

天翼爱音乐：全链路数据流动风险的监测与防护

数智安全行动计划

2023-06-12

导读：随着AI、云计算、5G等数字技术的快速发展，围绕着“音乐+”的数字业态融合服务逐渐转型升级，数字音乐生态产业

随着AI、云计算、5G等数字技术的快速发展，围绕着“音乐+”的数字业态融合服务逐渐转型升级，数字音乐生态产业链日益丰富。数字音乐的创新发展为行业带来了无限发展可能，也给企业带来了不小的数据安全防护压力。如何筑牢数据安全屏障，守护海量数据流动安全，对作为国内领先、主流的数字音乐服务提供商——爱音乐来说，显得尤其急迫。

目前，爱音乐虽然一直积极、持续地开展数据安全建设的落地实施，但随着其视频彩铃区域业务的快速增长，业务数据流动频繁性也在日趋上升。由于现阶段的安全建设缺乏体系主次，没有充分考虑到业务数据流动的复杂性，导致爱音乐内部的数据安全能力较为单薄，没有形成整体性的闭环链路，存在一定的局限性，主要表现在以下几个方面：

分类分级建设落后：目前爱音乐的数据分类分级建设只实现了基于数据库的分类分级，缺乏基于流量的数据分类分级，对API资产0掌握；此外，分类分级结果只能查看不能共享，无法支持动态的数据分类分级保护。
数据风险评估繁琐：爱音乐各业务模块的需求变化快，但缺乏统一的数据安全风险评估框架，导致风险评估流程繁琐、难度高；此外，其数据安全风险评估覆盖面不全，对个人信息风险、数据出境等安全风险评估不足
数据风险监测不足：当前爱音乐仅支持基于数据安全日志的安全审计及风险监测，覆盖率低、应用配合改造工作量大且信息链不够完整，缺乏对应用层数据安全风险监测和审计能力。
制度建设存在差距：虽然爱音乐现有的管理制度及技术运营体系建设取得了长足进步，但是跟相关法律法规以及行业标准要求还有一定差距，未能覆盖数据全生命周期。
产品运营人效低下：虽然爱音乐具备主动的数据安全意识，但其数据安全防护技术体系建设产品不全，效率低下，整体环节仍需加强打通，以发挥内部管理和技术人员最大的能效性。

为进一步落实《数据安全法》、《基础电信企业数据分类分级方法》、《基础电信企业重要数据识别指南》等法律法规，切实保护电信行业的关键信息基础设施数据安全，赋能数字音乐生态拓展和应用，通过各方面的综合考量，爱音乐研究决定启动以“全链路数据流动风险监测”为方向的数据安全治理建设工作。

天翼爱音乐数据安全建设目标

结合当前业务发展现状及安全基础设施情况，聚焦数据流动场景风险监测难题，以“数据流向可见、数据风险可知、数据安全可管”为安全目标，爱音乐明确了全链路数据流动风险监测思路，即以数据分类分级为基础底座，重新构建一条体系化、平台化的能力实施路径，落实“数据资产扫描识别”、“接口安全管理能力”、“数据分级分类”等技术体系，打破目前数据安全能力碎片化的困局，满足数据流动场景下的链路测绘和风险监测。整体建设目标如下：

建设全域资产识别管理能力：实现全域资产识别，基于一个平台完成应用资产、数据库资产、邮件资产、文件资产梳理，同时结合分类分级结果对全域数据资产进行统一标记与管理。
建设数据安全风险评估能力：全面评估应用接口、数据库脆弱性，识别现存的口令认证类、访问权限类、数据暴露类等风险，了解系统数据安全脆弱性现状；采用数据安全评估工具优化数据安全评估流程，减少人力投入。
建设风险行为实时监测能力：从实际业务场景出发，采用UEBA的设计思路，沉淀符合业务安全的风控模型，包括数据异常访问风险、数据泄露风险、越权访问风险等风险场景。
建设数据安全态势感知能力：设计数据安全风险模型和度量指标体系，完善数据安全态势场景覆盖面。

天翼爱音乐数据安全建设实践

围绕数据流动链路场景分析，爱音乐通过建设“全链路数据流动风险监测平台”，打通了内部数据安全监测的全链路流程，实现了基于一个平台即建立应用层与数据库层数据安全自识别及评估能力，重构并加固了数据分类分级的安全底座，构建了数据流动风险感知与监控机制，对数据安全风险隐患进行全面评估并实时监测预警。项目技术建设方案共分为2个阶段：

阶段一：建设数据流动风险监测单点能力

完成多个单点风险监控工具的建设，结合数据分类分级清单，通过“全链路数据流动风险监测平台”汇集有关数据操作行为，通过关联技术（会话关联）、日志分析等实现全链路的操作行为分析能力，完整展现用户的数据访问行为分析模型（UEBA），提高数据安全深度监测能力。关键技术点实现如下：

数据识别和发现：部署数据分类分级系统，自动探测用户所在网段的数据服务，通过扫描IP端设备流量信息来检测数据资产，发现数据库分布，数据级别可以为服务实例－数据库－表－字段，最终探测到的数据资产以数据目录的形成在对应模块中呈现。
敏感数据自动识别：对探测到的数据进行自动化识别，发现敏感数据；通过正则表达式、js脚本等方式对敏感数据的识别，实现对业务敏感数据的非通用型数据的自动化识别，快速、精准地梳理能源大数据中心业务敏感数据和重要数据。
数据流量采集和分析：通过并联采集（镜像或分光）或串联采集的方式，在不影响正常网络通信的前提下将进出流量发送至采集服务器，对视频彩铃生产区网络出入口的数据及重要敏感信息存储服务器的网络汇聚层的数据进行采集。
数据流动监测体系：以流量构成入手，以流量流转情况为核心，结合大数据处理技术，对海量流量进行流量分析、性能分析、协议分析和流动分析，提供数据流动监测能力。

阶段二：建设全栈式数据安全监测体系

以“全链路数据流动风险监测平台”为总平台，爱音乐将已经部署的安全设备进行联动打通，将各安全设备的数据汇聚至平台做统一的数据关联分析，绘测出“终端－应用－数据库”的数据全链路关系图，实现数据三层关联审计；同时利用平台实现安全策略一键下发、设备一键管理，解决了目前数据安全设备单点部署管理难，设备数据不同步、不共享的数据孤岛问题，建立真正意义上的数据安全生态体系。

数据接口安全管理和分析识别：根据接口流量分析、识别数据流量接口并统计、对敏感数据交互进行分析监测，对于违规或非法调用数据的接口发送告警，对业务系统所关联的接口通过网络流量画像进行识别。
数据接口流量分析和监测：对HTTP、FTP、SMTP等数据接口进行管理，通过对流量的采集和还原，筛选出数据接口流量，并结合数据敏感级别划分规则库，提供对接口敏感数据传输情况的监测能力；通过对数据资产分类分级结果及接口流量抽样分析，监测出数据对外开放情况，发现数据异常流转及违规开放安全事件。
全链路的数据安全能力统一展示：对接数据流动监测子平台、数据安全防护设备，接入4A系统、数据流动监测子平台、数据安全防护设备等外部系统或设备的数据资产管理、数据脱敏管理、访问和操作行为审计管理、接口安全管理的日志，实现对敏感数据资产分布等进行动态展示和分析。

天翼爱音乐数据安全建设亮点

从项目立项到后续的落地实践，爱音乐明确了针对业务流动发展所要求的全链路数据流动安全的治理思路和目标，优化并形成了一套自上而下的管理机制和技术体系；同时，通过建设“全链路数据流动风险监测平台”，实现了基于一个平台的闭环数据安全能力搭建，在“产品、技术、组织、机制”等方面都实现了高质量的数字化创新，为自身业务发展提供了长足驱动力。在项目实施过程中，爱音乐在分类分级、弱点评估、风险识别等方面都取得了显著成果，逐步形成了高质、高效的流动数据风险监测体系：

1.制定标准，落实数据分类分级：作为一家头部的运营商音乐科技公司，爱音乐的数据资产类型既包含运营商数据也覆盖互联网数据。在设计制定数据分类分级标准的时候，爱音乐充分参考运营商行业多种标准，定制了既符合工信部监管要求也符合企业自身业务属性的分类分级模板；此外，针对23万海量的无字段描述且数据样例缺失的字段，爱音乐快速厘清字段真实含义，在优化元数据质量后再开展数据分类分级；最后对数据分类分级结果进行复核，针对多标签字段重点分析，制定了多维度数据识别策略，解决了样例数据存在较多空值、整体数据质量偏低、字段描述与实际不一致等问题。

2.精确定位，应用账号权限关联：由于爱音乐的业务发展速度快，其内部存在复杂繁多的信息系统，API接口将近40w个。基于多个业务系统登录现状的汇总、分析，爱音乐制定了账号提取方案：通过精确定位SSO系统登录接口，提取接口内账号字段与登录凭证字段，利用登录凭证字段关联账号经过统一认证平台后跳转的访问操作，实现账号提取以及操作关联；同时，针对组织架构信息缺失的情况，通过导入组织架构将信息，基于账号内容相似度关联账号的权属人、部门、职位、角色等信息，实现账号与内部人员权限关联。

3.科学部署，风险模型基线提取：当前爱音乐产品内置的风险模型基线与用户业务实际基线有偏差，出现了较多因正常业务行为而产生的误报风险；同时，爱音乐内部13个部门之间的部门人员，在访问相同应用的情况下存在风险基线不一致的情况，导致人力成本投入巨大。爱音乐通过部署动态风险识别模型，基于模型内植入的“人员离群风险”，以部门视角出发，利用机器学习提取部门内人员操作平均历史基线，同时比对人员基线与部门历史基线偏离情况，一旦偏离过大将自动告警；基于机器学习自动提取基线，大幅减少人工针对不同部门提取不同基线的繁琐步骤。

4.持续优化，接口弱点全面排查：爱音乐的业务流量存在大量的弱点接口，包括接口未鉴权、接口可遍历、单次数据返回类型过多等，内部缺少人员进行接口弱点的真实性验证以及弱点基线运营，导致出现部分误报。结合“全链路数据流动风险监测平台”能力，爱音乐对发现的弱点接口开展渗透测试，确保弱点接口的真实有效；同时对弱点基线进行优化，减少误报情况；针对单次数据量过大的恶弱点，爱音乐结合实际业务调用场景调整数据返回量，使弱点发现更加贴合业务场景。

通过“全链路数据流动风险的监测与防护”项目建设，爱音乐全面掌握了数据资产状况，可以依据工信部规定的重要数据和核心数据范围进行合规报送；通过全栈数据风险监测体系的建设，爱音乐打通了数据安全监测全链路流程，及时对数据安全风险隐患进行评估和预警；同时，通过平台化统一管理，整合数据安全单点能力，减少人员运营投入，提升安全响应效率，降本增效，为数字音乐云服务行业的数据安全建设起到了标杆作用。