劉志勇，何忠江，阮宜龍，單俊峰，張超

（中國電信集團(tuán)有限公司，北京 100032）

1 引言

大數(shù)據(jù)已經(jīng)逐步應(yīng)用于產(chǎn)業(yè)發(fā)展、政府治理、民生改善等領(lǐng)域，大幅度提高了人們的生產(chǎn)效率和生活水平。適應(yīng)、把握、引領(lǐng)大數(shù)據(jù)，將成為時(shí)代潮流。在大數(shù)據(jù)時(shí)代，數(shù)據(jù)是重要的戰(zhàn)略資源，是企業(yè)得以發(fā)展的核心，但數(shù)據(jù)資源的價(jià)值只有在流通和應(yīng)用過程中才能夠充分體現(xiàn)。云計(jì)算、物聯(lián)網(wǎng)、大數(shù)據(jù)等新技術(shù)的迅猛發(fā)展，引發(fā)了數(shù)據(jù)規(guī)模的爆炸式增長和數(shù)據(jù)模式的高度復(fù)雜化，如何對大量且復(fù)雜的數(shù)據(jù)進(jìn)行有效管理和合理分析成為企業(yè)亟待解決的問題[1]。為應(yīng)對日益復(fù)雜的數(shù)據(jù)環(huán)境，加快數(shù)據(jù)應(yīng)用與部署，大數(shù)據(jù)湖逐漸成為企業(yè)大數(shù)據(jù)運(yùn)營管理的重要趨勢和發(fā)展方向，通過統(tǒng)一匯聚和管理各生產(chǎn)系統(tǒng)的運(yùn)營數(shù)據(jù)，提供統(tǒng)一的存儲與數(shù)據(jù)服務(wù)，讓各類數(shù)據(jù)應(yīng)用和數(shù)據(jù)開發(fā)人員各取所需，充分發(fā)揮數(shù)據(jù)價(jià)值[2]。大數(shù)據(jù)在收集、匯聚、存儲、使用、共享的過程中，對信息安全的要求越來越高，數(shù)據(jù)類型及數(shù)據(jù)量的增多使數(shù)據(jù)安全和隱私保護(hù)問題更加突出，傳統(tǒng)的基于邊界安全和基于已知特征的網(wǎng)絡(luò)安全防護(hù)方式，已無法有效應(yīng)對大數(shù)據(jù)環(huán)境下新的安全威脅。因此，要建立完備的大數(shù)據(jù)安全防護(hù)機(jī)制和管理制度，根據(jù)各類數(shù)據(jù)應(yīng)用的不同特點(diǎn)，完善全生命周期數(shù)據(jù)安全保障策略，防止數(shù)據(jù)越權(quán)訪問、私自篡改、泄露毀壞等問題發(fā)生。

2 大數(shù)據(jù)安全特征和發(fā)展趨勢

2.1 大數(shù)據(jù)安全特征

大數(shù)據(jù)（big data）具有數(shù)據(jù)體量浩大（volume）、數(shù)據(jù)生成速度快（velocity）、數(shù)據(jù)種類繁多（variety）、數(shù)據(jù)價(jià)值高但密度低（value）的4V特點(diǎn)，如圖1所示。

圖1 大數(shù)據(jù)4V特點(diǎn)

由于采用分布式存儲方式，數(shù)據(jù)存儲路徑相對清晰，且數(shù)據(jù)量過大，導(dǎo)致攻擊者較容易利用相關(guān)漏洞實(shí)施不法操作，造成安全問題。

（1）大數(shù)據(jù)成為網(wǎng)絡(luò)攻擊的顯著目標(biāo)。更加龐大敏感的數(shù)據(jù)提高了黑客的“收益率”，成為了黑客攻擊的最佳目標(biāo)；數(shù)據(jù)中包含大量用戶信息，使得對大數(shù)據(jù)的開發(fā)利用很容易侵犯公民的隱私，增加了用戶個(gè)人隱私泄露風(fēng)險(xiǎn)。

（2）大數(shù)據(jù)的存儲管理風(fēng)險(xiǎn)加大。數(shù)據(jù)量非線性甚至指數(shù)級的速度增長，多種應(yīng)用進(jìn)程的并發(fā)以及頻繁無序的運(yùn)行，極易造成數(shù)據(jù)存儲錯(cuò)位和數(shù)據(jù)管理混亂；訪問控制和隱私管理、授權(quán)與驗(yàn)證的安全模式、技術(shù)漏洞和成熟度、數(shù)據(jù)管理與保密等問題，以及物理故障、人為誤操作、軟件故障、木馬病毒和黑客攻擊等都嚴(yán)重威脅著數(shù)據(jù)的安全性。

（3）大數(shù)據(jù)的傳輸處理隱患增多。除數(shù)據(jù)非授權(quán)使用、泄露、被篡改、被破壞等風(fēng)險(xiǎn)外，由于大數(shù)據(jù)傳輸?shù)漠悩?gòu)、多源、關(guān)聯(lián)等特點(diǎn)，即使多個(gè)數(shù)據(jù)集各自脫敏處理，數(shù)據(jù)集仍然存在關(guān)聯(lián)分析造成個(gè)人信息泄露的風(fēng)險(xiǎn)。

（4）大數(shù)據(jù)實(shí)施訪問控制更加復(fù)雜。大數(shù)據(jù)應(yīng)用范圍廣泛，被用于多種不同場景，被來自不同組織、部門、身份與目的的用戶所訪問，其訪問控制需求十分突出，導(dǎo)致難以預(yù)設(shè)角色、難以實(shí)現(xiàn)角色劃分、難以預(yù)知每個(gè)角色的實(shí)際權(quán)限、不同類型的大數(shù)據(jù)中可能存在多樣化的訪問控制需求等問題。

（5）大數(shù)據(jù)技術(shù)被應(yīng)用到攻擊手段中。網(wǎng)絡(luò)攻擊者最大限度地收集更多有用信息，通過大數(shù)據(jù)分析讓攻擊更加精準(zhǔn)；大數(shù)據(jù)已成為高級可持續(xù)攻擊（advanced persistent threat，APT）的載體，利用大數(shù)據(jù)發(fā)起僵尸網(wǎng)絡(luò)攻擊，控制上百萬臺傀儡機(jī)，傳統(tǒng)的基于內(nèi)置攻擊事件庫的特征實(shí)施匹配檢測技術(shù)對檢測APT攻擊是無效的，將攻擊隱藏在大數(shù)據(jù)中，給安全服務(wù)提供商的安全分析制造了很大的困難[3]。

2.2 大數(shù)據(jù)安全發(fā)展趨勢

（1）數(shù)字化

面向云網(wǎng)安全協(xié)同和安全融云，建設(shè)“全網(wǎng)聯(lián)動(dòng)、防控一體”安全中臺樞紐，打造以數(shù)據(jù)驅(qū)動(dòng)的智能化安全運(yùn)營體系，從被動(dòng)防御向積極防御演進(jìn)。隨著IT系統(tǒng)上云同步建立電信云內(nèi)生安全體系，保障云上系統(tǒng)與數(shù)據(jù)安全，借助基礎(chǔ)網(wǎng)優(yōu)勢，持續(xù)優(yōu)化企業(yè)網(wǎng)絡(luò)安全建設(shè)；并進(jìn)一步打造以骨干網(wǎng)、5G為中心的安全防護(hù)體系；構(gòu)建5G核心網(wǎng)異常信令監(jiān)測控制能力，打造差異化的5G安全防護(hù)體系，助力企業(yè)在5G時(shí)代提升整體競爭力；同時(shí)，逐步加強(qiáng)邊緣網(wǎng)絡(luò)安全防護(hù)能力，構(gòu)建從終端到業(yè)務(wù)的零信任安全體系。重點(diǎn)攻關(guān)數(shù)據(jù)流動(dòng)的阻斷防護(hù)和安全檢測技術(shù)，掌握敏感數(shù)據(jù)的識別、用戶身份識別和訪問控制、用戶行為分析、個(gè)人隱私保護(hù)、數(shù)據(jù)防泄露等關(guān)鍵技術(shù)，實(shí)現(xiàn)安全能力服務(wù)化，統(tǒng)一開放和安全原子能力賦能數(shù)字化平臺。

（2）體系化

構(gòu)建貫穿大數(shù)據(jù)應(yīng)用云管端的綜合立體防御體系，已滿足大數(shù)據(jù)戰(zhàn)略與市場應(yīng)用的需要。綜合利用數(shù)據(jù)源驗(yàn)證、大規(guī)模傳輸加密、非關(guān)系型數(shù)據(jù)庫加密存儲、數(shù)據(jù)防泄露、數(shù)據(jù)銷毀等技術(shù)，與系統(tǒng)現(xiàn)有網(wǎng)絡(luò)信息安全技術(shù)設(shè)施相結(jié)合，建立縱深的防御體系。集中的安全配置管理和安全機(jī)制部署成為平臺層安全趨勢。集中安全管理、準(zhǔn)入控制、多因素認(rèn)證、細(xì)粒度訪問控制、密鑰管理、數(shù)據(jù)脫敏、集中審計(jì)等安全機(jī)制，從機(jī)制上防止數(shù)據(jù)的未授權(quán)訪問和泄露。

（3）智能化

敏感數(shù)據(jù)識別技術(shù)作為數(shù)據(jù)安全監(jiān)控的必要技術(shù)條件將逐步實(shí)現(xiàn)自動(dòng)化；人工智能識別技術(shù)的引入，通過機(jī)器學(xué)習(xí)實(shí)現(xiàn)大量文檔的聚類分析，自動(dòng)生成分類規(guī)則庫，內(nèi)容自動(dòng)化識別程度正逐步提高。大數(shù)據(jù)分析技術(shù)、機(jī)器學(xué)習(xí)算法的發(fā)展與演進(jìn)將推動(dòng)數(shù)據(jù)防泄露的智能化發(fā)展，DLP將實(shí)現(xiàn)用戶行為分析與數(shù)據(jù)內(nèi)容的智能識別，實(shí)現(xiàn)數(shù)據(jù)的智能化分層、分級保護(hù)，并提供終端、網(wǎng)絡(luò)、云端協(xié)同一體的敏感數(shù)據(jù)動(dòng)態(tài)集中管控體系。借助大數(shù)據(jù)分析、人工智能等技術(shù)，實(shí)現(xiàn)自動(dòng)化威脅識別、風(fēng)險(xiǎn)阻斷和攻擊溯源，從源頭上提升大數(shù)據(jù)安全防御水平[4]。

（4）流通化

大數(shù)據(jù)要發(fā)揮其自身價(jià)值，必須安全、有效地流通、共享。之前應(yīng)用廣泛的數(shù)據(jù)脫敏技術(shù)受到多源數(shù)據(jù)匯聚的嚴(yán)重挑戰(zhàn)而可能面臨失效，目前匿名化算法等前沿技術(shù)鮮有實(shí)際應(yīng)用案例，普遍存在運(yùn)算效率過低、開銷過大等問題，還需要在算法的優(yōu)化方面持續(xù)進(jìn)行改進(jìn)，以滿足大數(shù)據(jù)環(huán)境下的隱私保護(hù)需求。“隱私保護(hù)計(jì)算”和“區(qū)塊鏈”成為近年數(shù)據(jù)安全流通領(lǐng)域常用的兩種技術(shù)框架，通常涵蓋聯(lián)邦學(xué)習(xí)、安全多方計(jì)算、同態(tài)加密等關(guān)鍵技術(shù)。

3 大數(shù)據(jù)安全運(yùn)營實(shí)踐

目前，中國電信通過建設(shè)集團(tuán)企業(yè)級大數(shù)據(jù)平臺匯聚企業(yè)主要運(yùn)營數(shù)據(jù)，開展精準(zhǔn)營銷、精確管理、精細(xì)服務(wù)、精益運(yùn)營等應(yīng)用探索，對部分生產(chǎn)系統(tǒng)閉環(huán)注智，較好地支撐了企業(yè)數(shù)字化轉(zhuǎn)型。為解決大數(shù)據(jù)平臺在數(shù)據(jù)匯聚和應(yīng)用過程中的數(shù)據(jù)安全問題，打造了以網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全為基礎(chǔ)，以“數(shù)據(jù)和人”為核心的大數(shù)據(jù)安全深度防御體系，如圖2所示，結(jié)合不同場景，從數(shù)據(jù)的采集安全、存儲加工安全、應(yīng)用共享安全等全生命周期進(jìn)行綜合施策，以此實(shí)現(xiàn)“降低數(shù)據(jù)泄露風(fēng)險(xiǎn)、保障企業(yè)級數(shù)據(jù)與用戶隱私數(shù)據(jù)安全、夯實(shí)數(shù)字化基礎(chǔ)”的目標(biāo)。

3.1 夯實(shí)網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全

網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全是大數(shù)據(jù)安全不可或缺的基礎(chǔ)保障。為滿足“云網(wǎng)融合”安全需求，正在推動(dòng)構(gòu)建覆蓋“云-網(wǎng)-應(yīng)用-數(shù)據(jù)-終端”的一體化安全運(yùn)營體系，從被動(dòng)響應(yīng)轉(zhuǎn)向主動(dòng)防御，從單點(diǎn)防御轉(zhuǎn)向全網(wǎng)聯(lián)防聯(lián)動(dòng)，建立安全與信息化“深度融合、全面覆蓋”的內(nèi)生安全體系，保障云網(wǎng)業(yè)務(wù)數(shù)據(jù)安全、可靠、高效地運(yùn)營。在網(wǎng)絡(luò)安全層面，大數(shù)據(jù)平臺實(shí)施物理隔離部署，日常管理維護(hù)、開發(fā)測試均通過“VPN+堡壘機(jī)”方式接入；網(wǎng)絡(luò)邊界出口部署流量控制、入侵檢測系統(tǒng)（intrusion detection system，IDS）、入侵防御（軟WAF）等安全防護(hù)設(shè)備，通過策略路由方式引流，防范南北向攻擊；利用云堤網(wǎng)絡(luò)鏈路資源和基礎(chǔ)清洗能力，結(jié)合網(wǎng)站防護(hù)設(shè)備（硬WAF），實(shí)現(xiàn)基于IP路由的雙向引流、清洗和綜合防護(hù)，防止大流量DDoS攻擊、Web攻擊；使用WAF+SSL證書進(jìn)行應(yīng)用層、傳輸層的防護(hù)，保證數(shù)據(jù)不被劫持、篡改，防止CC、SQL注入等攻擊。在主機(jī)安全層面，采用LDAP統(tǒng)一身份認(rèn)證和主機(jī)權(quán)限控制；部署安全代理（agent）監(jiān)控組件對主機(jī)實(shí)現(xiàn)7×24 h的安全防護(hù)，部署終端防護(hù)響應(yīng)工具（EDR），通過預(yù)防、防御、檢測、響應(yīng)等環(huán)節(jié)，為終端提供更加優(yōu)良的隔離策略、病毒查殺和檢測處置能力。

圖2 打造以數(shù)據(jù)、人為核心的大數(shù)據(jù)安全防御體系

3.2 完善大數(shù)據(jù)安全技術(shù)體系

圍繞數(shù)據(jù)全生命周期，從采集、傳輸、存儲、處理、共享、銷毀等環(huán)節(jié)，以關(guān)鍵技術(shù)措施為突破，完善大數(shù)據(jù)安全技術(shù)體系，如圖3所示。

（1）在數(shù)據(jù)采集環(huán)節(jié)，實(shí)施連接限制、敏感數(shù)據(jù)識別、數(shù)據(jù)一致性和合法性校驗(yàn)等手段，通過底層HDFS文件系統(tǒng)的訪問控制列表（access control list，ACL）權(quán)限管控實(shí)現(xiàn)數(shù)據(jù)源認(rèn)證、接入安全、權(quán)限管理；開啟基于分析系統(tǒng)日志（Elastic search，Logstash，Kibana，ELK）開發(fā)的數(shù)據(jù)采集日志審計(jì)，實(shí)現(xiàn)對數(shù)據(jù)采集過程全流程操作可追溯，保證各類數(shù)據(jù)采集活動(dòng)的合規(guī)性和安全性；對采集的數(shù)據(jù)進(jìn)行分類分級標(biāo)識，對不同類和級別的數(shù)據(jù)實(shí)施相應(yīng)的安全管理策略和保障措施[5]。

（2）在數(shù)據(jù)傳輸環(huán)節(jié)，利用鏈路加密、加密協(xié)議、認(rèn)證鑒權(quán)等機(jī)制對數(shù)據(jù)傳輸進(jìn)行安全管理，構(gòu)建傳輸安全通道；部署RSA、AES等密碼算法以及PKI系統(tǒng)進(jìn)行身份認(rèn)證和密鑰管理，防止數(shù)據(jù)丟失、泄露、篡改。建立數(shù)據(jù)傳輸接口安全管理工作規(guī)范，包括安全域內(nèi)、安全域間等數(shù)據(jù)傳輸接口規(guī)范。

（3）在數(shù)據(jù)存儲與加工環(huán)節(jié)，采用多種加密算法（例如AES、FPR）實(shí)現(xiàn)數(shù)據(jù)脫敏、加密等手段。實(shí)現(xiàn)數(shù)據(jù)保密，提高個(gè)人信息的安全性；加強(qiáng)數(shù)據(jù)的統(tǒng)一調(diào)度與資源監(jiān)控，以及日志分析和操作審計(jì)；對數(shù)據(jù)實(shí)施分權(quán)分域管理，嚴(yán)控集群公共數(shù)據(jù)的讀寫權(quán)限分配，數(shù)據(jù)模型采用分層架構(gòu)，控制數(shù)據(jù)開放范圍。

（4）在數(shù)據(jù)應(yīng)用與共享環(huán)節(jié)，實(shí)施數(shù)據(jù)脫敏、數(shù)據(jù)水印、導(dǎo)出管理、訪問頻度控制等手段，建立嚴(yán)格的審批流程，通過訪問控制列表（ACL）、業(yè)務(wù)日志監(jiān)控（sentry）等技術(shù)實(shí)現(xiàn)對數(shù)據(jù)、表的共享訪問控制和操作控制。制定數(shù)據(jù)共享審計(jì)策略和審計(jì)日志管理規(guī)范，審計(jì)記錄詳細(xì)完整，為數(shù)據(jù)共享安全事件的處置、應(yīng)急響應(yīng)和事后溯源提供幫助[6]。

（5）在數(shù)據(jù)銷毀層面，針對不同的存儲方式、存儲內(nèi)容，建立數(shù)據(jù)銷毀周期管理能力，明確需要進(jìn)行數(shù)據(jù)銷毀的數(shù)據(jù)、方式和要求，明確銷毀數(shù)據(jù)范圍和流程；遵循可審計(jì)原則，建立數(shù)據(jù)刪除策略和管理制度，記錄數(shù)據(jù)刪除的操作時(shí)間、操作人、操作方式、數(shù)據(jù)內(nèi)容等相關(guān)信息[5]。

圖3 數(shù)據(jù)全生命周期安全管理

3.3 大數(shù)據(jù)安全實(shí)踐

著眼云網(wǎng)融合資源布局的多組織、大體系環(huán)境下的數(shù)據(jù)安全需求，建設(shè)企業(yè)級大數(shù)據(jù)平臺安全管理系統(tǒng)，構(gòu)建大數(shù)據(jù)集群安全統(tǒng)一管控體系，通過數(shù)據(jù)分權(quán)分域管理、數(shù)據(jù)訪問授權(quán)、數(shù)據(jù)加密脫敏、敏感數(shù)據(jù)識別、安全審計(jì)實(shí)時(shí)風(fēng)險(xiǎn)告警、集群多租戶管理等安全能力，為大數(shù)據(jù)平臺提供安全防護(hù)和安全事件溯源能力。企業(yè)級大數(shù)據(jù)平臺安全管理系統(tǒng)能力架構(gòu)如圖4所示。

（1）構(gòu)建多租戶權(quán)限管理體系。圍繞以人為核心，建立租戶、用戶組、用戶三大要素所組成的3層用戶體系，對大數(shù)據(jù)平臺進(jìn)行立體式的用戶管理，成功解決Hadoop平臺原生安全認(rèn)證能力過于單一，無法精細(xì)化、多樣化地控制每一個(gè)用戶權(quán)限的問題。3層用戶體系把組織、用戶組、用戶的概念融為一體，提供對平臺資源統(tǒng)一分配、數(shù)據(jù)集中權(quán)限控制的能力，由上至下形成一條完整的管控鏈路，從全局實(shí)現(xiàn)平臺資源和數(shù)據(jù)的統(tǒng)籌分配管理，從局部解決了租戶內(nèi)部資源管理與隔離。數(shù)據(jù)權(quán)限的管控與繼承，既實(shí)現(xiàn)了租戶與租戶之間的完全隔離，也滿足了租戶內(nèi)部對資源、數(shù)據(jù)靈活調(diào)配的定制化需求。現(xiàn)在多租戶權(quán)限管理體系已經(jīng)為全國31個(gè)省公司167個(gè)租戶、1 343個(gè)用戶組的日常生產(chǎn)經(jīng)營提供底層用戶體系保障和安全管控服務(wù)。平臺用戶體系及資源管控如圖5所示。

圖4 企業(yè)級大數(shù)據(jù)平臺安全管理系統(tǒng)能力架構(gòu)

圖5 平臺用戶體系及資源管控

（2）統(tǒng)一身份認(rèn)證管理，利用云認(rèn)證平臺提供大數(shù)據(jù)平臺人臉、聲紋、指紋、掃碼等多因子認(rèn)證服務(wù)，業(yè)務(wù)系統(tǒng)集中單點(diǎn)登錄，實(shí)現(xiàn)對14個(gè)業(yè)務(wù)系統(tǒng)共計(jì)25 000個(gè)應(yīng)用賬號的統(tǒng)一管理，形成“一人一賬號、一次登錄通行訪問”的用戶便捷操作和安全保障能力。在大數(shù)據(jù)集群的身份認(rèn)證方面，Hadoop主要支持簡單機(jī)制和Kerberos機(jī)制兩種身份認(rèn)證機(jī)制[4]。簡單機(jī)制根據(jù)用戶的有效UID確認(rèn)用戶名，避免內(nèi)部人員誤操作。Kerberos機(jī)制支持集群中服務(wù)器間的認(rèn)證和客戶端（client）到服務(wù)器的認(rèn)證，嚴(yán)格控制數(shù)據(jù)輸出，實(shí)現(xiàn)較強(qiáng)的安全性，同時(shí)保證較高的運(yùn)行性能。技術(shù)上采用客戶端/服務(wù)器結(jié)構(gòu)與多層加密技術(shù)，密碼和關(guān)鍵信息經(jīng)過3層加密，先使用base64算法進(jìn)行數(shù)據(jù)編碼在經(jīng)過sha256加密，其次再生成隨機(jī)動(dòng)態(tài)鹽，密碼和動(dòng)態(tài)鹽拼接在一塊，經(jīng)過sha-224類型的SHA算法加密生成最終的數(shù)據(jù)，用于防竊聽、防replay攻擊、保護(hù)數(shù)據(jù)完整性，使用對稱密鑰體制進(jìn)行密鑰存儲，建立數(shù)據(jù)權(quán)限管理的基礎(chǔ)安全環(huán)境。

（3）統(tǒng)一資產(chǎn)管理。對大數(shù)據(jù)平臺內(nèi)所有資產(chǎn)實(shí)施臺賬管理，與智能運(yùn)維平臺聯(lián)動(dòng)，建立“資產(chǎn)入網(wǎng)-資產(chǎn)變更-資產(chǎn)監(jiān)視-資產(chǎn)退網(wǎng)”的流程，實(shí)現(xiàn)對主機(jī)、數(shù)據(jù)庫、業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)拓?fù)鋱D、業(yè)務(wù)系統(tǒng)互聯(lián)關(guān)系等資產(chǎn)信息的全生命周期管控；在未知資產(chǎn)自動(dòng)發(fā)現(xiàn)方面，通過端口掃描、協(xié)議探測等方式，可實(shí)現(xiàn)對網(wǎng)絡(luò)中的未知資產(chǎn)對象的發(fā)現(xiàn)與基本信息偵測。驗(yàn)證試點(diǎn)全網(wǎng)數(shù)據(jù)資產(chǎn)測繪，通過集中式數(shù)據(jù)庫JDBC、CMDShell等API連接方式實(shí)現(xiàn)定向采集，利用分布式終端agent進(jìn)行本地腳本直采，實(shí)現(xiàn)MySQL、Oracle、SQLServer等主流關(guān)系型數(shù)據(jù)庫以及HBase、Hive、MongoDB、Redis等主流大數(shù)據(jù)組件的資產(chǎn)數(shù)據(jù)采集，同時(shí)結(jié)合網(wǎng)絡(luò)流量的采集監(jiān)測進(jìn)行HTTP、FTP、SQL等協(xié)議解析，可動(dòng)態(tài)發(fā)現(xiàn)敏感數(shù)據(jù)的流動(dòng)方向、使用熱度等，結(jié)合平臺資產(chǎn)信息可發(fā)現(xiàn)未登記、已退網(wǎng)等情況的異常資產(chǎn)，實(shí)現(xiàn)資產(chǎn)數(shù)據(jù)查漏補(bǔ)缺和動(dòng)態(tài)更新；數(shù)據(jù)資產(chǎn)信息采集后通過周期性北向接口進(jìn)行自動(dòng)數(shù)據(jù)上報(bào)形成全網(wǎng)重要數(shù)據(jù)資產(chǎn)地圖。

（4）統(tǒng)一日志審計(jì)管理。使用分布式數(shù)據(jù)抽取組件將數(shù)據(jù)進(jìn)行加密傳輸，支持多種數(shù)據(jù)源類型可支持采集文件、網(wǎng)絡(luò)數(shù)據(jù)、主機(jī)的審計(jì)和運(yùn)行指標(biāo)、堡壘機(jī)日志等，可自動(dòng)化解析、規(guī)范轉(zhuǎn)發(fā)以及數(shù)據(jù)庫的日志。Lambda架構(gòu)如圖6所示，使用經(jīng)典的Lambda架構(gòu)，數(shù)據(jù)傳輸?shù)较㈥?duì)列中，支持進(jìn)行數(shù)據(jù)的無感分流；一方面使用分布式實(shí)時(shí)計(jì)算組件（Spark streaming）對接消息中間件進(jìn)行實(shí)時(shí)數(shù)據(jù)指標(biāo)的分析，形成用戶行為軌跡、賬號違規(guī)共享、執(zhí)行高危指令、數(shù)據(jù)上傳下載、異常時(shí)段登錄、組件日志審計(jì)、Web系統(tǒng)日志審計(jì)等能力;另一方面數(shù)據(jù)存儲到ES（elastic search）搜索引擎中，使用腳本結(jié)合AI挖掘建模技術(shù)，采用隨機(jī)森林等算法對數(shù)據(jù)進(jìn)行打標(biāo)處理，根據(jù)多維評分模型，進(jìn)行數(shù)據(jù)安全感知分析、威脅預(yù)判和預(yù)處理。

圖6 Lambda架構(gòu)

（5）提供數(shù)據(jù)匿名化解決方案。配套常用對稱/非對稱加解密算法API，支持aes/des/MD5/sm2/sm3/sm4/rc4等多種加密能力，針對不同的業(yè)務(wù)場景可提供表級加密和字段級加密能力。大數(shù)據(jù)環(huán)境下的數(shù)據(jù)加密需要實(shí)現(xiàn)數(shù)據(jù)在靜態(tài)存儲及傳輸過程的加密保護(hù)，難點(diǎn)在于密鑰管理。在Hadoop2.6的版本之后，HDFS支持一種靜態(tài)加密方式，應(yīng)用層加密是一種基于加密區(qū)的透明加密方法，將需要加密的目錄分解成若干個(gè)區(qū)，數(shù)據(jù)寫入加密區(qū)和客戶端讀取數(shù)據(jù)時(shí)，數(shù)據(jù)被透明地加密和解密。對于動(dòng)態(tài)的傳輸數(shù)據(jù)，對應(yīng)PRC、TCP/IP和HTTP，Hadoop提供了不同的動(dòng)態(tài)加密方法用以保證客戶端和服務(wù)器傳輸?shù)陌踩浴Ｏ到y(tǒng)底層支持分布式的計(jì)算架構(gòu)，利用分布式計(jì)算能夠橫向擴(kuò)展的特性來提升數(shù)據(jù)加密性能。安全系統(tǒng)還對系統(tǒng)中所有的加/解密作業(yè)進(jìn)行跟蹤，記錄每個(gè)作業(yè)的執(zhí)行時(shí)間、運(yùn)行狀態(tài)、執(zhí)行結(jié)果、相關(guān)數(shù)據(jù)等信息，以保證所有加/解密行為的有記可查。數(shù)據(jù)匿名架構(gòu)如圖7所示。

（6）構(gòu)建統(tǒng)一的漏洞知識庫。包括數(shù)據(jù)訪問行為知識、用戶訪問組件行為知識、存儲組件漏洞庫等。從多個(gè)數(shù)據(jù)源獲取攻擊規(guī)則、軟件漏洞樣本、網(wǎng)絡(luò)威脅情報(bào)、漏洞數(shù)據(jù)以及與計(jì)算機(jī)和網(wǎng)絡(luò)安全相關(guān)的知識，對收集的知識進(jìn)行統(tǒng)一化清洗處理，將分散的知識結(jié)構(gòu)化為計(jì)算機(jī)可理解的知識庫，通過五元組模型（包含概念、實(shí)例、關(guān)系、屬性和規(guī)則），實(shí)現(xiàn)知識圖譜化。通過將零散的安全閾值規(guī)則整合成體系化的安全漏洞知識庫后，安全告警事件發(fā)現(xiàn)識別率提升30%，預(yù)防潛在安全風(fēng)險(xiǎn)能力提升20%。漏洞知識庫構(gòu)建架構(gòu)如圖8所示。

在解決數(shù)據(jù)匯聚和應(yīng)用過程中大數(shù)據(jù)安全問題的同時(shí)，還有一些不足。一是重防范安全、輕共享安全，數(shù)據(jù)應(yīng)用面臨多種能力開放模式：如數(shù)據(jù)專區(qū)、挖掘建模、營銷開發(fā)、服務(wù)封裝，個(gè)人用戶信息保護(hù)難度越來越大，傳統(tǒng)的“一事一議”方式無法滿足越來越多的數(shù)據(jù)開放需求，數(shù)據(jù)安全共享成為迫切需要解決的問題。二是安全風(fēng)險(xiǎn)監(jiān)測智能化能力不足，依賴傳統(tǒng)的基于規(guī)則過濾的黑名單制的日志審計(jì)，對疑似符合已知威脅模式/特征的行為產(chǎn)生告警，無法識別看似合法的風(fēng)險(xiǎn)隱患；檢測水平取決于運(yùn)營人員自身的經(jīng)驗(yàn)和水平，缺少對AI新技術(shù)的有效使用。三是過于依賴網(wǎng)絡(luò)和邊界安全，缺乏數(shù)字化轉(zhuǎn)型“企業(yè)邊界正在瓦解，基于邊界的安全防護(hù)體系正在失效”這一大背景下的應(yīng)對措施。

圖7 數(shù)據(jù)匿名架構(gòu)

4 大數(shù)據(jù)安全思考與展望

（1）引入聯(lián)邦學(xué)習(xí)、區(qū)塊鏈等技術(shù)在確保隱私安全前提下促進(jìn)數(shù)據(jù)有序流通共享

隱私保護(hù)是建立在數(shù)據(jù)安全防護(hù)基礎(chǔ)之上的保障用戶個(gè)人信息的更深層次的安全要求。在數(shù)據(jù)共享方面，探索引入安全多方計(jì)算、聯(lián)邦學(xué)習(xí)等隱私計(jì)算技術(shù)，在原始數(shù)據(jù)不出平臺的情況下，與合作伙伴開展聯(lián)合建模、聯(lián)合營銷、聯(lián)合風(fēng)控等場景的數(shù)據(jù)聯(lián)合計(jì)算，實(shí)現(xiàn) “數(shù)據(jù)可用不可見”的安全體驗(yàn)；采用區(qū)塊鏈技術(shù)進(jìn)行數(shù)據(jù)服務(wù)調(diào)用的存證、授權(quán)、計(jì)費(fèi)等，以確保數(shù)據(jù)計(jì)算和利用的合法合規(guī)，提供計(jì)算數(shù)據(jù)、過程的驗(yàn)證審計(jì)、數(shù)據(jù)監(jiān)控等能力，保證計(jì)算過程真實(shí)可信、數(shù)據(jù)的真實(shí)性和數(shù)據(jù)質(zhì)量；使用同態(tài)加密/部分同態(tài)加密技術(shù)，保護(hù)計(jì)算外包時(shí)的數(shù)據(jù)安全。在數(shù)據(jù)發(fā)布方面，利用數(shù)據(jù)匿名化算法（包括差分隱私、K匿名、L 多樣性、T 接近等）有條件地發(fā)布部分?jǐn)?shù)據(jù)或數(shù)據(jù)的部分屬性內(nèi)容，達(dá)到隱私性和可用性的平衡。

圖8 漏洞知識庫構(gòu)建架構(gòu)

（2）建立基于軟件定義邊界的零信任數(shù)據(jù)訪問控制體系

基于SDS（software defined security，軟件定義安全）實(shí)現(xiàn)安全能力原子化、安全服務(wù)鏈編排，實(shí)現(xiàn)云網(wǎng)融合的安全產(chǎn)品與能力，提供多樣化、可定制的云網(wǎng)安全服務(wù)。構(gòu)建以身份為中心的信任體系和動(dòng)態(tài)訪問控制，建立全新的零信任微邊界，引入角色挖掘、風(fēng)險(xiǎn)訪問控制、半/非結(jié)構(gòu)化數(shù)據(jù)的訪問控制、針對隱私保護(hù)的訪問控制、基于密碼學(xué)的訪問控制等新技術(shù)以實(shí)現(xiàn)對數(shù)據(jù)可信的訪問控制，依據(jù)控制策略對資源進(jìn)行不同的授權(quán)訪問，從而保障數(shù)據(jù)資源在合法范圍內(nèi)得以有效使用和管理。持續(xù)開展信任評估，一旦環(huán)境發(fā)生變化就要去驗(yàn)證訪問者是不是真實(shí)可信的，基于身份再次進(jìn)行信任評估、基于環(huán)境的風(fēng)險(xiǎn)重新判定，基于行為的異常做出“檢測+響應(yīng)+阻止”，進(jìn)而全面降低攻擊者在網(wǎng)絡(luò)中橫向移動(dòng)的風(fēng)險(xiǎn)。

（3）利用大數(shù)據(jù)和AI技術(shù)實(shí)現(xiàn)從被動(dòng)防御到主動(dòng)監(jiān)測的轉(zhuǎn)變

通過大數(shù)據(jù)分析、人工智能等技術(shù)，實(shí)現(xiàn)基于用戶實(shí)體行為分析技術(shù)的審計(jì)監(jiān)控，構(gòu)建從數(shù)據(jù)采集、傳輸、使用、共享全鏈路的智能化風(fēng)險(xiǎn)檢測能力[4]。在數(shù)據(jù)流轉(zhuǎn)、接口監(jiān)測方面，對TCP/UDP應(yīng)用層服務(wù)及數(shù)據(jù)庫協(xié)議進(jìn)行解析和內(nèi)容還原，基于文檔指紋、圖片特征、關(guān)鍵字匹配識別流量中的敏感數(shù)據(jù)，通過連續(xù)時(shí)間變量分析、概率分布對比（非參數(shù)檢驗(yàn)/密度估計(jì)）和稀有度統(tǒng)計(jì)分析等離散變量、聚類K-means/DBSCAN、離散森林（isolation forest）、LOF等無監(jiān)督學(xué)習(xí)算法，構(gòu)建和持續(xù)優(yōu)化正常訪問流量通道和行為模型，實(shí)現(xiàn)采集數(shù)據(jù)鑒別、傳輸接口、流動(dòng)數(shù)據(jù)、共享接口、服務(wù)接口監(jiān)測和風(fēng)險(xiǎn)預(yù)警能力。在數(shù)據(jù)使用和操作方面，通過機(jī)器學(xué)習(xí)算法和預(yù)定義規(guī)則對照行為基線判斷用戶行為是否異常，通過權(quán)限變化監(jiān)控、用戶安全風(fēng)險(xiǎn)綜合評估，進(jìn)行數(shù)據(jù)安全感知分析，對數(shù)據(jù)安全威脅預(yù)判、預(yù)處理，從源頭上提升大數(shù)據(jù)安全防御水平，提升對未知威脅的防御能力和防御效率。

5 結(jié)束語

大數(shù)據(jù)時(shí)代，數(shù)據(jù)在流動(dòng)和共享過程中不斷創(chuàng)造新的價(jià)值。大數(shù)據(jù)不僅是數(shù)字化轉(zhuǎn)型的重要驅(qū)動(dòng)力，更是轉(zhuǎn)型之后企業(yè)數(shù)字化發(fā)展的重要載體和工具。需要構(gòu)建以數(shù)據(jù)為中心的、動(dòng)態(tài)的數(shù)據(jù)安全防護(hù)體系，通過聯(lián)邦學(xué)習(xí)、安全多方計(jì)算、人工智能和零信任的新技術(shù)研究應(yīng)用，持續(xù)提升大數(shù)據(jù)安全效能，才能為企業(yè)數(shù)字化轉(zhuǎn)型提供堅(jiān)強(qiáng)保障與重要支撐。