數(shù)據(jù)資源是數(shù)字經(jīng)濟(jì)的關(guān)鍵生產(chǎn)要素。發(fā)展數(shù)字經(jīng)濟(jì)與保障數(shù)據(jù)安全應(yīng)當(dāng)并駕齊驅(qū)，網(wǎng)絡(luò)運(yùn)營(yíng)者等有關(guān)單位和個(gè)人收集、存儲(chǔ)、使用、加工、傳輸、提供、公開(kāi)數(shù)據(jù)資源，都應(yīng)當(dāng)依法建立健全數(shù)據(jù)安全管理制度，采取相應(yīng)技術(shù)措施保障數(shù)據(jù)安全。綜合Gartner數(shù)據(jù)治理模型、中華人民共和國(guó)數(shù)據(jù)安全法（草案）等現(xiàn)有數(shù)據(jù)安全治理模型、以及豐富的信息安全領(lǐng)域項(xiàng)目實(shí)戰(zhàn)經(jīng)驗(yàn)，安恒信息首席科學(xué)家劉博率先提出了針對(duì)敏感數(shù)據(jù)保護(hù)的“風(fēng)險(xiǎn)核查Check—數(shù)據(jù)梳理Assort—數(shù)據(jù)保護(hù)Protect—監(jiān)控預(yù)警Examine”（CAPE）模型。

注：完整版AiGuard數(shù)據(jù)安全能力全景圖下載見(jiàn)文末

CAPE模型設(shè)計(jì)堅(jiān)持三大原則：

01以身份和數(shù)據(jù)雙中心原則

保護(hù)數(shù)據(jù)安全的目標(biāo)之一是防止未經(jīng)授權(quán)的用戶進(jìn)行數(shù)據(jù)非法訪問(wèn)和操作。所以需同時(shí)從訪問(wèn)者“身份”和訪問(wèn)對(duì)象“數(shù)據(jù)”兩個(gè)方向入手，雙管齊下。

不信任企業(yè)內(nèi)部和外部的任何人/系統(tǒng)/設(shè)備，需基于身份認(rèn)證和授權(quán)，執(zhí)行以身份為中心的動(dòng)態(tài)訪問(wèn)控制。

聚焦以數(shù)據(jù)為中心進(jìn)行安全建設(shè)，有針對(duì)性的保護(hù)高價(jià)值數(shù)據(jù)及業(yè)務(wù)，數(shù)據(jù)發(fā)現(xiàn)和分類分級(jí)是以數(shù)據(jù)為中心保護(hù)的重要基礎(chǔ)。

02全面覆蓋立體化防護(hù)原則

橫向上需全面覆蓋數(shù)據(jù)資源的收集、存儲(chǔ)、加工、使用、提供、交易、公開(kāi)等行為活動(dòng)的整個(gè)生命周期，采用多種安全工具支撐安全策略的實(shí)施。

縱向上通過(guò)風(fēng)險(xiǎn)評(píng)估、數(shù)據(jù)梳理、訪問(wèn)監(jiān)控、大數(shù)據(jù)分析，進(jìn)行數(shù)據(jù)資產(chǎn)價(jià)值評(píng)估、數(shù)據(jù)資產(chǎn)弱點(diǎn)評(píng)估、數(shù)據(jù)資產(chǎn)威脅評(píng)估， 終形成數(shù)據(jù)安全態(tài)勢(shì)感知。

通過(guò)組織、制度、場(chǎng)景、技術(shù)、人員等自上而下的落實(shí)來(lái)構(gòu)建立體化的數(shù)據(jù)安全防護(hù)體系。

03智能化、體系化原則

在信息技術(shù)和業(yè)務(wù)環(huán)境越來(lái)越復(fù)雜的當(dāng)下，僅靠人工方式來(lái)運(yùn)維和管理安全已經(jīng)捉襟見(jiàn)肘了，人工智能、大數(shù)據(jù)已經(jīng)有相當(dāng)?shù)某墒於?，如UEBA異常行為分析、NLP加持的識(shí)別算法、場(chǎng)景化脫敏算法等。

同時(shí)，僅靠單獨(dú)技術(shù)措施只能解決單方面的問(wèn)題，必須形成體系化的思維，通過(guò)能力模塊間的聯(lián)動(dòng)打通，系統(tǒng)形成體系化的整體數(shù)據(jù)安全防護(hù)能力，并持續(xù)優(yōu)化和改進(jìn)，從而提升整體安全運(yùn)營(yíng)和管理的質(zhì)量和效率。

CAPE框架實(shí)現(xiàn)了敏感數(shù)據(jù)安全防護(hù)的全生命周期過(guò)程全覆蓋，建立了以風(fēng)險(xiǎn)核查為起點(diǎn)，以數(shù)據(jù)梳理為基礎(chǔ)，以數(shù)據(jù)保護(hù)為核心，以監(jiān)控預(yù)警作為支撐， 終建立“數(shù)據(jù)安全運(yùn)營(yíng)”的全過(guò)程自適應(yīng)安全支撐能力，直至達(dá)到整體智治的安全目標(biāo)。

框架主要思路如下：

01風(fēng)險(xiǎn)核查（C）

通過(guò)風(fēng)險(xiǎn)核查讓數(shù)據(jù)資產(chǎn)管理員全面了解數(shù)據(jù)庫(kù)資產(chǎn)運(yùn)行環(huán)境是否存在安全風(fēng)險(xiǎn)。通過(guò)安全現(xiàn)狀評(píng)估能有效發(fā)現(xiàn)當(dāng)前數(shù)據(jù)庫(kù)系統(tǒng)的安全問(wèn)題，對(duì)數(shù)據(jù)庫(kù)的安全狀況進(jìn)行持續(xù)化監(jiān)控，保持?jǐn)?shù)據(jù)庫(kù)的安全健康狀態(tài)。數(shù)據(jù)庫(kù)漏洞、弱口令、錯(cuò)誤的部署或配置不當(dāng)都會(huì)很容易讓數(shù)據(jù)庫(kù)陷入危難之中。

? 漏洞掃描，幫助用戶快速完成對(duì)數(shù)據(jù)庫(kù)的漏洞掃描和分析工作，覆蓋權(quán)限繞過(guò)漏洞、SQL注入漏洞、訪問(wèn)控制漏洞等，并提供詳細(xì)的漏洞描述和修復(fù)建議。

? 弱口令檢測(cè)，基于各種主流數(shù)據(jù)庫(kù)口令生成規(guī)則實(shí)現(xiàn)口令匹配掃描。提供基于字典庫(kù)，基于規(guī)則，基于窮舉等多種模式下的弱口令檢測(cè)。

? 配置檢查，幫助用戶規(guī)避由于數(shù)據(jù)庫(kù)或系統(tǒng)的配置不當(dāng)造成的安全缺陷或風(fēng)險(xiǎn)，檢測(cè)是否存在賬號(hào)權(quán)限、身份鑒別、密碼策略、訪問(wèn)控制、安全審計(jì)和入侵防范等安全配置風(fēng)險(xiǎn)?；?佳安全實(shí)踐的加固標(biāo)準(zhǔn)，提供重要安全加固項(xiàng)以及修復(fù)建議，降低配置弱點(diǎn)被攻擊和配置變更風(fēng)險(xiǎn)。

02數(shù)據(jù)梳理（A）

數(shù)據(jù)梳理階段，包含以身份為中心的身份認(rèn)證和設(shè)備識(shí)別、以數(shù)據(jù)為中心的識(shí)別與分類分級(jí)、賬號(hào)權(quán)限的梳理，形成數(shù)據(jù)目錄。

? 以身份為中心的身份認(rèn)證和設(shè)備識(shí)別；網(wǎng)絡(luò)位置不再?zèng)Q定訪問(wèn)權(quán)限，在訪問(wèn)被允許之前，所有訪問(wèn)主體都需要經(jīng)過(guò)身份認(rèn)證和授權(quán)。身份認(rèn)證不再僅僅針對(duì)用戶，還將對(duì)終端設(shè)備、應(yīng)用軟件等多種身份進(jìn)行多維度、關(guān)聯(lián)性的識(shí)別和認(rèn)證，并且在訪問(wèn)過(guò)程中可以根據(jù)需要多次發(fā)起身份認(rèn)證。授權(quán)決策不再僅僅基于網(wǎng)絡(luò)位置、用戶角色或?qū)傩缘葌鹘y(tǒng)靜態(tài)訪問(wèn)控制模型，而是通過(guò)持續(xù)的安全監(jiān)測(cè)和信任評(píng)估，進(jìn)行動(dòng)態(tài)、細(xì)粒度的授權(quán)。安全監(jiān)測(cè)和信任評(píng)估結(jié)論是基于盡可能多的數(shù)據(jù)源計(jì)算出來(lái)的。

? 以數(shù)據(jù)為中心的識(shí)別與分類分級(jí)；進(jìn)行數(shù)據(jù)安全治理前，需要先明確治理的對(duì)象，企業(yè)擁有龐大的數(shù)據(jù)資產(chǎn)，本著高效原則，劉博建議，應(yīng)當(dāng)優(yōu)先對(duì)敏感數(shù)據(jù)分布進(jìn)行梳理，“數(shù)據(jù)分類分級(jí)”是整體數(shù)據(jù)安全建設(shè)的核心且 關(guān)鍵的一步。通過(guò)對(duì)全部數(shù)據(jù)資產(chǎn)進(jìn)行梳理，明確數(shù)據(jù)類型、屬性、分布、賬號(hào)權(quán)限、使用頻率等，繪制“數(shù)據(jù)目錄”，以此為依據(jù)對(duì)不同級(jí)別數(shù)據(jù)實(shí)行合理的安全防護(hù)手段。這個(gè)基礎(chǔ)也會(huì)為客戶數(shù)據(jù)安全保護(hù)進(jìn)行信息化賦能和策略支撐，如數(shù)據(jù)加密、數(shù)據(jù)脫敏、防泄漏和數(shù)據(jù)訪問(wèn)控制等。

03數(shù)據(jù)保護(hù)（P）

基于數(shù)據(jù)使用場(chǎng)景需求制定差異化的、有針對(duì)性的數(shù)據(jù)安全保護(hù)動(dòng)作。這一步的實(shí)施更加需要以數(shù)據(jù)梳理作為基礎(chǔ)，風(fēng)險(xiǎn)核查的結(jié)果作為支撐，以提供數(shù)據(jù)在收集、存儲(chǔ)、加工、使用、提供、交易、公開(kāi)等不同場(chǎng)景下，即滿足業(yè)務(wù)需求，又保障數(shù)據(jù)安全的保護(hù)策略，降低數(shù)據(jù)安全風(fēng)險(xiǎn)。制定并實(shí)施相應(yīng)的安全保護(hù)技術(shù)措施，以確保敏感數(shù)據(jù)全生命周期內(nèi)的安全。

數(shù)據(jù)是流動(dòng)的，數(shù)據(jù)結(jié)構(gòu)和形態(tài)會(huì)在整個(gè)生命周期中不斷變化，需要采用多種安全工具支撐安全策略的實(shí)施。劉博在CAPE框架體系中提出了實(shí)現(xiàn)數(shù)據(jù)安全保護(hù)的6個(gè)工具/技術(shù)手段：

? 加密，包括數(shù)據(jù)存儲(chǔ)加密、傳輸加密等多種技術(shù)。

? 存儲(chǔ)加密，為保障數(shù)據(jù)在存儲(chǔ)中的機(jī)密性、完整 性，采用加密技術(shù)對(duì)數(shù)據(jù)進(jìn)行加密存儲(chǔ)，防止可能會(huì)發(fā)生授權(quán)的數(shù)據(jù)被竊取、偽造和篡改等安全風(fēng)險(xiǎn)，保障數(shù)據(jù)在存儲(chǔ)時(shí)的安全性。

? 傳輸加密，采用加密保護(hù)措施，防止數(shù)據(jù)在通過(guò)不可信或者較低安全性的網(wǎng)絡(luò)進(jìn)行傳輸時(shí)，發(fā)生數(shù)據(jù)被竊取、偽造和篡改等安全風(fēng)險(xiǎn)，保障數(shù)據(jù)在傳輸過(guò)程中的安全性。比如采用HTTPS協(xié)議保障傳輸鏈路的加密、采用國(guó)密算法(SM2、SM3、SM4)保障業(yè)務(wù)數(shù)據(jù)安全傳輸?shù)龋?大限度的保障敏感數(shù)據(jù)安全。

? 密鑰管理，?向業(yè)務(wù)系統(tǒng)提供密鑰服務(wù)，負(fù)責(zé)業(yè)務(wù)系統(tǒng)的對(duì)稱密鑰和?對(duì)稱密鑰對(duì)的管理，保證密鑰的安全性。

? 數(shù)據(jù)脫敏，數(shù)據(jù)脫敏旨在通過(guò)向用戶提供高度仿真的數(shù)據(jù)，而不是真實(shí)和敏感的數(shù)據(jù)，同時(shí)保持其執(zhí)行業(yè)務(wù)流程的能力，從而防止濫用敏感數(shù)據(jù)。脫敏分為靜態(tài)脫敏和動(dòng)態(tài)脫敏。

? 靜態(tài)脫敏用于對(duì)開(kāi)發(fā)或測(cè)試中的數(shù)據(jù)集而不是生產(chǎn)中的數(shù)據(jù)集。數(shù)據(jù)在使用之前被脫敏，因此數(shù)據(jù)在存儲(chǔ)和隨后的使用或傳播過(guò)程中受到保護(hù)。

? 動(dòng)態(tài)脫敏在應(yīng)用程序或個(gè)人根據(jù)授權(quán)訪問(wèn)數(shù)據(jù)時(shí)，實(shí)時(shí)進(jìn)行脫敏操作。原始敏感數(shù)據(jù)駐留在底層存儲(chǔ)庫(kù)中，并且在應(yīng)用程序訪問(wèn)時(shí)按策略授權(quán)進(jìn)行數(shù)據(jù)提供，沒(méi)有權(quán)限訪問(wèn)敏感信息的用戶和應(yīng)用程序提供了脫敏數(shù)據(jù)。動(dòng)態(tài)脫敏不會(huì)更改底層存儲(chǔ)庫(kù)中的數(shù)據(jù)。

? 水印溯源，是對(duì)數(shù)據(jù)進(jìn)行打標(biāo)簽、加水印、植入溯源種子的方式，水印信息具有一定的隱秘性、不對(duì)外顯示，用以記錄數(shù)據(jù)流轉(zhuǎn)的過(guò)程及泄露時(shí)能確認(rèn)具體的泄露節(jié)點(diǎn)及責(zé)任人，以此進(jìn)行數(shù)據(jù)泄露的審計(jì)和跟蹤，從而解決數(shù)據(jù)的非授權(quán)擴(kuò)散監(jiān)管問(wèn)題。

? 數(shù)據(jù)防泄漏，DLP工具提供對(duì)敏感數(shù)據(jù)的可見(jiàn)性，無(wú)論是在端點(diǎn)上（使用）、在網(wǎng)絡(luò)上（運(yùn)動(dòng)）還是在文件共享上。使用DLP組織可以實(shí)時(shí)保護(hù)端點(diǎn)或網(wǎng)絡(luò)中傳輸和外發(fā)數(shù)據(jù)，實(shí)時(shí)預(yù)警和阻止數(shù)據(jù)被泄漏的行為發(fā)生。

? 訪問(wèn)控制，基于通過(guò)IP、MAC、客戶端主機(jī)名、操作系統(tǒng)用戶名、客戶端工具名和數(shù)據(jù)庫(kù)賬號(hào)等多個(gè)維度對(duì)用戶身份進(jìn)行管理，確保設(shè)備是可信的設(shè)備，應(yīng)用是認(rèn)證應(yīng)用。通過(guò)全面的身份化，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)參與的各個(gè)實(shí)體在統(tǒng)一的框架下進(jìn)行統(tǒng)一的身份認(rèn)證，結(jié)合數(shù)據(jù)分類分級(jí)實(shí)現(xiàn)基于數(shù)據(jù)和身份的細(xì)粒度訪問(wèn)控制功能。

04監(jiān)控預(yù)警（E）

制定并實(shí)施適當(dāng)?shù)募夹g(shù)措施，以識(shí)別數(shù)據(jù)安全事件的發(fā)生。此過(guò)程包括：行為分析，權(quán)限變化，訪問(wèn)監(jiān)控。通過(guò)全方位監(jiān)控?cái)?shù)據(jù)的使用和流動(dòng)， 終形成數(shù)據(jù)安全態(tài)勢(shì)感知。

? 行為分析，能夠?qū)M(jìn)出核心數(shù)據(jù)庫(kù)的訪問(wèn)流量進(jìn)行數(shù)據(jù)報(bào)文字段級(jí)的解析操作，完全還原出操作的細(xì)節(jié)，并給出詳盡的操作返回結(jié)果，UEBA可以根據(jù)用戶歷史訪問(wèn)活動(dòng)的信息刻畫出一個(gè)數(shù)據(jù)的訪問(wèn)“基線”，而之后則可以利用這個(gè)基線對(duì)后續(xù)的訪問(wèn)活動(dòng)做進(jìn)一步的判別，以檢測(cè)出異常行為。

? 權(quán)限變化，能夠?qū)?shù)據(jù)庫(kù)中不同用戶，不同對(duì)象的權(quán)限進(jìn)行梳理并監(jiān)控權(quán)限變化，權(quán)限梳理應(yīng)從用戶和對(duì)象兩個(gè)維度展開(kāi)。一旦用戶維度或者對(duì)象維度權(quán)限發(fā)生了變更，能夠及時(shí)向用戶反饋。

? 用戶維度：可以監(jiān)控?cái)?shù)據(jù)庫(kù)中用戶啟用狀態(tài)、權(quán)限劃分、角色歸屬等基本信息。

? 對(duì)象維度：能夠?qū)?shù)據(jù)庫(kù)對(duì)象可被哪些用戶訪問(wèn)進(jìn)行歸納總結(jié)，特別是對(duì)包含了敏感列的表或者敏感度評(píng)分較高的對(duì)象，可以著重監(jiān)測(cè)其訪問(wèn)權(quán)限劃分情況。

? 訪問(wèn)監(jiān)控，實(shí)時(shí)監(jiān)控?cái)?shù)據(jù)庫(kù)的活動(dòng)信息，當(dāng)用戶與數(shù)據(jù)庫(kù)進(jìn)行交互時(shí)，系統(tǒng)應(yīng)自動(dòng)根據(jù)預(yù)設(shè)置的風(fēng)險(xiǎn)控制策略，進(jìn)行特征檢測(cè)及審計(jì)規(guī)則檢測(cè)，監(jiān)控預(yù)警任何嘗試的攻擊或違反審計(jì)規(guī)則的行為。