基于大數據平臺的安全體系構建研究

［孫淳曄 王睿軼 馮志杰］

1 前言

當今時代，發展數字經濟已成為世界各國構建全球競爭力的共同選擇。數字經濟的發展塑造了全新的數據安全治理體系[1]，數據安全已成為數字經濟發展的基石，發展數字經濟的首要前提，就是筑牢數據安全的底線，既要盤活海量數據讓其充分發揮價值，又要確保數據合規，守護數據安全。

2017年6月，《網絡安全法》頒布實施，以保護網絡及網絡數據安全為目的。同年9月《數據安全法》發布實施，以保護數據安全、促進數據開發利用為首要目的。11月，《個人信息保護法》頒布，建立了責權明確的個人信息處理規則，三部安全基本法的陸續頒布，確定了國家網絡安全、數據安全安全工作機制，也明確了預防、控制和消除網絡安全、數據安全風險的一些列制度及措施，進一步提升了網絡安全及數據安全的整體保障能力[2]。

數據在成為熱點的同時，帶來了更多的安全風險，表現為近年來數據泄露事件層出不窮，泄露數量急速上升，既有黑客攻擊，又有內部人員泄露、合作人員泄露以及數據共享造成的泄露，尤其在當今的大數據發展背景下，亟待需要在重視數據安全防護的同時轉變防護思路。

2 大數據發展帶來的安全風險

以某省運營商大數據系統為例，如圖1運營商大數據平臺架構圖所示，涉及多達幾十多個生產和業務系統與大數據平臺進行數據交互，大數據平臺里存儲了超過幾千甚至上萬個數據字段，涵蓋了電信運營服務種的各類數據，日均產生數據量幾十TB以上，海量的數據積累極易成為受攻擊對象。

圖1 運營商大數據平臺架構圖

大數據時代的數據獲取、存儲方式、數據訪問特點，關注重點與傳統系統架構發生了很大的不同[3]，這些新特性對信息安全提出了挑戰[4]，表現出了一些新特點。

更開放：大數據業務更加開放，業務生態更加復雜，參與角色更加多元，不斷產生數據共享需求，數據集中存儲，一次攻擊收益巨大、如何相對更加可靠的保障海量數據的存儲安全，已成為大數據面臨的主要難題之一。

不可控：數據流動由傳統上下游單鏈條演變為復雜多輸入輸出形式，無統一安全管理視圖，使用者可獲得多個數據源并關聯分析的風險，同時平臺承載了大量租戶、服務及海量數據，如何給予用戶身份并統一控制其享有的服務及訪問權限也是一大難題。

易泄露：敏感數據跨部門、跨系統共享留存常見，如安全措施不當，環節中可能發生數據泄露風險。數據在管道能力開放過程中，數據隱私的保護技術與管控手段應該及時跟上[5]。

難防守：數據分布存儲于在各個集群內、傳統的縱向分區分級模型不再適合，以至于無法實施有效的訪問控制策略，同時針對大數據平臺的攻擊手段不斷發展變化，傳統的靜態隔離安全保護方式已不能完全滿足大數據安全防護需求。綜上所述，急需構建更加完善的大數據平臺安全保障體系。

3 基于大數據平臺的安全體系構建

面對大數據背景下的新挑戰，從4個方面提出安全體系構建，打造安全體系，實現IT安全的可管可控。

圍繞IT系統及其承載的數據、全方位核查IT安全資質，理清IT資產，做到心中有數。

加強縱深防御：從物理、網絡、主機、應用、終端、數據等各層分別針對實現安全加固，提升安全防護能力。

加強主動發現處理：利用大數據/AI手段，開展多維度智能分析，加強態勢感知，構建安全防護大腦。

加強聯動機制：建立跨部門、跨業務、跨平臺的安全事件聯動處理機制和流程。

以上述4個方面為主線，構建安全運營管理、安全分析、安全防御、安全接入、采集、數據安全及資產管理七大能力中心，做到“看得清”、“防得住”、“守得牢”、“管得好”。如圖2安全體系架構圖所示。

圖2 安全體系架構圖

（1）資產管理能力，通過資產梳理，建立資產視圖和臺賬，實現資產自動化管理。

資產梳理：梳理家底，消除“三無”資產，理清“七邊”資產。三無指：無人管理、無人使用、無人防護情況的業務/網站/系統/平臺；七邊指：處于測試、實驗、退網未交維、加載業務上線未交維、合作方共同運營、交接不清晰、衰退期資產。

資產流程閉環：建立資產入網-資產變更-資產監視-資產退網流程，實現對主機、數據庫、業務系統、網絡拓撲圖、業務系統互聯關系等IT安全資產的全生命周期閉環管理，如圖3資產生命周期管理視圖所示。

圖3 資產生命周期管理視圖

資產自動發現：通過網管發現、Agent采集等方式自動發現現網資產并生成網絡拓撲。

資產動態更新：監測發現未登記、退網等異常資產，實現資產數據查漏補缺和動態更新。

資產管理臺賬和視圖：通過管理視圖實現資產目錄的查詢、退網下線等；實現資產的全生命周期可管可視?；跇I務系統資產清單內網絡互訪關系圖，自動生成業務系統互聯拓撲圖，能夠直觀查看數據域資產分布及安全防護情況，包括主機、應用及其他資產情況。

（2）數據安全能力

建立標準，對數據進行分類和分級管理；通過各種數據安全保障措施，提升數據安全防護能力，建立數據安全管控中心，實現對數據安全的可視化管理和智能檢測控制。

數據分類分級：大數據平臺包含各類海量數據，通過對數據的有效理解和分析，對數據進行不同類別和密級的劃分，根據數據的類別和密級指定不同的管理和使用原則，對數據做到差別和針對性的防護，尤其針對敏感數據要做好防護，發現隱私有風險的數據表、字段；調用數據匿名處理服務，匿名處理服務參照數據分類分級，針對不同敏感數據類型與字段進行自適應的數據匿名處理，實現敏感數據識別及保護。

基礎數據安全防護：①數據脫敏：自動發現敏感數據，通過脫敏技術及規則，對敏感數據按需求進行規制變形；同時保證數據的一致性和數據管理性。②數據加密：重要的數據文件、對外對內需要進行加密處理，有密鑰后才能打開，重點數據在通過接口傳輸數據過程需要加密，只有密鑰后才能讀取數據。③數據審計：記錄數據操作日志，對操作失誤、惡意操作、越權操作進行記錄，并評估；掃描代碼和記錄代碼修改日志，對代碼風險進行評估；記錄軟件部署更新日志，并掃描軟件漏洞和評估。

（3）安全接入能力，加強訪問控制及細粒度授權。

減少暴露面，消除弱口令：以零信任技術為基礎，以身份為中心進行動態訪問控制，假設網絡無時無刻不處于危險的環境中，網絡中自始至終存在外部或內部威脅，所有的設備、用戶和網絡流量都應當經過認證和授權，同時安全策略必須是動態的，并基于盡可能多的數據源計算而來。

統一賬戶授權：對數據訪問請求進行多層隔離，對關鍵數據進行操作限制，同時進行統一帳戶管理，按作用范圍分為前臺帳戶、后臺帳戶，統一授權，區別使用，在技術上和管理上為安全增加多重保障。

大數據平臺接入訪問控制：對數據安全可信區域進行細粒度的接入管控，建立細粒度的資源訪問策略，精細化控制資源訪問權限。

（4）安全采集能力，根據一定的安全采集策略，做好采集合規和問題及時上報。

按照一定的監控策略、安全威脅、采集策略下發，并做好威脅分析、處置的及時上報。

此外在采集處理階段，需要實現對采集接口的鑒權，如圖4采集接口安全要求所示，如限制采集系統的IP、端口號，禁止通過USB口進行數據采集；同時也要限制流量采集設備的接入，限制對核心設備的鏡像操作，對采集行為進行日志記錄，對異常行為進行及時告警。

圖4 采集接口安全要求

（5）安全防護能力，根據網絡層到應用層不同邊界風險類型，實現有針對性重點防護能力。

根據網絡層到應用層不同邊界風險類型，實現有針對性重點防護能力，形成網絡、主機、應用三層聚合的訪問控制能力、入侵防御能力、惡意代碼防護能力、威脅感知等安全能力。

在大數據平臺的網絡邊界部署網絡攻擊檢測防護設備，防止黑客攻擊。如部署抗DDOS、流量檢測、入侵檢測、流量溯源設備等防護設備。

通過部署IPS、WAF、APT、蜜罐等設備提升系統安全檢測及應對風險能力。

（6）安全分析中心

數據風險預測的分析模型構建：通過圖計算、機器學習[6]等AI技術，構建面向數據風險預測的分析模型，如事件理解模型、事件關聯分析模型、風險評估模型，聚焦業務連續性、操作安全性、敏感數據分布、事件關聯分析、用戶趨勢行為分析、業務應用運行分析、業務分析策略等安全態勢分析類場景應用。

態勢感知：通過對業務系統及設備日志、網絡流量等進行大數據分析，對系統或大數據平臺遭到的WEB滲透攻擊、網絡木馬活動、DNS系統攻擊事件等情況進行實時監測、分析挖掘、溯源和總體可視化呈現，提供事前預警的能力、事中感知和及時應對能力，如圖5態勢感知分析圖所示。

圖5 態勢感知分析圖

（7）安全運營能力，通過技術發現和定位安全隱患，并做出相應的響應措施，建立指標考核管理制度及配套工具，及時修復安全風險、處理安全威脅，以保證業務的正常運營。

脆弱性檢測：提供漏洞和基線監測能力，提供作業調度執行周期的監測任務。

風險處置：對漏洞、基線生命周期以工單流方式進行閉環處理，并通過報表方式對風險進行輸出。

安全事件管理：基于安全事件進行告警生命周期管理，提供事件檢索分析、統計和取證。

指標考核管理：落實安全“三同步”，固化業務系統安全管理全生命周期流程體系，利用指標模版定制化檢查點，通過考核任務來實現常態化安全工作，通過指標統計進行考核評估和工作量化。

安全預警：通過指標板的形式，展現各種數據資產的待處理告警、緊急告警的分布情況，以及安全威脅防御情況，并對整個數據域使用的安全防御規則進行配置，每個防御規則可包含多種防御場景。

端到端監控：展現及維護大數據系統中所有的賬戶和功能授權關系監控以及對大數據平臺及平臺之上應用系統中，敏感數據分布以及敏感數據的保密處理方式的監控。

4 結束語

基于大數據平臺的安全體系構建，核心在于保障數據安全，并貫穿于數據的全生命周期管理，安全建設的最終目標即是達到對于業務使用的“無感無擾”，整體監控“威懾可見”，安全技術可視可見，并結合人工智能手段，通過自動化審計、智能的自適應框架引導安全縱深防御體系的支撐轉型，實現安全風險的精細化管理運營，開放大數據安全分析平臺框架，承載和可擴展集成更多安全威脅應用，實現經驗的廣泛推廣及應用。