敏感識別功能的配置與管理-資料庫自治服務-阿里雲 - Database Autonomy Service

資料庫自治服務 DAS（Database Autonomy Service）為不同行業（例如金融、能源、汽車行業）提供了識別資料庫敏感性資料的解決方案。使用行業內建識別模板可以檢測您執行個體中是否存在敏感性資料。您可以直接使用內建的識別模板，也可以基於內建模板自訂識別模板。本文介紹識別模板相關概念以及如何使用。

支援的地區和資料庫

資料庫	地區
RDS MySQL PolarDB MySQL版 RDS PostgreSQL PolarDB-X 2.0 PolarDB PostgreSQL版	華東1（杭州）、華東2（上海）、華北1（青島）、華北2（北京）、華北3（張家口）、華北5（呼和浩特）、華南1（深圳）、西南1（成都）和中國（香港）
PolarDB PostgreSQL版（相容Oracle）	華東1（杭州）和馬來西亞（吉隆坡）

模型與模板

什麼是識別模板

識別模板是針對不同行業規範定製的敏感性資料分類與分級的依據。通過識別模板，可以檢測敏感性資料是否符合安全合規要求。

什麼是識別模型和識別特徵

概念

說明

識別模型

識別模型基於一個或多個識別特徵來進行定義，識別模型直接關聯最終產生的識別結果，識別模型支援配置。

DAS提供了典型敏感性資料的內建識別模型，並支援自訂識別模型。

識別特徵

識別特徵支援基於內容識別、中繼資料（Meta資料）識別以及詞典識別的模式，結合Regex、包含、不包含等運算子進行敏感性資料特徵檢測，從而形成識別規則。識別特徵支援多個規則間通過AND、OR邏輯運算子進行關聯，形成複雜識別規則，從而更加靈活地進行資料特徵檢測。

DAS針對常見敏感性資料類型提供了內建識別特徵，並支援自訂識別特徵。

模板分類及任務規則

識別任務是根據對接入資料庫資料進行掃描並發現敏感性資料，產生掃描結果，並對敏感性資料進行分類分級。
識別任務必須有已啟用識別模板，已啟用識別模板分為主用識別模板、活躍識別模板和通用識別模板。
添加自訂識別任務時，僅支援選擇主用識別模板（僅1個）和活躍識別模板（最多2個）。

模板類型	說明
內建識別模板	根據實際業務情境選擇內建識別模板，DAS提供金融行業分類分級模板、內建雲安全內部保障模板、電源行業分類分級模板、車連網分類分級模板和互連網行業分類分級模板。
自訂識別模板	如果內建識別模板無法滿足需求，您可以添加總數不超過十個的自訂識別模板，通過配置識別特徵、識別模型建立符合需求的識別模板。

模板角色	說明
主用識別模板	系統預設任務預設使用的模板。DAS預設為互連網行業分類分級模板。主用識別模板不支援關閉。主用識別模板只能有一個，您可以選擇一個活躍識別模板變更為主用識別模板。 DAS控制台識別結果均使用主用識別模板。
活躍識別模板	您可以啟用內建識別模板或自訂識別模板作為活躍識別模板。最多可以啟用兩個活躍識別模板。
通用識別模板	根據中國國家標準委員會發布的個人資訊安全規範`GB/T 35273-2020`制定的保護個人資訊安全和隱私權的模板。識別任務中只有使用了內建識別模板，才會預設使用該模板。

識別模板的敏感層級

DAS的敏感識別最高可有10個敏感等級（S1~S10），數字越大敏感等級越高。

內建識別模板中無法新增或刪除敏感層級，僅支援編輯描述資訊。
在自訂識模板中，可以添加、編輯和刪除敏感層級。

管理識別模板與模型

範本管理員

內建識別模板

登入DAS控制台。
在左側導覽列，選擇安全中心 > 敏感識別 > 識別配置。

進入識別配置頁面後，預設展示範本管理員 > 模板配置頁簽。頁面上方已啟用識別模板地區以卡片形式展示當前已啟用的模板（帶主標記的為主用模板），支援主用、查看、停用操作；下方模板庫地區以表格列出所有內建分類分級模板及其狀態，可通過開關啟用或停用模板，並支援建立模板、查看、複製操作。
在範本管理員頁簽的模板配置頁面下方的模板列表中，找到類型為內建的識別模板。
單擊狀態列的開關或表徵圖，開啟或關閉該模板的狀態。
單擊已啟用識別模板的主用、停用開關，可切換主用模板、停用活躍模板。

說明
如果從未配置過識別模板，預設開啟的主用識別模板為互連網行業分類分級模板。

自訂識別模板

建立

登入DAS控制台。
在左側導覽列，選擇安全中心 > 敏感識別 > 識別配置。
在範本管理員頁簽的模板配置頁面，單擊建立模板。
在建立模板導航頁面，設定基本信息（模板名稱和模板描述），單擊下一步。
在模板节点配置下，單擊添加分類，在彈出對話方塊中輸入敏感性資料的分類名稱，單擊確定。
- 單擊已添加分類右側的管理表徵圖，單擊添加同級分類或添加下級分類，新增對應的敏感性資料分類。
  
  該管理菜單還包含添加模型和刪除選項。
  
  說明
  重複此操作，可添加多個分類。
- 重複以下操作，在已添加敏感性資料分類下添加對應的識別模型。
  1. 單擊已添加分類右側的管理表徵圖，單擊添加模型。
  2. 在添加模型對話方塊中，選中目標識別模型前複選框，設定狀態列表徵圖為啟用，單擊確定。
    
    重要
    識別模板中識別模型啟用後，識別模型才能在使用該識別模板的識別任務中生效。
    
    可通過全部模型、全部資料標籤、全部來源下拉框或模型名稱搜尋方塊篩選定位目標識別模型。

複製

登入DAS控制台。
在左側導覽列，選擇安全中心 > 敏感識別 > 識別配置。
在範本管理員頁簽的模板配置頁面，找到內建識別模板或者自訂識別模板，單擊操作列的複製。
在彈出框中修改模板名稱和備註，單擊確認。

說明
單擊該模板對應操作列的編輯，您可以繼續修改模板名稱、模型分類和識別模型。

模型管理

登入DAS控制台。
在左側導覽列，選擇安全中心 > 敏感識別 > 識別配置。
單擊識別模型頁簽，單擊添加模型。

在添加模型面板，配置模型參數，然後單擊確定。

配置項類型	配置項	描述
基本信息	模型名称	模型的名稱，不可重複。
	模型描述	模型的描述資訊。
	数据标签	選擇模型對應資料標籤為個人敏感資訊、個人信息、通用信息。
	數據分類	在下拉式清單中依次關聯新模型所屬的識別模板、敏感資訊分類和風險等級。此處僅支援關聯自訂識別模板。
模型規則配置	識別特徵	在下拉式清單中選擇模型使用的識別特徵。支援選擇內建識別特徵和自訂識別特徵。支援選擇多個識別特徵，多個識別特徵之間以或關係生效。
	識別範圍	在下拉式清單中選擇該模型生效的資產類型。預設為DAS已授權且可以正常連通的資產。支援選擇多種資產類型，多種資產類型之間以或的關係生效。
	進階設定	可選項。具體步驟如下：在下拉式清單中選擇需要配置的資產類型。選擇不同條件之間的生效關係，可選項：AND、OR。如需設定多個條件組，您可以單擊添加組。添加的條件組是第一個條件組的子集。配置識別條件。如需添加多個條件，可單擊添加條件。
識別閾值配置	最小命中數(非結構化數據)	設定非結構化資料（如NOSQL）單個檔案命中識別特徵數的最小閾值。單個檔案命中識別特徵個數達到最小命中數，即可判定該檔案滿足此模型定義的敏感性資料。
識別閾值配置	命中率(結構化數據)	設定結構化資料（例如RDS）的命中率。在200條採樣資料中，命中模型的資料條數比例達到命中率時，判定對應資料滿足此模型定義的敏感性資料。

其他動作

查看模板詳情：單擊列表中對應操作列詳情，可查看規則配置和識別閾值。
刪除識別模板：僅支援刪除自訂識別模板，不支援刪除內建識別模板。單擊目標模板操作列的管理表徵圖，單擊刪除。
管理模型分類：僅支援設定自訂模板的模型分類，不支援修改內建模板的模型分類。單擊目標模板操作列編輯。
切換啟用的識別模型：當前正在執行的識別任務不受影響，下次執行開始生效。

管理敏感性資料識別

前提條件

已在執行個體列表完成目標資產授權。

單擊雲上執行個體頁簽，在目標執行個體的資訊安全中心列單擊開通。

什麼是識別任務

系統預設任務

資料庫授權時，勾選預設敏感識別掃描任務，DAS會用主用識別模板為增量資料庫建立一個預設掃描任務。

任務配置項	說明
識別模板	系統預設任務使用主用識別模板，不可修改。說明如果主用識別模板是內建識別模板，任務還會同時用通用識別模板。
掃描周期（預設）	如果執行個體授權時勾選預設敏感識別掃描任務，確認後會立即執行對應系統預設任務。說明可以配置系統預設任務的掃描周期，兩次掃描至少間隔24小時。
掃描範圍	對於已授權的執行個體、資料庫、表名稱：說明資料庫首次掃描會全量掃描已授權的所有資料。非首次或重新掃描只掃描增量和修改部分。如果您切換了主用識別模板，不會立即觸發掃描。在下次系統預設任務執行時，才會啟用新的識別模板進行掃描。
掃描限制	結構化資料（RDS MySQL、RDS PostgreSQL、PolarDB等）：採樣時預設取表中的前200行資料，也可以手動修改（最大1000行），僅掃描採樣資料中每個欄位每行的前10 KB資料。對於較大的資料庫（即表數量大於1000個），掃描速度為1000列/分鐘。
掃描結果	識別模板的敏感層級，`N/A`表示未識別到敏感性資料。

自訂識別任務

您可以添加自訂識別任務，使用已啟用識別模板掃描指定資料庫表。如果需要使用的識別模板未啟用，您需要先啟用該識別模板。

按照自訂的掃描範圍、掃描周期，首次、重掃進行全量掃描，周期性掃描時對新增或存在修改的資料對象進行掃描。
識別模板的敏感層級，N/A表示未識別到敏感性資料。

查看、建立、調整、管理、訂正系統預設任務

查看系統預設任務

登入DAS控制台。
在左側導覽列，選擇安全中心 > 敏感識別 > 任務管理。
在任務管理頁面識別任務頁簽，單擊系統預設任務。
在識別任務監控頁面，查看預設工作清單。
您可在系統預設任務的操作列執行以下操作。
- 重掃：如果識別模型進行了升級、您更換了主用模板或資料庫內容有變更，可以執行重掃操作，對全量資料進行掃描。
- 暫停：如果資料庫業務存在異常，單擊操作列的暫停，暫時停止正在掃描的系統預設任務。
- 終止：該功能是指終止系統預設任務下個周期的執行，如果系統預設任務正在掃描中，執行終止操作不會影響本次任務的執行，但後續該系統預設任務將不會在下個周期被執行。
- 開啟：該功能會重新開啟已被終止的系統預設任務。

調整系統預設任務掃描設定

系統預設任務支援設定周期性掃描。建議您將掃描周期設定為與資料庫內容更新的頻率大致一致，以便及時探索資料庫中的變化資料存在的敏感資訊。可設定的最小的掃描周期為24小時。

在識別任務監控頁面，勾選相應任務，單擊工作清單上方的掃描設置，配置周期及掃描時間。

重要

為了將掃描對資料庫的影響降到最低，建議您將掃描開始時間設定為業務低峰期。
在掃描任務執行期間，如果CPU使用率、記憶體使用量率存在異常突增。建議及時暫停或終止識別任務。您可以在任務管理頁面，單擊操作列的暫停或終止，停止識別任務的掃描。

建立自訂識別任務

登入DAS控制台。
在左側導覽列，選擇安全中心 > 敏感識別 > 任務管理。
在識別任務頁簽，選擇需要建立識別任務的資產類型，單擊新建識別任務。

在頁面左側導航樹中，資產類型按資料類別（如結構化資料）分組，包含RDS、PolarDB、PolarDB-X 2.0等子項，選擇目標資產類型後，單擊右側的建立識別任務。

在新建識別任務面板，配置識別任務配置項，完成配置後單擊確認。

配置項分類

配置項

描述

識別範圍

結構化數據識別範圍

選擇結構化資料（例如RDS、PolarDB）的掃描範圍。可選項：

全局掃描：掃描您的結構化資料資產。
指定掃描：配置執行個體名稱、資料庫名和扫描限制。
- 配置執行個體名和資料庫名。如需添加多個執行個體，可單擊添加識別範圍。
- 配置扫描限制。預設掃描前200行，最大支援1000行。

其他配置

識別覆蓋

設定檢測到的敏感性資料曾經被訂正過時的處理方式。可選項：

跳過手工打標結果：保持原有的手工訂正結果。推薦選擇該方式。
覆蓋手工打標結果：使用新的識別結果覆蓋手工訂正的結果。

您可在自訂識別任務的操作列執行以下操作。
- 重掃：如果識別模型進行了升級、您更換了主用模板或資料庫內容有變更，可以執行重掃操作，對全量資料進行掃描。
- 暫停：如果資料庫業務存在異常，單擊操作列的暫停，暫時停止正在掃描的系統預設任務。
- 終止：該功能是指終止系統預設任務下個周期的執行，如果系統預設任務正在掃描中，執行終止操作不會影響本次任務的執行，但後續該系統預設任務將不會在下個周期被執行。
- 開啟：該功能會重新開啟已被終止的系統預設任務。

管理自訂識別任務

自訂識別任務支援指定模板進行掃描。如果需要使用已啟用模板（非主用）掃描指定資料庫，您可以建立識別任務。

重要

系統最多支援5個活躍識別任務，其中每個周期性掃描任務將佔用一個活躍任務名額，因此當您配置了5個週期性任務後，將無法再建立新的識別任務。

訂正敏感性資料命中的識別模型

執行恢複操作後，會恢複未訂正前的識別模型。

登入DAS控制台。
在左側導覽列，選擇安全中心 > 敏感識別 > 任務管理。
在任務管理頁簽，單擊訂正任務頁簽。
在左側資料類型導覽列，單擊需要訂正的資產類型。
單擊目標敏感性資料操作列的訂正或恢複，根據頁面提示，修改訂正後模型，然後單擊確定。

查看、匯出、下載識別結果

敏感識別任務掃描完成後，可以在資產透視頁面查看和匯出結果。DAS支援每5分鐘重新整理查看掃描結果。

查看識別結果

登入DAS控制台。
在左側導覽列，選擇安全中心 > 敏感識別 > 資產透視。
在資產類型頁簽，單擊需要查看的資料類型。

單擊資料類型後，右側展示該類型資產的敏感性資料統計資訊，包括敏感執行個體數、敏感庫數、敏感表數、敏感列數及周環比。下方資料表格展示各執行個體的執行個體ID/名稱/UID、地區、資料庫類型、總庫|敏感庫、敏感等級、資料標籤等資訊，可展開執行個體查看庫層級的敏感性資料詳情及最後掃描時間。支援按地區、敏感等級、執行個體ID篩選資料，並可單擊表詳情查看錶層級資訊。
如果需要查看資料資產執行個體中敏感性資料的詳細資料，您可以單擊操作列的表詳情。
在右側詳情面板，查看敏感性資料統計資訊。

敏感性資料統計資訊包括：資料分類分級統計環形圖（展示各敏感等級佔比，如S2、S3）、敏感性資料標籤統計環形圖（展示個人敏感資訊、個人資訊、通用資訊等類別分布）、資料識別率柱狀圖（展示總列數與敏感列數及佔比）、命中模型 TOP 5水平柱狀圖（如個人電話號碼、護照號、手機號等）。下方提供命中模型和敏感等級下拉篩選框及搜尋功能，底部為資料明細表格，列包括表名稱、總行數、總列數、敏感列、資料標籤、命中資料和操作，可單擊列詳情查看具體敏感列資訊。
在敏感性資料列表中，您可以單擊操作列的列詳情，查看每列資料命中敏感性資料的規則詳情。

如果操作列存在訂正入口，您可以訂正敏感性資料識別結果。

以 audit_log 表為例，列詳情頁面展示 列名稱、資料標籤、識別結果、敏感等級、訂正狀態、資料採樣結果 等列資訊。例如 id 列的識別結果為"主鍵"，敏感等級為 S1，訂正狀態為"未訂正"。每行右側提供訂正和恢複操作入口。

匯出識別結果

登入DAS控制台。
在左側導覽列，選擇安全中心 > 敏感識別 > 任務管理 > 導出任務。
單擊新建導出任務。設定匯出任務，然後單擊確定。
1. 在基本資料地區，輸入任務名稱並選擇識別任務使用的模板。僅支援選擇已啟用模板。
2. 在匯出維度地區，選擇資產類型或資產執行個體。
  - 資產類型：選中全量引擎執行個體。
  - 資產執行個體：選中需要匯出的引擎執行個體。

建立匯出任務後，您可以在匯出工作清單查看匯出任務的狀態。需要匯出的資料量越大，匯出需要的時間越長，請您耐心等待。

下載匯出識別結果

等待匯出狀態為已完成時，單擊目標匯出任務操作列的下載。

重要

完成匯出後，您需要在三天內下載匯出的資料。超過三天匯出任務會到期，您將無法下載匯出的敏感性資料。