移動互聯(lián)、社交網(wǎng)絡(luò)、電子商務等極大地拓展了互聯(lián)網(wǎng)的邊界和應用范圍,各種數(shù)據(jù)正在迅速膨脹并變大,大數(shù)據(jù)應用隨之迅猛發(fā)展。但與此同時,國內(nèi)外數(shù)據(jù)泄露事件頻發(fā),用戶隱私受到極大挑戰(zhàn),在數(shù)據(jù)驅(qū)動環(huán)境下,網(wǎng)絡(luò)攻擊也更多地轉(zhuǎn)向存儲重要敏感信息的信息化系統(tǒng)。在此背景下,安全已成為影響大數(shù)據(jù)應用發(fā)展的重要因素之一,大數(shù)據(jù)安全防護成為大數(shù)據(jù)應用發(fā)展的一項重要課題。
大數(shù)據(jù)應用安全挑戰(zhàn)
大數(shù)據(jù)具有容量大、類型多、價值高、速度快的4V特性。由于大量數(shù)據(jù)集中存儲,一次成功攻擊所導致的損失巨大,因此大數(shù)據(jù)應用更容易成為攻擊目標。同時,大數(shù)據(jù)時代數(shù)據(jù)源多樣化,數(shù)據(jù)對象范圍與分布更為廣泛,對數(shù)據(jù)的安全保護更為困難。大數(shù)據(jù)應用采用全新的Hadoop處理架構(gòu),內(nèi)在安全機制仍不完善,因此在推動大數(shù)據(jù)技術(shù)應用時面臨著很多安全風險和挑戰(zhàn),具體包括:第一,用戶隱私泄露問題隨著大數(shù)據(jù)技術(shù)應用的深入將更為嚴重。第二,大數(shù)據(jù)應用信息安全暴露點增多。第三,大數(shù)據(jù)應用中數(shù)據(jù)往往穿越原有系統(tǒng)數(shù)據(jù)保護邊界,數(shù)據(jù)屬主與權(quán)限隨之發(fā)生遷移,導致原有數(shù)據(jù)保護方案失效。第四,大數(shù)據(jù)應用存在大量外界數(shù)據(jù)接口,加大了數(shù)據(jù)安全風險。第五,大數(shù)據(jù)引入Hadoop等新的技術(shù)體系,帶來新的安全漏洞與風險。
此外,大數(shù)據(jù)應用仍面臨傳統(tǒng)IT系統(tǒng)中存在的安全技術(shù)與管理風險,流量攻擊、病毒、木馬、口令破解、身份仿冒等各類攻擊行為對大數(shù)據(jù)應用仍然有效,系統(tǒng)漏洞、配置脆弱性、管理脆弱性等問題在大數(shù)據(jù)環(huán)境中仍然存在。
大數(shù)據(jù)應用安全對策
大數(shù)據(jù)應用的核心資源是數(shù)據(jù),對敏感數(shù)據(jù)的安全保護成為大數(shù)據(jù)應用安全的重中之重。同時大數(shù)據(jù)運行環(huán)境涉及網(wǎng)絡(luò)、主機、應用、計算資源、存儲資源等各個層面,需要具備縱深的安全防護手段。因此,面對上述大數(shù)據(jù)應用的安全挑戰(zhàn),在進行大數(shù)據(jù)應用安全防護時應注重兩大核心:隱私保護與計算環(huán)境安全防護。
其一,通過重構(gòu)分級訪問控制機制、解構(gòu)敏感數(shù)據(jù)關(guān)聯(lián)、實施數(shù)據(jù)全生命周期安全防護,增強大數(shù)據(jù)應用隱私保護能力。
大數(shù)據(jù)應用中往往通過對采集到的數(shù)據(jù)進行用戶PII(Personal Identifiable Information,個人可標識信息)與UL(User Label,用戶標簽)信息分析,部分大數(shù)據(jù)應用進一步分析PII與UI關(guān)聯(lián)信息,從而進行定向精準營銷等應用,這類應用對隱私侵害的影響最大,因此PII與UL兩者關(guān)聯(lián)信息是大數(shù)據(jù)隱私保護的重點,同時由于PII直接關(guān)聯(lián)各類用戶信息,也是大數(shù)據(jù)隱私保護的重點。
在大數(shù)據(jù)隱私保護中,應基于PII與UL等數(shù)據(jù)的敏感度進行分級,進而重構(gòu)數(shù)據(jù)安全訪問控制機制。將原始數(shù)據(jù)、UL數(shù)據(jù)、PII數(shù)據(jù)及PII與UL關(guān)聯(lián)數(shù)據(jù)按安全等級由低到高進行分類,并根據(jù)安全需求實施用戶身份訪問控制、加密等不同等級安全策略,限制數(shù)據(jù)訪問范圍。同時在大數(shù)據(jù)運營中應盡可能實現(xiàn)PII數(shù)據(jù)與個人屬性數(shù)據(jù)的解構(gòu),將PII數(shù)據(jù)與UL數(shù)據(jù)分開存儲,并為PII數(shù)據(jù)建立索引,將UL與PII的關(guān)聯(lián)通過索引表完成,黑客即使獲得UL信息,也無法獲得用戶的PII信息及對應關(guān)系,同時對索引表進行加密存儲,黑客即使獲得索引表,也無法得到用戶的PII信息。
在對數(shù)據(jù)進行分級與解構(gòu)的基礎(chǔ)上,還應對數(shù)據(jù)實施全生命周期的安全防護。重點加強數(shù)據(jù)接口管控,對數(shù)據(jù)批量導出接口進行審批與監(jiān)控,對數(shù)據(jù)接口進行定期審計與評估,規(guī)范數(shù)據(jù)接口管理,且在數(shù)據(jù)流出時對敏感數(shù)據(jù)進行脫敏處理。同時采用安全通信協(xié)議傳輸數(shù)據(jù),如SSL/TLS、HTTPS、SFTP等,并對重要數(shù)據(jù)的傳輸根據(jù)需要進行加密。在數(shù)據(jù)銷毀時,應清除數(shù)據(jù)的所有副本,保證用戶鑒別信息、文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間被釋放或再分配給其他用戶前,得到完全清除。
其二,做好大數(shù)據(jù)應用計算平臺、分布式探針、網(wǎng)絡(luò)與主機等基礎(chǔ)設(shè)施安全防護,提升大數(shù)據(jù)計算環(huán)境安全防御水平。
大數(shù)據(jù)計算環(huán)境包括網(wǎng)絡(luò)、主機、計算平臺、分布式探針等,針對各層面面臨的安全風險,應采取如下安全對策:
首先,加固大數(shù)據(jù)計算平臺,提升計算環(huán)境安全性。引入Kerberos,建立KDC安全認證中心,需要部署多個KDC,規(guī)避單點缺陷;基于Kerberos方式進行訪問控制與授權(quán);對所有元數(shù)據(jù)進行存儲加密;在性能允許的情況下可借助KMS等工具對HDFS原始數(shù)據(jù)進行透明加密,同時配置Web控制臺和MapReduce間的隨機操作使用SSL進行加密,配置HDFS文件傳輸器為加密傳輸。
其次,加強各類大數(shù)據(jù)應用探針的安全防護,防止源端數(shù)據(jù)泄露或濫用。對探針設(shè)備進行安全加固,設(shè)置安全的登錄賬號和口令,及時更新系統(tǒng)補丁,設(shè)置防病毒與入侵檢測;對遠程操作進行嚴格訪問控制,限制特定IP地址訪問;對探針登錄與操作行為進行細粒度審計;對存儲在本地的數(shù)據(jù)進行加密保護;在探針公網(wǎng)出口實施異常流量監(jiān)控與DDoS攻擊防護。
最后,加強對大數(shù)據(jù)系統(tǒng)網(wǎng)絡(luò)、主機、終端等基礎(chǔ)設(shè)施運行環(huán)境的安全防護。應采用傳統(tǒng)安全防護手段構(gòu)建縱深安全防護體系,在網(wǎng)絡(luò)層面進行安全域劃分,部署邊界訪問控制、入侵檢測/防御、異常流量監(jiān)控、DDoS攻擊防御、VPN等安全手段;在主機層面部署入侵檢測、漏洞掃描、病毒防護、操作監(jiān)控、補丁管理等安全手段;在終端層面部署準入控制、終端安全管理、漏洞掃描、病毒防護等安全手段。此外,應構(gòu)建大數(shù)據(jù)統(tǒng)一安全管控、組件監(jiān)測、資源監(jiān)測等基礎(chǔ)安全服務設(shè)施,對大數(shù)據(jù)平臺主機、網(wǎng)絡(luò)、大數(shù)據(jù)組件、租戶應用等數(shù)據(jù)進行監(jiān)控分析,實現(xiàn)大數(shù)據(jù)平臺及時預警、全面分析、快速響應的安全運營能力。
大數(shù)據(jù)應用的新特點帶來了新的挑戰(zhàn),隱私保護以及數(shù)據(jù)安全是大數(shù)據(jù)應用安全防護的重中之重,同時構(gòu)建涵蓋網(wǎng)絡(luò)、主機、終端、應用等各層面基礎(chǔ)設(shè)施的縱深安全防御體系也是其安全防護的重要方面。大數(shù)據(jù)應用服務提供商應根據(jù)“三同步”原則,在設(shè)計、建設(shè)、運營等階段同步考慮大數(shù)據(jù)安全防護技術(shù)與方案,構(gòu)建日益完善的大數(shù)據(jù)安全防護體系,進而持續(xù)推動大數(shù)據(jù)應用發(fā)展。