鉆井企業數據防泄露EDLP系統設計與實現

關鍵詞：數據安全；數據防泄露；網絡安全；數據識別；元數據

0 引言

鉆井數據是指鉆井企業在石油勘探和開采過程中收集的有用數據，這些數據對于評估石油儲藏量、設計鉆井方案和優化工藝都有極高的利用價值。鉆井數據包含的內容主要有以下幾類[1]：

1） 地質數據：包括鉆井的地理位置坐標、所屬地塊，以及鉆井區域的巖石類型、各類巖層厚度、組成、孔隙率、滲透性和巖心取樣數據，以及聲波測井、伽馬射線測井等數據。這些數據有助于設計適合的鉆井方案，調配適當的鉆具，采用適合的技術。

2） 生產測試數據：包括產量測試、壓力測試和樣本分析等，這些數據對于評估油井的生產潛力和產出價值有很高的參考價值。

3） 鉆井參數：包括鉆具選擇，以及設定并記錄的鉆井速度、鉆壓、泵速等操作參數。這些數據對于監測鉆井過程、保障安全生產，改進鉆井效率及為優化同區域后繼鉆井作業非常重要。

4） 井身軌跡：包括鉆進的方向、深度和井眼軌跡。這對于準確地定位油藏位置是必不可少的。

這些鉆井數據的收集貫穿在勘探和開發的各個階段，對于提高鉆井效率、降低生產成本、保障安全生產、優化鉆井方案具有極高的利用價值，是鉆井企業的核心數據資產。鉆井數據發生泄露，尤其是地理位置、生產成本和產量預測等數據如果被競爭對手掌握，就會極大地影響企業的競爭力和盈利能力[2]。

長慶油田于2022年成為我國第一大油田。其勘探范圍達到37萬平方公里，覆蓋了5個省、16個地級市和61個縣（旗）。鉆井隊遍布這片廣袤的區域。長慶鉆井總公司的信息中心每天收到來自各個井隊產生的各類鉆井數據。其網絡拓撲結構高度分散，層級多。2023年，長慶鉆井公司加強了對鉆井數據的治理，部分開展了分類分級工作，制訂了鉆井數據分類分級的模板，并進行了小范圍試用[3]。

1 企業數據防泄露EDLP 系統的設計

在完成鉆井數據的分類分級后，非常重要的一項工作是根據數據分類分級的結果確定數據的合規操作，而企業數據防泄露是其中不可或缺的一環。

2022年5月31日，在中國計算機學會抗惡劣環境計算機專業委員會的指導下，由中國電子科技集團公司第十五研究所（信息產業信息安全測評中心）、安全牛和谷安研究院聯合發起編制了《數據防泄露（DLP） 選型指南》報告[4]。報告中指出，企業數據防泄露（EDLP）系統的設計目標是對企業重要數據進行監控，杜絕非法訪問和不合規使用，協助安全管理人員降低企業數據泄露和丟失的風險。同時，EDLP系統具有功能復雜多樣、對處理性能要求較高的特點，既要保證數據的安全，又不能讓過于煩瑣的監控影響數據使用的便捷性。

本文以指南為參考，開展了企業數據防泄露（En?terprise Data Loss Prevention，EDLP） 系統的設計與開發工作。EDLP系統不僅涉及技術，還需要有配套的操作流程。解決方案包括監控用戶行為，檢測和阻止來自內部或外部網絡及智能終端設備對數據存儲系統中敏感信息的不合規行為，保護數據資產的安全和完整。

1） 數據識別：首先需要從每天存儲和生成的數據中識別出敏感數據。識別的手段可以采用關鍵詞匹配、數據格式匹配、正則表達式、決策樹等機器學習方法。

2） 數據分類分級：依據數據分類分級的模板，找出敏感數據所在的安全等級，按照數據合規操作規范確認哪些行為是受限制的，哪些行為是被允許的。

3） 數據監控：在企業網絡中的各個出口安插DLP 工具，例如存儲設備的外部接口、網絡訪問、電子郵件、智能設備的App訪問等，對內部和外部的通信進行實時監控，保障數據安全。

4） 系統響應：當EDLP系統發現違規操作時，可自動采取預定義的措施進行響應，阻止違規行為，包括自動斷網阻止數據流動、提示用戶越界、通知管理員等。

5） 報告和審計：系統提供所有發生事件的詳細的報告和日志，幫助安全管理人員復查系統漏洞，改進安全措施，并為追究肇事者的法律責任提供呈堂證供。

如圖1所示，EDLP系統主要包含以下3個功能模塊：

1） 網絡DLP（Network DLP） 模塊：主要針對在企業網絡中傳輸的數據進行監控，包括幾乎所有常見類型的網絡通信，例如網頁瀏覽、FTP、電子郵件、微信及QQ等即時通信軟件、社交媒體等。網絡DLP能夠識別保密數據，并自動阻斷其發送或接收，從網絡層面防止數據泄露。在企業網絡中，在出入口處設置了一個DLP，用于解析和監控流經的網絡數據包。本文采用的是MYDLP，該軟件可以解析常見的文件格式，如Excel、PPT、Word、PDF等。本文設計了專用于識別鉆井數據的算法，例如基于決策樹、隨機森林的鉆井液數據識別算法等，還梳理出一些基于正則表達式的規則用于檢測數據內容。

2） 服務器DLP（Server DLP） 模塊：主要針對存儲在數據庫、文獻庫、檔案庫的服務器或云平臺中的數據，通過掃描并識別存儲在這些設備中的保密數據的存儲位置，顆粒度可以精確到數據庫中的某些表，甚至某些字段，以實施精準的讀寫控制或數據掩碼，從服務器、云平臺的層面保證數據安全。在服務器上安裝了OpenDLP，并將鉆井數據識別算法安裝到OpenDLP中，通過掃描本地存儲，找出敏感數據的精確位置進行保護。

3） 終端DLP（Endpoint DLP） 模塊：主要是面向用戶終端設備的數據防泄露，例如用戶工作站主機、筆記本電腦、云終端、智能移動設備、打印機等。阻止用戶將保密數據復制或打印到外部設備，或對外復制打印的數據進行數據掩碼，屏蔽真實數據的外漏。此部分可以使用成熟的商業軟件，例如綠盟或啟明星辰等，并根據廠家提供的API或規則庫接口寫入自定義的鉆井數據識別算法。

2 面向鉆井數據的識別方法

在網絡DLP，服務器DLP和終端DLP模塊中都需要數據識別，判定是否為敏感數據。對于數據識別可以采用多種方法：

1） 在數據庫系統中可以采用讀取元數據的方法來了解數據庫表，字段的信息。通過檢索訪問控制表（ACL）來判定是否用戶有權限訪問數據。

2） 通過分析與特定用戶或設備關聯的數據，可以識別由特定用戶創建或經常訪問的敏感數據。

3） 有的企業會在文檔和電子郵件中使用數據標簽來標識信息的敏感級別。DLP系統可以根據這些標簽來識別敏感數據。

4） 內容檢測方法，常見的包括：正則表達式、關鍵詞匹配、機器學習算法等[5]。

由于在不同企業中的數據類型和形57f4f6adc7c68a318fbbab27b543b228d0d108d8a94f7669ddcc20a4f8121e12式都千差萬別，除了像身份證、電子郵件、門牌地址等數據具有統一格式，各個企業都有自己獨有的數據類型，所以在目前各種商業或開源的企業數據防泄露EDLP系統的實現方案中，都會預留內容檢測的接口，用于適配每個企業的個性化需求。鉆井企業中的數據也很有特點，例如，一組鉆井液數據如表1所示。

對于不同的字段就要采取不同的方式來識別。對于井號、其中帶有漢字、數字及“-”，就可以按照其形式直接定義一個正則表達式進行判斷，給出的正則表達式如下：

這個正則表達式應該能有效地匹配跟隨漢字后面的數字、短橫線以及另一個數字的字符串，這對于某些命名習慣或標識符是典型的。

工況和地層的類型很像，它們的取值都是有限的幾個專業詞匯，例如工況的取值常見的就是“鉆進”“電測”“二開鉆進”“起下鉆”等。地層的取值常見的就是“山西組”“本溪組”“塔里木盆地”“鄂爾多斯盆地”等，這些都可以通過簡單的有限集合元素的匹配進行識別。如密度、酸堿值等數據類型同樣具有一些直觀的數據特征，像密度的值在1左右浮動，酸堿值為7左右的整數值，通過這樣的數據特征也可以通過設定置信區間的方法來制訂識別該類數據的規則。比較復雜的是像鈣離子濃度和井深的數據，它們的取值范圍重合度很高，井深可以是從0到7 000米，鈣離子濃度取值范圍可以是從幾十到幾千，大多數情況都在1 000以下。對于這些比較相似的數據，可以通過數據變化趨勢來判斷。井深數據是遞增的，而鈣離子濃度則沒有這種變化趨勢。對于表1所示數據，根據這些特點構建出的用于識別鉆井液數據的分類決策樹如圖2所示。

這些個性化定制的數據識別算法可以嵌入網絡DLP、主機DLP和服務器DLP模塊中，用于識別敏感數據。

3 結論

近年來，國家越來越重視信息安全。2021年，《中華人民共和國數據安全法》提出，將數據安全提升到影響國家安全的高度。長慶鉆井總公司作為一家大型國有企業，長期以來收集了大量的鉆井數據。這些數據不僅關系到企業的利益，同時也對國家安全有著重要的影響。因此，企業數據防泄露（EDLP） 系統成為數據安全中的重要一環。只有正確開發和部署EDLP 系統，根據數據特點設計識別算法，才能最大限度地發揮EDLP系統的作用，為企業的順利發展保駕護航。