-
首页
-
产品中心
- 微软系列
- 设计软件
- 国产软件
- 信息安全
-
解决方案
-
服务
-
联系我们
-
首页
-
产品中心
- 微软系列
- 设计软件
- 国产软件
- 信息安全
-
解决方案
-
服务
-
联系我们
DAS-SECURITY
安恒-云安全资源池模块扩展
9、云安全资源池模块扩展
9.1 安全能力
9.1.1 云漏洞扫描
漏洞扫描产品是一款融合安恒信息多年在信息安全漏洞挖掘、渗透测试技术研究和漏洞检查方法的最佳实践基础上，集主机安全扫描、网站安全扫描、数据库安全扫描、弱口令发现和基线配置核查于一身的检测类安全产品，通过提前发现系统的安全隐患从何帮助用户提高网络安全防护性能和抗破坏能力。
主机扫描：主要用于分析和指出有关网络的安全漏洞及被测系统的薄弱环节，给出详细的检测报告，并针对检测到的网络安全隐患给出相应的修补措施和安全建议。全方位检测信息系统存在的主机、软件的安全漏洞，安全配置问题，弱口令，不必要开放的账户、服务、端口，独创的端口识别技术，结合信息丰富的协议指纹库，能自动快速准确的识别出非标准开放端口和应用服务类型，准确扫描端口对应的服务漏洞，极大避免扫描过程中的漏报和误报。
网站扫描：全面支持OWASP_TOP10检测，可以帮助用户充分了解Web应用存在的安全隐患，建立安全可靠的Web应用服务，改善并提升应用系统抗各类Web应用攻击的能力（如：注入攻击、跨站脚本、文件包含、钓鱼攻击、信息泄漏、恶意编码、表单绕过等），协助用户满足等级保护、PCI、内控审计等规范要求。
数据库扫描：数据库扫描模块可帮助用户充分了解数据库存在的安全隐患，通过定期数据库系统安全自我检测与评估，提升用户各类数据库的抗风险能力。同时可以协助用户完成数据库建设成效评估，协助数据库安全事故的分析调查与追踪。
基线核查：全面覆盖操作系统、数据库、中间件、防火墙、路由器、交换机等设备类型，支持Windows下的离线检查，无需一台台设备建立任务，一键提取系统配置信息，并可导入远程安全评估系统出具修复加固建议报告。
部署方面，云可向用户提供共享型和专享型两种形态的漏洞扫描产品，漏洞扫描产品仅需与用户业务系统网络打通，即可对系统存在的漏洞和风险进行检测。
9.1.2 云APT攻击预警
APT攻击预警可为用户提供高级未知威胁检测能力，相对于仅依靠特征检测的传统安全产品，可发现零日漏洞利用、未知恶意代码等高级攻击行为，能检测到传统安全设备无法检测的攻击，为用户提供更高级的安全保障。
APT攻击预警的主要功能包括：
Web攻击深度检测：通过对Web流量和应用进行深度分析，提供全面的入侵检测能力。包含Web攻击特征检测、WebShell检测、Web行为分析、异常访问、C&C IP/URL检测等。
邮件攻击行为检测：对SMTP、POP3、IMAP和WebMail流量进行解析，发现各种邮件攻击行为，邮件欺骗的社工类攻击行为以及邮件附件的恶意文件攻击行为等。
恶意文件攻击检测：对常见文件传输协议进行解析，并进行文件分离，通过木马病毒检测、静态分析、动态沙箱行为分析，发现各种已知和未知的恶意文件攻击行为。
失陷主机检测：通过威胁情报数据、域名异常分析、远控行为分析、隐蔽信道传输以及系统漏洞利用行为等多维度检测，全面发现失陷主机，并对失陷主机进行举证和定位。
异常流量检测：通过对SMB远程溢出攻击、挖矿行为、暴力破解等异常流量行为实时预警，以攻防视角对攻击者身份、攻击手段以及攻击目的等进行关联分析和深度挖掘。
全流量分析检测：支持全流量模式下的应用识别、失陷主机检测，尤其是利用失陷主机进行挖矿的行为，如比特币、门罗币等。
综合关联分析：结合各引擎检测能力、丰富的威胁情报、机器学习等进行多维度关联分析、日志报表综合分析，深入发现更为隐蔽的APT攻击行为。
部署方面，APT攻击预警为专享型产品，在网络可达的前提下，通过安装Agent采集流量对APT攻击行为进行检测，无需镜像业务流量。
9.2 数据安全能力
在安全防护技术体系建设过程中，需要着重关注数据权限管理技术能力和数据共享安全能力，守好数据安全第一班岗；同时着重建设数据安全监测预警技术能力，实时掌握数据安全情况和安全动态，发生安全隐患时可以进行快速、精准预警，构建数据安全监控预警体系，需进一步加强安全数据的收集，并依托大数据技术建立全市数据安全感知分析能力，实现精准匹配、重点分析。同时为更好的提升各个系统间的协作与整体防护能力，结合安全态势感知手段、安全事件通报预警系统和安全措施，通过多个维度，提供可视化方式的大数据分析结果，实现对数据资源的安全监控，为研判、决策及重要时期的数据安全保障工作提供有效支撑。基于监测告警信息建设数据安全态势感知技术能力，基于可视化技术，对各类安全平台产品获取的各类监测数据及日常业务流转产生的业务数据，以安全事件与威胁风险监测为驱动，对安全相关信息进行汇聚融合，从不同视角感知安全态势，并结合本地特色定制相关的态势大屏，以实现“一屏通览”整体的安全风险，做到“风险先知，隐患先查”。
9.2.1 数据分类分级
数据安全分级与风险评估系统能够对用户数据进行自动数据发现、敏感数据识别、且可以使用系统内置或用户导入的法规标准进行分类分级操作，生成数据资产目录。AiSort能够帮助用户从多个维度感知数据资产的分布和使用状况，如：某个数据库下的包含多少敏感表、敏感字段、敏感等级；还可以进一步显示单一敏感项的分布、使用情况，如：身份证信息分布在系统的哪些位置、使用热度情况。
数据分类分级的核心功能如下：
数据源管理：AiSort支持数据源手动添加和自动发现两种模式，通过扫描的方式可获取到数据库基本信息包括：数据源类型、主机IP、端口、库名/实例名、版本号等信息。
数据分类分级：AiSort内置丰富的分类分级模板，内置的AI引擎根据模板更快、更准确的自动发现敏感数据并完成分类分级，结合独有的智能推荐算法给出分类分级推荐度排序，最优匹配度的敏感项被作为默认推荐的类别和等级。
数据资产目录：AiSort支持数据源，敏感数据和所选定的分级标准等多维度进行展示。支持分级概览，表列分布，级别分布等情况图标展示及详情展示，方便使用者了解数据资产的分布情况，同时提供对敏感列识别规则及分类分级信息修改功能。
分类分级模板管理：AiSort内置丰富的分类分级模板，根据行业细分如金融、证券、电信等；根据法律法规细分如网络安全法、GDPR、个人信息安全规范、等保等。
数据库账户梳理：AiSort支持对数据库账号状态及权限进行梳理评估，并且可对账号新增、权限变更及删除等变更情况进行分类展示，有效防止账号的违规授权和恶意提权。
风险检测：AiSort提供数据库漏洞检查、配置基线检查、弱口令检查等手段进行数据资产安全评估，通过安全现状评估能有效发现当前数据库系统的安全问题，对数据库的安全状况进行持续化监控，保持数据库的安全健康状态。
可视化大屏：AiSort提供数据安全分类分级监管大屏展示，内容包含数据源的分类分级情况，漏洞检查，配置基线检查，弱口令等风险评估情况。
部署方面，数据分类分级支持标准模式部署，能够自动调用生成虚拟机；通过添加数据源，对数据进行静态分类分级，生成数据文件，或对接其他数据安全防护产品。
9.2.2 数据脱敏系统
AiMask数据脱敏系统是一款具有丰富数据库支持度、高性能、高可扩展性的数据脱敏与数据溯源产品。AiMask采用独有的脱敏与水印溯源算法对敏感数据进行去标识化、匿名化处理，例如：固定值替换、置空、乱序、统计特征保留等。其中数据溯源算法多样，除了伪行伪列等市面常见的算法，更有脱敏水印、内容修改水印等隐蔽性强不易绕开的算法予以支持。并且产品附带时间信息的溯源功能，便于用户根据水印追溯泄漏源。
数据脱敏系统的核心功能如下：
敏感数据自动发现：AiMask内置多种发现规则，支持基于数据内容的识别，不仅依赖于用户的元数据管理系统、字段名或字段注释等信息。支持用户基于自身需求自定义规则，实现对敏感数据的自动发现和标识。
丰富的脱敏算法支持：AiMask支持24大类240+种脱敏算法，包括置空、乱序、遮蔽、分割、替换、取整、哈希、仿真（保留业务含义）、密码学、编码、保留类别频次特征、保留数值统计特征、关联关系保留、保留原数据、溯源算法。
灵活的数据抽取：用户可基于自身需要，灵活配置数据抽取的增量条件，AiMask可支持的增量条件包括但不限于以下方式、基于时间戳、基于主键或唯一键、基于分区或分片。
保证数据完整性：数据被清洗后不改变数据原有类型、长度、不包含其他无效信息，不违反原有数据约束。且能将源表的主键、索引、唯一约束自动同步到目标表，避免人工干预，提高脱敏工作效率。
保证业务逻辑关联性：复杂的业务系统中，往往若干表的字段间存在复杂的关联关系，有物理或逻辑上的主外键，AiMask脱敏后可保证此类关联关系不变，物理或逻辑主外键依然可以建立。不会影响系统接入后的正常运行。
保证数据原始特征：根据所配置任务的具体要求，脱敏后的数据逻辑需要与之前保证一致，如手机号脱敏后依然是手机号，身份证脱敏后依然为身份证。因此具有这类要求的数据不能简单的采用字符串替换或遮蔽的方式进行处理，AiMask支持脱敏后的数据必须能够准确反映原始数据的业务属性、数据关联和数据分布特征，满足业务系统的数据规则。如果表或业务系统对数据本身有入库校验，依然可通过该校验，顺利入库。
水印与溯源：支持多种数据水印格式，包括伪行水印、伪列水印、脱敏水印、内容修改水印等。
数据保密性：敏感数据全程不落地，避免产品本身成为数据泄露的一个风险点。
断点续传：支持脱敏任务暂停后，重新开始时从暂停处继续执行，可在业务高峰期时暂停脱敏任务，在业务低峰时继续脱敏任务，从而避免重复脱敏的同时，也能避免的系统资源占用问题，保障业务运行不受影响。
脱敏报表：支持指定时间段内的脱敏任务统计报表，包括并不限于脱敏任务名称、脱敏执行时间、数据库类型、任务概况、脱敏算法分布情况、脱敏数据量占比情况，同时可配置对比时间周期，从而获取脱敏的变化情况。
部署方面，支持标准模式部署，支持自动调用镜像生成虚拟机；导入数据库后对数据进行静态脱敏。
9.2.3 数据库加密
数据库加密系统是安恒信息自主研发设计一款基于国产密码的数据库加密系统，无需更改代码即可实现数据库加密，为用户提供安全合规、易部署的透明存储加密方案。本系统主要有以下模块组成：虚拟加密磁盘、加密文件系统、密钥管理系统、通信模块、系统运行监测模块，具体如下图所示：
数据库加密系统产品核心功能如下：
数据库透明加密：
虚拟加密磁盘用于数据存储时的透明加密，数据在落盘时以密文形式存储在物理磁盘上，保证数据存储的机密性，防止磁盘丢失、非法用户文件拷贝等原因导致的数据泄露。应用读写虚拟加密磁盘的数据时虚拟加密磁盘对读写的数据自动进行加解密，对于应用来说加解密操作无感知。
数据存储完整性校验：
虚拟完整性验证磁盘用于数据存储时的完整性验证，数据在落盘时计算完整性并将结果存储在物理磁盘上，数据在读取时验证数据的完整性，保证数据存储的完整性，防止磁盘数据被非法修改。应用读写虚拟完整性验证磁盘的数据时虚拟完整性验证磁盘对读写的数据自动进行完整性验证，对于应用来说完整性验证操作无感知。
支持多种算法
本产品综合采用SM2、SM3、SM4国家商用密码高强标准加密算法，符合《中华人民共和国密码法》对商用密码的相关要求，同时支持AES等国际算法，为数据加密提供高效的密码运算和加解密服务，保证敏感数据的机密性、真实性、完整性。
密文密钥分离机制
本产品具备独立于数据库系统的密钥管理体系，采用密钥和加密数据分离存储的理念，保证密钥不出设备，确保即使被拖库，数据依然安全。通过密钥分割和协同签名技术，解决针对数据库系统数据加密中私钥存放的安全问题，可保证私钥在数据库存储和使用的安全性。
9.2.4 云API风险监测
由于云计算环境中API的广泛应用，加强对API的风险监测至关重要，以确保云服务的安全性和可靠性。
实时监控API活动：通过日志记录和监控工具实时追踪云平台上的API活动，包括请求、响应、权限变更等。及时发现异常活动或高风险操作可以帮助及早应对潜在的安全威胁。
检测异常行为：使用行为分析和异常检测技术来识别非正常的API行为，如异常频繁的登录尝试、未经授权的API调用等。这有助于快速发现可能的安全事件或攻击。
访问控制和权限管理：审查和管理API的访问控制和权限设置，确保只有经过授权的用户或应用程序可以访问API，并限制他们的权限范围。定期审查权限设置，并根据需要进行调整。
API漏洞扫描：定期进行API漏洞扫描和安全评估，发现并修复存在的漏洞和弱点。这样可以减少恶意攻击者利用漏洞进行入侵或数据泄露的风险。
加密和安全认证：确保API传输过程中的数据加密，采用安全的身份验证和认证机制，如OAuth或API密钥。这可以有效防止中间人攻击和未经授权访问。
监控第三方API使用：对于使用第三方提供的API服务，及时监控其安全状态和合规性，确保第三方API服务符合安全最佳实践和标准。
9.2.5 云数据库运维网关
数据安全问题大多是越权问题，内部权限拥有者访问数据具有门槛低、难度小、回报大的特点，因此做好数据权限管控要从接入管理、身份认证、动态鉴权、访问控制等多方面入手。
数据访问控制技术主要通过数据安全网关实现，原先以主机IP、账户为对象的权限管控在数据安全当中已经不再适用，需要真正实现的多维度身份认证和敏感数据的细粒度访问控制功能以解决数据库自身认证维度单一、缺乏基于数据精细化的访问控制的问题。相较于传统网关以网络为防护对象不同，数据安全网关提供除了IP、账号之外的更细粒度的库、表、字段、具体操作行为的控制。
AiGate数据安全网关系统可通过IP、客户端主机名、操作系统用户名、客户端工具名和数据库账号等多个维度对用户身份进行识别，再结合数据分级分类结果，可以基于安全标记（分级）对进出核心数据服务的访问流量进行高效、精准的解析和精细的访问控制，从而实现对数据的强制访问控制，保障数据不会被越权访问。再根据预设的规则有效的识别各种可疑、违规的访问行为，实时放行或者阻断对应的SQL请求与会话，有效地保障数据安全访问的合规性。
数据库攻击防护：远程随着数据库安全建设的不断，越来越多的数据库安全漏洞也会被数据库安全研究者所发现，漏洞一旦公开，数据库厂商并不能在第一时间对漏洞进行修复并发布升级补丁，即使厂商发布了对应的漏洞升级补丁用户并不敢第一时间对数据库进行升级，AiGate数据安全网关使用数据库虚拟补丁技术，通过控制数据库的请求参数、类型和个数在一定层面防御黑客利用已公开的数据库安全漏洞攻击数据库，对数据库的安全漏洞起到主动的防御作用，极大的保护了未升级漏洞补丁的数据库服务器，有效降低了用户数据篡改和泄露的可能。
9.2.6 零信任系统
AiTrust为提供构建零信任安全体系的基础产品组件和整体解决方案，满足客户内/外网访问、多分支接入、业务上云、移动办公等多种业务场景的安全接入需求，助力企业快速迁移到零信任安全架构。
AiTrust基于“以身份为中心结合终端环境感知技术，构建可信访问，持续动态鉴权、智能运营”的理念，通过互联网暴露面治理、动态终端身份认证、全周期终端环境安全评估、业务资产动态访问控制等核心能力，帮助用户实现流量身份化、权限最小化、信任度量化、业务安全访问的新一代网络安全架构转型。
9.3 密码安全能力
租户安全资源池集成密码服务管理平台，提供包含密钥管理服务、安全通道服务等在内的九项密码安全服务，其安全能力主要由后台的密码服务平台、密钥管理系统、协同签名系统、传输透明加密系统、云密盾加密系统、数据库透明加密系统、签名验签系统提供。
可申请使用相应服务，根据负载动态调整基础密码设施的规模，实现密码运算资源的动态调整和灵活调度，为用户提供按需高效、弹性可扩展的密码服务，保证传输信息的机密性、完整性和有效性，确保设备和用户的身份真实性，同时平台密码服务设计分为密码服务层、密码支撑层、密码资源层以及密码管理后台。其中，三层服务构成从低到高的层级关系，低层可为上层提供密码服务支撑，密码管理后台作为密码服务的支撑与运维平台。
具体产品架构如图所示：
