DataWorks：安全風險

內建風險檢測項

DataWorks系統內建常見的風險檢測項。使用者可以根據資料安全的需要，自訂風險檢測項。系統部分內建風險檢測項如下：

自訂檢測項

該功能允許您根據業務需求，組合不同的操作維度（如操作目標、操作類型、資料量、頻率、操作者和時間）來建立精細化的風險識別規則。系統將依據已生效的識別規則來分析資料動作記錄，並產生相應的風險事件。

1. 在安全風險頁面，單擊风险检测项頁簽，進入風險檢測項列表頁面。

2. 單擊新增检测项按鈕，進行自訂檢測項配置，配置詳情可參考下表：

   • 基本資料說明：用於定義檢測項的基礎屬性和中繼資料。

     參數	必填	說明
     策略名稱	是	為該檢測項命名，名稱應能清晰地反映其監控目的，例如“大量匯出核心客戶資訊檢測”。
     风险类型	是	對風險進行分類，便於後續的統計和管理。 行为风险：通常指由使用者或系統賬戶執行的、可能存在安全隱患的操作。 流转风险：側重於資料在不同系統、應用或網路邊界之間傳輸時可能產生的風險。
     风险等级	是	定義該檢測項所對應風險的嚴重程度。系統依據此等級進行風險彙總和警示。 高危：可能導致嚴重資料泄露、業務中斷或重大合規問題的行為。 中危：可能存在潛在安全威脅，需要安全人員關注和審計的行為。 低危：一般性的不規範操作，通常用於審計或統計目的。
     备注信息	否	對該檢測項的詳細描述，例如其建立背景、監控的具體業務情境或相關負責人資訊。

   • 操作目标：用於定義規則的監控範圍，即哪些資料資產的操作會被納入檢測。

     參數	必填	說明
     检测范围	是	定義要監控的資料資產範圍。您可以根據資料管理策略，選擇一個或多個維度進行組合。 按位置：根據資料存放區的物理或邏輯位置（如特定的資料庫執行個體、儲存桶）進行篩選。選擇Hologres，層級依次為資料庫名稱>表名稱。選擇MaxCompute時，層級依次為專案名稱>表名稱。 按分类：根據資料分類進行篩選。 按分级：根據資料的敏感級（如S1、S2、S3）進行篩選。 當選擇多個維度時，它們之間為 AND 關係，即同時滿足所有選定維度資產才會被監控。

   • 操作規則定義：這部分是規則定義的核心，用於精確描述何種行為模式應被視為風險。

     參數	必填	說明
     数据操作	否	定義需要監控的 SQL 操作類型。預設為空白，表示監控所有操作類型。 行为风险：可選操作包括 Select, Update, Insert, Delete, Alter, Drop, Truncate 等。 流转风险：可選操作包括TunnelUpload、TunnelDownload等。
     操作数据量	否	設定資料操作量的閾值。不啟用則不限制。 单次操作数据量：當單次操作影響的資料行數大於或等於設定值時觸發。 累計時間內的數量：當在指定時間視窗內，累計操作的資料行數大於或等於設定值時觸發。
     操作频率	否	設定資料操作頻率的閾值。不啟用則不限制。 例如：在1分鐘內，執行5次DELETE操作。表示1分鐘內第5次命中規則時，將產生一次警示。
     操作者	否	指定該規則作用於哪些使用者或使用者組。 啟用此項：規則僅對選定的用戶生效。 不啟用/留空：規則對所有使用者生效。請注意，這可能會產生大量風險事件。
     操作时间	否	定義規則生效的時間視窗。不啟用則表示全天24小時生效。您可以按周和小時（0-23點）靈活選擇一個或多個時間段。例如，僅在非工作時間（如下午6點至次日上午9點）監控批量資料匯出行為。

3. 操作按鈕：

   • 立即生效：儲存當前配置並立即啟用該檢測項。系統將從下一個檢測周期（T+1）開始依據此規則進行風險分析。

   • 仅保存：儲存當前配置，但不啟用。該檢測項將處於“禁用”狀態，不會用於風險分析，您可以在後續手動啟用它。

   • 取消：放棄本次所有配置，返回列表頁面。

啟用/停用風險檢測項

完成檢測項建立後，即可在風險檢測項頁簽內對風險項進行啟用或停用。

• 已啟用：DataWorks會識別符合該檢測項規則的事件，並標記為風險事件。

• 未启用：DataWorks依然會保留已標記的風險事件，後續不再識別新事件。

  進行風險檢測項啟動時，單個啟用或停用，亦可選擇多個風險項進行批量开启或批量关闭。

編輯/刪除風險檢測項

完成檢測項建立後，若需對風險檢測項進行再編輯或刪除，您可在風險檢測項頁簽內對風險項進行編輯或刪除。

• 编辑：重新設定風險檢測項的資訊，除過策略名稱不可編輯外，其餘配置資訊均可重新設定。

• 删除：刪除已配置的風險檢測項。刪除後不再產生新的風險事件。

  風險檢測項在编辑或删除時，可通過操作列對風險檢測項進行單獨编辑或删除，亦可多選多個風險檢測項後批量删除。

查看風險事件

當您配置並啟用的風險檢測項被觸發後，系統會產生相應的風險事件。您可以风险事件頁簽中查看所有事件的詳細列表。

處理風險事件

在安全風險頁面的风险事件頁簽查看風險事件，而且可對風險事件進行處理，在操作列單擊立即处理按鈕，標記風險事件的處理狀態。

應用情境

在日常資料安全管理中，手動巡檢風險事件效率低下且響應滯後。您可能需要根據風險的嚴重性或類型，將警示自動分發給不同團隊。

• 情境一：關鍵風險即時響應

  當系統檢測到高危等級的安全事件時，需要立即通過簡訊和IM工具（例如DingTalk等）通知安全負責人，以便進行緊急處理。

• 情境二：特定行為重點關注

  資料安全團隊希望監控所有大量匯出敏感性資料的事件，並自動發送郵件通知給團隊所有成員進行審計。

• 情境三：按職能分類警示

  数据行为风险相關的警示發送給資料治理團隊，而数据流转风险相關的警示則發送給架構師團隊。

功能作用

警示策略的核心作用是實現安全風險的自動化、差異化通知，將正確的資訊在正確的時間發送給正確的人。

• 自訂警示規則：您可以根據风险等级、风险类型或具體的风险事件來靈活定義觸發條件。

• 多渠道即時觸達：支援通過郵件、簡訊、DingTalk群/飛書群/企業微信機器人等多種方式發送警示，確保資訊不被遺漏。

• 提升響應效率：變被動的“定位風險”為主動的“識別風險”，縮短從風險發生到響應處置的時間。

配置步驟

1. 進入警示策略頁面

   在安全风险模組下，選擇告警策略頁簽，單擊新建告警策略。

2. 填寫基本資料

   • 策略名稱：為您的策略命名，例如“高危事件簡訊警示”。

   • 策略描述（可選）：簡單描述該策略的用途。

3. 定義觸發條件：這是策略的核心，決定什麼情況下會觸發警示。

   • 選擇一個触发条件类型：

     • 安全风险等级：最寬泛的規則。選擇高危、中危或低危，所有該等級的風險事件都會觸發此警示。

     • 安全风险类型：按類別進行規則設定。選擇数据行为风险或数据流转风险，該類別下的所有事件都會觸發。

     • 安全风险事件：最精細的規則。您可以選擇一個或多個具體的事件，例如批量查詢敏感性資料、頻繁更新敏感性資料等。

4. 配置告警通知

   • 單擊下拉框的添加通知方式，選擇您希望的通知渠道（如郵件、簡訊、DingTalk群機器人等）。

   • 為每種方式選擇對應的 通知对象。

     • 郵件/簡訊：選擇一個或多個 RAM 使用者/角色。

     • 機器人：填寫對應群組的 Webhook 地址。

   • 您可以為同一個策略添加多種通知方式。

5. 儲存與管理

   • 單擊建立策略儲存。

   • 儲存後，策略會出現在列表中，您可以隨時對其進行查看、编辑或移除。