安全-华为云

数据安全中心 DSC-对云上数据资产进行分类分级:操作流程

操作流程操作步骤说明步骤一：购买DSC并完成云资产委托授权购买DSC，选择版本规格（本文以标准版为例）扩展包等信息并完成云资产委托授权打通各服务与DSC的访问策略权限。步骤二：授权数据库允许DSC访问数据库进行数据识别数据库和大数据类型资产需要完成授权之后才能进行敏感数据识别、数据脱敏和数据库水印注入/提取，完成数据库授权，允许DSC访问数据库获取数据进行敏感数据识别和脱敏。步骤三：新建敏感数据识别任务创建识别任务，对资产进行敏感数据识别，根据所选识别模板对数据进行分类分级。步骤四：查看分类分级结果查看分类分级结果，对数据资产进行进一步安全防护。

数据安全中心 DSC

数据安全中心 DSC-对云上数据资产进行分类分级:准备工作

准备工作在购买数据安全中心之前，请先注册华为账号并开通华为云。具体操作详见注册华为账号并开通华为云、实名认证。如果您已开通华为云并进行实名认证，请忽略此步骤。请保证账户有足够的资金，防止购买数据安全中心失败。具体操作请参见账户充值。请确保已为账号赋予相关DSC权限。具体操作请参见创建用户组并授权使用DSC。表1 DSC系统权限角色名称描述类别依赖关系 DSC DashboardReadOnlyAccess 数据安全中心服务大屏服务只读权限。系统策略无 DSC FullAccess 数据安全中心服务所有权限。系统策略购买RDS包周期实例需要配置授权项： bss:order:update bss:order:pay DSC ReadOnlyAccess 数据安全中心服务只读权限。系统策略无

数据安全中心 DSC

数据安全中心 DSC-创建用户并授权使用DSC:示例流程

示例流程图1 给用户授权服务权限流程创建用户组并授权在 IAM 控制台创建用户组，并授予数据安全中心权限“DSC FullAccess”。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，切换至授权区域，验证权限：在“服务列表”中选择除数据安全中心外（假设当前策略仅包含“DSC FullAccess”）的任一服务，如果提示权限不足，表示“DSC FullAccess”已生效。

数据安全中心 DSC 权限管理

数据安全中心 DSC-创建用户并授权使用DSC:前提条件

前提条件给用户组授权之前，请您了解用户组可以添加的DSC权限，并结合实际需求进行选择，DSC支持的系统权限如表1所示。如果您需要对除DSC之外的其它服务授权，IAM支持服务的所有权限请参见系统权限。用户在执行云资源委托授权/停止授权时必须拥有IAM的管理员权限（“Security Administrator”权限）。表1 DSC系统权限角色名称描述类别依赖关系 DSC DashboardReadOnlyAccess 数据安全中心服务大屏服务只读权限。系统策略无 DSC FullAccess 数据安全中心服务所有权限。系统策略购买RDS包周期实例需要配置授权项： bss:order:update bss:order:pay DSC ReadOnlyAccess 数据安全中心服务只读权限。系统策略无

数据安全中心 DSC 权限管理

数据安全中心 DSC-数据库安全加密:使用场景

使用场景数据库加密与访问控制可以满足合规要求，同时可以满足数据库敏感数据防护需求。满足国家评测的合规要求应用系统本身会根据用户的权限对数据进行处理，对于遗留系统（旧系统无法再做升级改造）以及开发时未考虑《网络安全法》中要求的个人隐私保护问题，如果重新更改代码过于复杂，需要依赖于外部技术实现数据的隐私保护。通过数据库加密与访问控制能够实现数据库的加密，满足各项法律法规。满足数据库敏感数据防护需求数据库加密与访问控制可以有效解决因数据库管理员DBA等高权限账号密码泄漏所导致的数据泄漏问题，同时也可防止因外部APT攻击或内部管理失当导致的数据库文件被下载、复制等数据泄漏风险，满足数据库的敏感数据防护需求。

数据安全中心 DSC

数据安全中心 DSC-数据库安全加密:功能介绍

功能介绍数据库加密与访问控制功能介绍如表1所示，详细功能使用请参见数据库加密与访问控制。表1 功能介绍功能名称功能描述资产管理支持数据库资产的增删改查以及数据源连通性测试，并支持数据库读写分离配置、加密模式配置、返回值配置、账号权限检测。敏感数据发现支持敏感数据扫描、敏感数据类型管理、敏感数据行业模板管理。业务测试支持业务仿真测试，模拟是否可以正常加解密；支持在加密前接入网络进行业务SQL流量分析，定位出加密后可能执行异常的SQL，并生产分析报表。数据加密在数据加密模块对加密与解密队列管理，支持对客户端和数据库用户授权限制用户访问，查看并下载加密日志、回滚表结构、管理加密表、下载bypass插件。动态脱敏支持对敏感数据配置脱敏算法，对明文数据进行动态脱敏展示。密钥管理支持三级密钥算法、密钥来源配置、密钥(DSK)周期轮转更新，支持配置KMS对接，密钥记录查看与密钥检索。平台管理在平台管理模块对系统进行基础网卡与路由配置、系统升级、配置数据的备份与恢复、查看应用访问记录、安全口令配置等管理操作。系统管理系统管理模块支持对平台使用用户进行维护，包括账号的管理、组织架构管理、角色的管理、账号的审核等，同时支持对系统各类消息进行查看与管理。展示设备状态，管理设备，对系统内核、CPU、硬盘等使用情况进行诊断、进行系统升级、系统安全配置等。日志管理支持查看与检索系统所有操作行为的日志信息。

数据安全中心 DSC

数据安全中心 DSC-支持云审计的操作列表

支持云审计的操作列表云审计服务（Cloud Trace Service， CTS ）记录了数据安全中心相关的操作事件，方便用户日后的查询、审计和回溯，具体请参见《云审计服务用户指南》。云审计服务支持的DSC操作列表如表1所示。表1 云审计服务支持的DSC操作列表操作名称资源类型事件名称授权或者取消对DSC的授权 dscGrant grantOrRevokeTodsc 添加OBS桶资产 dscObsAsset addBuckets 删除OBS桶资产 dscObsAsset deleteBucket 添加数据库资产 dscDatabaseAsset addDatabase 修改数据库资产 dscDatabaseAsset updateDatabase 删除数据库资产 dscDatabaseAsset deleteDatabase 添加大数据资产 dscBigdataAsset addBigdata 修改大数据资产 dscBigdataAsset updateBigdata 删除大数据资产 dscBigdataAsset deleteBigdata 更新对象名称 dscAsset updateAssetName 下载批量添加模板 dscBatchImportTemplate downloadBatchImportTemplate 批量添加数据库 dscAsset batchAddDatabase 批量添加资产 dscAsset batchAddAssets 展示异常事件 dscExceptionEvent listExceptionEventInfo 获取异常事件详细信息 dscExceptionEvent getExceptionEventDetail 添加告警配置 dscAlarmConfig addAlarmConfig 修改告警配置 dscAlarmConfig updateAlarmConfig 下载报表 dscReport downloadReport 删除报表 dscReport deleteReport 添加扫描规则 dscRule addRule 修改扫描规则 dscRule editRule 删除扫描规则 dscRule deleteRule 添加扫描规则组 dscRuleGroup addRuleGroup 修改扫描规则组 dscRuleGroup editRuleGroup 删除扫描规则组 dscRuleGroup deleteRuleGroup 添加扫描任务 dscScanTask addScanJob 修改扫描任务 dscScanTask updateScanJob 删除扫描子任务 dscScanTask deleteScanTask 删除扫描任务 dscScanTask deleteScanJob 启动扫描任务 dscScanTask startJob 停止扫描任务 dscScanTask stopJob 启动扫描子任务 dscScanTask startTask 停止扫描子任务 dscScanTask stopTask 启用/停用ES脱敏 dscBigDataMaskSwitch switchBigDataMaskStatus 获取ElasticSearch field信息 dscBigDataMetaData getESField 添加ES脱敏模板 dscBigDataMaskTemplate addBigDataTemplate 编辑ES脱敏模板 dscBigDataMaskTemplate editBigDataTemplate 删除ES脱敏模板 dscBigDataMaskTemplate deleteBigDataTemplate 查询ES脱敏模板列表 dscBigDataMaskTemplate showBigDataTemplates 启动/停止ES脱敏模板 dscBigDataMaskTemplate operateBigDataTemplate 切换ES脱敏模板状态 dscBigDataMaskTemplate switchBigDataTemplate 启用/停用数据库脱敏 dscDBMaskSwitch switchDBMaskStatus 获取数据库字段信息 dscDBMetaData getColumn 添加数据库脱敏模板 dscDBMaskTemplate addDBTemplate 修改数据库脱敏模板 dscDBMaskTemplate editDBTemplate 删除数据库脱敏模板 dscDBMaskTemplate deleteDBTemplate 查询数据库脱敏模板列表 dscDBMaskTemplate showDBTemplates 启动/停止数据库脱敏模板 dscDBMaskTemplate operateDBTemplate 切换数据库脱敏模板状态 dscDBMaskTemplate switchDBTemplate 添加脱敏算法 dscMaskAlgorithm addMaskAlgorithm 编辑脱敏算法 dscMaskAlgorithm editMaskAlgorithm 删除脱敏算法 dscMaskAlgorithm deleteMaskAlgorithm 测试脱敏算法 dscMaskAlgorithm testMaskAlgorithm 获取字段与脱敏算法的映射关系 dscMaskAlgorithm getFieldAlgorithms 添加加密算法配置 dscEncryptMaskConfig addEncryptConfig 修改加密算法配置 dscEncryptMaskConfig editEncryptConfig 删除加密算法配置 dscEncryptMaskConfig deleteEncryptConfig 父主题：审计

数据安全中心 DSC 审计

数据安全中心 DSC-数据采集:配置数据保护类型

配置数据保护类型参照操作步骤进入“策略基线”界面。单击“配置数据保护类型”进入“配置数据保护类型”界面。内置数据保护类型：如果取消勾选，在基线策略表格该类型不再显示，且默认配置的各项策略要求将清空，下次启用需自定义该保护类型的策略要求一般数据保护：没有通过敏感数据识别分级分类的数据使用一般数据保护。分级数据保护类型：通过敏感数据识别分级分类的数据可使用分级数据保护，DSC有内置的敏感数据级别L1-L4，去勾选策略基线列表将不展示。图3 内置数据保护类型自定义数据保护类型：新增的自定义数据保护类型将显示到策略基线表中。单击下拉框选择自定义级别，如果没有可选择的自定义级别，请参照新建分级进行新建。图4 自定义数据保护类型单击“确定”，在策略基线表中查看数据保护类型。图5 数据资产保护类型

数据安全中心 DSC

数据安全中心 DSC-数据采集:配置措施

配置措施参照操作步骤进入“策略基线”界面。单击“配置措施”进入“配置措施”界面。单击取消不需要的措施，取消勾选的措施将不会在策略基线表中显示。内置措施：DSC针对数据不同周期依据华为云数据安全治理经验内置相应的措施，鼠标移动到措施名称可以查看内置措施的说明。自定义措施：新增的自定义措施将显示在基线策略表中。单击“新增”，进入“新增自定义保护措施”界面。填写“措施名称”和“措施说明”单击“确定”返回“配置措施”界面可查看新增的措施。单击“操作”列的“编辑”可修改该措施，单击“删除”删除不需要的措施。图1 自定义措施单击“确定”进入策略基线表查看配置措施。图2 策略基线列表

数据安全中心 DSC

数据安全中心 DSC-策略管理:配置数据库动态脱敏策略

配置数据库动态脱敏策略单击“开始配置”，进入数据库动态脱敏策略配置界面。参照表3进行参数配置：表3 数据库动态脱敏策略类型参数配置表参数说明策略名称输入策略名称，只能由中文字符、英文字母、数字、下划线和中划线组成。关联实例数据库加密网关。目标数据源单击下拉框选择目标数据源。脱敏服务端口端口范围14000-14999，不同数据库实例（地址和端口相同）使用不同代理端口，同一数据库实例使用相同代理端口，添加同一数据库实例下的数据源，会自动填充代理端口。表单击下拉框选择表。表信息选择“表”后显示该参数。表的信息，包含“字段名称”、“字段类型”、“数据分级”、“脱敏算法”。单击“保存并下发”，进入策略列表查看新创建的策略。

数据安全中心 DSC 策略中心

数据安全中心 DSC-策略管理:配置数据库审计策略

配置数据库审计策略已开启DBSS且已添加实例。单击“开始配置”，进入数据库审计策略类型配置界面。参照表1进行参数配置：表1 数据库审计策略类型参数配置表参数说明策略名称输入策略名称，只能由中文字符、英文字母、数字、下划线和中划线组成，长度不超过255个字符。关联实例单击下拉框选择数据库审计实例。目标数据源单击下拉框选择目标数据源，仅支持免Agent审计的数据库实例。是否显示结果集开启记录结果集后，系统将对SQL结果内容进行记录，可在日志中进行查看。如果未开启，日志详情中SQL结果内容为空。记录结果集存在信息泄露风险，不建议开启。隐私数据脱敏通过编写脱敏规则，防止敏感数据泄露，建议开启。单击“保存并下发”，进入策略列表查看新创建的策略。

数据安全中心 DSC 策略中心

数据安全中心 DSC-策略管理:配置数据库加密策略

配置数据库加密策略已在DBSS购买数据加密与访问控制。单击“开始配置”，进入数据加密策略类型配置界面。参照表2进行参数配置：表2 数据加密策略类型参数配置表参数说明策略名称输入策略名称，只能由中文字符、英文字母、数字、下划线和中划线组成。关联实例数据库加密网关。目标数据源单击下拉框选择目标数据源。代理端口端口范围14000-14999，不同数据库实例（地址和端口相同）使用不同代理端口，同一数据库实例使用相同代理端口，添加同一数据库实例下的数据源，会自动填充代理端口。加密算法单击下拉框选择加密算法，加密算法有AES128和SM4。被加密表单击下拉框选择被加密表。同一目标表不能重复选。被加密表信息被加密表的信息，包含“字段名称”、“字段类型”、“数据分级”。单击“保存并下发”，进入策略列表查看新创建的策略。

数据安全中心 DSC 策略中心

数据安全中心 DSC-数据存储:配置数据保护类型

配置数据保护类型参照操作步骤进入“策略基线”界面。选择“存储”页签。单击“配置数据保护类型”进入“配置数据保护类型”界面。内置数据保护类型：如果取消勾选，在基线策略表格该类型不再显示，且默认配置的各项策略要求将清空，下次启用需自定义该保护类型的策略要求一般数据保护：没有通过敏感数据识别分级分类的数据使用一般数据保护。分级数据保护类型：通过敏感数据识别分级分类的数据可使用分级数据保护，DSC有内置的敏感数据级别L1-L4，去勾选策略基线列表将不展示。图3 内置数据保护类型自定义数据保护类型：新增的自定义数据保护类型将显示到策略基线表中。单击下拉框选择自定义级别，如果没有可选择的自定义级别，请参照新建分级进行新建。图4 自定义数据保护类型单击“确定”，在策略基线表中查看数据保护类型。图5 数据资产保护类型

数据安全中心 DSC

数据安全中心 DSC-数据存储:配置措施

配置措施参照操作步骤进入“策略基线”界面。选择“存储”页签。单击“配置措施”进入“配置措施”界面。单击取消不需要的措施，取消勾选的措施将不会在策略基线表中显示。内置措施：DSC针对数据不同周期依据华为云数据安全治理经验内置相应的措施，鼠标移动到措施名称可以查看内置措施的说明。自定义措施：新增的自定义措施将显示在基线策略表中。单击“新增”，进入“新增自定义保护措施”界面。填写“措施名称”和“措施说明”单击“确定”返回“配置措施”界面可查看新增的措施。单击“操作”列的“编辑”可修改该措施，单击“删除”删除不需要的措施。图1 自定义措施单击“确定”进入策略基线表查看配置措施。图2 策略基线列表

数据安全中心 DSC

数据安全中心 DSC-数据库安全审计

数据库安全审计数据库安全审计基于大数据分析技术，提供数据库审计，SQL注入攻击检测，风险操作识别等功能，保障云上数据库的安全。功能特性描述如表1所示。详细功能介绍及使用请参见DBSS功能特性和DBSS用户指南。表1 功能特性介绍功能描述用户行为发现审计关联应用层和数据库层的访问操作。提供内置或自定义隐私数据保护规则，防止审计日志中的隐私数据（例如，账号密码）在控制台上以明文显示。多维度线索分析行为线索支持审计时长、语句总量、风险总量、今日语句、今日风险和今日会话量等多维度的快速分析。会话线索支持根据时间、数据库用户、客户端等多角度进行分析。语句线索提供时间、风险等级、数据用户、客户端IP、数据库IP、操作类型、规则等多种语句搜索条件。风险操作、SQL注入实时告警风险操作支持通过操作类型、操作对象、风险等级等多种元素细粒度定义要求监控的风险操作行为。 SQL注入数据库安全审计提供SQL注入库，可以基于SQL命令特征或风险等级，发现数据库异常行为立即告警。系统资源当系统资源（CPU、内存和磁盘）占用率达到设置的告警阈值时立即告警。针对各种异常行为提供精细化报表会话行为提供客户端和数据库用户会话分析报表。风险操作提供风险分布情况分析报表。合规报表提供满足数据安全标准（例如Sarbanes-Oxley）的合规报告。父主题：数据资产保护

数据安全中心 DSC 数据资产保护

云服务器内容精选

安全

7*24

备案

专业服务

退订

建议反馈

售前咨询热线