通過識別任務掃描敏感性資料

識別任務說明

識別任務是根據識別模板內的識別模型對接入資產的資料進行掃描並發現敏感性資料，產生掃描結果並對發現的敏感性資料進行分類分級。識別模板的詳細使用說明，請參見查看和配置識別模板。

任務類型

資料資訊安全中心針對敏感性資料掃描提供兩種識別任務：系統預設任務和自訂識別任務。

掃描說明

使用建議

前提條件

已在DSC完成目標資產的授權，並為資產開啟識別許可權。具體操作，請參見資產授權。

管理系統預設任務

查看系統預設任務

1. 登入資料資訊安全中心控制台。

2. 在左側導覽列，選擇分類分級 > 任務管理。

3. 在任務管理頁面識別任務頁簽，單擊系統預設任務。

4. 在識別任務監控頁面，查看預設工作清單。

5. 您可在系統預設任務的操作列執行以下操作。

   • 重掃：如果識別模型進行了升級、您更換了主用模板或資料庫內容有變更，需要儘快擷取掃描結果時，可以執行重掃操作。

   • 暫停：如果您探索資料庫業務存在異常，可以單擊預設識別任務操作列的暫停，暫時停止正在掃描的系統預設任務。

   • 終止：該功能是指終止後續系統預設任務的執行，如果系統預設任務正在掃描中，執行終止操作不會影響當前任務的執行，但後續該系統預設任務將不會被執行。

   • 開啟：該功能會重新開啟已被終止的系統預設任務。

   說明

   系統預設任務不支援刪除。

調整系統預設任務掃描設定

系統預設任務支援設定周期性掃描。建議您將掃描周期設定為與資料庫內容更新的頻率大致一致，以便及時探索資料庫中的變化資料存在的敏感資訊。可設定的最小的掃描周期為每天。

1. 登入資料資訊安全中心控制台。

2. 在左側導覽列，選擇分類分級 > 任務管理。

3. 在任務管理頁面識別任務頁簽，單擊系統預設任務。

4. 在識別任務監控頁面，選中需要設定掃描周期的任務前的複選框，單擊工作清單上方的掃描設定。

   

5. 在掃描設定對話方塊，設定掃描周期和自動掃描開始時間，然後單擊確定。

   重要

   • 為了將掃描對資料庫的影響降到最低，建議您將掃描開始時間設定為資料資產調用低峰期的時段。

   • 在掃描任務執行期間，建議您觀察資料庫或業務狀態，例如CPU使用率、記憶體使用量率是否存在異常突增。如果發現業務異常且異常現象和掃描任務相關，建議您及時暫停或終止識別任務。您可以在任務管理頁面，單擊目標識別任務操作列的暫停或終止，停止識別任務的掃描。

添加自訂識別任務

自訂識別任務功能支援對指定資產使用已啟用識別模板進行掃描。如果需要使用已啟用模板（非主用）掃描指定資料庫，您可以建立識別任務。

建立自訂識別任務

1. 登入資料資訊安全中心控制台。

2. 在左側導覽列，選擇分類分級 > 任務管理。

3. 在識別任務頁簽，單擊建立識別任務。

4. 在新增識別任務面板，配置識別任務配置項，並根據頁面提示單擊下一步，完成配置後單擊確認。

   配置項分類	配置項	描述

   配置項分類	配置項	描述
   基本資料	任務名稱	輸入任務名稱。
   	啟動時間	選擇任務啟動時間。可選項： 立即掃描：建立識別任務後立即執行掃描。 周期掃描：在掃描頻率和掃描時間下拉式清單中，選擇掃描頻率和執行掃描的時間段。如需立即執行掃描，您可以選中立即掃描一次。 說明 掃描時間僅對結構化資料生效，對非結構化資料不生效。
   	範圍	選擇識別任務掃描的範圍。可選項： 全域掃描：掃描當前阿里雲帳號下所有已授權且可以正常連通的資產。如果開通多帳號統一管理功能，掃描資產還包含成員帳號下所有已授權且可以正常連通的資產。 指定資料域：掃描指定資料域下的資產。關於資料域的更多資訊，請參見通過資料域管理資產。 指定資產類型：掃描單個或多個資產類型下的資產。
   	選擇模板	選擇掃描使用的識別模板。僅支援選擇已啟用識別模板，且最多隻能選擇兩個識別模板。啟用模板的具體操作，請參見使用識別模板。
   識別配置	結構化資料識別範圍	選擇結構化資料（例如RDS、PolarDB）的掃描範圍。可選項： 全域掃描：掃描您在範圍中選擇的全部結構化資料資產。 指定掃描：選擇需要掃描的執行個體名和執行個體庫名。如需添加多個執行個體，可單擊添加識別範圍。
   	非結構化資料識別配置	選擇非結構化資料（OSS）的掃描範圍和掃描深度。 掃描範圍可選項： 全域掃描：掃描您在範圍中選擇的非結構化資料資產（OSS）。 指定掃描範圍：選擇需要掃描的Bucket。僅支援選擇在範圍中配置的資產，可選擇多個Bucket。 指定需要掃描的Bucket檔案後，支援添加過濾條件以設定更精確的掃描範圍。支援設定首碼、目錄、尾碼的包含或不包含指定值來過濾掃描範圍。 掃描深度可選項： 全域掃描：掃描所有Bucket路徑。 指定掃描深度：指定掃描的Bucket路徑深度。路徑深度以正斜線（/）分隔。取值範圍：1~10。建議設定為10以內（包括10）的正整數。例如設定為5時，表示掃描5層（包括5）以內的Bucket路徑。
   	SLS資料識別配置	僅範圍資產範圍包含非結構化資料（SLS），才顯示並可設定SLS資料識別配置的資產範圍和時間範圍。 資產範圍可選項： 全域掃描：掃描您在範圍中選擇的非結構化資料資產（SLS）。 指定掃描範圍：選擇需要掃描的Project及其下Logstore。僅支援選擇在範圍中配置的資產，可選擇一個Project，多個Logstore。 時間範圍可選項： 最近15分鐘、最近1小時、昨天、最近1天、最近7天、最近30天。 自訂：可選時間範圍的單位為分鐘，步長為5分鐘。
   其他配置	識別覆蓋	設定檢測到的敏感性資料曾經被訂正過時的處理方式。可選項： 跳過手工打標結果：保持原有的手工訂正結果。推薦選擇該方式。 覆蓋手工打標結果：使用新的識別結果覆蓋手工訂正的結果。
   	任務備忘	輸入任務備忘資訊。

編輯或刪除自訂識別任務

• 編輯：重新設定自訂識別任務，支援修改所有參數。

• > 刪除：刪除多餘的自訂識別任務。

管理識別任務狀態

重掃識別任務

如果識別模型進行了升級，或資料庫內容發生了變化並且您希望儘快看到掃描結果，您可以執行重掃操作。重掃會對目標資產進行全量掃描。執行重掃操作後，掃描任務會立即被執行。建議您將掃描開始時間設定為資料資產調用低峰期的時段。

在執行重掃操作前，您需要確保相關識別模板為已啟用狀態。

1. 在識別任務頁簽，執行重掃操作：

   • 重掃自訂識別任務：在工作清單中，單擊目標自訂識別任務操作列的重掃。

   • 重掃系統預設任務：單擊系統預設任務，找到目標資產，單擊操作列的重掃。

2. 您可以在識別任務的掃描狀態列，查看掃描進度。

暫停或終止識別任務

• 暫停：如果您探索資料庫業務存在異常，可以單擊自訂識別任務操作列的暫停，暫時停止正在掃描的識別任務。

• 終止：終止當前和後續識別任務（支援自訂識別任務和系統預設任務）的執行。

訂正敏感性資料命中的識別模型

訂正功能可以對誤標或漏標的敏感性資料進行訂正，以便企業對資料進行更加精準的管理和保護。資料資訊安全中心提供了訂正和恢複敏感性資料識別模型的能力，您可以參考以下步驟操作。

1. 登入資料資訊安全中心控制台。

2. 在左側導覽列，選擇分類分級 > 任務管理。

3. 在任務管理頁面，單擊訂正任務頁簽。

4. 在左側資料類型導覽列，單擊需要訂正的資產類型。

5. 單擊目標敏感性資料操作列的訂正或恢複，根據頁面提示，修改訂正後模型，然後單擊確定。

   

   執行恢複操作後，會恢複未訂正前的識別模型。

查看和匯出敏感性資料識別結果

DSC控制台中資料洞察下資產透視頁面，展示使用主用識別模板檢測的最新敏感性資料結果。具體內容，請參見查看敏感性資料識別結果。

通過匯出任務功能可以匯出使用已啟用識別模板（主用識別模板或活躍識別模板）檢測出的敏感性資料識別結果。您可以建立匯出任務，DSC會擷取任務中指定的識別模板檢測的指定資產中的敏感性資料識別結果供您下載。

建立匯出任務

您可以參考以下內容建立匯出任務並下載匯出結果。

1. 登入資料資訊安全中心控制台。

2. 在左側導覽列，選擇分類分級 > 任務管理。

3. 在任務管理頁面，單擊匯出任務頁簽。

4. 在匯出任務頁簽，單擊建立匯出任務。

5. 設定匯出任務，然後單擊確定。

   1. 在基本資料地區，輸入任務名稱並選擇識別任務使用的模板。

      僅支援選擇已啟用模板。

   2. 在匯出維度地區，選擇資產類型或資產執行個體。

      • 資產類型：選中需要匯出的資產類型。

      • 資產執行個體：選中需要匯出的資產執行個體。

   建立匯出任務後，您可以在匯出工作清單查看匯出任務的狀態。需要匯出的資料量越大，匯出需要的時間越長，請您耐心等待。

下載匯出的敏感性資料識別結果

等待匯出狀態為已完成時，單擊目標匯出任務操作列的下載。

相關文檔

• 識別任務中使用的識別模板詳情以及支援識別的敏感性資料類型，請參見查看和配置識別模板。

• DSC支援進行敏感性資料識別的資產類型，請參見支援的資料資產類型。

• 識別任務執行過程中的常見問題，請參見資料掃描和識別。

常見問題

• 資料掃描會影響我的資料庫效能嗎？

• DSC支援掃描的資料來源有哪些？

• 資料來源授權完成後需要多長時間完成掃描？

• DSC對於非結構化資料來源（OSS+SLS）的掃描機制是怎樣的？

• DSC對於非結構化資料來源（OSS+SLS）掃描的計費規則是怎樣的？

• 是否支援對已掃描過的OSS檔案重新掃描？

• DSC對結構化資料（例如MaxCompute）的掃描機制是什嗎？

• DSC是否會登入到資料庫內擷取資料？

• 目前存在哪些觸發重新掃描的情境？

• 已授權資料資產是加密的可以被識別嗎？

• MongoDB全表掃描方式，是否對IO影響過大，影響線上服務?

• OSS中壓縮包、文字文件能進行敏感性資料識別嗎？

• DSC支援匯出敏感性資料識別結果嗎？

• MongoDB的掃描結果能不能精確到具體欄位？

• 通過API查詢的敏感性資料，可以有執行個體名、庫名、表名、列名、風險等級嗎？

• Redis支援敏感性資料識別嗎？

• 為什麼無法選擇通用識別模板？

• 免費版服務中識別任務一直在等待中，為什嗎？