【 3-9 】
数据安全产品组网部署
第3.9章 数据安全产品组网部署
本章内容依据《数据安全工程技术人员（初级）第3模块零基础详细学习教材》整理，系统讲解数据安全产品组网部署。
9.1 部署前信息收集
| 信息项 | 具体内容 |
|---|---|
| 资产范围 | 应用、数据库、文件、对象存储、终端和网络设备 |
| 网络条件 | IP、路由、端口、安全组、DNS 和时间服务 |
| 账号体系 | 统一认证、管理账号、服务账号和权限模型 |
| 数据范围 | 个人信息、敏感字段、重要业务数据、日志和备份 |
| 业务窗口 | 峰值、低峰、不可中断业务和维护时间 |
| 运行要求 | 可用性、日志期限、告警时效和恢复目标 |
| 依赖关系 | 数据库驱动、证书、代理、消息队列和存储 |
| 回退条件 | 失败判定、恢复配置、卸载或流量切回 |
9.2 常见部署模式
| 产品类型 | 常见部署位置 | 主要关注 |
|---|---|---|
| 数据库审计 | 访问路径、代理或原生日志接入 | 覆盖、性能、时间和日志完整 |
| 动态脱敏 | 应用层、数据库代理层和数据服务层 | 角色识别、字段映射和渠道一致 |
| 数据防泄露 | 终端、邮件网关、Web 出口和网盘代理 | 误拦截、例外和告警闭环 |
| 水印系统 | 文档生成、下载、打印和外发节点 | 追溯信息、兼容性和性能 |
| 数据发现分类 | 数据库、文件和对象存储扫描节点 | 扫描影响、准确性和标签同步 |
9.3 旁路、代理与客户端
| 模式 | 通俗解释 | 优点 | 关注点 |
|---|---|---|---|
| 旁路 | 复制流量或日志分析，不直接转发请求 | 业务影响较小 | 可能看不到加密内容或本地操作 |
| 代理 | 处于访问路径中，转发并控制请求 | 控制能力强 | 性能、可用性和回退要求高 |
| 客户端 | 在主机或终端安装软件 | 可观察本地文件与操作 | 兼容性、资源和版本管理 |
| 原生日志 | 读取系统或数据库日志 | 部署相对简单 | 范围、格式和完整性受源系统影响 |
9.4 组网拓扑示例
用户/终端
├─ 终端 DLP 客户端
▼
Web / API 网关 ──> 动态脱敏代理 ──> 应用服务
│
▼
数据库 ──> 数据库审计平台
│
▼
集中日志与告警平台
关键配置与数据库备份 ──> 加密备份区
├─ 终端 DLP 客户端
▼
Web / API 网关 ──> 动态脱敏代理 ──> 应用服务
│
▼
数据库 ──> 数据库审计平台
│
▼
集中日志与告警平台
关键配置与数据库备份 ──> 加密备份区
9.5 上线前联调验证
1. 检查业务连接、接口和数据库访问。
2. 验证产品故障或停机时的业务影响和切换。
3. 验证角色、字段和策略映射。
4. 验证日志完整采集且时间一致。
5. 验证告警发送并形成工单。
6. 验证配置备份和恢复方法。
7. 观察 CPU、内存、磁盘、延迟和吞吐。
8. 核对配置、测试记录和遗留问题。
9.6 实施文档清单
| 文档 | 用途 |
|---|---|
| 部署方案 | 说明范围、拓扑、资源、步骤、风险和回退 |
| 配置清单 | 记录地址、端口、版本、账号、策略、证书和接口 |
| 测试记录 | 记录功能、权限、日志、性能和异常结果 |
| 验收记录 | 确认完成、遗留问题和责任分工 |
| 运维手册 | 说明巡检、告警、备份、升级和联系机制 |
| 变更记录 | 记录审批、执行人员、结果和回退 |
本节自测
1. 旁路与代理部署的主要差异是什么？
2. 为什么部署前要确认时间同步？
3. 为什么要验证产品故障时的业务影响？