breach-detection-system

实施泄露检测系统

概述

有效的泄露检测是及时履行第 33 条通知义务的前提。GDPR 并未规定具体的检测技术，但第 32 条要求采取适当的技术和组织措施，而第 33(1) 条实际上要求及时发现泄露——如果控制者花数月才发现泄露，就无法在 72 小时内发出通知。本技能介绍个人数据泄露检测的技术架构，包括 SIEM 集成、DLP 告警、行为分析和内部威胁监控。

泄露分类体系

第 1 级：CIA 三要素分类

类型	定义	检测方法
机密性	未经授权披露或访问个人数据	DLP 告警、访问日志异常、数据外泄检测
完整性	未经授权修改个人数据	文件完整性监控、数据库审计日志、校验和验证
可用性	无法访问或个人数据遭到破坏	系统健康状况监控、备份验证、勒索软件检测

第 2 级：攻击向量分类

向量	描述	主要检测方式
外部攻击	从网络边界外部进行未经授权的访问	IDS/IPS、防火墙日志、身份验证失败
内部威胁	已授权用户超出其授权范围行事	UEBA、DLP、访问模式分析
第三方泄露	源自处理者或供应商的泄露	供应商监控、API 异常检测
意外披露	人为错误导致数据暴露	DLP 内容检查、电子邮件网关过滤器
系统故障	导致数据丢失或损坏的技术故障	基础设施监控、备份验证
物理泄露	存有数据的实体设备丢失或被盗	资产追踪、设备加密验证

第 3 级：数据敏感度分类

级别	数据类型	检测优先级
严重	第 9 条特殊类别、第 10 条犯罪数据、金融凭证	实时告警，立即升级处理
高	政府颁发的身份标识、金融账户数据、身份验证凭证	实时告警，15 分钟内升级处理
中	联系方式、就业记录、购买历史	近实时（每 5 分钟批处理），1 小时内升级处理
低	公开可用的商业联系数据、非个人元数据	批处理（每小时），每日审查

SIEM 集成架构

事件源配置

Stellar Payments Group 将 Splunk Enterprise Security 部署为主要 SIEM 平台。以下日志源会被摄取以用于泄露检测：

来源	日志类型	摄取方式	每日事件数
Active Directory	身份验证、授权、组变更	Splunk Universal Forwarder	2.4M
AWS CloudTrail	API 调用、控制台登录、资源变更	通过 SQS 将 S3 数据发送到 Splunk	8.7M
PostgreSQL audit	查询日志、架构变更、身份验证失败	使用 syslog-ng 将日志发送到 Splunk HEC	14.2M
Palo Alto PA-5260	防火墙会话、URL 过滤、威胁防御	使用 syslog 将日志发送到 Splunk	45.3M
CrowdStrike Falcon	端点检测、进程执行、文件写入	Falcon SIEM Connector	6.1M
Microsoft 365	电子邮件审计、SharePoint 访问、Teams DLP	通过 Splunk Add-on 使用 Microsoft Graph API	3.8M
Okta	SSO 身份验证、MFA 事件、管理员变更	使用 Okta Event Hook 将事件发送到 Splunk HEC	890K
AWS GuardDuty	威胁情报发现项、异常检测	使用 CloudWatch 将日志发送到 Splunk	12K

用于泄露检测的关联规则

规则 1：大规模数据访问异常

Trigger: Single user account accesses more than 500 unique personal data records within a 30-minute window.
Data sources: PostgreSQL audit logs, application access logs.
Severity: High
Action: Create incident ticket, alert SOC analyst, notify DPO on-call.
False positive mitigation: Whitelist batch processing service accounts (reviewed quarterly). Flag whitelisted accounts if access occurs outside scheduled batch windows.

规则 2：数据外泄指标

Trigger: Outbound data transfer exceeding 50MB to an unclassified external destination from a system containing personal data.
Data sources: Palo Alto firewall, CrowdStrike network telemetry, DLP alerts.
Severity: Critical
Action: Automated network isolation of source endpoint, SOC analyst investigation, DPO notification.
False positive mitigation: Baseline normal data transfer patterns per endpoint. Whitelist approved SaaS destinations (Salesforce, Workday, etc.).

规则 3：特权账户异常

Trigger: Database administrator account performs SELECT queries on personal data tables outside of change management windows OR from an unrecognized source IP.
Data sources: PostgreSQL audit logs, Okta authentication logs, IP geolocation.
Severity: High
Action: Alert SOC lead and database security team. Log full query text for forensic review.

规则 4：勒索软件行为模式

Trigger: More than 20 file rename/encrypt operations per second on file servers or database storage volumes, OR known ransomware file extension creation (.lockbit, .encrypted, .crypt).
Data sources: CrowdStrike Falcon, Windows file audit logs, storage IOPS monitoring.
Severity: Critical
Action: Automated isolation of affected system, activate incident response team, preserve forensic image.

规则 5：身份验证暴力破解

Trigger: More than 50 failed authentication attempts against personal data systems within 10 minutes from a single source, OR more than 200 failed attempts across multiple accounts from the same source within 30 minutes (password spray).
Data sources: Active Directory, Okta, application authentication logs.
Severity: Medium (escalates to High if followed by successful authentication).
Action: Block source IP at firewall, SOC investigation, check for compromised credentials.

DLP 警报配置

电子邮件 DLP 策略

策略名称	检测内容	操作	严重性
外发 PII	正则表达式：德国身份证号码（Personalausweisnummer）、IBAN、信用卡号码、医保号码	阻止 + 加密 + 通知 DPO	高
批量 PII	电子邮件正文或附件中包含超过 10 行结构化个人数据（姓名 + 电子邮件/电话/地址）	阻止 + 通知发送者经理 + SOC	严重
特殊类别	匹配健康诊断、遗传标记、生物识别模板、工会相关信息的关键词/模式	阻止 + 通知 DPO	严重
跨境传输	在没有获批传输机制的情况下，将个人数据发送给位于非充分保护国家/地区的收件人	暂停以供审核 + 通知隐私团队	中

终端 DLP 策略

策略名称	检测内容	操作
USB 复制 PII	将包含个人数据的文件复制到可移动介质	阻止（例外情况须通过 DPO 批准的工单处理）
云端上传 PII	将个人数据文件上传到未经批准的云服务	阻止 + 通知 SOC
批量打印 PII	打印作业包含超过 50 条个人数据记录	通知直属经理 + SOC
PII 屏幕截图	截取显示个人数据记录的应用程序屏幕	记录 + 通知 SOC（用于模式分析）

异常检测与 UEBA

行为基线

用户与实体行为分析（UEBA）会为每个用户和系统账户建立正常行为模式：

基线指标	正常范围	异常阈值	检测窗口
每日记录访问次数	按用户计算的历史平均值	高于均值 3 个标准差	滚动 30 天基线
访问时间模式	历史工作时间	访问时间超出第 95 百分位范围	滚动 90 天基线
数据下载量	按用户计算的历史平均值	连续 2 小时以上高于均值 2 个标准差	滚动 14 天基线
地理访问位置	历史 IP 地理位置	过去 90 天记录中未出现的新国家/地区	滚动 90 天基线
应用程序访问模式	历史应用程序组合	访问过去 60 天记录中未出现的个人数据应用程序	滚动 60 天基线

内部威胁指标

内部威胁检测的综合风险评分结合多个低严重性指标：

指标	权重	来源
在正常工作时间以外访问个人数据系统	15	Okta + 应用程序日志
从人力资源或客户数据库批量下载数据	25	DLP + 数据库审计
在公司设备上使用个人电子邮件或云存储	10	CrowdStrike + 代理日志
处于离职通知期或绩效改进计划状态	20	人力资源系统集成（Workday）
访问超出角色范围的数据	20	基于角色的访问权限比对
禁用或规避安全控制措施	30	终端 Agent 篡改警报
多次尝试访问受限个人数据但失败	10	应用程序访问日志

综合评分超过 60 时，将触发增强监控。评分超过 80 时，将触发 SOC 分析师调查并通知 DPO。

与隐私事件响应集成

自动化工作流

1. SIEM 关联规则或 DLP 策略触发警报。
2. 使用上下文数据丰富警报：用户身份、受影响系统的数据分类、受影响数据主体数量估算。
3. 如果受影响系统被分类为包含个人数据（在 CMDB 中标记），系统会自动将警报复制到 ServiceNow 中的隐私事件队列。
4. 隐私事件协调员在 30 分钟内完成初步分流。
5. 如果确认发生个人数据泄露，则启动 Art. 33 的 72 小时计时，并通知 DPO。

检测到通知的时间线目标

阶段	目标	负责人
检测到发出警报	少于 5 分钟	SIEM 平台（自动化）
发出警报到分流	少于 30 分钟	SOC 分析师
分流到确认泄露	少于 4 小时	SOC 负责人 + 隐私协调员
确认泄露到通知 DPO	少于 1 小时	隐私事件协调员
通知 DPO 到启动 72 小时计时	立即	DPO

监控与调优

每月审查周期

1. 审查所有泄露检测关联规则的误报率。目标：误报率低于 15%。
2. 根据 EDPB Guidelines 01/2021 中的已知泄露场景，分析检测缺口评估结果。
3. 组织发生变化（新员工入职、员工离职、角色变更）后，更新行为基线。
4. 验证所有新增个人数据系统均已接入 SIEM 和 DLP 平台。
5. 每季度使用模拟泄露场景测试端到端的检测到通知工作流。