据的使用正在为企业创造越来越多的价值,与此同时,数据也正成为企业的核心资产;如何在对数据高效使用的同时,确保数据的安全,尤其是敏感数据的安全,是一个重要的安全课题,也是很多企业的核心诉求。本次对阿里云SDDP(敏感数据保护)产品进行了测试调研。

一.主要功能
测试过程中,了解到SDDP实现的功能主要包括:

1.敏感数据识别:基于敏感数据识别规则,对使用阿里云产品服务中产生的数据进行分析,识别出其中的敏感数据和对应的风险等级。

2.异常事件告警:从权限开放,数据流转和操作等方面对潜在的异常事件告警。

3.数据脱敏:敏感数据从高安全级别区域/系统进入低安全级别区域/系统使用前,进行静态脱敏。

4.其他增强特性:如API等。

二.功能体验
当前SDDP主要支持OSS,RDS,MaxCompute这三款阿里云产品,在使用该产品之前,首先需要对相应的产品资源进行连接授权,确保SDDP对这些资源有足够的权限进行操作。

1.连接授权
以下是三种资源连接授权界面的截图,整个过程还是比较简单的,选择需要授权的资源,并填入必要的连接信息(如RDS的用户名/密码)即可。
阿里云SDDP(敏感数据保护)测试调研
阿里云SDDP(敏感数据保护)测试调研
阿里云SDDP(敏感数据保护)测试调研
连接授权信息填入完毕后,SDDP会尝试使用该授权信息访问对应的资源,如果没有问题,检测状态会变为通过,后续就可以正常使用SDDP的各项功能,连接授权整个配置过程还是比较简单的。
阿里云SDDP(敏感数据保护)测试调研

2.敏感数据识别
2.1规则相关配置
敏感数据的识别需要基于一系列既定的规则,从实际使用过程中了解到,SDDP默认已经内置了一系列常见的敏感数据的识别规则,如身份证,手机号,银行卡等个人敏感信息的识别,以及在应用开发部署和安全场景中会经常接触到的AccessKeyId,AccessKeySecret,key私钥等敏感信息。

敏感识别规则页面可以看到SDDP默认内置了三十多项常见的敏感数据识别规则。以下是敏感识别规则页面的部分截图,可以看到,内置的规则覆盖了一些较为典型的敏感数据信息,并且默认定义好了该类信息对应的风险等级;例如身份证和手机号风险被定义为S3,银行卡为S4;AccessKeyId被定义为S3,而AccessKeySecret和Key私钥等则被定义为S4,个人认为默认的风险等级定义还是比较合理的。
阿里云SDDP(敏感数据保护)测试调研
阿里云SDDP(敏感数据保护)测试调研
值得一提的是,发现默认规则还集成了对身份证图片,护照图片等图片信息的敏感信息识别,推测可能使用了OCR之类的图像识别技术?这一点还是很不错的,毕竟现在的确有很多敏感信息是通过图片的方式进行存储,常见的直接基于文本字符串的识别规则,并不能覆盖这一部分。
阿里云SDDP(敏感数据保护)测试调研
敏感识别规则这一部分,除了产品自带的一系列规则外,也支持自定义规则的配置,可以看到支持关键字以及正则表达式匹配的模式,并且能对自定义的规则设置风险等级。

阿里云SDDP(敏感数据保护)测试调研
不过,关于自定义规则,发现有一些不方便的是,自定义的规则无法修改,如果因为规则编写的原因需要修改时,只能将原策略删除,重新添加。
阿里云SDDP(敏感数据保护)测试调研
其实建议这个自定义规则,可以和内置规则保持一些差异,自定义规则可以允许用户编辑,因为在添加规则中,特别是正则表达式类型,由于编写的准确性,是很有可能需要修改的。

2.2识别结果展示
因本次测试未添加MaxCompute资源,以下是OSS及RDS敏感数据识别页面的展示效果:
阿里云SDDP(敏感数据保护)测试调研
阿里云SDDP(敏感数据保护)测试调研
阿里云SDDP(敏感数据保护)测试调研
阿里云SDDP(敏感数据保护)测试调研
从展示效果来看,还是不错的;如果点击上图中具体的资源,例如OSS的某个bucket或者RDS的某个库,会显示出具体的哪个对象包含敏感信息,以及对应的风险等级:
阿里云SDDP(敏感数据保护)测试调研
在这里需要注意的是,当前的展示效果不能对数据进行隐藏,例如只显示某一级别,或者某个级别以上的对象,担心如果加入的资源较多时,展示效果可能会比较混乱,难以找到关键的风险信息;在使用中就发现,例如我需要查找某个包含了S3级别风险的RDS字段时,因为该库中的表和字段较多,需要翻页,在多个S2中找到一个S3,比较困难。这应该是可以改进的地方。

3.异常事件告警和处置
SDDP能基于对OSS/RDS/MaxCompute等场景异常的定义,产生异常告警事件。当前的异常场景和事件规则定义以下:
阿里云SDDP(敏感数据保护)测试调研
阿里云SDDP(敏感数据保护)测试调研

可以看到,规则的丰富度尚可,但是不支持对规则的编辑,或者针对用户场景的自定义规则,定制化略有不足。
在“异常事件处理”的标签页下,可以看到基于当前异常事件规则所产生的一些告警事件:
阿里云SDDP(敏感数据保护)测试调研
点击查看详情,可以看到该异常事件的细节;另外,在处理页面,能对该异常事件的跟进调查进行简单记录,并确认是否误报还是的确违规。

阿里云SDDP(敏感数据保护)测试调研
阿里云SDDP(敏感数据保护)测试调研

4.数据脱敏
通常,对数据脱敏功能的衡量,主要从支持的脱敏方式,以及脱敏动作执行的便利性,效率等方面来判断。从SDDP数据脱敏的实际体验来看,基本覆盖了当前最常见的一些数据脱敏方式,适用于对不同类型的源数据作脱敏,还是很全面的。比较贴心的是,对脱敏算法进行配置时,有一个测试功能,能够提前验证脱敏效果是否符合自己的预期。
阿里云SDDP(敏感数据保护)测试调研
数据脱敏的具体操作执行上,需要在脱敏任务里指定脱敏源,脱敏算法,目标位置;该功能的实际使用比较简单,配置也很方便,以下以RDS的脱敏为例,可以很便利的对需要脱敏的字段进行脱敏开关的开启,在对脱敏算法进行选择是,也支持提前测试和验证:
阿里云SDDP(敏感数据保护)测试调研
任务的触发方式,也支持人工,定时,人工+定时等多种方式;对于脱敏后可能存在的数据冲突,也给了用户不同的选择方式。

阿里云SDDP(敏感数据保护)测试调研
以下是任务创建完毕,并执行完成的截图:

阿里云SDDP(敏感数据保护)测试调研
整体使用中,感觉数据脱敏的功能相当不错,不管是功能设计,还是用户体验,都很不错。

5.API等增强功能
根据产品介绍,SDDP也是支持通过API进行相关查询和操作的,不过本次因时间原因,暂未对其API进行测试。

三.计费模式与版本
当前官方公布的计费模式如下:
阿里云SDDP(敏感数据保护)测试调研
从已经公布的敏感数据识别功能的计费模式来看,价格整体还算比较合理,OSS支持的最大存储量为10T,RDS则为20个库,对于部分深度企业用户来说,总量很可能远超这些;因此在使用中,个人认为更适合对那些比较重视数据敏感性的bucket和库进行授权识别,而不是所有资源,这样从使用效率以及成本上都可能会更好。至于敏感数据脱敏的计费模式,也值得后期关注。

四.总结与建议
经过以上的测试体验,得出以下结论:

1.整体功能设计还是比较完善的,覆盖到了数据识别,事件跟进处置,基于处置的算法优化,以及数据脱敏等核心功能,有闭环的整体框架性设计;特别是数据脱敏功能,使用起来感觉很方便。

2.在敏感数据展示,敏感数据定位方面,当前对于用户来讲,还有些不便的地方,毕竟识别出来只是第一步,定位到数据本身才是后续通常要进行的动作;另外,用户自定义规则方面,当前给与用户的选择还不太够,可以完善。

上一篇:java中集合类中Collection接口中的Set接口的常用方法熟悉


下一篇:.NET平台开源项目速览(7)关于NoSQL数据库LiteDB的分页查询解决过程