DataWorks:Riscos de segurança

Built-in risk check items

O DataWorks fornece itens de verificação de risco integrados para cenários comuns. Você também pode criar itens personalizados com base nas suas necessidades de segurança de dados. A tabela a seguir descreve alguns dos itens de verificação de risco integrados.

A lista real de itens integrados pode variar e está sujeita ao que é exibido no console. O DataWorks continua adicionando novos itens de verificação de risco integrados nas versões subsequentes.

Itens de verificação de risco personalizados

Crie regras de identificação de risco detalhadas combinando dimensões como alvos monitorados, tipo de operação, volume de dados, frequência, operador e horário. O sistema analisa os logs de operação de dados com base nas regras ativadas e gera os eventos de risco correspondentes.

1. Na página Security Risk, clique na aba Risk Detection Item.

2. Clique em New Test Item para configurar um item de verificação personalizado. As tabelas a seguir descrevem os parâmetros.

   • Informações básicas: Define as propriedades básicas e os metadados do item de verificação.

     Parâmetro	Obrigatório	Descrição
     Policy name	Sim	O nome do item de verificação, que deve refletir claramente sua finalidade de monitoramento. Exemplo: "Detecção de exportação em massa de informações de clientes principais".
     Type of Risk	Sim	Categoriza o risco para análise e gerenciamento subsequentes. Behavioral risk: Uma operação realizada por um usuário ou conta do sistema que pode representar um risco à segurança. Turnover Risk: Um risco que pode surgir quando os dados são transmitidos entre diferentes sistemas, aplicações ou limites de rede.
     Risk Level	Sim	Define a gravidade do risco que este item de verificação detecta. O sistema usa esse nível para agregar riscos e acionar alertas. High-risk: Uma atividade que pode levar a uma violação grave de dados, interrupção dos negócios ou um grande problema de conformidade. Med: Uma atividade que pode representar uma ameaça potencial à segurança e requer atenção e auditoria da equipe de segurança. Low-risk: Uma operação não padrão, normalmente usada para fins de auditoria ou estatísticos.
     Note Information	Não	Uma descrição detalhada do item de verificação, como sua justificativa, o cenário de negócios específico que monitora ou as informações de contato do responsável relevante.

   • Operational Objectives: Define o escopo da regra especificando quais ativos de dados monitorar.

     Parâmetro	Obrigatório	Descrição
     Detection range	Sim	Define o escopo dos ativos de dados a serem monitorados. Você pode selecionar e combinar uma ou mais dimensões com base na sua política de gerenciamento de dados. By Location: Filtra ativos por sua localização de armazenamento física ou lógica, como uma instância de banco de dados, projeto ou Catalog/Schema. Os tipos de mecanismo suportados incluem MaxCompute, Hologres, EMR Hive, DLF, DLF Legacy e StarRocks. A hierarquia varia de acordo com o mecanismo. Por exemplo, o MaxCompute é organizado como Projeto > Tabela, enquanto o Hologres é organizado como Banco de dados > Tabela. O escopo selecionável real depende dos ativos de dados que foram identificados no tenant. By Classification: Filtra ativos por categoria de dados. By Grading: Filtra ativos por nível de sensibilidade dos dados, como S1, S2 ou S3. Ao selecionar várias dimensões, elas são combinadas com uma lógica AND, o que significa que apenas os ativos que atendem a todos os critérios selecionados são monitorados.

   • Definição da regra de operação: Este é o núcleo da regra, que define os padrões de comportamento específicos considerados de risco.

     Parâmetro	Obrigatório	Descrição
     Data manipulation	Não	Define os tipos de operação SQL a serem monitorados. Se não for especificado, todos os tipos de operação serão monitorados. Behavioral risk: As operações suportadas incluem Selecione, Atualize, Insert, Exclua, Alter, Drop e Truncate. Turnover Risk: As operações suportadas incluem TunnelUpload e TunnelDownload. O subconjunto de operações suportadas varia de acordo com o mecanismo. Quando o mecanismo e a operação selecionados não são compatíveis, o console exibe uma dica em cinza e nenhum evento de risco é gerado para essa combinação. Operações suportadas por mecanismo: MaxCompute: Behavior (comportamento anômalo) suporta Selecione / Atualize / Insert / Exclua / Alter / Drop / Truncate. Circulation (circulação anômala) suporta TunnelUpload / TunnelDownload. Hologres: Behavior suporta Truncate / Drop. Circulação anômala não é suportada. EMR Hive: Behavior suporta Selecione / Insert / Drop. Circulação anômala não é suportada. DLF / DLF Legacy: Behavior suporta Selecione / Insert / Drop. Circulação anômala não é suportada. StarRocks: Behavior suporta Insert / Drop. Circulação anômala não é suportada.
     Cenário de Baixe	Sim	Exibido apenas quando Type of Risk está definido como Turnover Risk e Data manipulation inclui TunnelDownload. Especifica os cenários de negócios das operações de baixe de dados a serem identificados. Selecione pelo menos um cenário. Múltiplas seleções são suportadas: Data Integration: Os dados são lidos enquanto uma tarefa de sincronização do Data Integration está em execução. PythonODPS: Os dados são baixados usando o SDK do PyODPS ou um notebook. Data Development: Uma consulta é executada no DataWorks Data Development e seus resultados são baixados. Data Analysis: Uma consulta é executada no DataWorks Data Analysis e seus resultados são baixados. Other: Operações de baixe de dados que não pertencem a nenhum dos cenários anteriores. Se você desmarcar TunnelDownload ou alterar o tipo de risco, os cenários de baixe selecionados serão limpos. Você não pode modificar os cenários de baixe de itens de detecção integrados.
     Operational Data Volume	Não	Define um limiar para o volume de dados envolvido em uma operação. Se desativado, nenhum limite é aplicado. Escolha um dos dois modos de correspondência: Single operation data volume: Aciona a regra quando o número de linhas afetadas por uma única operação é maior ou igual ao valor definido. Cumulative Over Time: Aciona a regra quando o número acumulado de linhas afetadas por operações dentro da janela de tempo especificada (unidade: minuto/hora/dia) é maior ou igual ao valor definido. Importante Ao selecionar Cumulative Over Time, as seções Operating frequency e Operation time abaixo são ocultadas e seus valores são limpos, porque o modo cumulativo já inclui uma capacidade de janela de tempo. Para usar a frequência ou a janela de tempo junto com o volume de dados, volte para Single operation data volume.
     Operating frequency	Não	Define um limiar para a frequência de operação de dados. Se desativado, nenhum limite é aplicado. Exemplo: Execute 5 operações DELETE em 1 minuto. Um alerta é gerado na quinta correspondência dentro do minuto.
     Operator	Não	Especifica os usuários ou grupos de usuários aos quais a regra se aplica. Este campo contém duas chaves independentes, que podem ser ativadas separadamente ou juntas: User Scope: Quando ativada, a regra se aplica apenas ao User selecionado. Quando desativada ou deixada vazia, a regra se aplica a todos os usuários. Observe que aplicar a regra a todos os usuários pode gerar um grande número de eventos de risco. User Whitelist: Quando ativada, selecione usuários ou grupos de usuários. As operações de usuários na lista de permissões não são identificadas como eventos de risco. Use esta chave para excluir identidades de tempo de execução compatíveis conhecidas, como contas ETL ou contas de inspeção. Esta chave é independente do User Scope e pode ser ativada ao mesmo tempo.
     IP de Origem	Não	Exibido apenas quando Type of Risk está definido como Turnover Risk. Filtra eventos pelo endereço IP do cliente a partir do qual a operação foi iniciada. Contém duas chaves independentes: Source IP Blacklist: Quando ativada, as operações de endereços IP na lista de bloqueios são identificadas como riscos. Source IP Whitelist: Quando ativada, as operações de endereços IP na lista de permissões não são identificadas como riscos. Cada lista suporta três formatos de entrada: um único IP (por exemplo, 192.0.2.1), um intervalo de IP (por exemplo, 192.0.2.1-192.0.2.99) ou CIDR (por exemplo, 10.0.0.0/24). Duas bibliotecas predefinidas — Risk IP address library e Overseas IP address library — também estão disponíveis. Nota As duas bibliotecas de IP predefinidas atualmente aparecem como espaços reservados na interface e não podem ser selecionadas. Sua disponibilidade será anunciada posteriormente.
     Operation time	Não	Define a janela de tempo durante a qual a regra está ativa. Se desativada, a regra fica ativa 24 horas por dia, 7 dias por semana. Você pode selecionar um ou mais períodos por dia da semana e hora (0-23). Por exemplo, você pode monitorar atividades de exportação de dados em massa apenas fora do horário de trabalho, como das 18:00 às 09:00 do dia seguinte.

3. Botões de ação:

   • Effective immediately: Salva a configuração atual e ativa imediatamente o item de verificação. O sistema inicia a análise de risco com base nesta regra a partir do próximo ciclo de detecção (T+1).

   • Save Only: Salva a configuração atual, mas não a ativa. O item de verificação é salvo em um estado "Desativado" e não é usado para análise de risco. Você pode ativá-lo manualmente mais tarde.

   • Cancel: Descarta todas as configurações na sessão atual e retorna à página da lista.

Ativar ou desativar itens de verificação de risco

Após criar um item de verificação, você pode ativá-lo ou desativá-lo na aba Risk Check Items.

• Enabled: O DataWorks identifica eventos que correspondem à regra e os sinaliza como eventos de risco.

• Not enabled: O DataWorks retém os eventos de risco sinalizados anteriormente, mas para de identificar novos eventos.

  Você pode Enable ou desativar um item de verificação de risco individual. Você também pode selecionar vários itens para Batch open ou Batch Close .

Editar ou excluir itens de verificação de risco

Você pode editar ou excluir itens de verificação personalizados na aba Risk Check Items.

• Edit: Reconfigura o item de verificação de risco. Todas as configurações, exceto o Policy name, podem ser alteradas.

• Delete: Exclui um item de verificação de risco configurado. Após a exclusão, nenhum novo evento de risco é gerado com base nele.

  Ao Edit ou Delete itens de verificação de risco, você pode Edit ou Delete individualmente na coluna Actions, ou selecionar vários itens de verificação de risco e clicar em Batch Delete .

Visualizar eventos de risco

Quando um item de verificação de risco ativado é acionado, um evento de risco correspondente é gerado. Você pode visualizar todos os eventos na aba Risk Event.

Você também pode usar o seletor de visualização acima da tabela para agregar eventos de risco por Itens de Detecção de Risco ou Operadores.

Processar eventos de risco

Na aba Risk Event da página Security Risk, você pode visualizar e processar eventos de risco. Na coluna Operation, clique em Immediate processing para atualizar seu status.

Casos de uso

Inspecionar eventos de risco manualmente é ineficiente e atrasa as respostas. As políticas de alerta permitem distribuir alertas automaticamente para diferentes equipes com base na gravidade ou no tipo de risco.

• Cenário 1: Responder a riscos críticos em tempo real

  Quando o sistema detecta um evento de segurança High-risk, ele notifica imediatamente o responsável pela segurança por SMS e uma ferramenta de mensagens instantâneas, como o DingTalk, para uma resposta de emergência.

• Cenário 2: Monitorar comportamentos específicos

  A equipe de segurança de dados deseja monitorar todos os eventos de bulk export of sensitive data e enviar automaticamente notificações por e-mail para todos os membros da equipe para auditoria.

• Cenário 3: Categorizar alertas por função

  Os alertas relacionados a Data Behavior Risks são enviados para a equipe de governança de dados, enquanto os alertas relacionados a Data Flow Risk são enviados para a equipe de arquitetura.

Benefícios

As políticas de alerta permitem notificações automatizadas e diferenciadas para riscos de segurança, enviando as informações certas para as pessoas certas no momento certo.

• Regras de alerta personalizadas: Defina condições de acionamento de forma flexível com base no Risk Level, Type of Risk ou Risk Event específico.

• Entrega em tempo real multicanal: Envie alertas por meio de Email Notification, Text Message Notification, Email and SMS notifications, DingTalk Group Robot, Feishu Group Robot e Enterprise WeChat Robot.

• Eficiência de resposta aprimorada: Muda da descoberta passiva de riscos para a identificação proativa, encurtando o tempo de resposta e resolução.

Procedimento

1. Acessar a página de política de alertas

   No módulo Security risk, selecione a aba Alert Policy e clique em Create New Alert Policy.

2. Inserir informações básicas

   • Policy name: Insira um nome para sua política, como "Alerta de SMS para evento de alto risco".

   • Strategy Description (Opcional): Descreva brevemente o propósito da política.

3. Definir condições de acionamento: O núcleo da política que determina quando um alerta é acionado.

   • Selecione um Trigger Condition Type:

     • Security Risk Level: O tipo de regra mais abrangente. Selecione High-risk, Med ou Low-risk. Todos os eventos de risco do nível selecionado acionarão este alerta.

     • Types of Security Risks: Um tipo de regra baseado em categoria. Selecione Data Behavior Risks ou Data Flow Risk. Todos os eventos na categoria selecionada acionarão o alerta.

     • Security Risk Events: O tipo de regra mais detalhado. Você pode selecionar um ou mais eventos específicos, como bulk query of sensitive data ou frequent updates to sensitive data.

4. ConfigurationAlert Notification

   Clique na lista suspensa Add notification method, selecione um canal de notificação e especifique os Notification Recipients correspondentes para cada canal. Duas linhas — Email e SMS — são adicionadas por padrão. Você pode adicionar mais canais. Uma única política suporta vários canais.

   Canal de notificação	Tipo de destinatário	Observações
   Email Notification	Usuário RAM / função RAM	Adicionado usando o seletor de usuário/função. Múltiplas seleções são suportadas.
   Text Message Notification	Usuário RAM / função RAM	Adicionado usando o seletor de usuário/função. Múltiplas seleções são suportadas.
   Email and SMS notifications	Usuário RAM / função RAM	Uma única entrada que envia e-mail e SMS ao mesmo tempo. Este é um canal combinado independente, não é o mesmo que selecionar Email e SMS separadamente.
   DingTalk Group Robot	URL do webhook do robô do grupo	A URL deve começar com https://oapi.dingtalk.com/robot/send.
   Feishu Group Robot	URL do webhook do robô do grupo	A URL deve começar com https://open.feishu.cn/open-apis/bot/v2/hook.
   Enterprise WeChat Robot	URL do webhook do robô do grupo	A URL deve começar com https://qyapi.weixin.qq.com/cgi-bin/webhook/send.

   Nota

   A URL do webhook para canais de robô é validada em relação ao prefixo obrigatório. Se a URL não corresponder, o sistema relata "Invalid URL format" e a política não pode ser salva.

5. Salvar e gerenciar

   • Clique em New Policy para salvar a política.

   • Após a política ser salva, ela aparece na lista, onde você pode View, Modification ou Remove.