携程数据安全建设实践 章锦成

Razor

2019/10/20 发布于 技术 分类

文字内容
1. 携程数据安全建设实践 章锦成 携程 信息安全高级经理
2. 自我介绍
3. 自我介绍 10多年信息安全从业经验,曾供职于51.com、1号店、中国平安 2015年加入携程,先后负责安全研发、运维安全、合规审计、数据安全 2017年开始负责数据安全,主导了携程数据安全从0到1的建设
4. 目录 1. 建设思路 2. 从0到1 3. 从1到N
5. 数据安全做什么? 传输 采集 • • • • HTTPS 隐私合规 清洗过滤 分类分级 • • • • • 通道加密 内容加密 权限控制 防篡改 行为检测 处理 存储 • • • • 数据加密 防泄漏 数据备份 文件加密 • • • • • 匿名化 堡垒机 特权监控 监控审计 日志脱敏 展示 • • • • • • 水印 数据脱敏 掩码遮盖 权限控制 行为检测 DLP 销毁 • 安全删除
6. 怎么做? 数据梳理 风险梳理 安全建设 数据在哪?流经哪些系统?使用场景有哪些? 数据生命周期的各环节存在哪些安全风险? 如何设计安全解决方案并落地?
7. 难点 • 数据量太大,类型太多,增长太快 • 数据流转链路复杂,流经哪些系统,哪些人能够接触到数据没人讲得清楚 • “阻碍业务发展”,安全方案没法落地或者达不到预期效果 • 业务变化太快,历史问题没解决,新业务又要火速上线 • 安全资源不够
8. 目录 1. 建设思路 2. 从0到1 3. 从1到N
9. 我们为什么做数据安全? 手机号 邮箱 证件号(身份证、护照等) 地址 以用户敏感数据保护为中心
10. 数据源头在哪? 终端用户 前台应用 后台应用 Service Site DB CRM 内部员工 查询平台 客服人员 开发/产品 User库 Order库 运维人员 BI 数据仓库 Hive ElasticSearch 以DB为源头切入 NoSQL
11. DB源头管控3步法 - 建表流程嵌入数据分类分级,按字段打上标签 - 敏感数据加密,控制解密权限 - 定期扫描数据库,确保前两步有效执行
12. 加密方案设计 - 本地化加密 vs 中心化加密 掌握主动权 - AES vs FPE vs Tokenization 减少解密需求 AES FPE Tokenization 明文 13012345678 13012345678 13012345678 密文 U2FsdGVkX1/3FMPrWsUxrdr0z /nZQeVEtWukG/1TRgs= 13823572340 130xRst5678
13. 加密方案设计 后台应用 前台应用 3.保存密文 BI取数 密文 1.请求加密 2.获取密文 查询平台 解密 加解密服务 数据库 加密 解密 权限管理 数据库 离线分析 DB 维表 掩码 权限开通 权限校验 密文库 调用审计 密文库 密文缓存 密文缓存
14. DB源头加密之后 - 减少解密场景和范围 - 监控明文数据的访问
15. 减少解密场景 - 公共服务(外呼、短信、邮件外发)支持密文 - 提供密文转掩码服务 - 提供密文维表服务(如密文手机号归属地、运营商)
16. 明文访问监控 后台应用 安全服务 CRM 加解密服务 监控审计 查询平台 敏感信息扫描 堡垒机 应用流量审计 存储 分级&标签服务 密文维表 水印服务 缓存 服务器 Database 数仓 DB流量审计 DLP终端 虚拟机 容器 UEBA 内部员工 客服人员 开发/产品 运维人员 BI
17. 监控思路 - 流量为主 - 日志补充 IP、UA、指纹 账号、岗位、部门 … 域名、url、操作类型 所属业务、数据类型
18. 应用流量审计
19. 逐步升级 流量审计 UEBA 零信任
20. 小结一下 - 以用户敏感数据保护为中心,从DB源头切入 - 通过中心化加密,掌握数据流向 - 减少明文使用场景,缩小防护范围 - 日志+流量,实时监控明文数据的使用情况
21. 新的挑战 • 黑样本太少,监控策略准确率提升难 • 安全告警太多了,运营压力太大 • 离业务太远,告警事件核实时间过长 • 除了用户信息,公司商业秘密也得保护下吧 • 人难招
22. 目录 1. 建设思路 2. 从0到1 3. 从1到N
23. 核心思想 数据因为业务而生,数据即业务。 -- 安全 离业务更近点,从业务的角度做安全! 业务
24. 下沉业务线 - 安全产品赋能,让业务团队自行运营 - 嵌入SDL,从项目立项时切入
25. 蓝军,哪怕只有一个人也要做蓝军 - 补充黑样本,提高策略准确性 - 项目推动,talk is cheap, hack for me
26. 人治,安全文化建设 上兵伐谋,其次伐交,其次伐兵,其下攻城。 --《孙子兵法》
27. 人治,安全文化建设 - 安全意识宣传 - 安全培训&考试 - 安全月刊、报告 - 内部信息安全奖惩 - …
28. 数据安全能力 产品能力 安全架构 数据分析 渗透测试 • 沟通协调 • 安全开发 • 数据开发 • web渗透 • 产品设计 • 系统架构 • 安全策略 • 内网渗透 • 安全经验 • 安全技术 • 算法模型 • 社会工程