安全风险

内置风险检测项

DataWorks系统内置常见的风险检测项。用户可以根据数据安全的需要，自定义风险检测项。系统部分内置风险检测项如下：

自定义检测项

该功能允许您根据业务需求，组合不同的操作维度（如操作目标、操作类型、数据量、频率、操作者和时间）来创建精细化的风险识别规则。系统将依据已生效的识别规则来分析数据操作日志，并生成相应的风险事件。

1. 在安全风险页面，单击风险检测项页签，进入风险检测项列表页面。

2. 单击新增检测项按钮，进行自定义检测项配置，配置详情可参考下表：

   • 基本信息说明：用于定义检测项的基础属性和元数据。

     参数	必填	说明
     策略名称	是	为该检测项命名，名称应能清晰地反映其监控目的，例如“批量导出核心客户信息检测”。
     风险类型	是	对风险进行分类，便于后续的统计和管理。 行为风险：通常指由用户或系统账户执行的、可能存在安全隐患的操作。 流转风险：侧重于数据在不同系统、应用或网络边界之间传输时可能产生的风险。
     风险等级	是	定义该检测项所对应风险的严重程度。系统依据此等级进行风险聚合和告警。 高危：可能导致严重数据泄露、业务中断或重大合规问题的行为。 中危：可能存在潜在安全威胁，需要安全人员关注和审计的行为。 低危：一般性的不规范操作，通常用于审计或统计目的。
     备注信息	否	对该检测项的详细描述，例如其创建背景、监控的具体业务场景或相关负责人信息。

   • 操作目标：用于定义规则的监控范围，即哪些数据资产的操作会被纳入检测。

     参数	必填	说明
     检测范围	是	定义要监控的数据资产范围。您可以根据数据管理策略，选择一个或多个维度进行组合。 按位置：根据数据存储的物理或逻辑位置（如特定的数据库实例、存储桶）进行筛选。选择Hologres，层级依次为数据库名称>表名称。选择MaxCompute时，层级依次为项目名称>表名称。 按分类：根据数据分类进行筛选。 按分级：根据数据的敏感级（如S1、S2、S3）进行筛选。 当选择多个维度时，它们之间为 AND 关系，即同时满足所有选定维度的资产才会被监控。

   • 操作规则定义：这部分是规则定义的核心，用于精确描述何种行为模式应被视为风险。

     参数	必填	说明
     数据操作	否	定义需要监控的 SQL 操作类型。默认为空，表示监控所有操作类型。 行为风险：可选操作包括 Select, Update, Insert, Delete, Alter, Drop, Truncate 等。 流转风险：可选操作包括TunnelUpload、TunnelDownload等。
     操作数据量	否	设置数据操作量的阈值。不启用则不限制。 单次操作数据量：当单次操作影响的数据行数大于或等于设定值时触发。 累计时间内的数量：当在指定时间窗口内，累计操作的数据行数大于或等于设定值时触发。
     操作频率	否	设置数据操作频率的阈值。不启用则不限制。 例如：在1分钟内，执行5次DELETE操作。表示1分钟内第5次命中规则时，将生成一次告警。
     操作者	否	指定该规则作用于哪些用户或用户组。 启用此项：规则仅对选定的用户生效。 不启用/留空：规则对所有用户生效。请注意，这可能会产生大量风险事件。
     操作时间	否	定义规则生效的时间窗口。不启用则表示全天24小时生效。您可以按周和小时（0-23点）灵活选择一个或多个时间段。例如，仅在非工作时间（如下午6点至次日上午9点）监控批量数据导出行为。

3. 操作按钮：

   • 立即生效：保存当前配置并立即激活该检测项。系统将从下一个检测周期（T+1）开始依据此规则进行风险分析。

   • 仅保存：保存当前配置，但不激活。该检测项将处于“禁用”状态，不会用于风险分析，您可以在后续手动启用它。

   • 取消：放弃本次所有配置，返回列表页面。

启用/停用风险检测项

完成检测项创建后，即可在风险检测项页签内对风险项进行启用或停用。

• 已启用：DataWorks会识别符合该检测项规则的事件，并标记为风险事件。

• 未启用：DataWorks依然会保留已标记的风险事件，后续不再识别新事件。

  进行风险检测项启动时，单个启用或停用，亦可选择多个风险项进行批量开启或批量关闭。

编辑/删除风险检测项

完成检测项创建后，若需对风险检测项进行再编辑或删除，您可在风险检测项页签内对风险项进行编辑或删除。

• 编辑：重新配置风险检测项的信息，除过策略名称不可编辑外，其余配置信息均可重新配置。

• 删除：删除已配置的风险检测项。删除后不再生成新的风险事件。

  风险检测项在编辑或删除时，可通过操作列对风险检测项进行单独编辑或删除，亦可多选多个风险检测项后批量删除。

查看风险事件

当您配置并启用的风险检测项被触发后，系统会生成相应的风险事件。您可以风险事件页签中查看所有事件的详细列表。

处理风险事件

在安全风险页面的风险事件页签查看风险事件，而且可对风险事件进行处理，在操作列单击立即处理按钮，标记风险事件的处理状态。

应用场景

在日常数据安全管理中，手动巡检风险事件效率低下且响应滞后。您可能需要根据风险的严重性或类型，将告警自动分发给不同团队。

• 场景一：关键风险实时响应

  当系统检测到高危等级的安全事件时，需要立即通过短信和IM工具（例如钉钉等）通知安全负责人，以便进行紧急处理。

• 场景二：特定行为重点关注

  数据安全团队希望监控所有批量导出敏感数据的事件，并自动发送邮件通知给团队所有成员进行审计。

• 场景三：按职能分类告警

  数据行为风险相关的告警发送给数据治理团队，而数据流转风险相关的告警则发送给架构师团队。

功能作用

告警策略的核心作用是实现安全风险的自动化、差异化通知，将正确的信息在正确的时间发送给正确的人。

• 自定义告警规则：您可以根据风险等级、风险类型或具体的风险事件来灵活定义触发条件。

• 多渠道实时触达：支持通过邮件、短信、钉钉群/飞书群/企业微信机器人等多种方式发送告警，确保信息不被遗漏。

• 提升响应效率：变被动的“定位风险”为主动的“识别风险”，缩短从风险发生到响应处置的时间。

配置步骤

1. 进入告警策略页面

   在安全风险模块下，选择告警策略页签，单击新建告警策略。

2. 填写基本信息

   • 策略名称：为您的策略命名，例如“高危事件短信告警”。

   • 策略描述（可选）：简单描述该策略的用途。

3. 定义触发条件：这是策略的核心，决定什么情况下会触发告警。

   • 选择一个触发条件类型：

     • 安全风险等级：最宽泛的规则。选择高危、中危或低危，所有该等级的风险事件都会触发此告警。

     • 安全风险类型：按类别进行规则设置。选择数据行为风险或数据流转风险，该类别下的所有事件都会触发。

     • 安全风险事件：最精细的规则。您可以选择一个或多个具体的事件，例如批量查询敏感数据、频繁更新敏感数据等。

4. 配置告警通知

   • 单击下拉框的添加通知方式，选择您希望的通知渠道（如邮件、短信、钉钉群机器人等）。

   • 为每种方式选择对应的 通知对象。

     • 邮件/短信：选择一个或多个 RAM 用户/角色。

     • 机器人：填写对应群组的 Webhook 地址。

   • 您可以为同一个策略添加多种通知方式。

5. 保存与管理

   • 单击新建策略保存。

   • 保存后，策略会出现在列表中，您可以随时对其进行查看、编辑或移除。