一次复盘四个泄露入口某水务集团安全团队在一次内网监测中发现管网 GIS 系统的地图服务接口在无鉴权的情况下能批量返回管线坐标数据。顺着这条线做了一轮完整复盘时间事件第1天监测发现 GIS 查询接口未做鉴权遍历参数可批量拉取管线坐标第2天排查确认该接口曾被异常访问调用量明显高于日常第3天复盘发现不止一个口子测试环境带生产数据、备份散落共享盘、运维可直接查库第4天启动整改接口鉴权、数据脱敏、数据库加密、备份加密、防勒索兜底复盘结论很直接管网 GIS 数据泄露不是单一漏洞而是接口越权 测试环境未脱敏 备份散落 明文存储四个口子叠加。先想清楚GIS 数据泄露到底值多少很多人对 GIS 数据泄露不以为然觉得就是一堆地图坐标。但供水管网 GIS 数据是典型的关键信息基础设施数据数据类型泄露后果管线坐标/拓扑管径、材质、埋深精确定位供水干管走向为破坏/攻击提供地图阀门/消火栓/水表位置基础设施分布暴露压力监测点坐标结合管网模型可反推运行状态维修/巡检记录推断管网薄弱环节管网坐标拓扑泄露等于把一张供水系统精确地图交给攻击者——这也是住建部门供水安全合规里反复强调管网数据要保护的原因。按 GB/T 43697 数据分类分级管网空间数据应当定级为重要数据。四个口子怎么堵口子一接口越权 → 鉴权 脱敏后出数GIS 查询接口必须鉴权且不能直接返回原始坐标——应用层出数前先脱敏见下文。口子二测试环境带生产数据 → 静态脱敏开发/测试环境不允许使用生产真实数据测试环境数据必须脱敏到可用但失真。口子三备份散落 → 加密 权限管控备份文件加密落盘开发机/共享盘不再允许明文备份流转。口子四运维直查明文 → 动态脱敏 数据库加密运维、第三方人员查库只给脱敏数据生产库落盘加密非授权进程只见密文。坐标脱敏为什么不能简单打码脱敏看着简单但 GIS 坐标脱敏有个特殊坑普通掩码会破坏空间查询。管线数据被空间索引如 R-tree/Geohash组织如果对坐标做123.4567 → 123****这种字符掩码空间查询、范围查询、邻接分析全部失效——测试环境能用就无从谈起。坐标脱敏的正确姿势是保留格式加密/置换FPE 偏移降精度让脱敏后的坐标仍然是合法坐标、数值特征被保留但已经不是真实位置脱敏方式效果空间查询是否可用风险字符掩码123****彻底失真❌ 不可用低随机替换数据失真❌ 不可用低FPE保留格式脱敏坐标合法、统计特征保留✅ 可用中保留近似偏移/降精度位置漂移、保留空间关系✅ 可用中实操上常用组合管线坐标 → FPE保留格式脱敏保持经纬度格式与数值范围 整体平移偏移按片区平移保留拓扑相对关系 精度降级保留到百米级抹掉精确点位降精度这步很关键把坐标从精确到米降到精确到百米管线走向仍可分析但具体阀门、消火栓的精确点位被抹掉——测试开发够用泄露出去也只是一张模糊地图。落地静态脱敏 动态脱敏 数据库加密静态脱敏测试环境 / 数据导出导出测试数据前对 GIS 库做一次静态脱敏坐标走保留格式偏移、地址走掩码# KTM静态脱敏任务对坐标/地址字段执行脱敏ktm mask--taskgis_test_data\--sourcewater_gis--targetwater_gis_test\--rule{lon:{type:fpe_shift,range_km:50},lat:{type:fpe_shift,range_km:50},addr:{type:mask}}\--batch10000动态脱敏运维 / 第三方查询运维、报表、第三方系统访问 GIS 库时走网关实时脱敏底层数据不动# 动态脱敏策略运维只读脱敏业务读写明文masking_policy:role_groups:-role:运维/第三方mask:坐标FPE降精度, 地址掩码-role:GIS业务系统mask:明文audit:全量访问审计生产库加密TDEGIS 生产库落盘加密外部拖库拿到的是密文-- 管线拓扑表启用TDE加密SM4在线不停机EXECtde_enable_table_encryptiondatabase_namewater_gis,table_namet_pipe_topology,encryption_algorithmSM4_256,key_idtde_gis_pipe_key,rotation_interval_days90,modeonline;备份加密 防勒索兜底GIS 备份文件加密落盘恢复演练在解密端执行RDM 防勒索双引擎兜底防止管线库被勒索加密后无法对外服务。验收一条都不能少验收项怎么验接口不再返回原始坐标带脱敏参数调用接口返回坐标与真实位置偏差 ≥ 设定阈值测试环境数据可用空间查询、范围查询在脱敏库上正常运行生产库非授权进程只见密文无授权直查管线表输出密文备份文件不可明文读取直接打开备份文件内容为密文运维访问为脱敏数据审计日志确认运维会话走脱敏通道供水管网 GIS 数据防泄露核心不是加一道权限而是接口鉴权 测试环境脱敏 生产库加密 备份加密 防勒索五个动作一起上。坐标脱敏用保留格式脱敏 降精度既不破坏空间查询又抹掉精确点位。安当 KTM 静态脱敏、TDE 数据库透明加密、KSP 密钥管理、RDM 防勒索可提供管网 GIS 数据安全的完整落地支持。文章作者安当加密技术负责人