携程数据安全建设实践 章锦成
2020-03-01 268浏览
- 1.携程数据安全建设实践 章锦成 携程 信息安全高级经理
- 2.自我介绍
- 3.自我介绍 10多年信息安全从业经验，曾供职于51.com、1号店、中国平安 2015年加入携程，先后负责安全研发、运维安全、合规审计、数据安全 2017年开始负责数据安全，主导了携程数据安全从0到1的建设
- 4.目录 1. 建设思路 2. 从0到1 3. 从1到N
- 5.数据安全做什么？ 传输 采集 • • • • HTTPS 隐私合规 清洗过滤 分类分级 • • • • • 通道加密 内容加密 权限控制 防篡改 行为检测 处理 存储 • • • • 数据加密 防泄漏 数据备份 文件加密 • • • • • 匿名化 堡垒机 特权监控 监控审计 日志脱敏 展示 • • • • • • 水印 数据脱敏 掩码遮盖 权限控制 行为检测 DLP 销毁 • 安全删除
- 6.怎么做？ 数据梳理 风险梳理 安全建设 数据在哪？流经哪些系统？使用场景有哪些？ 数据生命周期的各环节存在哪些安全风险？ 如何设计安全解决方案并落地？
- 7.难点 • 数据量太大，类型太多，增长太快 • 数据流转链路复杂，流经哪些系统，哪些人能够接触到数据没人讲得清楚 • “阻碍业务发展”，安全方案没法落地或者达不到预期效果 • 业务变化太快，历史问题没解决，新业务又要火速上线 • 安全资源不够
- 8.目录 1. 建设思路 2. 从0到1 3. 从1到N
- 9.我们为什么做数据安全？ 手机号 邮箱 证件号（身份证、护照等） 地址 以用户敏感数据保护为中心
- 10.数据源头在哪？ 终端用户 前台应用 后台应用 Service Site DB CRM 内部员工 查询平台 客服人员 开发/产品 User库 Order库 运维人员 BI 数据仓库 Hive ElasticSearch 以DB为源头切入 NoSQL
- 11.DB源头管控3步法 - 建表流程嵌入数据分类分级，按字段打上标签 - 敏感数据加密，控制解密权限 - 定期扫描数据库，确保前两步有效执行
- 12.加密方案设计 - 本地化加密 vs 中心化加密 掌握主动权 - AES vs FPE vs Tokenization 减少解密需求 AES FPE Tokenization 明文 13012345678 13012345678 13012345678 密文 U2FsdGVkX1/3FMPrWsUxrdr0z /nZQeVEtWukG/1TRgs= 13823572340 130xRst5678
- 13.加密方案设计 后台应用 前台应用 3.保存密文 BI取数 密文 1.请求加密 2.获取密文 查询平台 解密 加解密服务 数据库 加密 解密 权限管理 数据库 离线分析 DB 维表 掩码 权限开通 权限校验 密文库 调用审计 密文库 密文缓存 密文缓存
- 14.DB源头加密之后 - 减少解密场景和范围 - 监控明文数据的访问
- 15.减少解密场景 - 公共服务（外呼、短信、邮件外发）支持密文 - 提供密文转掩码服务 - 提供密文维表服务（如密文手机号归属地、运营商）
- 16.明文访问监控 后台应用 安全服务 CRM 加解密服务 监控审计 查询平台 敏感信息扫描 堡垒机 应用流量审计 存储 分级&标签服务 密文维表 水印服务 缓存 服务器 Database 数仓 DB流量审计 DLP终端 虚拟机 容器 UEBA 内部员工 客服人员 开发/产品 运维人员 BI
- 17.监控思路 - 流量为主 - 日志补充 IP、UA、指纹 账号、岗位、部门 … 域名、url、操作类型 所属业务、数据类型
- 18.应用流量审计
- 19.逐步升级 流量审计 UEBA 零信任
- 20.小结一下 - 以用户敏感数据保护为中心，从DB源头切入 - 通过中心化加密，掌握数据流向 - 减少明文使用场景，缩小防护范围 - 日志+流量，实时监控明文数据的使用情况
- 21.新的挑战 • 黑样本太少，监控策略准确率提升难 • 安全告警太多了，运营压力太大 • 离业务太远，告警事件核实时间过长 • 除了用户信息，公司商业秘密也得保护下吧 • 人难招
- 22.目录 1. 建设思路 2. 从0到1 3. 从1到N
- 23.核心思想 数据因为业务而生，数据即业务。 -- 安全 离业务更近点，从业务的角度做安全！ 业务
- 24.下沉业务线 - 安全产品赋能，让业务团队自行运营 - 嵌入SDL，从项目立项时切入
- 25.蓝军，哪怕只有一个人也要做蓝军 - 补充黑样本，提高策略准确性 - 项目推动，talk is cheap, hack for me
- 26.人治，安全文化建设 上兵伐谋，其次伐交，其次伐兵，其下攻城。 --《孙子兵法》
- 27.人治，安全文化建设 - 安全意识宣传 - 安全培训&考试 - 安全月刊、报告 - 内部信息安全奖惩 - …
- 28.数据安全能力 产品能力 安全架构 数据分析 渗透测试 • 沟通协调 • 安全开发 • 数据开发 • web渗透 • 产品设计 • 系统架构 • 安全策略 • 内网渗透 • 安全经验 • 安全技术 • 算法模型 • 社会工程
- 29.
- 30.
