国内外数据合规不断趋严，针对中国企业在美数据使用场景中的学习和思考

前

言

本文基于自己对国内外数据跨境安全的学习，并针对中国在美国存在业务的企业，如何满足合规要求，自己的一些学习和思考过程，分享给大家。

近两年是数据安全合规的大年，全球相继以数据安全为基础，发布了多项法案或行政法令，这使存在跨国业务的企业，面对业务合规的压力越来越大。

今天的分享也是鉴于自己去年经历了美国合规层面对数据跨境场景中的问题和处置思路，场景主要是中美数据合规、和如何规避数据跨境出现的合规风险。

背

景

1、事件

2020年6月30日，印度政府周一（6月29日）晚间以国家安全为由，宣布禁用59项中国应用软件。

2020年09月02日，印度政府再禁118款中国应用程序。

2020年11月26日，印度再禁43款中国应用程序。

2020年8月9日，美国要开展净网行动。

2、合规要求

第37条：关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。

• 数据安全管理办法（征求意见稿）

在中华人民共和国境内利用网络开展数据收集、存储、传输、处理、使用等活动（以下简称数据活动），以及数据安全的保护和监督管理要求。

第二十八条 网络运营者发布、共享、交易或向境外提供重要数据前，应当评估可能带来的安全风险，并报经行业主管监管部门同意；行业主管监管部门不明确的，应经省级网信部门批准。

• 数据出境安全评估指南（草案）

数据出境安全评估首先评估数据出境目的；数据出境目的不具有合法性、正当性和必要性，不得出境。在此基础上评估数据出境安全风险，将数据出境及再转移后被泄露、损毁、篡改、滥用等风险有效地降至最低限度。具体流程如图：

第二十三条 国家对与履行国际义务和维护国家安全相关的 属于管制物项的数据依法实施出口管制。

• 《个人信息和重要数据出境安全评估办法（征求意见稿）》

第七条网络运营者应在数据出境前，自行组织对数据出境进行安全评估，并对评估结果负责。

第九条出境数据存在以下情况之一的，网络运营者应报请行业主管或监管部门组织安全评估：

（一）含有或累计含有50万人以上的个人信息；

（二）数据量超过1000GB；

（三）包含核设施、化学生物、国防军工、人口健康等领域数据，大型工程活动、海洋环境以及敏感地理信息数据等；

（四）包含关键信息基础设施的系统漏洞、安全防护等网络安全信息；（五）关键信息基础设施运营者向境外提供个人信息和重要数据；

（六）其他可能影响国家安全和社会公共利益，行业主管或监管部门认为应该评估。

行业主管或监管部门不明确的，由国家网信部门组织评估。

• 《个人信息出境安全评估办法（征求意见稿）》

第三条 个人信息出境前，网络运营者应当向所在地省级网信部门申报个人信息出境安全评估。

向不同的接收者提供个人信息应当分别申报安全评估，向同一接收者多次或连续提供个人信息无需多次评估。

每2年或者个人信息出境目的、类型和境外保存时间发生变化时应当重新评估。

《个人信息保护法（草案）》

整个第三章全部是对于个人信息跨境传输的要求，关键点如下：

个人信息处理者因业务等需要,确需向中华人民共和国境外提供个人信息的,应当至少具备下列一项条件:

(一)依照本法第四十条的规定通过国家网信部门组织的安全评估;

(二)按照国家网信部门的规定经专业机构进行个人信息保护认证;

(三)与境外接收方订立合同,约定双方的权利和义务,并监督其个人信息处理活动达到本法规定的个人信息保护标准；

(四)法律、行政法规或者国家网信部门规定的其他条件。

关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估;法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。

b、美国

• CFIUS（美国外资投资委员会）

2018年美国外资安全审查改革首次明确关注TID U.S. business，即Technology（关键技术）、Infrastructure（关键基础设施）和Data（敏感个人数据），具体为具有以下条件的任何美国业务：

（1）生产，设计，测试，制造，制造或开发一项或多项关键技术；

（2）附录A列出了28个关键基础设施类别和功能

（3）直接或间接维护或收集美国公民的敏感个人数据。

关于这三个领域的一系列业务，即使外国人不会获得对美国业务的“控制权”，CFIUS仍有权审查外国人的任何“担保投资”。

CFIUS对落入这三个领域的个人或企业去收购的话，即使是很小的股份，不涉及到控制的也会审查，控制性投资和非控制性投资都会进行审查。比如近几年中国对美投资中有几个因为数据安全被否决的案例：蚂蚁金服在收购MoneyGram未完成的时候已经被CFIUS否决了，还有2020年比较火的要求字节跳动从Tiktok中剥离，其实也是在CFIUS的审查之下，提出的要求。并且，在美公司企业自身是否接受过中国国有产业投资基金的投资，也是他们否决的关键因素之一。

• CCPA

CCPA是迄今为止美国最高的数据保护标准，旨在强有力的保障个人的个人数据，适用于收集、使用或共享消费者数据的企业，无论这些信息是在线还是离线获得，并使用NIST CIS框架为企业数据安全建设提出要求和指引。详细可参考另一篇文章《数据安全怎么做：合规篇之CCPA》。

• COPPA

对在线收集13岁以下儿童个人信息的行为。它详细介绍了网站运营商必须包括的隐私政策，何时以及如何获得父母或监护人同意，以及应尽的责任，运营商必须保护儿童的隐私和安全，包括限制向13岁以下的儿童销售。

该规则涵盖的运营商必须：

发布清晰，全面的在线隐私政策，描述其从儿童网上收集的个人信息的信息做法；

在从儿童在线收集儿童个人信息之前，应直接通知父母并获得可验证的父母同意，但有例外情况；

让父母选择同意运营商收集和内部使用孩子的信息，但禁止运营商向第三方披露该信息（除非网站或服务不可或缺的信息披露，在这种情况下，必须明确告知父母）;

向父母提供访问其孩子的个人信息的权限，以查看和/或删除该信息；

给父母机会防止进一步使用或在线收集孩子的个人信息；

维护他们从儿童那里收集的信息的机密性，安全性和完整性，包括采取合理步骤仅将这些信息发布给能够维护其机密性和安全性的各方；

保留从儿童网上收集的个人信息的时间仅达到实现收集目的所必需的时间，并采用合理的措施删除该信息，以防止他人未经授权访问或使用该信息；不得以儿童提供比参加该活动合理必要的更多信息为条件来限制儿童参与在线活动。

• 净网

强调Clean Carrier、Clean Store、Clean Apps、Clean Cloud、Clean Cable、Clean Path。从不同维度，极大的限制了中国企业在美业务的开展，并随时存在业务被关停和应用被下架等风险。

c、总结

其实在看中美对外资安全审查的过程中，对待数据的处理方式还是比较相像的，都是从国家安全层面看数据安全问题，强调“数据主权”完整和独立，这也是企业业务在长期可持续开展的决定性条件。

跨

境

数

据

以下将通过实际场景举例，跟大家分享自己对数据跨境场景中的想法和思考。

1、场景

国内公司，系统部署在国内，主要用户群体都在国内，业务已扩展到美国，存在美国公民PII信息，国内敏感数据不出境，无国内数据跨境风险，如何满足美国合规要求。

2、目标

保证业务的前提下，满足美国本地监管和中美数据合规要求，规避数据跨境而产生风险。

3、问题&思考

合规：中美关于数据的合规要求是什么？如何落地？哪些是关键指标？

行业：行业最佳实践案例和是什么，与我司的共性是什么？我司与它的差距是什么？

系统：业务系统应该如何部署，如何拆分才能满足中美的数据管理要求？

数据：数据如何存储、使用和管理，才能满足中美的数据管理要求？

4、原则

• 数据最小化获取

  只获取隐私协议中明确提及的数据。

• 本地化管控

  包含人员本地化招聘、系统本地化部署和数据本地化存储，此处是满足合规和监管要求，实现可信的目的。

• 适当的安全防护

  环境、人员、系统和数据等都要进行适当的安全防护，如满足ccpa中的nist的cis框架，逐项满足，规避因安全问题引发的合规风险。

• 出境前安全审查

  强合规要求。

5、方案

面对于美国合规，其实解决方案并不复杂，要基于业务，选择对业务影响最小和业务可接受的解决方案。主要方向是：将国内的所有技术和管理措施等在美国相同落实和拉齐，然后依据美国合规及业务特殊性进行定制化改造，如敏感数据发现基于业务和合规要求进行变更，增加境外数据管理规定等等，相同功能的三方安全防护产品，改采购美国本地企业产品等。

以下基于自己亲身经历并完成的落地方案，从四个方向的思路分享，供参考（只罗列个人认为的关键点）：

方向一、在美国的业务完全独立（思路类似一企两制）

• 在美国独立成立公司并招聘本地运维人员，国内总部进行宏观管理

• 基于美国本地公司提供的云环境或IDC部署系统，与国内网络物理隔离

• 系统强满足CCPA、COPPA和美国当地监管要求

• 采购美国本地的企业产品，用以背书

方向二、在美国的系统完全独立

• 将涉及到美国PII信息的系统或功能模块从整体的系统中剥离，独立形成一套系统

• 基于美国本地公司提供的云环境部署系统

• 至少存在一个美国CDN企业专线，完成跨国数据传输

• 美国合规要求的敏感数据如需进入国内，采取缓存的方式，且定期即时清理

• 增加业务场景多样化，除了app端，建议存在pc端版本和h5页面版本等，规避app被下架的风险

• 系统强满足CCPA、COPPA和美国当地监管要求

• 采购美国本地的企业产品，用以背书

方向三、在美国的数据完全独立

• 美国本地的敏感数据获取和存储，依托于第三方公司完成，公司只提供能力和平台，接口层获取认证的结果数据即可，不接触敏感信息

方向四、放弃美国合规要求的隐私数据

• 对美籍用户或员工的合规明确要求的隐私数据进行全面匿名化处理
  

• 或清退美籍用户或员工，并删除相关数据

总结：

上述思路不仅适用于中国企业在美业务的开展，亦适合在欧洲（GDPR）、日本等地的业务开展。

6、敏感数据

为了便于对敏感信息的了解，我整理了ccpa、gdpr等合规要求中对敏感数据的提及，总结如下，建议企业至少关注以下数据：

7、认证

面对合规，我们需要深刻的解读，并通过技术和管理等手段进行落地，以帮助企业规避合规风险，那如何判断和验证企业切实满足了合规要求呢，这就不提到不同合规要求对应的认证了，面对美国合规要求，可以通过过认证方式，进行合规背书，如Coppa和ISO/IEC 27701等，同时，相关认证对公司也有PR的效果。

总

结

随着企业业务的全球化发展，企业面临的各国数据安全合规要求不尽相同，合规的日益趋严让企业压力不断增加，数据安全合规已经不在是企业建设到一定阶段，便可自然满足的事情，而是需要通过制定一系列的企业战略目标和计划，业务随合规而不断调整，方能实现的事情，这对每个企业都是比较大的挑战。但这其实是好事，数据的价值越来越大， 合规的本质是为个人、企业和国家提供保障，并且国家通过合规手段带动企业数据安全建设，会整个数据安全发展更加高效和快速。

END

阅读原文

跳转微信打开

助力公益，爱只有传递下去，才不会消失。

教育兴则国家兴，教育强则国家强

满族屯学校，位于科尔沁右翼前旗，在天地辽阔的茫茫草原上它显得有些渺小。可这里对于孩子们来说从来不是简单的生长之地，它承载着332个不同的梦想。

我们总说草原辽阔，可草原的教育恰恰困于偏远的地理环境。以宽阔胸怀接受万物的草原，教育不应该被落下，每一位草原的孩子都应该有辽阔的未来道路，草原也应是孩子们课外活动最天然的场地。

孩子们拿到心爱的足球

我们深知，公益本就是“以公众之力，益需要帮助的群体”。八家企业能团结一致，以此带动社会公益的发展，形成良好的社会公益环境，在党的百年诞辰之际，我们不忘初心，坚持“教育公益”之路。

 在本次公益活动中获得企业联合公益证书名单如下 

 友谊小船 

 感谢每一位参与活动的白帽子，感谢你们的公益力量 

写在最后

爱只有传递下去，才不会消失。

如果你身边有需要帮助的学校和孩子，欢迎留言联系我们。

我们会认真考虑“教育公益”的下一站点。同时，也诚恳的邀请你与我们同行。

VIPKID安全响应中心（VIPKID Security Response Center）--简称VKSRC，隶属于VIPKID信息安全部，于2017年10月25日正式上线。VKSRC的上线，旨在建立一个连接白帽子、安全团队和安全爱好者们的官方渠道和沟通桥梁，主动收集、发现潜在的安全威胁，全方位保障VIPKID公司、用户及合作伙伴的信息和隐私数据安全，共建互联网安全生态。

点个 在看 你最好看

阅读原文

跳转微信打开

在线阅读：7月15日18:00上线扫描二维码下载电子刊扫描二维码开启答题抽奖 （已正式开始，请注意登录）7月

在线阅读：7月15日18:00上线

扫描二维码下载电子刊

扫描二维码开启答题抽奖 

（已正式开始，请注意登录）

7月13日，安全客2021年电子刊（上）再度上线，我们对文章的质量严格把关，对品质始终恪守不渝，只愿为安全爱好者带来最好的干货！从7月13日的11点到7月15日的18点，我们还将放送出数量丰富、实用精致的定制好礼，赶紧参与电子刊活动赢取奖品哟~

在数字化转型浪潮下，传统网络安全的边界开始模糊甚至走向消失。而以“从不信任与始终验证”为内核逻辑的零信任，不仅突破了传统边界安全单一防控的缺陷，还弥补了数字化转型下传统安全机制的短板。可以说，零信任安全理念的兴起，打破了网络位置和信任间的默认关系，最大限度地保证了资源的可信访问，提升了企业数字化转型中新IT架构的安全性。本期电子刊深度聚焦零信任主题，探讨信息化数字化进程下，如何打造更坚实且更契合技术发展潮流的安全防护架构体系。

电子刊亮点

2021年电子刊（上）收录了26篇优秀技术文章，涵盖零信任、安全研究、红蓝对抗、漏洞分析等四大季度热点方向，你，不容错过！

关于二进制和查户口的那些不得不说的事儿、银基安全、TSRC、网络安全观、蚂蚁安全实验室、云鼎实验室、RapidDNS、360CERT、先知社区、深信服千里目安全实验室共10家安全平台的优质技术文章，最终汇集成了安全客2021年电子刊（上）。

2021年电子刊（上）和大家见面之际，我们准备了1000+份精美礼品，以答题抽奖方式送上。围观“非酋”小安的PS5抢购陪跑记，还能顺走一波奖品哦~

致谢

- End -
精彩推荐
【技术分享】海莲花的CobaltStrike加载器
@所有人，安全客2021电子刊活动本周二来袭，速速集结！
REvil勒索软件7000万美元赎金计划败北
【技术分享】安卓逆向面试题汇总 技术篇
戳“阅读原文”，即刻参与活动吧

阅读原文

跳转微信打开

助力公益！VIPKID SRC邀您以安全之名，为草原孩子的梦想撑腰！

❤️   企业联合公益主办方

• 活动期间，若白帽子向参与企业联合教育公益活动物资捐助的 SRC 提交有效中危漏洞报告达到三家，白帽子将会收到所有提交中危有效漏洞 SRC 准备的精美礼品一份，同时获得由完美世界工会联合会发放的捐赠公益证书。
• 在活动期间，写下对学生们的祝福和鼓励，分享到微信、微博、Twitter、Facebook 等渠道邀请更多国内外白帽朋友参与！截图发送至任意一家参与教育公益活动的企业 SRC 微信后台，活动结束将随机抽取白帽子获得礼品一份。

活动期间提交任意有效漏洞，VIPKID SRC都将以您的名义额外捐赠给满族屯学校VIPKID助学礼盒，并在公众号致谢所有白帽捐赠者。

捐赠规则如下：

①每提交一个严重/高危漏洞：将额外捐赠50份礼盒（总价值2000元）；

②每提交一个中危/低危漏洞：将额外捐赠25份礼盒（总价值1000元）；

*VIPKID助学礼盒共有以下两种，白帽师傅可指定捐赠礼盒。

* 活动时间：2021年4月23日-4月30日

* 漏洞提交地址：security.vipkid.com.cn

* 活动范围：

① 一对一业务：*.vipkid.com.cn

② 教师端：*.vipkid.com

1. 测试过程不能影响VIPKID正常业务运作。请避开业务操作高峰期(18:00~22:00)，以避免影响真实用户的正常使用；

2. 不得向VKSRC之外的任何机构或个人公开漏洞详情；

以上行为如有违反，VKSRC有权取消漏洞奖励并保留追究其法律责任的权利。

VIPKID安全响应中心（VIPKID Security Response Center）--简称VKSRC，隶属于VIPKID信息安全部，于2017年10月25日正式上线。VKSRC的上线，旨在建立一个连接白帽子、安全团队和安全爱好者们的官方渠道和沟通桥梁，主动收集、发现潜在的安全威胁，全方位保障VIPKID公司、用户及合作伙伴的信息和隐私数据安全，共建互联网安全生态。

点个 在看 你最好看

阅读原文

跳转微信打开

2021年3月20日，DEF CON CHINA Party ，期待我们的相聚！

Signal Captured！

Signal Captured！

Signal Captured！

2021年3月20日，DEF CON CHINA Party is Coming！

各位极客请注意！请将您的飞船信号接收器频率调至The DEF CONstruct频道，提前登记获取导航密钥，启动星际跃迁程式，坐标The DEF CONstruct起降平台！

加入DEF CON历史上首次全VR线上大会，提前开启未来赛博世界！

Let's Witness!

围观DEF CON创始人Jeff Moss与中美两位你绝对意想不到的神秘“极客”的巅峰对话，见证用技术改变世界的开拓者与践行者。

Let's Grow!

来自海内外顶尖极客带来的多场KEYNOTE主题演讲与体验活动，他们将首次以VR的形式与你我见面。

Let's Connect!

不单单是科技创投圈的大咖，在The DEF CONstruct的VR世界里，您会遇见最美钢琴家，最燃说唱歌手，世界级街舞冠军，甚至还能欣赏到一位通晓医学、投资与文学大神专门为DEF CON CHINA Party挥毫的墨宝！中西交汇，科技、文化与艺术向来不分家。

Let's Explore!

无极之树再生，“希壤”空间开启，国漫领衔，The DEF CONstruct将带来满满中国元素，而更多隐秘关卡等待你的探索。

Let's Achieve!

最后，BCTF百度网络安全技术对抗赛即将迎来2020赛季收官之战，“人VS机”对决谁主沉浮，全程VR实况直播，实时解说。

春分时节万物生长，白昼自此长于黑夜。2021年3月20日，DEF CON CHINA Party，因疫情而短暂隔离的极客世界，将以线上VR的方式再次连接。

今日，DEF CON CHINA Party“头号极客”召集令正式发出，线上报名通道同步开启。点击文末“阅读原文”登记您的注册信息，成为这个永无隔离、无限生长的虚拟社区中的“头号极客”。而您也可以在活动当日免费在线上观看DEF CON CHINA Party的VR直播，参与一系列DEF CON周边的赢取。

DEF CON CHINA 1.0

伴随着国内疫情中高风险地区的清零和全球新增病例的持续下降，届时如果各方条件允许，我们还将在严格遵守疫情防控措施的前提下，在此次DEF CON CHINA Party进行的同时举行小规模的线下活动。

我们将根据您的注册信息，随机抽取并启动定向邀请。由此，极客们将有机会在活动现场亲身感受定制化VR头盔带来的全新DEF CON体验，以及充满想象力赛博世界交互方式，并与多位网络安全行业大咖、技术大牛进行面对面的切磋交流。

28年来，DEF CON始终是极客们不分国界和语言的共同家园。而在历经过去一年的坎坷与阻隔之后，在DEF CON CHINA即将进入第四年之际，中美两地极客交流的重新启动，世界安全社区两极的重新连接，对于重振海内外各地极客们以科学战胜疫情的决心，对于推动极客精神在中国的普及、加速中国极客的成长，对于智能时代全球范围内AI安全挑战的应对都意义非凡。

2021年3月20日，DEF CON CHINA Party，期待我们的相聚！

点击文末“阅读原文”，即可报名，进入The DEF CONstruct，见证DEF CON CHINA Party。

阅读原文

跳转微信打开

近日，VIPKID受北京朝阳公安分局网络安全保卫大队邀请，参加2020年度网络安全总结会议并荣获网络安全支持

近日，VIPKID受北京朝阳公安分局网络安全保卫大队邀请，参加2020年度网络安全总结会议并荣获网络安全支持工作“2020年度杰出贡献奖”。此次获奖，是朝阳公安分局网络安全保卫大队对VIPKID在用户个人信息安全方面所做出的努力的充分肯定和高度认可。

2020年以来，在新冠肺炎疫情的影响下，教育部提出“停课不停学”的号召，在线教育因而得到迅速普及和应用。在线教育打破了时间、空间的限制，提高学生的学习效率，因而越来越多的家长和学生接触并开始在线学习。与此同时，在线教育平台的网络信息安全问题也越来越得到重视。

2020年8月，国家网信办依法查处了一批存在涉未成年人在线学习违法违规行为的网站平台。其中7家网站平台网课学习频道推送导向不良信息，故意利用色情低俗、暴力恐怖等有害内容引流。另有多家互联网平台及其旗下App、软件工具等存在危害青少年身心健康等不良内容。

作为知名在线青少儿英语品牌，VIPKID一直主动做好网络安全工作，从源头切断网络安全隐患。VIPKID积极响应国家各项法律法规要求，为确保每一位用户的信息安全，在个人信息安全合规、数据安全方面做了大量工作。在产品设计上，VIPKID根据《个人信息安全规范》、《APP违法违规收集使用个人信息行为认定方法》、《个人信息安全保护法》、《数据安全法》等相关法律法规的要求，从产品设计、开发、测试、上线的每个阶段，都充分遵守国家相关法律规定并保护用户信息安全，与用户有关的任何信息的收集，都需先经过严苛的合规评估。

同时，VIPKID不断提升产品设计方案及技术保护措施，加强用户信息安全保护。在公司内部，VIPKID信息安全部建立明确的信息安全红线，并针对全员进行信息安全意识教育，增强全员的法律法规意识。在为用户提供高质量教育服务产品的同时，信息安全部努力提升用户信息保护水平，确保用户的学习数据、交易往来等隐私信息都处于安全和技术的保障之下。

此前，VIPKID还通过了信息安全等级保护三级认证，获得了公安部核准颁发的信息安全等级保护三级备案证书，成为互联网在线教育行业首家通过国家信息安全等级保护三级认证的公司。这也标志着VIPKID在信息安全水平和安全建设方面已经达到行业最高水平。

未来VIPKID将继续加强在网络信息安全方面的工作，不断提升自身安全水平和完善整体信息安全体系，为广大用户打造一个安全、可靠的学习平台，在为用户提供优质服务的同时，全面保障用户信息安全。

阅读原文

跳转微信打开

安全客2020季刊—第4季再度上线，我们对文章的质量严格把关，对品质始终恪守不渝，只愿为安全爱好者带来最好的干货！

阅读原文

跳转微信打开

静态敏感数据的治理是数据安全工作中的基础工作和刚需

前言

在当前的数据时代，随着云计算、大数据、AI等技术的不断发展，“数据”已经渗透到当今每一个行业和业务职能领域，成为重要的生产要素。数据的计量单位也至少是PB级别计算。这对于国家、企业和个人面临着网络安全、数据安全和隐私等一系列问题上，都提出了全新的挑战。国内外相继出台了GDPR、LGPD、CCPA、网络安全法、数据安全法（草案）和个人信息保护法（草案）等，这个时代不仅给“数据”赋予了“价值”属性，也同步赋予了“法律”属性，数据安全不在是组织自身安全问题，也是公共安全和国家安全问题，这些都推动着国家和企业重视数据，重视数据安全。

那数据安全怎么做，数据安全工作的重大和有效抓手是什么，今天跟大家分享数据安全工作的关键之一——《静态敏感数据的识别和治理》

关于静态敏感数据的防护，我们常用的手法是加密或脱敏，手段虽然简单，但是要想有效执行，并能够量化确认落地效果，还是有一定的难度的，今天跟大家分享下个人的想法和做法。

方案思路及目标

1

方案目标

保证静态敏感数据的保密性。

2

衡量标准

静态敏感数据的加密或脱敏覆盖率100%。

3

治理范围

关系型数据库中的静态敏感数据。

4

总体思路

本文主要是谈两部分内容，一个是静态数据的主动识别，一个是识别到数据安全问题后的治理工作。

敏感数据识别是数据安全工作的切入点和基础，我们需要知道组织有哪些数据，了解清楚自身的数据家底，才能有效的做好下一步的分析、治理和运营等工作，知不足，补缺陷，符合规，满内需！

数据治理则是在数据识别的基础上，识别当前数据存在的问题和风险，通过一系列的数据治理手段，即战略层定目标、定组织、定决策，战术层定方案、定策略，执行层落地。本文主要分享战术层和执行层的做法和思路。

方案内容

1

方案架构

本方案将以管理和技术两个维度方向落地完成。管理层面，发布《数据分类分级管理制度》、《数据安全管理制度》、《数据申请管理制度》和《数据加密管理制度》等，形成标准要求并发布；技术层面搭建一个平台，自动对数据库内的数据进行检索发现，基于策略对数据库字段的数据做抽样分析，识别未防护的数据字段清单，进而协调相关方按要求整改。本文重点分享技术部分内容。

技术架构思路如下：

2

数据分类分级（重点）

TIPS：详细内容可参考另一篇文章《数据安全怎么做：数据分类分级》

大超，公众号：大超的记事本数据安全怎么做——数据分类分级

a）概述

根据组织数据的属性或特征，将其按照一定的原则和方法进行区分、归类和定级，识别数据对组织的具体价值，从而确定以何种适当的策略，保护数据的完整性、保密性和可用性 。

b）目标确定公司的敏感数据具体内容，制定统一 的数据分类分级标准。

c）依据此处我们可以带着两个问题，来了解公司数据情况：

• 公司会通过哪些途径采集外部的哪些数据？

我们要了解公司对外发布的应用、api、三方数据外出等途径，这些途径会获取哪些信息和所签订的隐私协议内容等。

• 公司自身会产生哪些数据？

这块我们要对公司自身组织及业务情况有个比较清楚的梳理，了解自己内部的组织的相关人员会对内输出什么数据等。

d）示例

敏感信息举例如下：

• 用户数据类：身份证、手机号、银行卡号、社保号等

• 业务数据类：市场数据、商业数据等

• 公司数据类：财务数据、人力数据等

e）产出《数据分类分级管理制度》、《数据安全管理制度》、《数据申请管理制度》

3

资产输入（重点）

a）概述

安全的任何工作开始之初，最重要的工作之一是先梳理清楚资产信息，这些数据主要依托于业务和数据管理团队提供，如通过内部数据库的cmdb获取等；数据虽然主要依托于干系部门，但是作为安全，我们自身要有数据源的判断和验证能力，用以确定当前的资产覆盖范围是全面的，在此基础之上的安全建设和防护才是切实有效的。

个人觉得：组织业务上做了安全建设防护了防不住不可怕，这个可以指导我们安全建设的方向，查漏补缺，制定下一阶段的规划和目标；可怕的是资产上有盲点，本可防护住的资产，却未建立任何防护，这种情况导致出现安全问题就相当可悲了。故摸清家底很重要！很重要！很重要！

b）目标

确定资产范围，保证资产的全面有效性

c）示例

针对于静态数据治理层面我们主要需要两类信息，分别是业务信息、主机信息（存在生产数据库），具体概述如下：

• 业务信息：业务名称、业务负责人、安全接口人

• 主机信息：集群信息、主机地址、主机状态、数据库账号密码等

d）数据验证

基于日常安全资产扫描，包括但不限于主机存活、端口开放、协议识别等，结果与三方提供资产做比对，互为双重验证。

4

数据识别

a）概述

基于业务数据资产清单和全局审计权限的账号，通过技术扫描的方式对数据进行主动发现，发现生产机器中的库、表、字段、备注、样本数据等，建立数据地图。

b）目标

建立安全所需的数据地图

c）示例

识别后的结果输出举例如下：

业务信息	库	表	字段	数据样本	字段备注	主机IP	负责人	安全接口人
test	test	test	phone	12345678910	手机号	1.1.1.1	张三	李四

5

数据分析

a）概述

基于数据分类分级中对敏感数据的定义，制定全面和有效的分析策略，在数据地图的基础上筛选出敏感数据，并确定它们当前的状态。

b）目标

筛选出敏感字段清单，并确定敏感字段内容是否进行了加密或者脱敏。

c）示例

分析策略举例如下：分析策略以正则表达式为主，正则表达式可以基于三个方面进行设置：

• 字段内容：识别分析字段内容，以识别敏感信息字段

• 字段备注：识别分析字段备注，以识别敏感信息字段

• 字段名称：识别分析字段备注，以识别敏感信息字段

6

数据确认

a）概述

正则表达式的识别，或多或少会出现针对“敏感字段”的误报和漏报，前期我们需要一定的人工介入，来规避此类隐患。

b）目标

通过人工干预的方式，使数据分析阶段误报和漏报的隐患降到最低。

c）示例

主要任务示例：

• 人工确认，判断数据分析的结果是否满足预期，识别异常数据，优化数据分析阶段的正则表达式

• 人工确认，输出敏感字段清单，反馈给数据分析阶段，用以判断敏感信息字段是否进行加密或脱敏处理

• 人工确认，对结果数据进行人工打标，输出正负样本进行模型训练，提升数据分析的准确率

7

数据治理

a）概述

部分数据安全问题需要提升到数据治理维度，方能快速和有效的解决，此处个人建议亦是如此；基于数据分析确认后的结果，我们会通过数据治理的手段推动和协调相关方进行有序整改。

b）目标

保证静态敏感数据的保密性。

c）示例

整个数据治理分为三个维度，示例相关如下：

• 治理层

定组织：建立数据治理组织和安全干系人体系。治理组织用以对整个公司数据安全的方向和战略做决策；安全干系人体系用以执行层面遇到问题的快速联动。

定目标&方向：方针、目标和方向会使战术层和战略层的执行更加明确和清晰。如：敏感数据全覆盖加密。

定决策：为关键事务、战术层的异议等做决断。如：绝密级数据的访问或使用的异议，需上升到治理层做决策。

• 战术层

划定目标的范围，如关系型数据库；在此基础上制定与之匹配的方案和计划，如加解密方案、洗库方案等，通过项目的形式和有效的时间管理协同完成；除此之外，任何事情，我们都需要定一个指标，也就是一个成功的衡量标准，如敏感数据100%加密存储等。

• 执行层

执行的话，就是通过协调、沟通、响应等方式，有效将战略层和战术层的规划落地。针对本方案，重点强调一部分内容。即关于加解密平台。（重点）

我们需要关注以下三点：

• 加密平台的健壮性：账号、权限、审计等。kms平台的健壮性：

• 密钥的管理机制、密钥的轮换机制（如30天一更换）、密钥的权限区分机制（如不同的业务使用不同的秘钥）等。

• 加密算法的健壮性：Hash+salt、aes256、rsc、商密、普密等，选择最适合业务的。

8

数据展现

安全做到最后都会进入一个运营阶段，而运营也是整体安全工作中最大的关键点和难点，好的安全运营会给安全工作带来质变。

关于今天分享的静态数据的治理运营，举例两个运营中可以做的点，一是指标量化的可视化展示；二是数据治理的协调平台，例如工单平台、SOAR平台等。

• 可视化

示例如下：

底层数据支持相关简单举例如下：

业务信息	库	表	字段	数据样本	字段备注	主机IP	负责人	安全接口人	是否加密	数据级别
test	test	test	phone	12345678910	手机号	1.1.1.1	张三	李四	否	G2

通过上述内容，我们可以清晰的看到当前关于静态数据治理的状态。

• 协同平台

此处不做示例，可参考漏洞管理平台、工单管理平台、SOAR等平台的思路，在平台上高效协同执行和沟通相关整改落地工作。

总结

数据安全是个庞大的概念，很多工作都可以划分到数据安全的范畴，本次分享的内容是众多数据安全工作中比较关键的一个，静态数据治理这个思路不复杂，复杂的是基于各自的公司文化将它比较好的落地，一旦落地，无论是外部合规层面还是内部企业自身安全层面，我们安全人员的底气都会增加很多。

TIPS：在整个静态数据治理过程中，务必重视两个问题，一个是覆盖范围的全面性问题，我们要保证覆盖的数据资产是全面的，覆盖的敏感数据的全面性。另一个是加解密平台的健壮性问题，加解密平台要有权限划分、使用管控、审计、kms足够健壮等。

VK SRC今年最后一场重！磅！活！动！

【招聘】您有一份offer请查收！

VIPKID安全响应中心（VIPKID Security Response Center）--简称VKSRC，隶属于VIPKID信息安全部，于2017年10月25日正式上线。VKSRC的上线，旨在建立一个连接白帽子、安全团队和安全爱好者们的官方渠道和沟通桥梁，主动收集、发现潜在的安全威胁，全方位保障VIPKID公司、用户及合作伙伴的信息和隐私数据安全，共建互联网安全生态。

点个【在看 】吧

阅读原文

跳转微信打开

来聊聊？

阅读原文

跳转微信打开

快快抓住2020年的小尾巴，来VIPKID SRC挖洞叭

2020着实是不平凡的一年

时间一晃来到了12月

小编掐指一算

距离2021年的到来只剩15天了

年初制定的KPI完成了吗？

想好年终总结的内容了吗？

明年的升职计划做好了吗？

以及

新的一年就要到了

你的荷包是否还是空空如也？

hhhhh没错 

VK SRC今年最后一场活动要开始啦

话不多说，下滑看看有多给力～

活动规则

01

漏洞奖励 

① 活动期间在VKSRC提交的有效漏洞均可获得2倍安全币奖励；

② 期间每提交三个高危及其以上的有效漏洞，便可领取一张【安全币翻倍卡】，此翻倍卡可作用于此次活动中任意一个指定漏洞的原始安全币上；

③ 活动期间提交有效漏洞的白帽师傅，均将获得DinoDaily西游文创礼盒*1（内含西游造型Dino手办以及解压填色手账本套装，实物分量满满哒~）；

02

新人奖励 

活动期间入驻VK SRC平台的新白帽提交的首个有效漏洞可获得3倍安全币奖励

03

活动时间&范围 

* 活动时间：2020年12月21日-12月31日

* 漏洞提交地址：security.vipkid.com.cn

* 活动范围：

① 一对一业务：*.vipkid.com.cn

② 大米网校：*.damiwangxiao.com

③ 教师端：*.vipkid.com

04

其他Tips 

1.【新人奖励】不可与【漏洞奖励】叠加；

2.提交漏洞请务必备注【活动】+漏洞名称；

3.为能在第一时间发出活动相应奖励，请白帽师傅们及时在VIPKID SRC官网中完善自己的个人信息。

05

风险规避 

1. 测试过程不能影响VIPKID正常业务运作。请避开业务操作高峰期(18:00~22:00)，以避免影响真实用户的正常使用；

2. 不得向VKSRC之外的任何机构或个人公开漏洞详情；

以上行为如有违反，VKSRC有权取消漏洞奖励并保留追究其法律责任的权利。

互动有礼

又到了VK SRC送福利环节啦

本次互动将抽取3位小伙伴送出

VIPKID联名故宫文具海错图书包

开奖时间：12月25日

关注“VIPKID安全响应中心”公众号

并开奖前转发本文至朋友圈（分组无效）

中奖后联系运营小姐姐（微信：sz465976247）

凭朋友圈截图和关注截图进行兑换

长按下方抽奖二维码参与抽奖

另外VK SRC的奖励规则于近期更新啦

基础漏洞奖励提高，

单个漏洞基础奖励最高可达1.8万元。

个人季度奖励提高，

现金奖励最高将达到2万元。

详情可点击了解👇

VIPKID SRC三岁啦～

关于VIPKID SRC

VIPKID安全响应中心（VIPKID Security Response Center）--简称VKSRC，隶属于VIPKID信息安全部，于2017年10月25日正式上线。VKSRC的上线，旨在建立一个连接白帽子、安全团队和安全爱好者们的官方渠道和沟通桥梁，主动收集、发现潜在的安全威胁，全方位保障VIPKID公司、用户及合作伙伴的信息和隐私数据安全，共建互联网安全生态。

点个 在看 你最好看

阅读原文

跳转微信打开

本文分享了VIPKID安全团队在内网穿透反向代理软件frp的部分安全实践，希望可以抛砖引玉，欢迎各位安全小伙伴一起讨论学习。

近期看到一则消息如下：

2020年11月17日上午11:56，某公司发出全员级别的通告。人工智能部AI实验室一名实习生私自将公司内网端口映射到公网，导致不法分子入侵公司服务器，违反《集团员工行为准则》和《员工信息安全规范》有关规定，解除其实习协议，并将相关涉案人员移送司法处理。
对此，该公司客服工作人员表示：“针对此情况我们没有收到相关部门的通知。我们会尝试与相关部门沟通，有进展的话会予以答复。”

看到的第一反应是无论此事真假，但如果发生在我司，安全部有没有能力去发现？于是，本着守望互助和发散思考的原则研究了一波内网端口映射到公网软件，恰好看到朋友圈已经有人总结了常见列表：

本人能力有限，故仅挑选一款倍受喜爱的frp来浅析一二，希望可以抛砖引玉。

文章核心内容如下：

• 两种常用模式的示例

• 如何提取特征进行安全检测

• 绕过安全检测的思路

frp 是一个专注于内网穿透的高性能的反向代理应用，支持 TCP、UDP、HTTP、HTTPS 等多种协议。可以将内网服务以安全、便捷的方式通过具有公网 IP 节点的中转暴露到公网。

为什么使用 frp ？通过在具有公网 IP 的节点上部署 frp 服务端，可以轻松地将内网服务穿透到公网，同时提供诸多专业的功能特性，这包括：

• 客户端服务端通信支持 TCP、KCP 以及 Websocket 等多种协议。

• 采用 TCP 连接流式复用，在单个连接间承载更多请求，节省连接建立时间。

• 代理组间的负载均衡。

• 端口复用，多个服务通过同一个服务端端口暴露。

• 多个原生支持的客户端插件（静态文件查看，HTTP、SOCK5 代理等），便于独立使用 frp 客户端完成某些工作。

• 高度扩展性的服务端插件系统，方便结合自身需求进行功能扩展。

• 服务端和客户端 UI 页面。

  
  

1、图示

图示最能一眼直观看懂，奈何翻遍互联网没有找到让我满意的示意图，为清晰表达，故简单画图。

frps配置：

frpc配置：

客户端连接：

ssh -oPort=60001 root@115.159.54.230

3、日志

frps日志，包含：启动、连接成功、退出成功

frpc日志，只包含启动

1、图示

2、配置

frps配置：

frpc内网服务器：

frpc客户端启动服务：

客户端连接：

ssh -oPort=7000 root@127.0.0.1

3、日志

这里针对frps开启了trace模式，可以收到全面的信息，对于下文wireshark抓包分析、对照数据包分析指令等有帮助。

frps：

frpc内网服务器：

frpc客户端启动服务：

1、特征提取

登陆后查看连接：

• w查看有localhost登陆

• 确立连接中有到frps连接

• 确立连接中有到127.0.0.1:22的连接

根据端口反查：

断开连接后查看：

frpc关闭服务后查看：

综上总结：

• 程序运行时有127.0.0.1:22的监听和网络连接

• 会有一定特征进程启动

• 未编译版本可通过指纹（md5）匹配

2、检测

“君子生非异也，善假于物也”，故这里借助多种产品来协助安全检测。

产品一：

程序运行时刷新资产状态，可以查看到frpc进程：

通过网络连接查看：

select datetime,agent_ip,cmd,src_ip,src_port,dst_ip,dst_port,pname from qtevent_net_connect where datatime > "now-2h" where pname like "frp"

通过进程查看：

select pid as 进程ID, processName as 进程名称, from_unixtime(startTime) as start_time, startArgs , md5 as MD5 from wx.wisteria_assets.linux_process where processName like "frp" order by start_time desc

通过md5检查（这里偷懒就对比了一下值）：

产品二：

通过网络连接查看：

__topic__:aegis-log-network and ip:172.23.250.213 and frpc

通过进程查看：

__topic__:aegis-log-process and ip:172.23.250.213 and frpc

1、特征提取

这里只贴图，请按照上节内容自我思考。

2、检测

产品一：

通过网络连接查看:

select datetime,agent_ip,cmd,src_ip,src_port,dst_ip,dst_port,pname from qtevent_net_connect where datatime > "now-2h" where pname like "frp"

通过进程查看：

select pid as 进程ID, processName as 进程名称, from_unixtime(startTime) as start_time, startArgs , md5 as MD5 from wx.wisteria_assets.linux_process where processName like "frp" order by start_time desc

产品二：

通过网络连接查看：

__topic__:aegis-log-network and ip:172.23.250.213 and frpc

通过进程查看：

传统的流量分析安全设备是根据规则来命中事件类型，那么我们来研究一下数据包有什么特征。

抓取了一次从建立连接到ssh登陆的数据包，干干净净的话大概20个。

找到第一个传输flag信息的数据包，右键Follow--TCP Stream

先从数据包中分析有用的字段 version,hostname,os,arch,user,privilege_key,runid,metas，接下来会从代码萌新层面讨论如何去掉特征。

首先定位到pkg/msg/msg.go

先拿version字段为例，第二三段均为frps端收到连接时打log用的，所以不用考虑。

我们打开第一段会定位到client/service.go，再次跟进到pkg/util/version/version.go，代码如下:

我这里修改版本号"0.34.3"为"SSH-2.0-OpenSSH_7.4"（一时脑洞，想着会不会被识别为ssh服务，哈哈）

这里还有个小插曲，就是修改了version后，建立连接时返回

"Please upgrade your frpc version to at least 0.18.0"

翻了一下代码定位到pkg/util/version/version.go中有如下：

LessThan函数中会去做一堆版本号比对，检测什么呀，直接把Compat返回值return true，或者把LessThan返回值return false都可以解决。

好了，version修改完毕，在纠结继续修改哪些参数到时候，想到去frps上面看一下log，收到的就是需要修改的特征，于是翻了一下日志

害，发现好多参数都是发了个寂寞～

既然如此，那么就顺便修改一下os和arch，用了个很low很简单方法

好了，编译打包。frp里面集成了打包shell，去到对应目录下执行package.sh，结果如下:

好啦，这下子可以舒舒服服的绕过安全检测了吧

一边测试一边抓包看是否能绕过安全检测~

果不其然，还是检测出来了，打脸了

不哭不哭，我们来继续找原因，先看一下数据包

仔细翻了翻找到了刚刚没有看到的说明文档doc/server_plugin_zh.md，里面描述了用户登陆操作信息、创建代理的相关信息、心跳相关信息、新增 frpc 连接相关信息等数据字段格式，结合上图，突然有个扎眼的字段“privilege_key”，此时想了一下如果单独从前面几个字段的key去做特征误报率太高了，如果我设计就找几个特殊的key和几个特殊的value。心中定了想法，就去看一下这个key。

这里重点是第一个文件pkg/msg/msg.go，第二三个均是doc里面的内容，不用管。这里看了一下PrivilegeKey在pkg/auth/token.go和pkg/auth/oidc.go都有关联，但是字段名却只有这个文件包含了3次，全局替换一波字段名，老样子编译打包一波。

随手一测~（不要问，需要结果的同学自己动手试一下就知道了）

做一些发散思考和思路，时间原因，并未全部尝试；攻防本是对抗过程，文中方法可能随时失效，授人鱼不如授人以渔。

上文中绕过是在建立连接时用户发送登录信息给服务端时，那么如果针对此检测可以有两个思路：

1、提取登录信息的新特征，防止正则匹配绕过

2、对前置或后置阶段特征提取，如发送RPC请求建立连接数据包、建立连接后的心跳数据包（最近读安全客有感，可参照6、引用和致谢[2]）

NetFilter可以针对Linux包过滤、网络地址转换(NAT)和基于协议类型的连接跟踪，可以做多个HOOK点，我们可以抽象流量转发模型有以下特征：

• 数据包内容相同，但五元组不同

• 数据包间隔时间短

• 会在127.0.0.1上面做些文章

以上特征用代码实现用作入侵检测取证时很棒，有魄力的也可以做成服务检测报送式，用salt或ansible推送到服务器检测。

设想，每次得手后都会在服务器留一个明文的.ini文件，应急响应和溯源时岂不是白白送上思路？

以上已有师傅实现，可参照6、引用和致谢[3]

frpc很多人会在BYOD终端启动，个人的测试中几款pc端的agent都无法从服务端采集到终端的frp软件信息和事件，故在没有更好的方法之前用一些手段去补偿控制，当然这些手段也需要不断的建设和运营，在阶段初期误报率和复杂度估计会很高。

• 服务器只允许堡垒机IP登录，其它ip做限制或登录告警（针对使用frp映射非ssh服务无法奏效）

• 抓取出互联网流量中心跳特征包（很多Saas服务会有心跳包，会产生大量误报，这个需要运营，如果流量分析产品可以实现则更佳）

• 零信任解决方案，基于账号、角色、权限、访问对象，结合微隔离、SDP，极端一些可以达到MAC（强制访问控制）模型

感谢引用中各位大佬和团队的分享精神！frp是一个免费开源且在开发中的软件，我相信它会越来越好；各安全检测方法和测试手法也仅限于本人研究过的产品和特定版本，不能以偏概全。如果文章中有任何描述不正确或引用不当的地方，辛苦大佬们指正。

也欢迎各位安全同僚拍砖、交流和技术分享！（微信：solosec）

引用来源：

[1] https://gofrp.org/docs/ frp官方文档

[2] https://mp.weixin.qq.com/s/f11pMe55aFR92NfH_VNgBg 入侵检测系列1（上）：基于私有协议的加密流量分析思路（Teamviewer篇）

[3]https://uknowsec.cn/posts/notes/FRP%E6%94%B9%E9%80%A0%E8%AE%A1%E5%88%92.html  FRP改造计划

点击下方图片

阅读【VK技术分享】往期精彩文章

【VK技术分享】数据安全怎么做—个人信息保护法解读

【VK技术分享】Docker安全实践

【VK 技术分享】数据安全怎么做——数据防泄漏

关于VIPKID SRC

VIPKID安全响应中心（VIPKID Security Response Center）--简称VKSRC，隶属于VIPKID信息安全部，于2017年10月25日正式上线。VKSRC的上线，旨在建立一个连接白帽子、安全团队和安全爱好者们的官方渠道和沟通桥梁，主动收集、发现潜在的安全威胁，全方位保障VIPKID公司、用户及合作伙伴的信息和隐私数据安全，共建互联网安全生态。

点个在看

你最好看

阅读原文

跳转微信打开

本次文章不仅是对《个人信息保护法（草案）》的解读，也对个人信息安全相关法律的梳理，并在此基础上阐述自己的想法。

前言

本次文章不仅是对《个人信息保护法（草案）》的解读，也对个人信息安全相关法律的梳理，范围包括国内外，希望在整个个人信息合规层面不会有遗漏。如有遗漏，欢迎共识补充。

2020年10月13日，十三届全国人大常委会委员长会议提出了关于提请审议《个人信息保护法（草案）》的议案，也是继今年6月28日的《数据安全法（草案）》后的又一数据安全类的重要法案，本法在数据安全法的基础上，将数据细化至个人信息层面，整体的适用范围、原则和要求等基本相同，强调个人信息数据在组织或个人处理时的安全性。

公民个人信息定义

本次草案是针对个人信息层面的立法，解读开始之前，先整体看下国内外法律对“公民个

人信息”的定义说明：

国内

虽然《个人信息保护法（草案）》近期才发布，但是我国从很早就开始致力于构建个人信息保护法律的体系，相关整理如下：

序号	法律	时间
1	《刑法修正案（五）》	2005年
2	《刑法修正案（七）》	2009年
3	《侵权责任法》	2009年
4	全国人大常委《关于加强网络信息保护的决定》	2012年
5	《消费者权益保护法》	2013年
6	《刑法修正案（九）》	2015年
7	《网络安全法》	2016年
8	“两高”关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释	2017年
9	中华人民共和国民法典	2020年
10	数据安全保护法（草案）	2020年
11	个人信息保护法（草案）	2020年

其中明确对个人信息给出明确定义的相关内容如下：

1、《网络安全法》第七十六条

（五）个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。

2、全国人大常委《关于加强网络信息保护的决定》第一条

 一、国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息。

3、“两高一部”的《惩处公民个人信息犯罪通知》

公民个人信息包括公民的姓名、年龄、有效证件号码、婚姻状况、工作单位、学历、履历、家庭住址、电话号码等能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料。

4、“两高”关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释

第一条 刑法第二百五十三条之一规定的“公民个人信息”,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

5、中华人民共和国民法典

第四编  人 格 权

第六章  隐私权和个人信息保护

第一千零三十四条  自然人的个人信息受法律保护。

个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。

个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。

国外

NIST 800-122中对个人信息的定义：

个人识别信息是“由代理机构维护的有关个人的任何信息，包括：

（1）任何可用于区分或追踪个人身份的信息，例如姓名，社会保险号，出生日期和地点，母亲的姓氏或生物特征记录；

（2）与个人链接或可链接的任何其他信息，例如医学，教育，财务和就业信息。PII的示例包括但不限于：

名称，例如全名，娘家姓，母亲的娘家姓或别名；

个人识别号，例如社会安全号（SSN），huzhao号，jiazhao号，纳税人识别号或金融帐户或xinyongka号；

地址信息，例如街道地址或电子邮件地址；

个人特征，包括照片图像（尤其是面部或其他识别特征），指纹，笔迹或其他生物特征数据（例如，视网膜扫描，语音签名，面部几何形状）；

与上述内容之一相关或可链接的个人信息（例如，出生日期，出生地点，种族，宗教，体重，活动，地理指标，就业信息，医疗信息，教育信息，财务信息）。

GDPR中对个人数据的定义：

“个人数据”是指与已识别或可识别的自然人（以下简称“数据主体”）有关的所有信息；可以将自然人视为可识别的人，可以直接或间接地对其进行识别，特别是通过分配给诸如姓名，识别号，位置数据，在线标识符或一个或多个表示身体的特殊特征的标识符，该自然人的生理，遗传，心理，经济，文化或社会身份；

CCPA：

具体参见另一篇文章《数据安全怎么做：合规篇之CCPA》

相关法律责任

国内

1、中华人民共和国刑法

第二百五十三条之一 侵犯公民个人信息罪

违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

2、数据安全法草案

具体参见另一篇文章《数据安全怎么做：合规篇之数据安全法（草案）》

国外

GDPR：

根据不同的验证程度，处于一下两种罚款，详情可参见：https://dsgvo-gesetz.de/art-83-dsgvo/

处以最高10,000,000欧元的罚款，或者对公司而言，处以其上一财政年度全球年度总营业额的2％（以较高者为准）以下的罚款；

处以最高20,000,000欧元的罚款，或者对公司而言，处以其上一财政年度全球年度总营业额的4％（以较高者为准）以下的罚款。

CCPA：

具体参见另一篇文章《数据安全怎么做：合规篇之CCPA》

《个人信息保护法（草案）》解读

本法共八章七十条，下述内容是结合个人企业安全经验，对本法的解读：

第一章  总则

综述：

本章节明确了适用范围、个人信息的定义、个人信息处理的过程和个人信息使用的原则。

具体关键点如下：

适用范围：组织、个人在中华人民共和国境内处理自然人个人信息的活动。

个人信息定义：是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

注解：匿名化是一种数据处理技术，是指个人信息经过处理无法识别特定自然人 且不能复原的过程；经过匿名化处理的数据无法用来与任何个人关联到一起。实际在企业的应用方式主要是加密或脱敏。

个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等活动。（定义数据安全关注的重点）

原则：

1、合法、正当、诚信

2、有明确、合理的目的，限制实现处理目的的最小范围

3、公开、透明

第二章  个人信息处理规则

第一节 一般规定

综述：

规定个人信息处理者的责任和要求，强调个人存在许可权、拒绝权和访问权，强调受托方与个人信息处理者之间的责任关系。

具体关键点如下：

符合下列情形之一的,个人信息处理者方可处理个人信息：

(一)取得个人的同意;

(二)为订立或者履行个人作为一方当事人的合同所必需;

(三)为履行法定职责或者法定义务所必需;

(四)为应对突发公共卫生事件,或者紧急情况下为保护自然人的生命健康和财产安全所必需;

(五)为公共利益实施新闻报道、舆论监督等行为在合理的范围内处理个人信息;

(六)法律、行政法规规定的其他情形。

个人信息处理者在处理个人信息前,应当以显著方式、清晰易懂的语言向个人告知下列事项:

(一)个人信息处理者的身份和联系方式;

(二)个人信息的处理目的、处理方式,处理的个人信息种类、保存期限;

(三)个人行使本法规定权利的方式和程序;

(四)法律、行政法规规定应当告知的其他事项。

注解：本章对数据处理者的要求基本为管理性要求，组织在落实的时候，不仅要考虑自身业务隐私协议或与三方组织签署的协议上是否满足此部分内容要求，也要切实从技术上进行满足和定期验证。

举例：基于2019年底的关于印发《App违法违规收集使用个人信息行为认定方法》的通知，今年相关监管方已经针对国内主流的32万款app进行了技术检测，并针对未满足要求的公司发文公示和限期整改。

第二节 敏感个人信息的处理规则

综述：

对个人信息进一步细化，定义敏感个人信息的内容，规定基于个人同意处理敏感个人信息的，个人信息处理者应当取得个人的单独同意

具体关键点：

敏感个人信息是一旦泄露或者非法使用,可能导致个人受到歧视或者人身、财产安全受到严重危害的个人信息,包括种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等信息。

第三节 国家机关处理个人信息的特别规定

略。

第三章 个人信息跨境提供规则

综述：

近期的tiktok和WeChat事件，让我们切实感受到，美国对美国公民数据的管理严格；其实反过来看，我国对国内数据的跨境访问也同样严格，从网络安全法发布以来，国家越来越关注国内数据的跨境传输，很多国外的大公司相继在国内建立单独的公司或数据中心，用以管理中国国内的数据，本章节内容对我国境外提供个人需求的组织，需满足国家相关的评估、认证和备案等要求，且国家层面有权限制或者禁止此类行为。

具体关键点：

个人信息处理者因业务等需要,确需向中华人民共和国境外提供个人信息的,应当至少具备下列一项条件:

(一)依照本法第四十条的规定通过国家网信部门组织的安全评估;

注解：此处可以参考国家已发布的《个人信息和重要数据出境安全评估办法（征求意见稿）》和《个人信息出境安全评估办法（征求意见稿）》

(二)按照国家网信部门的规定经专业机构进行个人信息保护认证;

(三)与境外接收方订立合同,约定双方的权利和义务,并监督其个人信息处理活动达到本法规定的个人信息保护标准；

(四)法律、行政法规或者国家网信部门规定的其他条件。

关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估;法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。

注解：关于网信部门的规定数量在“《个人信息和重要数据出境安全评估办法（征求意见稿）》2017年”中有提及和定义，具体如下：

第七条网络运营者应在数据出境前，自行组织对数据出境进行安全评估，并对评估结果负责。

第九条出境数据存在以下情况之一的，网络运营者应报请行业主管或监管部门组织安全评估：

（一）含有或累计含有50万人以上的个人信息；

（二）数据量超过1000GB；

（三）包含核设施、化学生物、国防军工、人口健康等领域数据，大型工程活动、海洋环境以及敏感地理信息数据等；

（四）包含关键信息基础设施的系统漏洞、安全防护等网络安全信息；

（五）关键信息基础设施运营者向境外提供个人信息和重要数据；

（六）其他可能影响国家安全和社会公共利益，行业主管或监管部门认为应该评估。

行业主管或监管部门不明确的，由国家网信部门组织评估。

但是在2019年的《个人信息出境安全评估办法（征求意见稿）》对个人信息出境的限制做了收紧，未在量化定义哪些数据需要进行评估，个人信息出境前即需要申报评估具体如下：

第三条 个人信息出境前，网络运营者应当向所在地省级网信部门申报个人信息出境安全评估。

向不同的接收者提供个人信息应当分别申报安全评估，向同一接收者多次或连续提供个人信息无需多次评估。

每2年或者个人信息出境目的、类型和境外保存时间发生变化时应当重新评估。

第四章  个人在个人信息处理活动中的权利

综述：

本章节强调个人对个人信息存在知情权、决定权、访问权、拒绝权、被遗忘权和删除权。

注解：为了便与GDPR对别，综述中我引用了GDPR的部分词语。本章节中，国内的要求相对于GDPR的要求宽松一些，具体如下：

1、被遗忘权，GDPR是一对多的，不仅包含传统的删除权的权利要求，还包括要求数据控制者负责将其已经扩散出去的和提供给第三方的个人数据，采取必要的措施予以消除。而本章节未提及委托方的数据被遗忘权。

2、删除权，本文提到“法律、行政法规规定的保存期限未届满,或者删除个人信息从技术上难以实现的,个人信息处理者应当停止处理个人信息”，此句话相对于给个人信息删除留有缓和余地的，而GDPR的要求是物理删除，且为强制性要求；具体内容为：数据主体有权要求控制者无不当延误地删除有关其的个人数据；为遵守控制者所受制的联盟或成员国法律规定的法定义务，个人数据必须被删除。

第五章  个人信息处理者的义务

综述：

个人信息处理者要采取相应的保护措施、指定个人信息保护负责人、定期做审计、风险评估等方式防治未授权的访问；境外公司在国内要设立专门机构或者指定代表；如出现人信息泄露的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。

具体关键点：

采取必要措施确保个人信息处理活动符合法律、行政法规的规定,并防止未经授权的访问以及个人信息泄露或者被窃取、篡改、删除:

(一)制定内部管理制度和操作规程;

(二)对个人信息实行分级分类管理;

(三)采取相应的加密、去标识化等安全技术措施;

(四)合理确定个人信息处理的操作权限,并定期对从业人员进行安全教育和培训;

(五)制定并组织实施个人信息安全事件应急预案;

(六)法律、行政法规规定的其他措施。

注解：上述内容从技术和管理层面指导组织内的个人信息防护工作。

个人信息处理者应当对下列个人信息处理活动 在事前进行风险评估,并对处理情况进行记录:

(一)处理敏感个人信息;

(二)利用个人信息进行自动化决策;

(三)委托处理个人信息、向第三方提供个人信息、公开个 人信息;

(四)向境外提供个人信息;

(五)其他对个人有重大影响的个人信息处理活动。

风险评估的内容应当包括:

(一)个人信息的处理目的、处理方式等是否合法、正当、 必要;

(二)对个人的影响及风险程度;

(三)所采取的安全保护措施是否合法、有效并与风险程度 相适应。

风险评估报告和处理情况记录应当至少保存三年。

注解：风险评估从网络安全法开始就一直被要求，且由监管方落实到日常管理中， 企业务必重视定期开展内部的风险评估工作。

个人信息处理者发现个人信息泄露的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列事项:

(一)个人信息泄露的原因;

(二)泄露的个人信息种类和可能造成的危害;

(三)已采取的补救措施;

(四)个人可以采取的减轻危害的措施;

(五)个人信息处理者的联系方式。

第六章 履行个人信息保护职责的部门

规定个人信息保护职责的部门需要履行的责任，相关略。

第七章 法律责任

综述：

对违背个人信息安全法的人员、组织采取一定的惩罚。

具体关键点：

违反本法规定处理个人信息,或者处理个人信 息未按照规定采取必要的安全保护措施的,由履行个人信息保护 职责的部门责令改正,没收违法所得,给予警告;拒不改正的, 并处一百万元以下罚款;对直接负责的主管人员和其他直接责任 人员处一万元以上十万元以下罚款。

有前款规定的违法行为,情节严重的,由履行个人信息保护 职责的部门责令改正,没收违法所得,并处五千万元以下或者上 一年度营业额百分之五以下罚款,并可以责令暂停相关业务、停 业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执 照;对直接负责的主管人员和其他直接责任人员处十万元以上一 百万元以下罚款。

第八章 附则

综述：

对关键词语进行定义和解释。

具体关键点：

(一)个人信息处理者,是指自主决定处理目的、处理方式 等个人信息处理事项的组织、个人。

(二)自动化决策,是指利用个人信息对个人的行为习惯、 兴趣爱好或者经济、健康、信用状况等,通过计算机程序自动分 析、评估并进行决策的活动。

(三)去标识化,是指个人信息经过处理,使其在不借助额 外信息的情况下无法识别特定自然人的过程。

(四)匿名化,是指个人信息经过处理无法识别特定自然人 且不能复原的过程。

总结

随着数据级别的相关要求逐渐上升到立法阶段，不仅更好的维护了国家、组织和个人的合法权益，也帮助组织和数据安全工作者指明了方向、提出了要求，让企业安全建设工作有抓手。

这是【vk技术分享】的第11期

后续我们将持续输出优秀的技术文章

如果您有任何希望交流讨论问题

欢迎在文末或后台进行留言

我们期待与您的技术交流和思想碰撞

点击下方图片

阅读【VK技术分享】往期精彩文章

【VK技术分享】Docker安全实践

【VK 技术分享】数据安全怎么做——数据防泄漏

【VK技术分享】数据安全怎么做——数据分类分级

关于VIPKID SRC

VIPKID安全响应中心（VIPKID Security Response Center）--简称VKSRC，隶属于VIPKID信息安全部，于2017年10月25日正式上线。VKSRC的上线，旨在建立一个连接白帽子、安全团队和安全爱好者们的官方渠道和沟通桥梁，主动收集、发现潜在的安全威胁，全方位保障VIPKID公司、用户及合作伙伴的信息和隐私数据安全，共建互联网安全生态。

点击上方蓝字关注我们

阅读原文

跳转微信打开

过去几年，中国的互联网技术已经开始从消费领域逐步渗透到产业全链条，通过提升全产业链的效率来创造更大的价值。互联网和不同的产业融合，推动着各行各业发生翻天覆地的变化。随着互联网对全产业链的渗透，网络安全性也就显得尤为重要。

12月18日，由贝壳安全主办的 ICS安全技术峰会将在北京海航万豪酒店拉开帷幕。本次会议将围绕“产业互联、安全破局”主题展开，贝壳安全协同国内知名企业安全负责人、业内安全专家，针对产业融合背景下安全变革新形势，共同探讨安全的发展方向及前沿技术应用实践。峰会秉持【变革、实践、发展】的精神，坚持技术驱动、实用为先的原则，为大家呈现一场安全技术盛宴。

会议时间：2020年12月18日9:30-18:00

会议地点：北京海航大厦万豪酒店

01

硬核干货，技术驱动

本届贝壳安全技术峰会聚焦产业互联网、互联网企业安全建设趋势、前沿安全技术，邀请到政府主管单位领导，以及贝壳找房、腾讯、京东、小米、字节跳动、长亭科技等各企业安全负责人和安全专家，共同就产业互联网融合下的安全趋势、安全新挑战进行剖析，同时针对AIoT、基础安全建设、红蓝对抗、智能风控等领域的安全技术展开分享，解锁安全技术应用新姿势。

02

白帽脱口秀&年度颁奖，视听盛宴

贝壳安全应急响应中心一周年，年度白帽首次亮相大会舞台，回顾过往，见证荣耀。同时，在贝壳安全应急响应中心特色环节，首次邀请圈内知名白帽将脱口秀搬上舞台，全方位为你讲解一个白帽子的养成之路。

03

奖品丰厚，互动满满

本次峰会邀请到贝壳SRC、腾讯SRC、字节跳动SRC、小米SRC、京东SRC、补天漏洞响应平台、火线社区、长亭科技、永安在线等合作伙伴联合展出互动，精美周边、互动游戏，脑力与体力的挑战都在这里。同时，峰会为每一位前来的朋友准备了惊喜伴手礼，更有热门iPhone新款、大疆无人机、switch游戏机、iPad mini、降噪耳机、各家周边等大奖接连抽，带给你各种惊喜。

报名通道

  扫描二维码即可报名  

备注：截止报名日期为2020年12月11日

报名审核结果以短信形式告知

阅读原文

跳转微信打开

此文章总结了VIPKID安全团队基于Docker技术的安全实践，希望同各位安全小伙伴一起探讨学习。

1、序章

随着Docker技术近年来的高速发展和广泛使用，众多互联网公司陆续采用Docker技术作为核心业务的Paas层支撑。那么势必在Docker技术下会给安全技术体系带来新的挑战。此文章总结了VIPKID安全团队基于Docker技术的安全实践，希望同各位安全小伙伴一起探讨学习。

本文章目录索引如下：

1、Docker架构简介

2、Docker生态

3、Docker文件存储驱动

4、Docker镜像与层级概念

5、Docker namespaces与cgroup概念

6、容器Hids的实现

7、Docker目前面临的安全问题

2、Docker架构简介

Docker 包括三个基本概念：

• 镜像（Image）
• 容器（Container）
• 仓库（Repository）

理解了这三个概念，就理解了 Docker 的整个生命周期。

2.1  镜像

我们都知道，操作系统分为内核和用户空间。对于 Linux 而言，内核启动后，会挂载 root 文件系统为其提供用户空间支持。而 Docker 镜像（Image），就相当于是一个root 文件系统。比如官方镜像ubuntu:18.04就包含了完整的一套 Ubuntu 18.04 最小系统的root文件系统

Docker 镜像是一个特殊的文件系统，除了提供容器运行时所需的程序、库、资源、配置等文件外，还包含了一些为运行时准备的一些配置参数（如匿名卷、环境变量、用户等）。镜像不包含任何动态数据，其内容在构建之后也不会被改变。

分层存储 ✨

因为镜像包含操作系统完整的root 文件系统，其体积往往是庞大的，因此在 Docker 设计时，就充分利用 [Union FS]的技术，将其设计为分层存储的架构。所以严格来说，镜像并非是像一个 ISO 那样的打包文件，镜像只是一个虚拟的概念，其实际体现并非由一个文件组成，而是由一组文件系统组成，或者说，由多层文件系统联合组成。

尝试下docker  pull ubuntu：

镜像构建时，会一层层构建，前一层是后一层的基础。每一层构建完就不会再发生改变，后一层上的任何改变只发生在自己这一层。比如，删除前一层文件的操作，实际不是真的删除前一层的文件，而是仅在当前层标记为该文件已删除。在最终容器运行的时候，虽然不会看到这个文件，但是实际上该文件会一直跟随镜像。因此，在构建镜像的时候，需要额外小心，每一层尽量只包含该层需要添加的东西，任何额外的东西应该在该层构建结束前清理掉。

例如如上Dockerfile 中每一个指令都会建立一层，RUN 也不例外。每一个 RUN 的行为，就和刚才我们手工建立镜像的过程一样：新建立一层，在其上执行这些命令，执行结束后，commit这一层的修改，构成新的镜像。而上面的这种写法，创建了 7 层镜像。

总结：镜像就是打包的、分层的文件系统。

2.2  容器

镜像（Image）和容器（Container）的关系，就像是面向对象程序设计中的 类 和 实例 一样，镜像是静态的定义，容器是镜像运行时的实体。容器可以被创建、启动、停止、删除、暂停等。

容器的实质是进程，但与直接在宿主执行的进程不同，容器进程运行于属于自己的独立的 [命名空间]因此容器可以拥有自己的root文件系统、自己的网络配置、自己的进程空间，甚至自己的用户 ID  空间。容器内的进程是运行在一个隔离的环境里，使用起来，就好像是在一个独立于宿主的系统下操作一样。这种特性使得容器封装的应用比直接在宿主运行更加安全。

总结：容器就是供镜像运行的进程，具有独立的命名空间（namespaces）。

2.3  仓库

镜像构建完成后，可以很容易的在当前宿主机上运行，但是，如果需要在其它服务器上使用这个镜像，我们就需要一个集中的存储、分发镜像的服务，Docker Registry就是这样的服务。

一个 Docker Registry 中可以包含多个 仓库（Repository）；每个仓库可以包含多个 标签（Tag）；每个标签对应一个镜像。

通常，一个仓库会包含同一个软件不同版本的镜像，而标签就常用于对应该软件的各个版本。我们可以通过 <仓库名>:<标签> 的格式来指定具体是这个软件哪个版本的镜像。如果不给出标签，将以 latest作为默认标签。

以 [Ubuntu 镜像]为例，ubuntu 是仓库的名字，其内包含有不同的版本标签，如，16.04, 18.04。我们可以通过 ubuntu:16.04，或者 ubuntu:18.04 来具体指定所需哪个版本的镜像。如果忽略了标签，比如 ubuntu，那将视为 ubuntu:latest。

仓库名经常以 两段式路径 形式出现，比如 jwilder/nginx-proxy，前者往往意味着 Docker Registry 多用户环境下的用户名，后者则往往是对应的软件名。但这并非绝对，取决于所使用的具体 Docker Registry 的软件或服务。

Docker Registry公开服务：例如Docker Hub\Quay.io\Google Container Registry。

私有 Docker Registry：比如Harbor和 Sonatype Nexus。

2.4  Docker架构

Docker的文件系统是分层的，它的rootfs在mount之后会转为只读模式。Docker在它上面添加一个新的文件系统，来达成它的只读。

事实上，从下图中，我们能看到多个只读的文件系统，Docker中把他们称为 层（layer）。

image是只读的，container部分则是可写的。

如果用户想要修改底层只读层上的文件，这个文件就会被先拷贝到上层，修改后驻留在上层，并屏蔽原有的下层文件。

最后一部分是容器(container)， 容器是可读写的。

在系统启动时，Docker会首先一层一层的加载image，直到最先面的base image。而这些image都是只读的。

最后，在最上层添加可读写的一个容器， 这里存放着诸如unique id，网络配置之类的信息。

既然是可读写的，就会有状态。容器共有两种状态：running 和 exited.

用户也可以用Docker commit 命令（不推荐使用）将一个容器压制为image，供后续使用。

3、Docker生态

Kubernetes

建于 Docker 之上的Kubernetes可以构建一个容器的调度服务，其目的是让用户透过Kubernetes集群来进行云端容器集群的管理，而无需用户进行复杂的设置工作。系统会自动选取合适的工作节点来执行具体的容器集群调度处理工作。其核心概念是Container Pod。一个Pod由一组工作于同一物理工作节点的容器构成。这些组容器拥有相同的网络命名空间、IP以及存储配额，也可以根据实际情况对每一个 Pod进行端口映射。此外，Kubernetes工作节点会由主系统进行管理，节点包含了能够运行 Docker 容器所用到的服务。

kubelet 是在每个 Node 节点上运行的主要 “节点代理”。它可以通过以下方式向 apiserver 进行注册：主机名（hostname）；覆盖主机名的参数；某云服务商的特定逻辑。

• 节点（Node）：一个节点是一个运行 Kubernetes 中的主机。

• 容器组（Pod）：一个 Pod 对应于由若干容器组成的一个容器组，同个组内的容器共享一个存储卷(volume)。

• 容器组生命周期（pos-states）：包含所有容器状态集合，包括容器组状态类型，容器组生命周期，事件，重启策略，以及 replication controllers。

• Replication Controllers：主要负责指定数量的 pod 在同一时间一起运行。并且在任何时候都有指定数量的Pod副本，在此基础上提供一些高级特性，比如滚动升级和弹性伸缩

• 服务（services）：一个 Kubernetes 服务是容器组逻辑的高级抽象，同时也对外提供访问容器组的策略。

• 卷（volumes）：一个卷就是一个目录，容器对其有访问权限。

• 标签（labels）：标签是用来连接一组对象的，比如容器组。标签可以被用来组织和选择子对象。

• 接口权限（accessing_the_api）：端口，IP 地址和代理的防火墙规则。

• web 界面（ux）：用户可以通过 web 界面操作 Kubernetes。

• 命令行操作（cli）：kubectl命令。

4、Docker文件存储驱动

Docker的overlay存储驱动利用OverlayFS（堆叠文件系统）的一些特征来构建以及管理镜像和容器的磁盘结构。

docker1.12后推出的overlay2在inode的利用方面比ovelay更有效，overlay2要求内核版本大于等于4.0。

4.1  overlay

(由较早的kernel以及Docker版本使用)

如下图所示，overlay在主机上用到2个目录，这2个目录被看成是overlay的层。upperdir为容器层、lowerdir为镜像层使用联合挂载技术将它们挂载在同一目录(merged)下，提供统一视图。

当容器层和镜像层拥有相同的文件时，容器层的文件可见，隐藏了镜像层相同的文件。然后由容器挂载目录(merged)提供了统一视图。

overlay只使用2层，意味着多层镜像不会被实现为多个OverlayFS层。每个镜像被实现为自己的目录，这个目录在路径/var/lib/docker/overlay下。硬链接被用来索引和共享底层的数据，节省了空间。

当创建一个容器时，overlay驱动连接代表镜像层顶层的目录(只读)和一个代表容器层的新目录(读写)：

一开始overlay路径下为空，用docker pull命令下载一个由5层镜像层组成的docker镜像:

此时，在路径/var/lib/docker/overlay/下，每个镜像层都有一个对应的目录，包含了该层镜像的内容，通过tree命令发现，每个镜像层下只包含一个root目录 (因为docker1.10开始，使用基于内容的寻址，因此目录名和镜像层的id不一致)。

每一层都包含了”该层独有的文件”以及”和其低层共享的数据的硬连接”。如ls命令，每一层都使用一个硬链接来指向实际ls命令的inode号(405241)：

使用刚刚拉取的ubuntu镜像创建一个容器（docker run --name test -d -it ubuntu:latest /bin/bash），用docker ps命令查看：

创建容器时，实际上是在已有的镜像层上创建了一层容器层，容器层在路径/var/lib/docker/overlay下也存在对应的目录：

“6abc47……”和“6abc47…..-init”为创建容器后新增的目录。查看这两个目录的内容：

“6abc47……”为读写层，“6abc47…..-init”为初始层。初始层中大多是初始化容器环境时，与容器相关的环境信息，如容器主机名，主机host信息以及域名服务文件等。所有对容器做出的改变都记录在读写层。

文件lower-id用来索引该容器使用的镜像层，upper目录包含了容器层的内容，每当启动一个容器时，会将lower-id指向的镜像层目录以及upper目录联合挂载到merged目录，因此，容器内的视角就是merged目录下的内容。而work目录则是用来完成如copy-on_write的操作。

看看容器层使用到了哪一层镜像层：

在刚才创建的容器中创建一个文件：

此时再观察“6abc47……”目录(读写层)：

发现upper目录下多出了一个file文件，就是刚才在容器中创建的文件。

4.2  overlay2

和overlay为了实现“两个目录反映多层镜像“而使用硬链接不同，overlay2驱动天生支持多层。(最多128层)

因此，overlay2在使用docker层相关的命令时，能提供更好的性能(如：docker build、docker commit)。而且overlay2消耗的inode节点更少。

docker pull ubuntu拉取完一个5层的Ubuntu镜像后，/var/lib/docker/overlay2下可以看到几个目录:

"I"目录包含一些符号链接作为缩短的层标识符. 这些缩短的标识符用来避免挂载时超出页面大小的限制，每个标示符对应不同层级的diff目录。

最底层包含”link”文件(不包含lower文件，因为是最底层)，在上面的结果中“c7fae….”为最底层。这个文件记录着作为标识符的更短的符号链接的名字、最底层还有一个”diff”目录(包含实际内容)。

从第二层开始，每层镜像层包含”lower“文件，根据这个文件可以索引构建出整个镜像的层次结构。”diff“文件(层的内容)。还包含”merged“和”work”目录，用途和overlay一样。

再来看看容器层，容器层的文件构成和镜像层类似(这点和overlay不同)，使用刚刚拉取的ubuntu镜像创建一个容器(docker run --name test -d ubuntu:latest)，/var/lib/docker/overlay2目录下新增2个目录：

查看容器层通过lower目录索引的镜像层明细：

对于读，考虑下列3种场景：

• 读的文件不在容器层：如果读的文件不在容器层，则从镜像层进行读

• 读的文件只存在在容器层：直接从容器层读

• 读的文件在容器层和镜像层：读容器层中的文件，因为容器层隐藏了镜像层同名的文件

对于写，考虑下列场景：

• 写的文件不在容器层，在镜像层：由于文件不在容器层，因此overlay/overlay2存储驱动使用copy_up操作从镜像层拷贝文件到容器层，然后将写入的内容写入到文件新的拷贝中

• 删除文件和目录：删除镜像层的文件，会在容器层创建一个whiteout文件来隐藏它；删除镜像层的目录，会创建opaque目录，它和whiteout文件有相同的效果

• 重命名目录：对一个目录调用rename仅仅在资源和目的地路径都在顶层时才被允许，否则返回EXDEV（场景较少，未做深入研究）

总结：

Docker镜像存储存在分层的概念，在不同的版本存储驱动overlay与overlay2中，除了高层级镜像向底层级镜像link文件方式不同外，原理是相同的，每个层级有专属这个层级的文件系统和文件。最后merged目录将镜像层与容器层文件取并集后形成视图。

Docker安全中，webshell等文件检测机制就是通过找到容器文件存储驱动，通过manifest找到容器与宿主机文件驱动的对应关系，再进行文件hash检测与特征码识别即可。

5、Docker镜像与层级的概念

5.1  Docker镜像与层级详解

因为镜像包含操作系统完整的 root 文件系统，其体积往往是庞大的，因此在 Docker 设计时，就充分利用 [Union FS]的技术，将其设计为分层存储的架构。所以严格来说，镜像并非是像一个 ISO 那样的打包文件，镜像只是一个虚拟的概念，其实际体现并非由一个文件组成，而是由一组文件系统组成，或者说，由多层文件系统联合组成。

最终最高层的镜像层成为只读的init layer层，其与读写权限的容器层以及mount的宿主机文件路径，共同成为容器的文件系统。

尝试下docker  pull ubuntu：

可以发现一个ubuntu镜像存在多个sha256的digestid，用来标示不同层级的layerid(涂层)，我们可以通过docker inspect ubuntu查看每个镜像层级的digest sha256的值：

[root@l-log-analysis-es2.sec.prod.ali.dm lijianxin1]# docker inspect ubuntu

除了基础镜像存储驱动层，还有容器挂载的目录（Volumes）以及dockerfile中指定的WorkDir(工作目录)：

5.2  Docker镜像扫描的实现

之前讲到Docker的存储驱动overlay2，Docker会在/var/lib/docker/image目录下给使用的存储驱动创建一个目录：/var/lib/docker/overlay2。

这里的关键地方是imagedb和layerdb目录，看这个目录名字，很明显就是专门用来存储元数据的地方，那为什么区分image和layer呢？因为在docker中，image是由多个layer组合而成的，换句话就是layer是一个共享的层，可能有多个image会指向某个layer。

通过docker image ls找到镜像id，我的是1e4467b07108

我们打印/var/lib/docker/image/overlay2/imagedb/content/sha256这个目录：

第一行的1e4467b07108685c38297025797890f0492c4ec509212e2e4b4822d367fe6bc8正是记录我们ubuntu镜像元数据的文件，接下来cat一下这个文件，得到一个长长的json：

由于篇幅原因，我只展示最关键的一部分，也就是rootfs。可以看到rootfs的diff_ids是一个包含了3个元素的数组，其实这3个元素正是组成nginx镜像的3个layerID，从上往下看，就是底层到顶层，也就是说

ce30112909569cead47eac188789d0cf95924b166405aa4b71fb500d6e4ae08d是image的最底层。既然得到了组成这个image的所有layerID，那么我们就可以带着这些layerID去寻找overlay中对应的文件目录了。

我们返回到上一层的layerdb中，先打印一下这个目录：

在这里我们只管mounts和sha256两个目录，再打印一下sha256目录:

/var/lib/docker/image/overlay2/layerdb存的只是元数据，那么真实的rootfs到底存在哪里呢？其中cache-id就是我们关键所在了。我们打印一下/var/lib/docker/image/overlay2/layerdb/sha256/ce30112909569cead47eac188789d0cf95924b166405aa4b71fb500d6e4ae08d/cache-id:

没错，这个id就是对应/var/lib/docker/overlay2/c7fae7e34df9196dacbb4a23f858758d14737d9a0e4168056126c7c540d8f6c8

通过以上技术手段，那我们能够获取一个镜像(image)所有layerid对应的overlay2存储驱动的层级，这个层级中diff目录包含了实际容器层使用的文件系统。

那么通过递归探测镜像所有layer层完整的系统文件路径，可以获得：

1、镜像系统版本，安装的软件包版本记录等

2、探测镜像已安装的软件包

上一步已经探测到了操作系统，自然可以知道系统的软件管理包是rpm还是dpkg。

centos系统的软件管理包是rpm，而debain系统的软件管理是dpkg。下面是不同软件管理包的目录：

比如debian系统，从文件/var/lib/dpkg/status文件则可以探测到当前系统安装了哪些版本的软件。

现在horbor已经集成Clair镜像安全扫描组件：https://blog.csdn.net/arnolan/article/details/102666831?utm_medium=distribute.pc_relevant.none-task-blog-baidujs-1

总结：

镜像使用的Union FS具备分层结构（Layer），分为镜像层+容器读写层+挂载Volume，而这些层级在宿主机是依靠上一章节讲述的Overlay技术进行驱动的，那么这些层级在宿主机是有1对1映射的目录的。然后不同类型的OS软件安装包是有固定目录的，获取到dpkg或是rpm包安装信息，再去匹配该版本软件包CVE漏洞即可。

6、Docker namespaces与cgroup概念

6.1  namespaces

命名空间 (namespaces) 是 Linux 为我们提供的用于分离进程树、网络接口、挂载点以及进程间通信等资源的方法。在日常使用 Linux 或者 macOS 时，我们并没有运行多个完全分离的服务器的需要，但是如果我们在服务器上启动了多个服务，这些服务其实会相互影响的，每一个服务都能看到其他服务的进程，也可以访问宿主机器上的任意文件，这是很多时候我们都不愿意看到的，我们更希望运行在同一台机器上的不同服务能做到完全隔离，就像运行在多台不同的机器上一样。Docker 就通过 Linux 的 namespaces 对不同的容器实现了隔离。

Linux 的命名空间机制提供了以下七种不同的命名空间，其中包括

CLONE_NEWCGROUP：Docker未使用。

CLONE_NEWIPC：IPC namespaces，用于隔离进程间通讯所需的资源。

CLONE_NEWNET：Network namespaces，为进程提供了一个完全独立的网络协议栈的视图。

CLONE_NEWNS：mount namespaces，每个进程都存在于一个mount namespaces里面，mount namespaces为进程提供了一个文件层次视图。

CLONE_NEWPID：PID namespaces，linux通过命名空间管理进程号，同一个进程，在不同的命名空间进程号不同。

CLONE_NEWUSER ：user namespaces，用于隔离用户。

CLONE_NEWUTS：UTS namespaces，用于隔离主机名。

通过这七个选项我们能在创建新的进程时设置新进程应该在哪些资源上与宿主机器进行隔离。

6.1.1  进程namespaces

我们在当前的 Linux 操作系统下运行一个新的 Docker 容器，并通过 exec 进入其内部的 bash 并打印其中的全部进程，我们会得到以下的结果：

在新的容器内部执行ps命令打印出了非常干净的进程列表，只有包含当前 ps -ef 在内的三个进程，在宿主机器上的几十个进程都已经消失不见了。

当前的 Docker 容器成功将容器内的进程与宿主机器中的进程隔离，如果我们在宿主机器上打印当前的全部进程时，会得到下面三条与 Docker 相关的结果：

而当我们在宿主机中，使用pstree -p查看进程树:

发现docker中bash进程PID为10271:

通过lsof查看10271进程关联的文件:

由此可见在当前的宿主机器上，可能就存在由上述的不同进程构成的进程树：

这就是在使用clone创建新进程时传入CLONE_NEWPID实现的，也就是使用 Linux 的命名空间实现进程的隔离，Docker 容器内部的任意进程都对宿主机器的进程一无所知。

下面我们反向举例，通过将命名空间更改为主机，容器还可以查看系统上运行的所有其他进程。失去了namespaces的隔离作用，容器与宿主机出现了安全隐患。

总结:  

即对于业务进程而已，Docker上的进程其实对于主机上是可见的，因为Docker的namespaces一般都是继承自主机的root namespaces。我们可以通过直接扫描主机上的进程行为来识别当前docker中运行的进程是否有问题。

6.1.2  网络namespaces

如果 Docker 的容器通过 Linux 的命名空间完成了与宿主机进程的网络隔离，但是却又没有办法通过宿主机的网络与整个互联网相连，就会产生很多限制，所以 Docker 虽然可以通过命名空间创建一个隔离的网络环境，但是 Docker 中的服务仍然需要与外界相连才能发挥作用。

每一个使用docker run启动的容器其实都具有单独的网络命名空间，Docker 为我们提供了四种不同的网络模式，Host（透明模式，和宿主机共享namespaces）、Container(与其他容器共享namespaces)、None(有独立的namespaces，但没有分配veth和ip) 和 Bridge（网桥模式） 模式。

在这一部分，我们将介绍 Docker 默认的网络设置模式：网桥模式。在这种模式下，除了分配隔离的网络命名空间之外，Docker 还会为所有的容器设置 IP 地址。当 Docker 服务器在主机上启动之后会创建新的虚拟网桥 docker0，随后在该主机上启动的全部服务在默认情况下都与该网桥相连。

在默认情况下，每一个容器在创建时都会创建一对虚拟网卡，两个虚拟网卡组成了数据的通道，其中一个会放在创建的容器中，会加入到名为 docker0 网桥中。我们可以使用如下的命令来查看当前网桥的接口：

docker0 会为每一个容器分配一个新的 IP 地址并将 docker0 的 IP 地址设置为默认的网关。网桥 docker0通过 iptables 中的配置与宿主机器上的网卡相连，所有符合条件的请求都会通过 iptables 转发到 docker0 并由网桥分发给对应的机器。

我们在当前的机器上使用docker run -d -p 6379:6379 redis命令启动了一个新的 Redis 容器，在这之后我们再查看当前iptables的 NAT 配置就会看到在DOCKER的链中出现了一条新的规则：

上述规则会将从任意源发送到当前机器 6379 端口的 TCP 包转发到 192.168.0.4:6379 所在的地址上。

我们就可以推测出 Docker 是如何将容器的内部的端口暴露出来并对数据包进行转发的了；当有 Docker 的容器需要将服务暴露给宿主机器，就会为容器分配一个 IP 地址，同时向 iptables 中追加一条新的规则。

6.1.3  挂载点namespaces

如果一个容器需要启动，那么它一定需要提供一个根文件系统（rootfs），容器需要使用这个文件系统来创建一个新的进程，所有二进制的执行都必须在这个根文件系统中。

想要正常启动一个容器就需要在 rootfs 中挂载以上的几个特定的目录，除了上述的几个目录需要挂载之外我们还需要建立一些符号链接保证系统 IO 不会出现问题。比如/dev目录下的特殊设备，标准输入与错误输出等。

如果需要对挂载（mount）进行namespaces控制，那么就需要在新的容器进程中创建隔离的挂载点命名空间需要在 clone函数中传入 CLONE_NEWNS，这样子进程就能得到父进程挂载点的拷贝，如果不传入这个参数子进程对文件系统的读写都会同步回父进程以及整个主机的文件系统。

举个例子：

在没声明挂载命名空间的情况下，且docker启动用户为root用户的情况下，启动docker容器删除宿主机/bin目录下文件。

6.2  cgroup

我们通过 Linux 的命名空间为新创建的进程隔离了文件系统、网络并与宿主机器之间的进程相互隔离，但是命名空间并不能够为我们提供物理资源上的隔离，比如 CPU 或者内存，如果在同一台机器上运行了多个对彼此以及宿主机器一无所知的『容器』，这些容器却共同占用了宿主机器的物理资源。

如果其中的某一个容器正在执行 CPU 密集型的任务，那么就会影响其他容器中任务的性能与执行效率，导致多个容器相互影响并且抢占资源。如何对多个容器的资源使用进行限制就成了解决进程虚拟资源隔离之后的主要问题，而 Control Groups（简称 CGroups）就是能够隔离宿主机器上的物理资源，例如 CPU、内存、磁盘 I/O 和网络带宽。

7、容器Hids的实现

主机入侵检测系统通常情况下是按在主机上的agent对主机上的文件（包括可执行文件，配置文件，脚本文件等），进程，网络情况，日志审计情况等进行扫描和恶意识别，并且及时预警主机的安全状况。

其实主机上单独安装agent是可以完成胜任Docker的扫描和审计的。Docker的可读写层文件系统实际上是会挂载主机上的文件系统，可以通过从主机上来的相关文件目录扫描来识别Webshell，恶意二进制文件等。对于业务进程而已，Docker上的进程其实对于主机上是可见的，因为Docker的namespaces一般都是继承自主机的root namespaces。可以通过直接扫描主机上的进程行为来识别当前Docker中运行的进程是否有问题。

感兴趣的同学可以参考适用于Docker的开源入侵检测系统Sysdig Falco。

8、Docker目前面临的安全问题

主要分为几方面：

1. Docker自身漏洞

---

代码执行、权限提升、信息泄漏、runc

2. Docker生态问题

---

K8S漏洞

 3. Docker源问题

---

恶意镜像、存在漏洞的镜像

 4. Docker架构缺陷与安全机制

namespaces导致的：容器之间的局域网攻击、共享root、未隔离的文件系统、默认放通所有

cgroup导致的：DDoS攻击耗尽资源

 5. Docker安全基线

---

内核级别的：namespaces、cgroup、SElinux

主机级别的：服务最小化、禁止挂载宿主机敏感目录、挂载目录权限设置为644

网络级别的：禁止映射特权端口、通过iptable设定规则并禁止容器之间的网络流量

镜像级别的：创建本地镜像服务器、使用可信镜像、使用镜像扫描、合理管理镜像标签

容器级别的：容器以单一主进程方式运行、禁止运行ssh等高危服务、以只读方式挂载根目录系统

 6. Docker安全规则

---

Docker remote api访问控制

使用普通用户启动Docker服务

Docker client与Docker Daemon通讯安全

9、引用&致谢

感谢引用中各位大佬和团队的分享精神，如果文章中有任何描述不正确或引用不当的地方，辛苦大佬们指正。

也欢迎各位安全同僚拍砖、交流与技术分享！（微信：nixinge66）

引用来源：

1、Docker安全入门与实战（一）https://zhuanlan.zhihu.com/p/43586159

2、Docker存储驱动—Overlay/Overlay2「译」https://arkingc.github.io/2017/05/05/2017-05-05-docker-filesystem-overlay

3、Docker 核心技术与实现原理   https://draveness.me/docker/

这是【vk技术分享】的第10期

后续我们将持续输出优秀的技术文章

如果您有任何希望交流讨论问题

欢迎在文末或后台进行留言

我们期待与您的技术交流和思想碰撞

关于VIPKID SRC

VIPKID安全响应中心（VIPKID Security Response Center）--简称VKSRC，隶属于VIPKID信息安全部，于2017年10月25日正式上线。VKSRC的上线，旨在建立一个连接白帽子、安全团队和安全爱好者们的官方渠道和沟通桥梁，主动收集、发现潜在的安全威胁，全方位保障VIPKID公司、用户及合作伙伴的信息和隐私数据安全，共建互联网安全生态。

阅读原文

跳转微信打开

端层【数据防泄漏】的规划、设计和落地解决方案！

前言

上一篇跟大家分享了数据的分类分级，今天承接分享下数据分类分级的一个落地实现，也是数据安全在端层管控的关键一环：数据防泄漏平台落地。

个人认为：防止数据丢失主要包含两个大的维度管控层面，一个是业务系统层面，一个是端的访问层面；端的访问层面又区分移动端和PC端，今天主要分享下PC端的数据防泄漏管控，移动端的可以参考另一篇文章《甲方数据安全：业务场景中BYOD安全的应用》。

什么是数据防泄漏

个人理解：数据防泄漏平台是基于定制的策略或规范，针对文件级别的数据进行自动发现、操作审计和分析管控的工具。产品形态：终端层、网关代理层、邮箱代理层。

为什么要做数据防泄漏

简单说就是合规上有要求，业务上有价值！概述如下：

1、合规性要求

国内外相继出台了网络安全法、GDPR、CCPA、数据安全法草案等，将数据安全上升至法律层面，组织有保证自身收集使用数据不被泄露的责任和义务。以国内现状举例，企业如果出现了数据泄漏并造成一定的影响，相关监管部门怎么来评定企业责任的大小呢？个人经验：是主要看企业对数据泄漏防范工作作为的多少，有哪些管控措施，是否对组织所存储的数据负了责，这直接关系到相应的惩罚尺度和力度。

2、业务价值

在当前的数据时代，越来越多的企业开始真正重视自身所持数据的价值，之前看逻辑思维罗胖子的一个视频里，节选一部分内容跟大家做个分享，他这样描述阿里：“早在2015年左右，马云开始在各种舆论场合呼吁公众重新认识阿里巴巴，马云说：阿里的本质是一家扩大数据价值的公司。带着这个定义我们可以看下阿里近几年在资本市场上的行为，我们会发现阿里旗下产业或入股的公司包含了我们的衣食住行的方方面面，数据方面之多，如果阿里愿意，他可以知道我们每个人每天都在干些什么，聊到这里我们才发现马云没有说谎！阿里确实是一家扩大数据价值的公司，且通过扩大数据价值成为了中国乃至全球的头部公司。”

阿里的成功绝非偶然，数据的价值显而易见。数据带来价值的同时，也带来了风险，据IBM《2019年全球数据泄露成本报告》显示，恶意数据泄露平均给调研中的受访企业带来 445 万美元的损失。CNCERT 在2019年全年累计发现我国重要数据泄露风险与事件 3000 余起。

解决数据泄露需要一个整体数据安全解决方案，其中，端上数据防泄漏产品是端层访问数据管控和保障数据价值的相对可行方案。

数据泄漏的原因

• 内部人员威胁：一个常见的误解是数据丢失主要是由恶意攻击者造成的。但据proofpoint公司统计，43％的数据泄露是内部的；恶意内部人员或攻击特权用户帐户的攻击者滥用其权限并尝试将数据移出组织。

• 攻击者的入侵：许多网络攻击均以敏感数据为目标。攻击者使用网络钓鱼，恶意软件或代码注入之类的技术渗透安全边界，并获得对敏感数据的访问权限。

• 意外或疏忽的数据泄露：由于员工在公共场所丢失敏感数据，提供对数据的开放Internet访问或无法限制每个组织策略的访问而导致的许多数据泄漏。

如何落地数据防泄漏

安全是基于业务的，业务中有需要落地的场景，明确和了解场景，我们才能制定与之匹配的数据防泄漏方案和策略，端层场景举例如下：

• 笔记本电脑和移动设备的丢失或失窃

• 未经授权将数据传输到USB设备

• 敏感数据越权访问和存储

• 员工或外部方盗窃数据

• 员工外发、打印和复制敏感数据

• 意外传输敏感数据

• 员工对文件进行造假

• ......

不同事件场景的发生，势必带来不同的影响，很多影响是组织不可接受，亦或愿意增加投入进行降低或规避的影响， 举例如下：

• 品牌受损和声誉损失

• 失去竞争优势

• 失去客户

• 失去市场份额

• 损伤股东价值

• 罚款和民事处罚

• 诉讼/法律诉讼

• 监管罚款/制裁

• 大量的成本和精力

• ......

  
  

知道场景，确定影响，制定解决方案的目标，即为：防止敏感数据出现被未经授权的用户访问、滥用和丢失等。

明确目标后，制定对应的落地方案，如下：

组织：组织是基础，数据防泄漏方案是一个用户级别的项目，我们需要贴合业务，增加与业务人员的沟通和协调，提升整个项目落地的有效性和影响力。

技术：技术是手段，通过数据防泄漏平台的数据识别和分析能力，将端上存储和使用的文件数据梳理清晰，制定相应的检测、保护和审计规则，实现事前的发现阻断和事后的审计溯源。

管理：管理是手段，将“接触到公司敏感数据的人员必须安装公司统一的数据防泄漏工具”诸如此类的话术，加入到公司《数据安全管理制度》《员工手册》《安全红线》等，使内部有文可依。

合规：合规是要求，数据安全的法律日渐健全，推动组织加大数据安全能力建设，保护组织数据不被泄漏。

运营：运营是主线，实施完成只是整个项目成功前的一小步，是否可以在项目运营中持续产生价值才是定义项目成功与否的核心所在。

数据：数据是目标，我们要保证端上设备静态数据和动态数据的出现未经授权的访问、滥用和丢失等。

基于上述框架，我把整个项目划分三个阶段，具体如下。

【一阶段：前期准备阶段】

前期准备主要包含两部分内容，一是搞定老板，得到老板的重视和授权，自上而下的推广是本项目成功落地的关键；二是通过详细测试，选择一款切实可落地的产品方案。

搞定老板这块省略不讲，主要分享下自己选择厂商和产品的关注点，个人观点，仅供参考：

dlp的推广覆盖个人建议一定是上到下的，且多数是事件推动，比如：老板通过各个渠道进场会听说，公司C端用户可能存在内部数据泄漏行为，这个时候就是上dlp的时候；

我们需要的就是找几家国内外的厂商进行现场部署测试，那部署测试的时候我们关注哪些呢？

1）公司的选择

选择专业深耕做dlp的公司，在国内外有相对较好的口碑和丰富的案例，虽然有dlp产品的公司很多，但是彼此的差距还是比较大的。

2）团队能力

在整个测试过程中，乙方团队的技术支持能力和服务响应的水平。

3）产品的稳定性

无论是客户端还是网关代理的产品形态，实际部署上线后，作为TO C的项目，对业务和员工影响越少越好。反面教材举例：电脑安装客户端后，客户端对电脑的cpu和内存占比过高，涉及到文件级别的使用电脑卡顿，严重影响员工日常工作。

4）产品功能

功能上没有比较大的缺陷，正常的文件级别移动都可以发现。除此之外，至少支持ocr功能，能支持机械学习和ai就更佳。反面教材举例：有些公司不支持对微信外发文件的识别。

【二阶段：实施阶段前期】

通过技术手段和管理手段保证覆盖率，并上线常规的数据分析和审计策略。

此阶段保证覆盖率是关键，可以从以下几个方向入手：

1）人工方式

基于公司组织结构和数据防泄漏平台的定期比对统计，梳理未安装人员，人工进行推进安装；

基于终端层工具统计，如上网认证管理、防病毒等工具，统计数据防泄漏平台的安装率，梳理未安装人员，进行推进安装；

2）域控推送

windows基于域控自动推送安装，保证windows机器的安装覆盖率；

3）终端管理平台推送

基于公司统一的终端管理平台，进行绑定推送安装，保证全员覆盖率；

【三阶段：实施阶段后期】

通过与业务线的深入了解沟通和平台层审计报告的不断梳理，精细化制定和优化现有策略。

1）策略设置

策略可以从以下五个层面进行设置（注：此策略设置思路的部分内容是基于与Forepoint技术总监探讨中产生）：

a）例外策略不希望监控的内容，如隐私文件或特殊要求类文件；

b）通用策略抓取明确事件，也是日志量最大的部分；基于公司内的数据分类分级要求（注：具体可以参考《数据安全怎么做——数据分类分级》），明确哪些是公司敏感数据，如G3级别以上数据，逐一在平台上详细设置，这是平台审计告警重点。

c）特殊策略针对性的审计策略，如加密文件外发、网盘上传、非工作时间发送文件、特殊类邮箱等等；

此处更多的是基于业务特性决定，比如通过了解业务线员工的正常工作时间，并制定非工作时间操作公司敏感数据的告警策略，我们就可以把这个当成一个风险点。

除此之外，基于数据防泄漏产品的特性，我们还可以额外解决一些业务线存在的潜在合规问题，比如经跟公司质检人员沟通，发现业务人员有人利用刻章软件或ps软件作假，我们就可以基于进程识别设置一些策略，发现对应的合规风险。

d）兜底审计用于捕捉遗漏事件，保证审计的完整。比如word的文件级别外发全部记录。

e）其他策略全盘加密、只允许固定可信的U盘接入使用。

2)技术支撑

a）机械学习和AI数据防泄漏平台主流是通过正则表达式对数据进行识别，这种方式其实误报率特别高；为了解决这个问题，很多平台支持了机械学习和AI（也可自研），我们需要做的就是获取足够的样本数据去跑模型，可以一定程度上优化误报率。

b）日志分析数据防泄漏平台日常的日志量可能非常庞大，导致平台自身日志分析展示一段时间日志的时候，功能的可用性较差，建议可以通过第三方日志分析平台进行集中灵活分析，如splunk、elk等。

【四阶段：运营期】

就像前文提到的，运营期是整个项目成功的关键，那怎么样做好数据防泄漏产品的运营工作呢，以下内容供参考：

1）专人负责

dlp是一个需要专人深度运营的产品，专人深入分析，持续与业务保持高度沟通，持续不断优化策略，持续保持影响力。比如：每天出日报，每周出周报，基于分析统计内容与其他团队沟通，优化策略，持续保持影响力。

2）定标准

dlp的效果好坏，源于策略的设置，策略的设置源于公司对违规标准的制定，标准的制定再反向推动策略的调整，逐步使策略变得更严格，比如增加很多的拦截阻断策略等；但是其实很多公司对此都是没有清晰的定义，这块就需要我们协调各团队共同挖掘和创建，比如与业务运营、业务质检、业务合规等团队协同。

3）定流程

将dlp融入到公司日常相关工作中，制定统一的流程，比如：dlp变成关键岗位员工电脑初始必装软件，敏感权限开通必须在安装dlp的基础上，发现人员违规操作后的响应流程等等。

4）定职责

dlp其实是一个多团队复合联动型工作，每个团队有不同的职业，比如安全负责技术支持，合规负责事件定性，运营负责覆盖率等等。

总结

整个方案的重点：覆盖率、策略持续优化、其他部门的协同联动和安全的定期发声。总的来说，dlp部署的前期是一个相对容易发现问题的阶段，经过一段时间的使用治理后，会越来越难发现比较大的数据安全问题了，我们要思考如何让dlp持续产生价值，比如之前提到的帮助合规质检团队发现员工的违规操作等。

数据安全是通过一系列技术或管理手段，规避、降低或转移数据因暴露面而产生的风险。随着对《数据安全怎么做》系列内容的更新，大家会发现其实每一块内容都是有相关性的，相互承接和支持，以整体的视角看问题，实现事半功倍。

关于VIPKID SRC

VIPKID安全响应中心（VIPKID Security Response Center）--简称VKSRC，隶属于VIPKID信息安全部，于2017年10月25日正式上线。VKSRC的上线，旨在建立一个连接白帽子、安全团队和安全爱好者们的官方渠道和沟通桥梁，主动收集、发现潜在的安全威胁，全方位保障VIPKID公司、用户及合作伙伴的信息和隐私数据安全，共建互联网安全生态。

阅读原文

跳转微信打开

10月25日对于VIPKID SRC是个特别的日子，我们有些话想对您说～

各位白帽师傅与行业SRC好呀～

对于VIPKID SRC来讲，

10月25日是个特别的日子，

我们有些话想在这里对您说

（滑动查看VK SRC想说的话）

亲爱的伙伴：

您好！在这个初秋，我们想与您分享一份喜悦：2017.10.25-2020.10.25，VIPKID SRC三岁啦～

回顾最初，是守护网络安全的初心让我们相遇。一路走来，虽时有坎坷，却也收获了数不尽的支持与感动。感谢各位同路人长久以来的认可与陪伴，您的鼓励将永远是我们前进路上的动力。

我们定会初心不变，希望在未来的日子里，继续同各位携手向前，为守护网络世界的安全，贡献自己的力量！

VIPKID SRC期待与您一起，开启一段全新的旅程！

值此VK SRC三周年之际

我们准备了多重惊喜

一重礼遇：奖励规则升级

我们对现有漏洞审核标准更新优化后得到了《VIPKID安全响应中心安全漏洞处理与评分标准V3.0》，新版评分标准主要有两大亮点：

① 漏洞基础奖励升级：

基础漏洞奖励提高，单个漏洞基础奖励最高可达1.8万元。另外我们还将不定期的推出值得期待的SRC线上活动，多倍奖励叠加，荷包更满～

② 个人季度奖励升级：

个人季度奖励提高。白帽师傅依据在自然季度内的有效漏洞质量与数量，将荣获Lv1-Lv5级别的安全专家称号，并获得相应的奖励，现金奖励最高将达到2万元。

*《VIPKID安全响应中心安全漏洞处理与评分标准V3.0》即日起开始施行，具体细则可登陆VIPKID安全响应中心官网（https://security.vipkid.com.cn/）查看。

二重礼遇：感恩老将

VK SRC的不断进步

与所有白帽师傅的长久支持密不可分～

自VK SRC成立至今，所有提交过高危及以上级别漏洞的白帽师傅均将获得VK SRC三周年纪念礼【故宫文具-VIPKID联合周边海错图书包】，奖品将于近期发出，白帽师傅记得后台更新收件地址呦～

三重惊喜：让我听听你的心声呀

你是否有一些祝福的话语想对VK SRC说呢，借此机会告诉我们叭

小伙伴们可在文末留言，我们将于10月30日18:00选取点赞数最高的前3位，送出VK SRC三周年纪念礼【故宫文具-VIPKID联合周边海错图书包】一个

关于VIPKID SRC

VIPKID安全响应中心（VIPKID Security Response Center）--简称VKSRC，隶属于VIPKID信息安全部，于2017年10月25日正式上线。VKSRC的上线，旨在建立一个连接白帽子、安全团队和安全爱好者们的官方渠道和沟通桥梁，主动收集、发现潜在的安全威胁，全方位保障VIPKID公司、用户及合作伙伴的信息和隐私数据安全，共建互联网安全生态。

阅读原文

跳转微信打开

9月15日，2020年国家网络安全宣传周“青少年网络信息安全”主题论坛在线举办。

       本次论坛以“携手共建青少年网络信息安全空间”为主题，邀请来自国务院妇儿工委、中央网信办政策法规局、中央电化教育馆、中国社会科学院大学、中国传媒大学的专家代表，以及来自中小学教育、互联网平台、在线教育等行业的代表进行了交流 讨论和建言献策。受CEO委托，公共事务中心徐喆代表公司参加了“建设青少年网络信息安全空间的现实路径”圆桌对话。

       徐喆在发言中谈到，守护孩子们的信息安全，既是底线，更是一种责任。近年来互联网在线教育行业发展迅猛，信息安全不容忽视，安全问题也是各大在线教育平台能够可持续、健康发展的基础。作为一家负责任的互联网在线教育公司，VIPKID非常重视信息安全问题，为此组建了信息安全部并持续加大安全投入，一直在不断努力提升自身安全能力和完善优化公司整体信息安全体系。他认为，在共建青少年网络信息安全空间的道路上，面临的挑战有四个特点：一是业务系统、应用场景灵活多变，使得安全防护需求更加多样化，要在信息安全的快速应变能力上提出更高要求；二是新技术带来新风险，云储存、大数据和AI等新技术的广泛应用，也在改变传统网络安全防护的思路方式，要提高对新技术安全风险的理解和处理水平；三是随着互联网+行业的蓬勃发展，网络数据量变成至少是PB级，甚至是EB级，要求对巨量数据有更强更可靠的精细化管理能力；四是随着网络信息数据价值的不断增大，外部威胁的隐蔽性、破坏性都变得更强，而行业级的、共性的安全威胁也日渐增多，需要监管部门、行会组织和企业携起手来共同应对，筑起网络信息安全空间的坚强长城。

       VIPKID一直秉承“爱孩子、懂教育”的教育初心，早在2017年就取得公安部核准颁发的信息安全等级保护三级备案证书，成为在线教育行业首家通过该认证的公司，也是非银行金融机构能够获得的最高级别信息安全认证。同年正式上线企业安全应急响应中心(Security Response Center)，是当时国内K12领域内首家建立SRC平台的在线教育企业。归根到底，“打铁还需自身硬，要不断压实企业的主体责任，共同守护好孩子们的每一堂课”，徐喆最后讲道。

       2020年国家网络安全宣传周是为贯彻落实习近平总书记对网络安全工作提出的“四个坚持”重要指示和原则，由中央宣传部、中央网信办、教育部、工业和信息化部、公安部、中国人民银行、国家广播电视总局、全国总工会、共青团中央、全国妇联等部门联合举办，主题为“网络安全为人民，网络安全靠人民”，于2020年9月14日至20日在全国范围内开展。

阅读原文

跳转微信打开

华山论剑·2020网络安全大会（第三届全国信息安全企业家高峰论坛暨第五届SSC安全峰会）将于10月14至15

阅读原文

跳转微信打开

数据分类分级是组织数据治理和数据安全的核心任务之一，是将信息安全性融入到数据价值中并确保有效保护的手段。

近期国家出台了《中华人民共和国数据安全法》草案篇，其中，从国家法律层面强调对数据要进行分级分类保护，那到底如何进行数据的分级分类保护呢？

将它拆分成三部分进行理解。

对于事件推动支撑层面，个人推崇“三分技术、七分管理、细节把控、管理先行”，而标准化的制度和流程是落实管理思维的关键工具和手段之一。