故事案例 - 打响数据安全保卫战 AI或成数据安全先锋力量

为了表述更加生动，我们用一个故事来说明。

某一企业内部面临着数据失窃的威胁：一名黑客感染了公司电脑想要窃取数据。他要像超级玛丽一样，通过重重关卡偷走龙骑士的公主。

黑客操纵着被感染的电脑，上网访问黑客指挥中心，获取攻击指令或下载恶意攻击工具。

这类行为可以归为间接威胁，ITP体系中的Web安全网关（ASWG）这时会捕捉到它，但因为并没有抓到偷窃数据的把柄，所以不会直接断网拦截，而是生成行为日志发送到ITP的人工智能大脑（以下简称ITM）处理中心，提醒ITM有人下载恶意工具，要对他提高警惕。

接下来黑客操控这台电脑访问企业共享文件夹，拖取数据敏感文件，例如员工通讯录、企业关键数据信息到电脑硬盘上。

这时因为涉及敏感文件下载，会触发防泄漏终端发出安全警报，再次生成行为日志储存到ITM智能大脑，这时ITM就掌握了两条警报线索，开始时刻关注这名用户的动向。

黑客拿到数据后必然要输送出去，但他对ITP防护体系并无防备，不清楚自己已经被ITM智能大脑盯上了，傻乎乎的采用明文外送来传输文件。

首先，部署在公司内网中的DLP网关会发挥作用，对涉及敏感数据的明文文件进行拦截，随后发送事件报告到ITM智能大脑中。DLP网关发送出来的事件报告因为直接涉及数据失窃，会被确定为一个高危事件。ITM智能大脑根据事件报告，将黑客认定为10级（最高危险等级）危险用户，并对内网中相似的上网和下载行为做统计分析，分析行为路径与它相同的用户会被评级为7以上的危险级别（DLP网关会对7以上行为进行拦截）。

这时，黑客发现这台设备无法发送数据，意识到DLP网关在对他进行拦截，从而转变策咯，换台电脑通过将敏感文件加密的方式传输出去。

如果没有ITM智能大脑分析的话，DLP网关是不能阻断的，因为公司业务往来也会应用到加密文件，但是因为有了上述ITM对相似行为的分析评级，DPL接收到了危险级别7以上的指令，这些加密文件也会受到阻断。

此时黑客一定气急败坏了，“加密都能识别出来，那我用自己编码的文件发送”，当然DLP网关是无法识别自编码文件的。

但是与加密文件同理，ITM智能大脑通过对黑客下载攻击工具，以及获取敏感数据的行为做出分析从而给出评级，任何评级高出7的电脑都无法发送未知文件（编码文件一定是未知文件）。

这名黑客会发现以上任何办法都无法传输文件。ITM大脑通过行为分析一口咬住了他，不管怎么变换手法都无法盗窃成功。

以上对整个ITP体系在内部威胁场景下的描述，ITP体系中ITM大脑与Web安全网关、防泄漏终端以及DLP网关之间紧密协作。在黑客暴露出窃取数据的意图时，紧紧把住了数据外泄的出口，任凭黑客在内网中手法千变万化，ITM智能大脑仿佛掌握了火眼金睛。

不可否认，通过AI进行行为分析的防卫方式确实大大提高了企业数据防护的效率。尽管如此，也没有任何一项技术能够做到百分百的防护。

回到文章开头，企业应该在数据安全中要承担什么样的角色，我想，既不该是数据的拥有者，也不单是数据泄露后的责任方，而应该成为保卫用户数据安全的先锋力量。