配置NDR拒绝查看敏感数据和拒绝导出数据策略_云防火墙(Cloud Firewall)-阿里云帮助中心

阿里云全流量威胁检测与响应NDR（Network Detection and Response）产品支持敏感信息暴露与弱口令风险检测，用户可以通过NDR产品控制台查看和下载这些被检出的敏感信息详情及相关报文Payload信息，在企业实际场景中，可能需要对这些数据的查看和下载权限进行限制，防止敏感信息的二次泄露和无限制传输。本文档基于阿里云访问控制RAM产品提供一种在RAM账号级别限制敏感数据查看和限制导出数据权限的能力。

支持检测的敏感数据类型

AKSK
身份证号
储蓄银行卡
手机号

前提条件

已创建RAM用户，创建RAM用户操作请参见创建RAM用户。
用户完成阿里云账号的实名认证。
管理账号具备RAM产品的使用权限和能力，能够创建RAM子账号和管理RAM策略。

NDR产品涉及敏感数据查看和导出数据的权限列表

鉴权操作	说明
yundun-ndr:DescribeDecryptData	对敏感数据解密
yundun-ndr:DescribeAssetRiskDataPublicLogPayload	查看传输敏感数据的报文 Payload
yundun-ndr:CreateExportTask	导出数据

操作步骤

创建RAM用户

使用RAM用户登录RAM控制台。
在左侧导航栏，选择身份管理 > 用户。
在用户页面，单击创建用户。
在创建用户页面，输入用户登录名称和显示名称，设置访问方式、设置密码、需要重置密码、MFA多因素认证等。
单击确定。

创建RAM用户权限策略

在左侧导航栏，选择权限管理 > 权限策略，单击创建权限策略，选择脚本编辑页签。

在脚本编辑页签中，添加如下脚本，并单击确定。

{
    "Version": "1",
    "Statement": [
        {
            "Action": "yundun-ndr:DescribeDecryptData",
            "Resource": "*",
            "Effect": "Deny"
        },
        {
            "Action": "yundun-ndr:DescribeAssetRiskDataPublicLogPayload",
            "Resource": "*",
            "Effect": "Deny"
        }
    ]
}

在创建权限策略弹窗中设置权限策略名称和备注，并单击确定。
权限策略名称命名为拒绝查看敏感数据。

在权限策略页面，单击创建权限策略，在脚本编辑页签中添加脚本，并单击确定。

{
    "Version": "1",
    "Statement": [
        {
          "Action": "yundun-ndr:CreateExportTask",
          "Resource": "*",
          "Effect": "Deny"
        }
    ]
}

在创建权限策略弹窗中设置名称为拒绝导出数据，设置备注为禁止授权用户导出数据，并单击确定。
说明
禁止导出包含资产管理、风险管理中的导出操作和报文留存中的生成PCAP操作。
在左侧导航栏，选择权限管理 > 权限策略，策略类型下拉列表中选择自定义策略，查看创建的自定义权限策略。

添加NDR系统权限、拒绝查看敏感数据权限和拒绝导出数据权限

在左侧导航栏，选择身份管理 > 用户，选择需要授权的用户，单击操作列中的添加权限。

根据实际需要选择拒绝敏感数据查看权限、拒绝导出数据权限和NDR的系统权限。

权限策略名称	权限范围
AliyunYundunNDRReadOnlyAccess	RAM用户授权NDR全量数据只读权限
AliyunYundunNDRFullAccess	RAM用户授权NDR全量数据管理权限
拒绝查看敏感数据	RAM用户拒绝查看敏感数据权限
拒绝导出数据	RAM用户拒绝导出数据权限

说明

NDR全量数据只读权限和NDR全量数据管理权限都可以添加拒绝查看敏感数据权限策略和拒绝导出数据权限策略。

单击确认新增授权。

已授权拒绝查看敏感数据权限策略和拒绝导出数据权限

登录全流量威胁检测与响应控制台。
在左侧导航栏，选择资产中心 > 风险管理。
1. 在敏感数据暴露页签，单击列表右上角的图标，进行数据下载操作时，如果该账号进行了导出数据权限控制，则该操作会被拒绝并弹窗提示。
2. 单击操作列中的详情，在详情面板中。
  单击敏感信息数量列中的数字、操作列中的查看Payload查看数据时，如果该账号进行了敏感数据访问权限控制，则该操作会被拒绝并弹窗提示，或者单击列表右上角的图标，进行数据下载操作时，如果该账号进行了导出数据权限控制，则该操作会被拒绝并弹窗提示。
3. 在弱口令风险页签，单击列表右上角的图标进行下载操作，如果该账号进行了导出数据权限控制，则该操作会被拒绝并弹窗提示。或者单击敏感信息时，如果该账号进行了敏感数据访问权限控制，则该操作会被拒绝并弹窗提示。
4. 在弱口令风险页签，单击操作列的详情。
  在详情面板中单击图标进行下载操作，如果该账号进行了导出数据权限控制，则该操作会被拒绝并弹窗提示。或者单击操作列的查看Payload时，如果该账号进行了敏感数据访问权限控制，则该操作会被拒绝并弹窗提示。
在左侧导航栏，选择检测响应 > 报文留存，在PCAP生成任务页签中，单击操作列的下载，如果该账号进行了导出数据权限控制，则该操作会被拒绝并弹窗提示。