数据水印与泄露回溯
数据水印用于让报表导出、共享取数、客服截图和合作交付的数据输出能够回到责任主体。DBNginx 可以将水印、trace id、主体、来源、资源和策略版本绑定到同一条审计证据链中。
水印类型
| 类型 | 适用场景 |
|---|---|
| 可见水印 | 页面截图、报表、导出文件，便于直观提示 |
| 隐式水印 | 结果集、字段扰动、不可见标识，便于外泄后回溯 |
| trace 标识 | 与审计事件关联，便于跨系统查询 |
写入时机
- 查询结果返回。
- 报表导出。
- 共享数据交付。
- 客服或运营后台展示。
- 合作方数据下发。
回溯流程
- 安全团队拿到外泄截图、文件或样本。
- 提取可见水印、隐式水印或 trace 线索。
- 查询审计事件。
- 还原访问主体、来源、资源、SQL 语义和输出动作。
- 进入安全事件、内控审计或责任整改流程。
策略字段
建议水印策略至少绑定：
- 用户、角色、业务系统、来源地址。
- 数据库、表、列、数据等级。
- 导出场景、报表名称、合作方。
- 策略版本、trace id、watermark key。
验收标准
- 同一份报表由不同主体导出后可区分水印。
- 外泄样本能回到 trace、主体和访问资源。
- 审计事件能说明输出动作、脱敏动作和策略版本。
- 水印回溯结果可进入事件处置流程。