Sécurité Inspirée par les Données

La tâche de l’audit de données précède toujours la collecte d’analyses des données d’audit. Mais comment pouvons-nous simplifier ce processus ? DataSunrise propose une fonctionnalité qui relie les données d’audit brutes aux décisions de sécurité inspirées par les données : l’étiquetage des événements.

Avec l’étiquetage des événements, les utilisateurs peuvent annoter les événements avec des détails sur les données auxquelles la requête a accédé. Cela facilite l’analyse. Au lieu de passer au crible toutes les requêtes enregistrées, vous pouvez vous concentrer sur la collecte d’informations statistiques à partir des traces transactionnelles.

Au-delà de l’amélioration des données enregistrées, DataSunrise utilise ces informations supplémentaires pour le masquage dynamique ainsi que pour les règles d’audit et de sécurité. Cet article explore deux fonctionnalités clés : l’étiquetage des événements et les règles inspirées par les données. Alors que nous détaillons la règle de masquage dynamique, nous abordons également le filtre de données par type d’information pour les règles d’audit et de sécurité.

Étiquetage des Événements et Types d’Informations

Commençons par les Types d’Informations, que vous définissez dans la découverte des données – une étape cruciale. DataSunrise utilise ces Types d’Informations pour différencier les données dans les résultats de requête.

Les Types d’Informations fournissent une description des données, vous aidant à localiser des données spécifiques lors de la découverte. Mais ils font plus que cela. Le système utilise les mêmes Types d’Informations de la Découverte des Données pour étiqueter ou marquer les données dans les traces transactionnelles d’audit. Par la suite, vous pouvez exporter les journaux avec les données étiquetées. Comme mentionné précédemment, la fonctionnalité de masquage dynamique peut également déclencher des règles de masquage basées sur ces types de données.

Voici comment les données étiquetées apparaissent dans le rapport CSV téléchargé :

Notez la ligne contenant le Type d’Information « DI_Email ».

En résumé, disposer du Type d’Information correct est essentiel pour un étiquetage efficace des événements. Dans la section suivante, nous expliquerons comment créer un Type d’Information.

Scénario Concret : Enquête sur les Menaces Plus Rapide

Imaginez un responsable conformité examinant des journaux d’activités suspectes dans un environnement MySQL. Sans l’étiquetage des événements, il doit décoder manuellement chaque résultat SQL pour déterminer si des données sensibles ont été impliquées. Avec l’étiquetage des événements associé aux Types d’Informations, il devient immédiatement évident quelles requêtes ont exposé des données personnelles, telles que des e-mails ou des numéros de carte de crédit, réduisant considérablement le temps d’enquête et le risque dans les environnements en production.

Le Type d’Information en Bref

Accédez à la Découverte des Données et sélectionnez les Types d’Informations. Vous y trouverez tous les Types d’Informations disponibles dans DataSunrise. Gardez à l’esprit que beaucoup sont complexes et peuvent ne pas convenir à vos besoins spécifiques. C’est pourquoi, pour cette discussion, nous recommandons de créer un Type d’Information personnalisé et simple.

Un Type d’Information est défini par ses attributs, et il peut en comporter plusieurs. La correspondance avec l’un quelconque de ces attributs lie les données de la requête au Type d’Information. Pour notre exemple, nous allons créer le Type d’Information le plus simple avec un seul attribut (DI_EmailAttribute) — des données dans les résultats de requête contenant une chaîne d’e-mail comme [email protected].

# Créer le Type d'Information DI_Email via l'API REST
curl -X POST https://ds.example/api/infoTypes \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
        "name":"DI_Email",
        "description":"Adresses e-mail (regex)",
        "attributes":[{
          "name":"DI_EmailAttribute",
          "pattern":".*@.*",
          "source":"RESULT_SET"
        }]
      }'

Contournez l’interface utilisateur et automatisez l’intégration en quelques secondes.

Nous n’entrerons pas dans trop de détails ici. La capture d’écran ci-dessous montre comment l’attribut est configuré.

Notez bien — vous pouvez tester la correspondance des attributs dans le panneau à droite. Par exemple, nous avons testé la chaîne [email protected] par rapport à l’expression régulière .*@.*, qui est définie dans le filtre d’attribut de la colonne.

En conséquence, nous avons créé le Type d’Information personnalisé DI_Email avec un attribut basé sur une expression régulière nommé DI_EmailAttribute. Ceci est présenté ci-dessous :

Dès qu’une requête passe par le proxy avec l’étiquetage des événements activé, le système marque les données. Ces informations précieuses peuvent ensuite être utilisées dans l’audit, les règles de sécurité et le masquage dynamique.

Gardez à l’esprit que pour l’étiquetage et le masquage dynamique dans la sécurité inspirée par les données, la fonctionnalité de Type d’Information fonctionne exclusivement avec des attributs basés sur les données.

Étiquetage des Événements dans l’Audit

Plongeons dans la première fonctionnalité de sécurité inspirée par les données : l’étiquetage des événements. Cette fonctionnalité vous permet de marquer les journaux de traces transactionnelles avec des balises supplémentaires décrivant le Type d’Information affecté par l’enregistrement de l’événement d’audit. Cela rationalise considérablement les décisions fondées sur les données dans les instances auditées et élimine la nécessité pour les utilisateurs d’analyser manuellement les résultats des requêtes.

Pour activer l’étiquetage des événements, assurez-vous d’abord que le Type d’Information fonctionne correctement. Vous pouvez le tester en exécutant une tâche de Découverte des Données. Si tout est en ordre, vous pouvez procéder à la création d’un Événement Étiqueté.

Ajouter l’Étiquetage des Événements pour l’Instance

Accédez à Configuration > Étiquetage des Événements et cliquez sur le bouton +Ajouter des Étiquettes d’Événements. Sélectionnez les cases à cocher à côté de(les) instance(s) de base de données sur lesquelles vous souhaitez auditer les données, ainsi que le Type d’Information. Puisque nous avons créé le Type d’Information DI_Email précédemment, nous l’utiliserons pour créer l’Étiquette d’Événement. Après avoir enregistré, votre liste de balises devrait ressembler à ceci :

Règle d’Audit pour Générer un Journal d’Audit Étiqueté

Accédez à « Audit » > « Règles » > « + Ajouter une Nouvelle Règle » pour créer une Règle d’Audit. Nommez-la « EmailAuditRule ». Activez « Journaliser les résultats des requêtes » et sélectionnez l’instance où vous avez préalablement configuré l’étiquetage des événements.

Nous sommes prêts à tester l’étiquetage des événements.

Faites une requête pour des données d’e-mails vers l’instance. Maintenant, lorsque les résultats des requêtes sont enregistrés dans les traces d’audit, vous verrez cette balise dans les traces transactionnelles :

L’image ci-dessus montre que la règle EmailAuditRule a été déclenchée par une requête SELECT * sur l’instance [email protected]. Cette requête a renvoyé des e-mails parmi d’autres données issues de la table mock_data, de sorte que l’événement d’audit est étiqueté avec l’Étiquette d’Événement DI_Email que nous avons créée.

Note importante : Si la règle de masquage inspirée par les données décrite ci-dessous est activée, l’étiquette de l’événement ne marquera pas l’événement de la trace d’audit.

-- Afficher les 20 derniers événements d'audit impliquant des e-mails
SELECT event_time, actor, action, object, info_type
FROM ds_audit_trails
WHERE info_type = 'DI_Email'
ORDER BY event_time DESC
LIMIT 20;

index=datasunrise_audit info_type=DI_CreditCard status=success
| stats count by actor, object, src_ip

title: Exportation Massive de Données Personnelles
logsource:
  product: database
detection:
  sel:
    info_type: DI_Email
    affected_rows: '>1000'
  condition: sel
level: high

Masquage pour une Sécurité Inspirée par les Données

Dans le chapitre précédent, nous avons configuré une règle d’audit et observé comment une balise était assignée à un événement lorsqu’il correspondait à notre Type d’Information personnalisé DI_Email. Cependant, les données étiquetées ont des applications bien plus précieuses que de simples rapports d’audit.

Explorons maintenant une autre utilisation de l’étiquetage des événements. Lorsque le Type d’Information DI_Email est détecté par le proxy, vous pouvez configurer diverses règles pour l’utiliser comme entrée. Les règles d’audit, de sécurité et de masquage peuvent toutes être déclenchées ou filtrées en utilisant ces balises supplémentaires. Dans cette section, nous expliquerons comment DataSunrise masque en temps réel les données marquées, en renvoyant des e-mails masqués au client de la base de données.

Pour y parvenir, il vous suffit de créer une Règle de Masquage Dynamique avec un Filtre de Données dans les Paramètres de Masquage. Voyons les détails.

Créez la règle comme vous le feriez normalement sur la page Masquage > Règles de Masquage Dynamique. Sélectionnez l’instance de base de données où vous avez configuré l’étiquetage des événements — [email protected] dans ce cas. Activez la case à cocher « Journaliser l’Événement en Stockage ».

Dans les Paramètres de Masquage ci-dessous, nous avons défini le sélecteur déroulant « Masquer par » sur Filtre de Données. Cela nous permet d’utiliser les Types d’Informations pour le masquage.

Notez que le sélecteur des Objets à masquer est laissé vide. Cela signifie que tous les objets interrogés depuis l’instance masquée seront vérifiés pour voir s’ils correspondent au DI_EmailAttribute. S’ils correspondent, DataSunrise les masque. Utilisez le Sélecteur d’Objets pour ajouter des objets de base de données spécifiques comme conditions supplémentaires aux opérations de masquage.

L’illustration ci-dessous montre le résultat. Nous avons interrogé les données via le proxy à l’aide de l’application cliente de base de données DBeaver. DataSunrise a automatiquement détecté et masqué les e-mails dans la réponse en se basant sur le Type d’Information trouvé dans les résultats de la requête :

Pièges Courants & Solutions

Sécurité Inspirée par les Données pour les Règles d’Audit et de Sécurité

Avec DataSunrise, vous pouvez exploiter les Types d’Informations et les Balises d’Événements dans le cadre des Règles d’Audit et des Règles de Sécurité pour déterminer si une requête doit être auditée ou bloquée. Les images ci-dessous montrent comment configurer le filtrage des données pour les règles d’audit et de sécurité.

Notez que si l’étiquetage des événements n’est pas configuré pour l’instance de base de données sélectionnée, l’option du Type d’Information ne sera pas disponible dans la section Filtre de Données. Activez la case à cocher « Journaliser l’Événement en Stockage » dans la règle de sécurité, car cela est requis pour le fonctionnement de la fonctionnalité inspirée par les données.

Conclusion

La sécurité inspirée par les données commence par l’étiquetage des informations capturées au niveau du proxy lors des interactions client-base de données. Avec l’étiquetage des événements, les organisations peuvent générer des journaux d’audit structurés qui s’intègrent parfaitement aux pipelines de données existants. En se fondant sur cette base, le masquage dynamique de données applique des vérifications basées sur les Types d’Informations pour appliquer une protection contextuelle, garantissant que les champs sensibles restent cachés lorsque cela est nécessaire.

DataSunrise propose une plateforme de sécurité complète qui combine le soutien à la conformité, la prévention des injections SQL, l’audit et le masquage avancé. Sa gamme d’outils comprend également la découverte automatique des données, la détection des vulnérabilités et des mesures de protection spécifiques aux modèles de langage. Pour le voir en action, demandez une démo interactive ou téléchargez une version d’essai gratuite de notre suite de sécurité des données.