数据防泄漏的关键技术有哪些

一、数据防泄漏的关键技术有哪些

在当今数字化时代，保护敏感信息免受泄露已成为企业安全的首要任务。数据防泄漏技术（DLP）通过一系列先进的方法，如关键字检测、标识符技术、文件识别、数字指纹、机器学习和光学字符识别（OCR），为企业提供了一道坚固的防护网。下面，让我们深入探讨这些核心技术的运作原理。

关键字检测是DLP的基础，它能识别和匹配任何预设的字词或短语，无论它们以何种常见的分隔符出现。用户可以根据需要设定大小写敏感性，并灵活配置每个条件的关键字数量，确保对敏感信息的精确识别。

这种技术采用精确的模式匹配和准确性验证，例如识别信用卡号和社会安全号。数据标识符包含行业特定的数字范围信息，帮助过滤误报，识别诸如信用卡号、PCI数据安全标准磁条数据等特定类型的数据，确保数据的精准分类和保护。

在内容分析前，文件识别技术先确保文件正确处理，提取关键信息。天空卫士DLP凭借其高效引擎，能准确识别并分析各种文件类型，进行深度语义分析，找出关键信息进行处理。

分为结构化（EDM）和非结构化（IDM）两种。EDM用于数据库记录，IDM适用于文档和图纸。通过加密敏感数据的指纹，策略管理平台持续监控，即使是加密后的PDF附件，网络DLP也能识别其潜在威胁。

机器学习通过学习大量样本，构建模型，可以高效地对数据进行分类和预测，尤其在处理海量无固定格式数据时，其对新数据的适应性使它成为DLP中的关键力量。

OCR技术能解析图片和打印文件中的文字，对网络、邮件和存储中的信息进行实时安全策略检查，有效防止图像文件中的敏感信息泄露。

这些技术的结合，形成了数据防泄漏的立体防护网，确保企业数据的安全性。通过科学应用，企业可以有效防止数据泄露，保护核心竞争力。希望这些信息对您有所帮助，关注我们的动态，持续获取更多数据安全领域的前沿知识。

二、数据防泄漏的国内外产品基本状况

国外的Oracle数据库加密产品相对较多，产品相对成熟。但面临着不能集成国产的加密算法、不符合国家安全政策，不能利用密文索引进行范围查询，造成性能严重下降等问题，因此以上产品在我国尚未得到有效应用。国内的数据库安全增强产品往往采用应用层加密存储或者前置代理的技术实现方式。应用层加密方式的缺点是应用必须对数据进行加解密，增加编程复杂度；加密后的数据不能作为条件进行检索；同时对于已有的系统无法透明实现应用改造。前置代理的重要缺陷是应用必须进行现有程序的改造，使用加密前置代理提供的API；另外大量的Oracle重要特性将无法使用，如存储过程、函数等。

一、SecGateway文档安全网关用于企业数据中心与办公网络有效隔离的嵌入式专用设备。采用链路加密的方式，实现客户端的准入，从文件在企业的使用流程入手，将数据泄露防护与企业现有 OA系统、文件服务系统、ERP系统、CRM系统等企业应用系统完美结合，对通过网关的文档数据进行透明加解密工作，有效解决文档在脱离企业应用系统环境后的安全问题。为企业部署的所有应用系统提供有效的安全保障。

1.完成安全网关和企业现有应用系统无缝集成，自动完成对经过网关的数据进行强制加解密——上传解密，下载加密；

2.加密客户端通过 SecGateway，正常访问应用系统服务器；

3.非涉密客户端计算机，在通过安全网关时，会被安全网关筛选和拒绝，无法通过 SecGateway访问 OA/PDM服务器。

二、安华金和数据库保险箱系统(简称DBCoffer)是一款Oracle数据库安全加固系统，该产品能够实现对Oracle数据的加密存储、增强权限控制、敏感数据访问的审计。DBCoffer可以防止绕过防火墙的外部数据攻击、来自于内部的高权限用户的数据窃取、以及由于磁盘、磁带失窃等引起的数据泄密。

数据库保险箱DBCoffer的核心价值是：

1、防止硬件存储设备引起的泄密，当数据以明文形式存储在硬件设备上时，无论是数据库运行的存储设备，还是用于数据备份的磁带，若发生丢失或者维修，都会存在相应的数据丢失风险。一旦使用了数据库保险箱，无论是运行环境的硬件存储设备，还是数据备份的磁带，敏感数据都是以加密的形态存储的，从而有效地防止了由于硬件丢失或硬件维修等无意识的泄密。

2、防止操作系统文件引起的数据泄密，通常Oracle的数据是以明文的形式存储在操作系统的文件中；通过对文件系统的访问，就会访问到敏感数据。这样，该主机的操作系统管理员和高权限用户都可以接触到这些敏感数据。另外通过网络访问到这些文件的用户，也可以接触到这些敏感数据。一旦使用了数据库保险箱，敏感数据都是以密文的形式存储在操作系统上，从而有效防止了由操作系统文件引起的数据泄密。

3、防止数据库超级用户进行的数据窃取，在Oracle中，以sys和system为代表的数据库管理员用户，具有至高无上的权利，可以访问到任何数据；在大型企业和政府机构中，除了系统管理员，以用户数据分析人员、程序员、开发方维护人员为代表的特权用户，也可以访问到敏感数据。这些都为数据的泄密，留下了极大的隐患。

数据库保险箱通过独立于Oracle权限控制之外的安全权限体系，对数据的加解密进行了独立的控制。由安全管理员负责决定哪些数据库用户有权访问敏感数据的明文信息；防止DBA成为不受控制的超级用户的同时，又可以使DBA和开发人员正常地工作。

4、防止外部入侵进行的数据破解，随着Internet、无线网络的普及，黑客有了更多办法绕过防火墙和入侵检测系统，到用户的业务系统中进行窥视；当数据以明文的形式暴露在文件系统和数据库中时，黑客很容易获得敏感数据。当我们对数据进行了有效加密保护，再厉害的黑客，在不掌握密钥的情况下，都无法获得敏感数据的明文信息。

三、secdocx数据安全保护系统是广东南方信息安全产业基地公司，依据国家重要信息系统安全等级保护标准和法规，以及企业数字知识产权保护需求，自主研发的产品。它以全面数据文件安全策略、加解密技术与强制访问控制有机结合为设计思想，对信息媒介上的各种数据资产，实施不同安全等级的控制，有效杜绝机密信息泄漏和窃取事件。

数据安全保护系统的保护对象主要是政府及企业的各种敏感数据文档，包括设计文档、设计图纸源代码、营销方案、财务报表及其他各种涉及国家机密和企业商业秘密的文档，可以广泛应用于政府研发、设计、制造等行业。

1.透明加解密技术：提供对涉密或敏感文档的加密保护，达到机密数据资产防盗窃、防丢失的效果，同时不影响用户正常使用。

2.泄密保护：通过对文档进行读写控制、打印控制、剪切板控制、拖拽、拷屏/截屏控制、和内存窃取控制等技术，防止泄漏机密数据。

3.强制访问控制：根据用户的身份和权限以及文档的密级，可对机密文档实施多种访问权限控制，如共享交流、带出或解密等。

4.双因子认证：系统中所有的用户都使用USB-KEY进行身份认证，保证了业务域内用户身份的安全性和可信性。

5.文档审计：能够有效地审计出，用户对加密文档的常规操作事件。

6.三权分立：系统借鉴了企业和机关的实际工作流程，采用了分权的管理策略，在管理方法上采用了职权分离模式，审批，执行和监督机制。

7.安全协议：确保密钥操作和存储的安全，密钥存放和主机分离。 DBCoffer产品，相对于市场上的其它产品在政策符合性、性能和应用透明性上具有明显优势，下面重点就国外产品和国内产品进行对比分析。

与普通的数据库安全加固产品的竞争分析：

这种产品针对数据库管理系统的漏洞及潜在的风险进行检测。它可以对数据库系统的各项设置、数据库系统软件本身已知漏洞、数据库系统完整性进行检查和对数据库系统的整体安全性做出评估，并给出提高数据库安全性的修复建议。这种产品重要的是对现有的数据库系统在认证、授权上配置漏洞、数据局库补丁漏洞进行扫描，并不能对现有的数据库进行安全增强，与DBCoffer不是一类产品。

数据库审计作为信息安全审计的重要组成部分，同时也是数据库管理系统安全性重要的一部分。安全审计类产品的优势在于时候的追终与分析。DBCoffer除了具有对敏感数据的访问审计能力，同时也具备了数据库的加密功能、独立于Oracle的授权控制体系，这是DBCoffer的最大竞争优势。DBCoffer比起数据库审计产品能多提供以下几个方面的数据库安全防范能力：防止DBA等高权限用户访问敏感数据、防止来自于文件层的数据窃取、防止硬件丢失的安全风险。

这一类的产品从数据库的认证、授权和审计均进行了有效增强，但是必须有几个限制：

（1）应用系统要经过改造，要使用该产品提供的应用接口

（2）DBA进行数据维护必须使用该产品提供的管理终端

总体上，DBCoffer不存在以上限制，与相关其他产品相比具有几大优势：更符合国家安全政策、性能更好、服务更好、更为透明、Oracle功能更为无损。 Data loss prevention指以内容为核心的控制手段，对文件的内容生成指纹记录，通过终端，网关，存储，对文件进行控制，例如，密级文件外发时被网关拦截。

三、数据库的安全策略有哪些

计算机安全是当前信息社会非常关注的问题，而数据库系统更是担负着存储和管理数据信息的任务，因而如何保证和加强其安全性，更是迫切需要解决的热门课题。下面将讨论数据库的安全策略，并简单介绍各种策略的实现方案。

数据库安全策略是涉及信息安全的高级指导方针，这些策略根据用户需要、安装环境、建立规则和法律等方面的限制来制定。

数据库系统的基本安全性策略主要是一些基本性安全的问题，如访问控制、伪装数据的排除、用户的认证、可靠性，这些问题是整个安全性问题的基本问题。数据库的安全策略主要包含以下几个方面：

数据库是建立在主机硬件、操作系统和网络上的系统，因此要保证数据库安全，首先应该确保数据库存在安全。预防因主机掉电或其他原因引起死机、操作系统内存泄漏和网络遭受攻击等不安全因素是保证数据库安全不受威胁的基础。

数据库使用安全是指数据库的完整性、保密性和可用性。其中，完整性既适用于数据库的个别元素也适用于整个数据库，所以在数据库管理系统的设计中完整性是主要的关心对象。保密性由于攻击的存在而变成数据库的一大问题，用户可以间接访问敏感数据库。最后，因为共享访问的需要是开发数据库的基础，所以可用性是重要的，但是可用性与保密性是相互冲突的。

正确理解系统的硬件配置、操作系统和网络配置及功能对于数据库存在安全十分重要。比如对于硬件配置情况，就必须熟悉系统的可用硬盘数量，每个硬盘的可用空间数量，可用的CPU数量，每个CPU的Cache有多大，可用的内存数量，以及是否有冗余电源等问题；对于操作系统，则应该周期性的检查内存是否有泄漏，根文件系统是否需要清理，重要的日志是否已经察看；对于网络就应该随时确保网络没有过载，网络畅通、网络安全是否得到保证等等。因为这一部分不是本文的重点，所以不再一一细述，总之，这三方面的安全运行是和维护数据库存在安全不可分割的。

数据库的完整性包括库的完整性和元素的完整性。

数据库的完整性是DBMS(数据库管理系统)、操作系统和系统管理者的责任。数据库管理系统必须确保只有经批准的个人才能进行更新，还意味着数据须有访问控制，另外数据库系统还必须防范非人为的外力灾难。从操作系统和计算系统管理者的观点来看，数据库和DBMS分别是文件和程序。因此整个数据库的一种形式的保护是对系统中所有文件做周期性备份。数据库的周期性备份可以控制由灾祸造成的损失。数据库元素的完整性是指它们的正确性和准确性。由于用户在搜集数据、计算结果、输入数值时可能会出现错误，所以DBMS必须帮助用户在输入时能发现错误，并在插入错误数据后能纠正它们。DBMS用三种方式维护数据库中每个元素的完整性：通过字段检查在一个位置上的适当的值，防止输入数据时可能出现的简单错误；通过访问控制来维护数据库的完整性和一致性；通过维护数据库的更改日志，记录数据库每次改变的情况，包括原来的值和修改后的值，数据库管理员可以根据日志撤消任何错误的修改。

数据库的保密性可以通过用户身份鉴定和访问控制来实现。

DBMS要求严格的用户身份鉴定。一个DBMS可能要求用户传递指定的通行字和时间日期检查,这一认证是在操作系统完成的认证之外另加的。DBMS在操作系统之外作为一个应用程序被运行，这意味着它没有到操作系统的可信赖路径，因此必须怀疑它所收的任何数据，包括用户认证。因此DBMS最好有自己的认证机制。

访问控制是指根据用户访问特权逻辑地控制访问范围和操作权限。如一般用户只能访问一般数据、市场部可以得到销售数据、以及人事部可以得到工资数据等。DBMS必须实施访问控制政策，批准对所有指定的数据的访问或者禁止访问。DBMS批准一个用户或者程序可能有权读、改变、删除或附加一个值，可能增加或删除整个字段或记录，或者重新组织完全的数据库。

数据库的可用性包括数据库的可获性、访问的可接受性和用户认证的时间性三个因素。下面解释这三个因素。

首先，要访问的元素可能是不可访问的。例如，一个用户在更新几个字段，其他用户对这些字段的访问便必须被暂时阻止。这样可以保证用户不会收到不准确的信息。当进行更新时，用户可能不得不阻止对几个字段或几个记录的访问通道，以便保证数据与其他部分的一致性。不过有一点要注意，如果正在更新的用户在更新进行期间退出，其他用户有可能会被永远阻止访问该记录。这种后遗症也是一个安全性问题，会出现拒绝服务。

记录的一个或多个值可能是敏感的而不能被用户访问。DBMS不应该将敏感数据泄露给未经批准的个人。但是判断什么是敏感的并不是那么简单，因为可能是间接请求该字段。一个用户也许请求某些包含敏感数据的记录，这可能只是由非敏感的特殊字段推出需要的值。即使没有明确地给出敏感的值，数据库管理程序也可能拒绝访问这样的背景信息，因为它会揭示用户无权知道的信息。

为了加强安全性，数据库管理员可能允许用户只在某些时间访问数据库，比如在工作时间。