数据安全平台 - 原点安全- 一体化数据安全平台 uDSP

技术理念
DASL
能力架构
Capability
应用架构
Architecture
产品优势
Advantages

一体化数据安全平台 uDSP

unified Data Security Platform

基于“数据访问安全层”创新技术理念和云原生技术栈的工程实践，有机整合以往割裂在不同安全设备的能力，以“一体化”方式构建起一套围绕“敏感数据”的数据保护能力体系。能力体系以“实时敏感数据目录”和“协同分类分级机制”为基础，针对安全与合规场景，按需无缝衔接数据保护、审计监督、风险监测、安全运营等能力。以便捷、低摩擦的方式，构建覆盖数据库域和应用（API）域的统一安全体系，实现资产与风险的全域统一洞察，并建立数据使用风险的协同防护机制。

创新技术理念：数据访问安全层 DASL

位于数据使用的主体和客体之间的一层安全技术架构，用于感知或控制主客体之间的数据访问和交付过程，旨在保护敏感数据免遭未经授权的访问、篡改、泄露、破坏和过度暴露。

架构创新
Architecture Innovation
贴源保护
Source protection
分层解耦
Layered decoupling
模型统一
Model unification
能力集成
Capability Integration

能力架构

数据资产发现

通过主动网络探测和被动流量解析两种机制，自动化识别并动态追踪数据库资产，构建全局资产清单，消除影子资产风险；基于数据库主动扫描、实时流量解析与 SQL 数据血缘分析技术，持续构建覆盖数据库实例、库、表、字段层级的精细化数据资产目录，实现数据分布态势与归属关系的全局可视；提供多级数据资产检索和元数据维护工具，支持从安全合规视角快速定位数据资产的潜在风险，为安全策略制定提供有力支撑。

敏感数据识别

基于数据库、表、字段元数据（名称、类型、长度、注释）以及字段内容采样等多维度上下文特征，采用规则引擎与机器学习模型融合决策机制，实现字段级敏感标签自动化精准标定；通过动态规则引擎支持自定义规则模型和数据标签；采用智能血缘识别技术和智能指纹识别技术提升敏感数据识别效率。

智能分类分级

内置多行业数据分类分级模板，支持自定义规则模型和分类分级模板，实现字段级数据类别、数据类型和数据级别的自动化标注；支持对接大语言模型（LLM），通过分类分级AI助手智能推荐分类标签，自动化执行自定义的AI助手分类任务，提高数据分类效率和准确率，降低人工核验工作量。

协同确标打标

通过uDSP数据门户（DP）构建数据分类分级多角色协作流水线，实现数据安全管理人员和业务数据责任人员的工作协同：管理员将数据目录授权给指定的责任人，责任人通过数据门户（DP）工作界面执行人工标注、标签审核、批量确认等工单任务，提高协作效率。

用户认证代理

基于用户认证代理技术，为数据库访问者创建独立的代理账号（uDSP用户）和访问凭据，无需暴露数据库真实账号和访问凭据，有效解决数据库账号共享问题，降低数据泄露风险；uDSP 用户支持部门、岗位、角色等丰富的用户属性，并能够与统一身份管理系统同步用户信息；数据库访问者可以通过uDSP数据门户（DP）定期轮换代理账号的访问凭据。

数据访问审计

完整记录数据访问路径和敏感数据上下文信息，自动生成包含用户身份、应用账号、应用、API 路径、uDSP 用户、数据库账号、数据位置、数据类型等关键要素的动态关系图谱，通过交互式可视化视图展示数据访问链路，并呈现位置、时间、次数等关联信息；结合敏感数据目录的动态关联，实现敏感数据访问的全链路审计和风险告警；支持对接云原生数据库日志、第三方数据库审计日志，构建多云混合环境一体化数据库安全审计方案，大幅节省合规成本。

数据访问控制

依托数据访问控制引擎，根据数据访问策略允许或阻断用户对特定数据集合的实时访问请求，支持基于属性的访问控制（ABAC）策略，通过用户属性、环境属性、资源属性等多维属性，以及数据库工具类型、SQL 指令类型、库表敏感级等丰富的控制条件进行实时决策，实现细粒度数据访问授权与鉴权；内置流程授权的策略机制，包括被动式审批授权、主动式预授权、主动式申请预授权等，并结合数据门户（DP）实现策略编排与授权申请审批工作界面分离，解耦数据安全管理者和数据访问者的工作视图，消除协作摩擦，提升数据安全合规使用效率。

数据动态脱敏

依托双模数据脱敏引擎（请求脱敏和响应脱敏），根据预先设定的策略和脱敏模板，在数据库访问时实现数据动态脱敏；支持替换、哈希、遮蔽、偏移、取整、映射等多种脱敏算法，同时支持使用Lua脚本语言自定义脱敏算法；支持请求复敏，在特定应用场景中能够做到不影响应用前端编辑回写，不影响关联查询；结合数据门户（DP）实现明文查看的自助式申请授权，解耦数据安全管理者和数据访问者的工作视图，消除协作摩擦，提升数据安全合规使用效率。

数据权限管理

基于 ABAC 动态策略模型，根据用户角色、终端环境等多维属性自动应用数据过滤规则，精确动态控制用户所能访问的数据行数与字段内容；能够根据数据敏感程度自动匹配访问策略，识别并阻断高敏感数据的越权查询请求，防止敏感数据过度暴露与违规导出；权限调整即时生效，无需修改现有业务系统，在保障查询性能与结果准确性的同时，满足数据分类分级、最小化授权等安全合规要求，有效降低因权限冗余或管控盲区引发的数据滥用与泄露风险。

数据加密管理

提供字段级数据库透明加解密引擎，支持 AES、SM4、FPE 等数据加密算法，并集成第三方 KMS 和服务器密码机实现密钥生命周期管理；提供数据库代理网关和数据保护插件两种使用模式，无需改造业务应用系统。

威胁检测防护

深度解析 SQL 指令，精准识别并实时阻断或告警高风险 SQL 操作；内置威胁防护引擎，能够实时检测300+种 SQL 注入和数据库漏洞利用类攻击，提供阻断与告警两种处置方式。

自助审批授权

内置可编排的通用授权审批流程，支持与第三方授权审批流程系统的集成，实现数据访问权限和脱敏策略的自动化配置，实现“审批即授权”、“承诺即授权”，并且能够自动回收到期的数据权限，无需人工配置变更安全策略，提升“用数、取数”安全合规管理的工作效率。

API资产目录

通过流量解析自动化识别 API 站点、API 服务、API 端点资产，实时构建动态更新的资产清单，消除影子与僵尸资产，并基于流量深度解析技术，建立包含API端点基础属性和 API 端点 Schema 的精细化资产画像，识别 API 请求和响应涉及的敏感数据类型，结合 Schema 手动标记能力实现 API 数据分类分级治理；提供多维度检索功能，支持按业务系统、数据敏感度、风险状况及暴露程度等条件快速定位API资产，有效解决API资产不清、敏感数据不明和暴露面不可见等问题，确保 API 资产可见、涉敏状况可查、暴露风险可知。

三方服务识别

通过流量解析与协议特征分析技术，自动识别企业调用的外部三方 API 服务（如合作伙伴、公共服务平台等），构建数据交互关系图谱；基于请求与响应报文解析，动态标注涉及身份信息、金融数据等高敏感字段的API接口，有效提升敏感数据流入/流出企业的可观测性，有助于发现隐蔽的数据窃取风险。

后端服务识别

通过流量解析与 SQL 协议分析技术，自动识别 API 服务与数据库之间的交互链路，构建应用层到数据层的实时调用关系图谱；基于 SQL 语句解析与 API 请求/响应关联分析，精准定位流出数据的 API 调用源头及存储位置，有效解决敏感数据流向不明、存储位置不可查等管控盲点，为数据安全治理和技术保护架构提供精准决策依据。

脆弱资产检测

内置30+类 API 资产脆弱性检测规则，能够对指定范围的API资产实施自动化安全检测并标记缺陷处置状态；通过生成符合 OpenAPI 规范的标准化接口文档，明确暴露鉴权机制、参数约束等设计细节，协助开发团队快速定位因接口设计缺陷导致的安全隐患，推动安全修复措施在 API 开发与迭代阶段实施，有效提升接口自身安全性与合规性基线。

API 活动监测

支持代理审计与旁路审计双模式，通过从网络镜像流量、应用网关、应用服务器、Kafka 等多点位灵活采集 API 访问日志，实时监测并留存包含请求/响应报文、涉敏状况、访问主体、文件下载等关键信息的 API 交互全量上下文数据；支持自定义敏感数据和原始报文的取证留存策略，确保满足合规取证与安全审计需求，实现 API 访问行为的全周期可追溯、异常操作可定责、数据泄露可溯源。

全域数据流转

通过探针技术无侵入式构建应用（API 服务）间、应用（API 服务）与数据库的全链路数据流动图谱，动态呈现敏感数据从接入、传输到存储的完整路径；基于可视化交互界面，精准展示数据流转路径的涉敏状态、服务资产风险等级及异常访问行为，快速识别违规数据外传、接口滥用等风险场景；结合全量服务调用日志与数据库操作记录，自动关联数据访问、处理逻辑及存储位置，形成覆盖数据入口→处理链路→持久化节点的完整证据链，支撑企业快速定位高敏感数据经高风险接口流转的合规隐患，实现数据流动路径可观测、违规操作可追溯、泄露事件定责可验证，有效满足数据跨域/跨境审计等安全稽核和监管合规要求。

异常行为监测

内置50+开箱即用的异常行为规则库，以访问主体身份、API 端点及数据使用为核心检测对象，结合数据访问上下文与行为基线，精准识别未授权访问、访问时间异常、访问频次异常、数据规模异常、多终端访问、跨地域违规访问、敏感数据异常暴露等行为，生成包含操作主体、风险类型及完整操作日志的风险事件清单，支撑企业完善 API 权限管控策略并快速响应处置，降低数据泄露与合规处罚风险。

API 访问控制

基于 ABAC 动态策略模型，支持按用户身份、API 端点、客户端IP等多维属性配置精细化 API 访问控制策略；提供API 服务一键上下线功能，在识别未修复漏洞、过期接口等风险时，秒级阻断异常访问并收敛暴露面，最大限度缩短高危接口在线窗口期；支持建立策略与资产联动机制，自动关联敏感数据接口与访问控制策略，动态拦截未授权访问、越权操作等违规行为，有效缓解因权限冗余或接口暴露导致的数据泄露风险。

API 数据脱敏

通过替换、遮蔽等10+种预置脱敏算法及自定义规则，确保敏感数据在 API 传输过程中实时脱敏；基于 ABAC 动态策略模型，支持按用户身份、终端环境等属性配置差异化脱敏规则，实现敏感数据场景化动态脱敏；通过免改造对接技术无缝集成现有 API 服务，脱敏策略秒级生效，在保障业务连续性的同时满足数据合规要求。

API 文件保护

提供 API 文件全生命周期安全防护，防止敏感数据通过 API 接口违规下载或导出：通过动态注入包含用户身份、客户端IP、时间等溯源信息的水印及文件只读权限控制，确保文件被下载后无法篡改且传播路径可追溯；通过对文件设置访问密码，防止中间存储环节的非授权打开，保障文件流转过程的机密性；内置文件内容脱敏引擎，在下载时自动识别文件中的敏感字段并执行脱敏操作，避免明文数据外泄；通过水印日志与访问记录联动，快速定位泄密源头，满足安全审计和溯源处置要求。

API访问限流

支持基于请求特征灵活设定 API 端点访问频率阈值，识别恶意高频调用，通过阻断或缓存放行机制抑制异常流量，防止资源滥用导致的数据泄露风险；基于业务场景差异化配置限流规则，优先保障核心数据接口的可用性，避免非关键流量挤占资源引发服务响应延迟或中断。

API 威胁防护

内置覆盖OWASP API Top 10等50+类威胁的检测引擎，精准识别爬虫批量爬取、SQL注入、文件包含攻击等威胁，实时阻断恶意攻击 API 请求；支持按业务场景动态调整检测范围，平衡安全防护强度与业务性能损耗，降低无效告警干扰；通过多维威胁分析视图快速定位风险场景，并结合客户端指纹、涉敏接口调用链等上下文信息生成处置建议，提升威胁响应效率与修复优先级决策准确性。

数据安全风险监测

基于全局数据资产目录、全域数据流转可视化以及场景化数据安全风险评估模型，提供覆盖风险监测、分析、决策、处置的闭环管理能力，帮助企业构建数据流动可控、合规举证可溯、安全投入可衡量的长效治理机制。

依托多引擎检测技术，精准识别异常数据访问、权限滥用、合规偏离等风险行为，并关联分析资产脆弱性、安全事件、合规缺口等多维度数据，生成可执行的风险优先级清单。

通过动态可视化看板集中呈现数据资产纳管状态、策略覆盖度、身份治理成熟度等核心运营指标，实时暴露跨域高危接口、未纳管敏感资产等风险；动态呈现数据暴露面收敛趋势与安全治理进展，帮助企业快速定位防护薄弱环节，同步调整安全策略与合规目标。

数据安全风险预警

通过UEBA行为基线建模与内置10+场景化阈值检测模型，实现风险预警从“低效响应”到“精准干预”的演进。

基于用户、API 服务等实体的历史行为自学习能力，实时捕捉非常规数据访问、权限超限等异常操作，并结合数据资产变更、合规状态偏离等多维度检测，生成可溯源的优先级告警清单。

通过告警结果与运营看板深度联动，将碎片化告警信息自动关联至资产状态、用户身份、策略执行效果等上下文，生成可定位、可溯源、可验证的处置工单，帮助企业从“海量告警噪音”中快速提取高优先级风险事件，同步驱动防护策略动态调优与合规举证自动化，实现风险发现准确率与处置效率的双重跃升。

风险事件调查取证

通过多维数据关联分析与人工经验驱动持续监测，实现事件溯源效率与风险治理效能的双重提升。

基于数据库访问日志、API 访问日志、安全事件等多维数据，快速定位异常访问的账号、接口及操作轨迹，当出现疑似业务人员泄露客户信息时，可直接输入客户姓名、身份证号等关键信息，即时追溯相关人员的历史访问记录与操作时间轴，生成包含操作者身份、访问时间、数据流向的证据链，无论是否存在违规均可输出证明材料。

针对高频敏感数据获取、特定人员异常访问等高危场景，支持将人工验证的调查逻辑（如非工作时间批量下载行为）一键转化为告警策略，构建“深度探查→策略沉淀→主动监测”的闭环机制，使同类风险行为自动预警拦截，最终达成高效事件溯源、大幅减少人力投入和风险复发率。

数据安全运营看板

构建全域数据风险态势感知与治理效能量化评估体系，帮助企业解决“数据资产不清、风险盲区难定位、合规投入无依据”等核心问题。

支持采用拖拽方式自定义交互式可视化看板，实时呈现敏感数据分布热力图、分类分级进度、策略覆盖率、实名制访问达标率等核心指标，支持逐层钻取查看未纳管高危资产、未脱敏接口暴露面、异常数据流转规模等风险敞口。

内置数据泄露热力图、合规审计缺口对比、防护策略生效趋势等多维度分析视图，支持按业务域、管理责任方、数据类型等维度灵活切换观测视角，帮助安全团队快速定位防护薄弱环节。

基于实时告警数量、风险收敛效率、合规达标率等指标，构建安全效能量化评估模型，动态评估数据安全投入产出比，输出风险处置优先级与资源投入ROI分析，辅助管理层制定数据驱动的数据安全治理策略。

应用架构

uDSP采用管理平面与控制平面分离的架构体系，管理平面通过统一策略编排实现混合多云环境下跨网络域、业务域的分布式管控组件与监测探针的集中纳管。控制平面基于云原生微服务框架，针对差异化数据保护场景提供双重技术路径：[管控模式-逻辑串接部署]采用数据访问链路嵌入机制，通过数据库代理网关、API网关及应用插件三类载体对主客体交互行为实施实时风险检测与动态行为拦截；[监测模式-逻辑旁路部署]依托旁路流量采集技术，构建非侵入式数据访问审计与风险感知体系。两种模式支持独立部署或协同运行，形成覆盖全场景、具备多维防护能力的一体化数据安全平台。

产品优势

一体化

一体化覆盖企业多源数据和多种数据安全场景，实现敏感数据使用、共享环节下的多个场景能力集成；以统一视图的敏感数据目录为核心，通过一体化策略实现数据安全能力的动态编排与灵活响应；基于一体化的数据访问日志，构建持续的风险监测与运营管理体系；低成本、高效率满足企业的敏感数据保护需求。
云原生

基于云原生技术栈构建，依托Kubernetes底座与容器/微服务架构，天然兼容云基础设施、云原生数据源和云原生应用；具备自动化部署、自动化监控和恢复能力，支持弹性高可用、高性能集群，避免单点故障对业务的影响，有效保障业务连续性。
分布式

分布式软件架构，实现管理平面与控制平面分离；集中式的管理平面负责统一管理敏感数据目录、数据保护策略与数据访问日志，提升数据安全管理效率；分布式的控制平面负责执行数据保护策略，支持根据数据源分布与管理需求灵活设计贴源部署架构，支持任意水平扩展；支持轻量化延展，低成本覆盖多场景数据安全需求。
多租户

基于平台多租户模式设计，管理人员能够为不同部门快速搭建不同的租户，租户可独立配置安全策略，纳管本部门数据库资源，确保数据安全与业务发展深度融合分级分权管理。通过统一平台集中管控，企业既能保持各业务单元的独立性，又能实现数据安全管控的标准化与规范化。不仅实现了数据安全管理的权责分明，还能高效实现数据安全与业务协同。