O Security Center permite que administradores registrem recursos de identificação de riscos no DataWorks como extensões. Essas extensões funcionam como regras para detectar riscos em operações de usuários. Quando um usuário executa uma operação com uma regra de identificação de riscos definida em um serviço do DataWorks, o sistema aciona a regra para avaliar se há risco. Se a operação for considerada arriscada, o sistema executa uma resposta conforme a política configurada. A operação é classificada como arriscada se a extensão relacionada retornar Failed ou Warning. Este tópico descreve como configurar uma regra de identificação de riscos e definir a resposta para a operação arriscada identificada.
Informações básicas
O Security Center oferece recursos de identificação e resposta a riscos com base em extensões. Use as extensões padrão fornecidas pelo DataWorks para gerenciar operações de alto risco diretamente. Também é possível usar a Open Platform do DataWorks para desenvolver e implantar uma extensão como regra de identificação de riscos, permitindo identificar riscos em cenários mais complexos. Essa abordagem estende os recursos da sua plataforma interna de gerenciamento de riscos ao DataWorks.
Limites
Configure a resposta a riscos apenas para extensões cujo tipo de ponto de extensão seja pre-event for data download (file generation) e cujo status seja Published. Para obter informações sobre a lista de eventos de ponto de extensão suportados por uma extensão e os estados da extensão, consulte Lista de eventos de ponto de extensão suportados e Publicar e gerenciar extensões.
Defina a política de resposta a riscos apenas como Approval ou Blocking.
Apenas usuários RAM com a política AliyunDataWorksFullAccess anexada e membros do workspace com a função de administrador de tenant ou administrador de segurança de tenant podem criar e gerenciar regras de identificação de riscos. Para mais informações, consulte Visualizar permissões de usuário RAM e Gerenciar permissões de usuário RAM.
Eventos de operação suportados
Pré-evento para download de dados (geração de arquivo)
Pré-evento para upload de dados
Acesse a página Risk identification rules
Faça login no console do DataWorks.
No painel de navegação à esquerda, escolha Data Governance > Security Center. Na página Security Center, clique em Go to Security Center.
Na barra de navegação superior, clique em Security policy. No painel de navegação à esquerda, clique em Risk identification rules.
Configure uma regra de identificação de riscos
Na página Risk identification rules, a coluna Extension Name exibe todas as extensões usadas para processar um tipo específico de evento abaixo do nome da operação relacionada. Essa coluna mostra uma extensão padrão fornecida pelo Security Center para processar determinado tipo de evento. Se a extensão padrão não atender às suas necessidades de negócio, desenvolva uma extensão baseada nos seus requisitos de gerenciamento de riscos e registre-a no DataWorks pela página Extensions no console do DataWorks. Se a extensão processar eventos suportados pelas regras de identificação de riscos no Security Center, ou seja, quando o tipo de evento do ponto de extensão for pre-event for data download (file generation), o sistema adicionará automaticamente a extensão desenvolvida ao Security Center como uma regra de identificação de riscos.
Descrição de uma regra de identificação de riscos padrão
O evento pre-event for data download (file generation), suportado pelo Security Center, serve como exemplo. Se uma extensão padrão usada para trigger request processing estiver ativada no Security Center, o sistema aplicará a política de resposta a riscos Approval à operação de download de dados em todos os workspaces.
As extensões padrão no Security Center suportam apenas políticas de processamento de solicitações com efeito em todos os workspaces. Portanto, selecione global como escopo efetivo da política de processamento de solicitações configurada para uma extensão padrão. Para mais informações, consulte Criar uma política de aprovação.
Desenvolva uma regra de identificação de riscos personalizada
Clique em Create Extensions. A página Extensions da Open Platform será aberta.
-
Desenvolva uma extensão na página Extensions da Open Platform. Para mais informações, consulte Procedimento.
Registre lógicas existentes de identificação de riscos do seu ambiente local como uma regra de identificação de riscos no Security Center do DataWorks. Alternativamente, desenvolva a lógica de identificação de riscos localmente com base em cenários reais e registre-a como uma extensão do DataWorks.
NotaApenas extensões cujo tipo de ponto de extensão seja pre-event for data download (file generation) podem ser adicionadas automaticamente como regras de identificação de riscos no Security Center. Portanto, selecione o tipo pre-event for data download (file generation) para o ponto de extensão ao registrar uma extensão.
Configure uma resposta a riscos
Localize a extensão desejada e clique em Configure Response na coluna Operation.
-
Configure a resposta a riscos.
Dois tipos de políticas de resposta têm suporte: Blocking e Approval:
Blocking: Se a extensão personalizada retornar Not Passed, o sistema executará uma operação de bloqueio por padrão. Ou seja, se a extensão for acionada para identificar operações arriscadas e retornar Not Passed, o sistema bloqueará imediatamente a operação arriscada realizada pelo usuário atual. Por exemplo, se o Usuário A fizer download de dados e a extensão responsável por verificar operações de download for acionada e retornar Not Passed, a operação de download do Usuário A será interrompida.
-
Approval: Se a extensão retornar Warning e você tiver adicionado uma política de resposta de processamento de solicitações, o sistema acionará automaticamente o procedimento de processamento associado à extensão.
NotaUma extensão padrão do Security Center retorna um estado de aviso (warning) por padrão. Nesse caso, configure uma política de resposta de processamento de solicitações para o evento relacionado.
-
Configure uma política de processamento de solicitações.
Na página View and configure risk response, clique no ícone
para adicionar uma política de processamento de solicitações existente. Se as políticas disponíveis não atenderem às suas necessidades de negócio, clique em Create an approval policy para criar uma nova política. Para mais informações, consulte Políticas de aprovação para extensões.
Para uma extensão com Risk Response definida como Approval, se o resultado da verificação do evento que aciona a extensão for Warning, o sistema acionará a política de processamento de solicitações configurada no workspace correspondente.
-
Uma extensão global entra em vigor em todos os workspaces após a ativação. Se nenhuma política de resposta estiver configurada para uma extensão global em um workspace específico, o evento relacionado passará pela verificação por padrão e o processo não será bloqueado. Tome como exemplo a extensão usada para verificar a operação relacionada ao pre-event for data download (file generation). Quando ativada, a operação de download de dados em todos os workspaces fica bloqueada até que a extensão retorne um resultado. Procedimentos subsequentes caso a extensão retorne um estado de aviso:
Se houver uma política de processamento de solicitações configurada para o workspace onde a operação de download foi identificada, o sistema acionará automaticamente o procedimento de processamento.
Caso não exista uma política de processamento de solicitações configurada para o workspace onde a operação de download foi identificada, o download dos dados ocorrerá normalmente.
NotaQuanto menor o valor de prioridade da política de processamento de solicitações, maior será sua prioridade.
Se uma operação corresponder a múltiplas políticas de processamento de solicitações, o sistema usará a política com maior prioridade.