sentinel, Lab
场景 2 — 阶段二：数据流转路径映射与监控部署
敏感数据流转路径映射
| 路径类型 | 说明 |
|---|---|
| 跨系统数据同步 | DB ↔ 应用 ↔ 数据仓库，ETL 管道中敏感数据流转 |
| API 数据交互 | 微服务间 API 调用，外部合作伙伴 API 接口 |
| 文件传输与共享 | 文件服务器/共享目录，邮件附件/IM 文件传输 |
| 云端与 SaaS | 本地 → 云端迁移，多云间数据同步 |
| 第三方共享 | 合作伙伴/供应商数据交换 |
典型流转路径示例
客户数据库(L4) → 业务应用(API查询/加工) → CRM系统(客户服务使用) ↓ 数据仓库(分析/报表) → BI报表(可能含敏感数据)
text
流转监控能力部署
| 能力 | 说明 |
|---|---|
| 网络 DLP | 网络出口敏感数据检测，邮件/HTTP/FTP/IM 协议覆盖，实时拦截非授权外发 |
| 终端 DLP | USB 拷贝/打印/截屏监控，剪贴板/拖拽操作审计，云盘同步行为检测 |
| 数据库审计 | SQL 操作全量审计，大批量导出/敏感表访问告警，特权账号操作监控 |
| API 安全网关 | API 请求/响应内容检测，敏感数据返回值审计，异常调用频率告警 |
| 云数据安全(CSPM) | 云存储桶公开检测，跨账号数据共享审计，CSPM 配置检查 |
流转监控规则策略
| 数据等级 | 策略 |
|---|---|
| L4 核心数据 | 全链路加密 + 禁止外发，传输必须 TLS 1.3 + 字段级加密，API 返回必须脱敏 |
| L3 重要数据 | 审批外发 + DLP 监控，外发需主管 + 安全双重审批，第三方共享需安全评估 |
| L2 内部数据 | 访问控制 + 审计日志，内部流转不限制但记录审计，外发至外部需审批 |
| L1 公开数据 | 无特殊限制，允许自由流转，仅记录基础访问日志 |
监控数据采集点
| 采集点 | 数据源 | 监控内容 |
|---|---|---|
| 邮件网关 | Exchange/邮件 | 附件内容/收件人/大小 |
| Web 网关 | 代理/防火墙 | 上传行为/目标域名 |
| 数据库审计 | DB Audit | SQL/导出/批量查询 |
| 文件服务 | SMB/NFS/FTP | 读写/下载/共享/打印 |
| 终端 Agent | EDR/DLP | USB/剪贴板/截屏/云盘 |
| API 网关 | API Gateway | 请求/响应内容/频率 |
| 云平台 | CloudTrail | 桶策略/跨账号/下载 |