Data Security Center:Asset Center (New)

Paso 1: Incorporar activos

1. Inicie sesión en la consola de Data Security Center.

2. En el panel de navegación izquierdo, seleccione Asset Center.

3. En la lista de activos de la izquierda, haga clic en el tipo de activo que desea incorporar.

   Activos generales

   Data Security Center admite la sincronización automática para la mayoría de los tipos de activos de datos. Si no encuentra el activo de destino, haga clic en Asset synchronization y actualice la página.

   Nota

   • Sincronización automática: después de autorizar el rol vinculado al servicio, el sistema crea el rol vinculado al servicio AliyunServiceRoleForSDDP y le adjunta la directiva AliyunServiceRolePolicyForSDDP. Todos los días a las 00:00, Data Security Center usa este rol para escanear y sincronizar automáticamente los activos en la nube de su cuenta mediante llamadas a OpenAPI.

   • Sincronización manual: haga clic en Asset synchronization para sincronizar los activos de inmediato.

   Una vez completada la sincronización de activos, Data Security Center agrega un grupo de lista de permitidos llamado ali_sddp_group a la instancia del activo. Este grupo permite que Data Security Center acceda a la información de la base de datos del activo. La lista de permitidos contiene las direcciones IP del servidor de Data Security Center, las cuales varían según la región.

   Self-Managed Database

   Data Security Center admite la incorporación de bases de datos autogestionadas desplegadas en instancias ECS o como activos externos.

   1. Inicie sesión en la base de datos y ejecute el siguiente comando para crear un usuario y otorgar acceso a Data Security Center. Reemplace <allowed_ip_range> en el comando con la IP address range correspondiente a la región de su instancia. El siguiente ejemplo corresponde a MySQL 8.0. Ajuste la sintaxis para otros tipos de base de datos.

      CREATE USER '<username>'@'<allowed_ip_range>' IDENTIFIED BY '<password>';
      GRANT SELECT ON <database_name>.* TO '<username>'@'<allowed_ip_range>';

   2. Vaya a la página Asset Center en la consola de Data Security Center. Si cuenta con una suscripción a Security Center Enterprise o Ultimate Edition, haga clic en Sync Assets para completar la sincronización de activos. De lo contrario, haga clic en Add Self-built Asset y proporcione los siguientes parámetros.

      Parámetro	Descripción
      Database Engine Type	Seleccione uno de los tipos de base de datos compatibles.
      Server Type	Admite la incorporación de ECS Instance y External Assets.
      Region y Instance ID (ECS Instance)	Seleccione la región y el ID de la instancia ECS de destino. Si la instancia ECS de destino no aparece en la lista, haga clic en ECS Asset Sync para actualizarla.
      Region y Instance name (External Assets)	Seleccione la región de la VPC conectada a su red externa e introduzca un nombre de instancia fácil de identificar.
      IP/Domain y Port	Introduzca la dirección IP o el nombre de dominio y el puerto de la base de datos del activo. Es posible agregar varias entradas.

   ADB-PG

   AnalyticDB for PostgreSQL no admite la sincronización automática de activos. Para agregar un activo, haga clic en Add Asset y proporcione los siguientes parámetros.

   Parámetro	Descripción
   Region	Seleccione la región donde se ubica la instancia.
   Instance Name	Seleccione la instancia de destino en la región especificada.
   Database Name	Introduzca el nombre de la base de datos que desea incorporar.
   Username	Introduzca el nombre de usuario para conectarse a la base de datos. Seleccione el nivel de permiso (Read/Write o Read-only) que corresponda a los derechos de acceso reales del usuario en la base de datos.
   Password	Introduzca la contraseña del nombre de usuario especificado.

Funciones compatibles por tipo de activo

A continuación se muestran los tipos de activos que se pueden conectar a DSC y sus funciones compatibles. Además, los activos de ciertas regiones presentan limitaciones de funciones. Para consultar la lista completa de estas limitaciones, consulte Supported regions.

Configuration Risks

• Descripción de la función: esta función detecta riesgos de configuración mediante el análisis de las configuraciones de sus bases de datos, recursos de almacenamiento y activos de big data en Alibaba Cloud. Los riesgos abarcan áreas como la gestión de permisos, el control de acceso, la transmisión cifrada y la recuperación ante desastres. Además, supervisa de forma continua la seguridad de su configuración.

• Cómo habilitarla: localice el activo de destino y haga clic en el interruptor de la columna Configuration Risks para habilitar esta función. Una vez habilitada, vaya a la página Risk Governance > Configuration Risks para gestionar estos riesgos. Para obtener más información, consulte security baseline check.

Data Auditing

• Descripción de la función: audita de manera eficiente los registros de diversas fuentes de datos, como bases de datos y OSS. Utiliza más de 900 reglas integradas para operaciones de alto riesgo con el fin de identificar comportamientos anómalos, fugas de datos, inyecciones SQL y otros riesgos. También admite reglas personalizadas, filtrado de registros multidimensional y alertas en tiempo real.

• Cómo habilitarla: localice el activo de destino y haga clic en el interruptor de la columna Data Auditing para habilitar esta función. Si se trata de una Self-Managed Database, también debe configurar la red e instalar un agente. Para obtener más información, consulte Install an agent. Una vez habilitada, vaya a la página Data Auditing > Native Data Auditing para gestionar las auditorías de datos. Para obtener más información, consulte cloud-native data auditing.

Data Detection and Response

• Descripción de la función: esta función se centra en la prevención de fugas de datos mediante la identificación automática de contenido confidencial, como claves AK de usuario y cadenas de conexión de bases de datos, en los archivos de OSS. Este servicio también detecta el acceso a archivos con claves AK filtradas o anómalas, así como actividades de inicio de sesión irregulares realizadas con cuentas de base de datos comprometidas.

• Cómo habilitarla: localice el activo de destino y haga clic en el interruptor de la columna Data Detection and Response para habilitar esta función. Una vez habilitada, vaya a la página Data Detection and Response > Data Leak para gestionar las fugas de datos. Para obtener más información, consulte Data Detection and Response.

Classification and Grading

• Descripción de la función: DSC proporciona plantillas de identificación de datos confidenciales para sectores como finanzas, energía y automotriz. Con estas plantillas puede identificar la información confidencial de sus activos y gestionar su clasificación y categorización según la ubicación, el tipo y el nivel de sensibilidad.

• Cómo habilitarla: localice el activo de destino, haga clic en el interruptor de la columna Classification and Grading y complete a continuación las siguientes configuraciones en el cuadro de diálogo Enable Classification and Grading.

  Activos generales

  Parámetro	Descripción
  Activation Method	DSC ofrece los tres métodos siguientes para conectarse a los activos de datos durante las tareas de detección de datos. Los métodos de conexión compatibles varían según el tipo de activo. Automatically create database accounts : DSC crea automáticamente una cuenta de solo lectura cuyo nombre comienza con sddp_auto en el activo de datos de destino. DSC utiliza esta cuenta para conectarse a la base de datos e identificar los datos. Nota Si deja de usar DSC, el sistema elimina automáticamente esta cuenta de solo lectura 15 días después de que expire su instancia de DSC. Manually enter username and password: introduzca la cuenta y la contraseña para conectarse a la base de datos de destino. Service-Linked Role Access: DSC utiliza un rol vinculado al servicio para acceder al activo de datos.
  Authorization Scope	Seleccione el alcance de la detección de datos. Algunos tipos de activos solo admiten Entire data source. Entire data source. Manage authorization scope in the data source list: seleccione un alcance de autorización.
  Automatically create and start a default scan task	Si selecciona esta opción, DSC crea inmediatamente una tarea de escaneo predeterminada. Más adelante, puede ir a la pestaña Classification and Grading > Tasks > Identification Tasks y hacer clic en Default Tasks para consultar o configurar la tarea de escaneo predeterminada. Para obtener más información, consulte Scan sensitive data by using an identification task.
  Automatically connect to new databases. (compatible solo con algunos activos de base de datos)	Si se habilita, DSC se conecta automáticamente a las nuevas bases de datos que descubre en una instancia durante la sincronización de activos.

  Self-Managed Database

  Configure los campos Database Name, Database Account, Database Password y Database Port. Puede agregar hasta 20 bases de datos.

• Consulte el estado de conexión de DSC: después de habilitar la función de clasificación y categorización de datos, haga clic en el número situado junto al interruptor para ver el estado de la conexión. El estado inicial es Testing Connectivity. En este estado, DSC comprueba la conectividad cada 30 segundos:

  • Para los activos de base de datos, DSC intenta iniciar sesión en la base de datos con la cuenta y la contraseña configuradas.

  • Para los activos de OSS, DSC verifica que el bucket especificado exista.

  Si la comprobación es exitosa (el inicio de sesión en la base de datos funciona o el bucket de OSS existe), el estado de la conexión cambia a Connected. Si falla, se registra un error. Tras 10 comprobaciones fallidas consecutivas, el estado de la conexión cambia a Connection Failed. En la ventana emergente Data Classification and Grading Enablement Details, la columna Account Connection Status muestra el resultado de la conexión. Si la conexión es exitosa, el estado es Connected y el valor de Data Classification and Grading Status es Enabled.

• Siguientes pasos: vaya a la página Classification and Grading > Asset Insight para consultar la información confidencial identificada, o bien diríjase a la página Classification and Grading > Identification Configuration para configurar las plantillas de identificación de datos confidenciales. Para obtener más información, consulte Sensitive data classification and grading.

Column Encryption

• Descripción de la función: cifra columnas específicas de una base de datos para evitar que usuarios no autorizados accedan directamente a datos confidenciales en texto plano mediante software de la plataforma en la nube o herramientas de conexión a bases de datos. Esto protege de manera eficaz contra amenazas de seguridad internas y externas.

• Cómo habilitarla: localice el activo de destino, haga clic en el interruptor de la columna Column Encryption y complete a continuación las siguientes configuraciones en el cuadro de diálogo Encryption Configuration.

  Importante

  • Requisito previo: antes de configurar el cifrado de columnas, debe habilitar la función de clasificación y categorización de datos, además de completar el escaneo y la identificación de datos.

  • Configuración detallada: esta sección describe únicamente los parámetros obligatorios para configurar el cifrado de columnas en el Centro de activos y lograr un despliegue rápido. Para obtener más información sobre los principios de cifrado y las instrucciones completas de configuración, consulte column encryption.

  Parámetro	Descripción
  Asset Type y Instance Name	El activo de destino ya está preseleccionado. No se requiere ningún ajuste manual.
  Encryption Algorithm	Seleccione un algoritmo de cifrado.
  Encryption Method	Puede utilizar una clave local o una clave de KMS para cifrar los datos. Las claves de KMS solo son compatibles con RDS for MySQL.
  Plaintext Permission Accounts	Configure las cuentas que tienen permitido acceder a los datos en texto plano. Las consultas provenientes de cuentas no configuradas devuelven texto cifrado. Importante Si utilizó el método Manually enter username and password para conectar DSC a su activo de datos al habilitar Classification and Grading, debe establecer esa cuenta de base de datos como Plaintext Permission Accounts. De este modo, garantiza que la cuenta tenga permiso para leer la base de datos y permite que DSC ejecute una clasificación y categorización actualizada.
  Configure Columns	Seleccione las columnas de datos que desea cifrar.

• Siguientes pasos: vaya a la página Risk Governance > Column Encryption para consultar una descripción general del cifrado de columnas confidenciales y gestionar los permisos de las cuentas.

Image Masking

• Descripción de la función: esta función crea una tarea de anonimización de imágenes para buscar información confidencial en las imágenes de un bucket de destino, como números de tarjetas de identidad, matrículas y rostros. A continuación, el servicio anonimiza esta información ocultándola con un rectángulo gris.

• Cómo habilitarla: localice el activo de destino, haga clic en el interruptor de la columna Image Masking y complete a continuación las siguientes configuraciones en el cuadro de diálogo Enable Image Masking.

  Nota

  Si desea identificar y clasificar la información confidencial de las imágenes antes de anonimizarla, debe habilitar la función Classification and Grading para el bucket.

  Parámetro	Descripción
  Task Name	Introduzca un nombre para la tarea de anonimización.
  Masking Scope	Configure qué imágenes se van a anonimizar. DSC escanea todas las imágenes del bucket seleccionado. Si desea aplicar la máscara a todas las imágenes elegibles del bucket, no necesita configurar este parámetro. Si desea aplicar la máscara únicamente a imágenes específicas del bucket, configure este parámetro y luego especifique Match by Prefix o Match by Suffix para definir el método de coincidencia de rutas de archivo dentro del bucket. Por ejemplo, suponga que el bucket contiene las siguientes imágenes que cumplen las condiciones de enmascaramiento: example/dir01/test01.png, example/dir02/test02.jpg, testexample/testdir/testim.jpg y test.jpg. Match by Prefix: si introduce el prefijo example, solo se enmascararán example/dir01/test01.png y example/dir02/test02.jpg. Match by Suffix: si introduce el sufijo jpg, solo se enmascararán test.jpg, testexample/testdir/testim.jpg y example/dir02/test02.jpg.
  Scan Type	Run Now: inicia de inmediato el escaneo y el enmascaramiento de imágenes. Periodic Run: configure un valor en Scheduled Execution Time. DSC enmascara las imágenes incrementales del bucket todos los días a las 00:00:00, según el ciclo configurado. Si desea ejecutar la tarea de inmediato, seleccione Run Again Now.
  Image Type	Seleccione uno o varios tipos de información compatibles para anonimizarlos.
  De-identification Method	Actualmente, solo se admite el enmascaramiento.

• Siguientes pasos: vaya a la página Risk Governance > Image Masking para consultar los detalles de sus tareas de anonimización. Para obtener más información, consulte OSS Image Desensitization.

Activación con un clic

Utilice la activación con un clic para habilitar funciones de manera eficiente en múltiples activos al mismo tiempo.

Para habilitarla: localice el activo de destino, haga clic en Enable en la columna Actions y complete a continuación la siguiente configuración.

Operación y mantenimiento habituales

Descripción general de activos

En la esquina superior derecha de la página Asset Center, puede consultar el número de instancias con funciones habilitadas y el uso de la capacidad de almacenamiento.

En la lista de activos de la izquierda, haga clic en el tipo de activo de destino. En la parte superior de la página aparecerá el número total de activos de ese tipo y el estado de sus funciones. Haga clic en el número bajo "Features disabled" para filtrar los activos por ese estado.

Los estados de las funciones incluyen configuration risk disabled, data classification disabled, data audit disabled y column-level encryption disabled. En la columna Actions de la lista de activos, puede hacer clic en Enable All para habilitar las funciones correspondientes.

Edite las funciones habilitadas

• Classification and Grading: después de habilitar la función Classification and Grading, puede consultar el estado de autorización y conexión de DSC para ciertos activos a la derecha del interruptor.

  Haga clic en el número situado a la derecha del interruptor para abrir un panel donde podrá realizar las siguientes operaciones en la base de datos de destino (o en el logstore de SLS):

  • Autorizar a DSC: seleccione la base de datos o el logstore de destino y haga clic en Batch Enable. Si no seleccionó Automatically create database accounts al habilitar la función Classification and Grading, debe introducir la cuenta y la contraseña de la base de datos en el cuadro de diálogo y, a continuación, hacer clic en OK.

  • Revocar la autorización de DSC: seleccione la base de datos o el logstore de destino, haga clic en Bulk Disable y, a continuación, haga clic en OK en el cuadro de diálogo.

  • Agregar una base de datos (solo MongoDB): haga clic en Add Database. En el cuadro de diálogo, introduzca los valores de Database Name, Database Account y Database Password, y luego haga clic en OK.

  • Modificar el nodo de descubrimiento (solo MongoDB): de forma predeterminada, DSC descubre los datos desde el nodo secundario. Para cambiarlo, haga clic en el icono de la columna Node. En el cuadro de diálogo Edit, modifique los ajustes y haga clic en OK. El cambio en la configuración del nodo surte efecto en la siguiente tarea de descubrimiento.

• Column Encryption: después de habilitar la función Column Encryption, puede consultar el estado de las columnas cifradas de la instancia de base de datos a la derecha del interruptor.

  Haga clic en el número situado a la derecha del interruptor para abrir un panel donde podrá modificar ajustes como Encryption Algorithm y Account Permissions. Para obtener más información, consulte Configure column-level encryption for a database.

  En la lista de gestión de activos de Data Security Center, aparece información como Encrypted Columns 1/5 a la derecha del interruptor en la columna Column-level encryption. Esto significa que 1 de las 5 columnas de la instancia está cifrada.

Rangos de IP de DSC para el acceso a bases de datos