先后參與集團(tuán)OSS4.0、集團(tuán)集中化經(jīng)分、內(nèi)蒙古大數(shù)據(jù)平臺、上海統(tǒng)一匯聚平臺等大型項目建設(shè)，參與《中國移動大數(shù)據(jù)安全防護(hù)技術(shù)實施指南》規(guī)范撰寫，負(fù)責(zé)Hadoop平臺安全技術(shù)研究項目、“門神計劃”防數(shù)據(jù)泄漏系統(tǒng)項目等多個安全項目。為中國移動集團(tuán)公司技術(shù)咨詢委員會安全領(lǐng)域?qū)＜医M成員。

關(guān)于大數(shù)據(jù)安全的思考

中移軟件多年來一直致力于大數(shù)據(jù)平臺建設(shè)，為中國移動提供大數(shù)據(jù)平臺建設(shè)和服務(wù)能力。

在建設(shè)實踐過程中，我們一直在思考大數(shù)據(jù)平臺安全與傳統(tǒng)數(shù)據(jù)安全的區(qū)別。從本身特征來看，大數(shù)據(jù)平臺數(shù)據(jù)量大、數(shù)據(jù)涉敏，同時大數(shù)據(jù)平臺底層為開源組件。從外部環(huán)境來看，GDPR和網(wǎng)絡(luò)安全法都關(guān)注個人隱私數(shù)據(jù)，最近頻發(fā)的安全事件也注意是數(shù)據(jù)泄露事件。

此前平臺建設(shè)實踐更多的關(guān)注于平臺本身，我們做了漏洞掃描工具等，但是都是獨(dú)立于數(shù)據(jù)采集、存儲、處理、共享過程之外的，要真正保障大數(shù)據(jù)平臺數(shù)據(jù)的安全，必須關(guān)注數(shù)據(jù)本身，關(guān)注數(shù)據(jù)生命周期，也就必須與數(shù)據(jù)采集、存儲、處理、共享完全結(jié)合，不能游離在大數(shù)據(jù)處理流程之外。

全生命周期數(shù)據(jù)安全防護(hù)平臺

我們將數(shù)據(jù)全生命周期精簡定義為“采集傳輸-存儲處理-數(shù)據(jù)共享”三大部分流程，其中數(shù)據(jù)采集過程涉及平臺外與平臺內(nèi)之間的數(shù)據(jù)交互，存儲處理為平臺內(nèi)處理過程，數(shù)據(jù)共享為平臺內(nèi)與平臺外之間的數(shù)據(jù)交互。同時對全過程通過安全態(tài)勢感知平臺進(jìn)行檢測和預(yù)警。

圖1 數(shù)據(jù)全生命周期

數(shù)據(jù)采集傳輸安全防護(hù)

采集過程主要包括：

配置采集數(shù)據(jù)源、配置采集流程（含建目標(biāo)表）、調(diào)度監(jiān)控采集流程、采集數(shù)據(jù)傳輸四步。

配置采集數(shù)據(jù)源過程：

主要通過采集白名單配置、數(shù)據(jù)源操作權(quán)限管理等手段進(jìn)行安全防護(hù)

配置采集流程（含建目標(biāo)表）：

主要通過事前敏感字段標(biāo)注、安全級別設(shè)置、靜態(tài)脫敏等方式進(jìn)行安全防護(hù)

調(diào)度監(jiān)控采集流程:

通過應(yīng)用程序賬號認(rèn)證、流程監(jiān)控告警、資源相互隔離等方式保障

采集數(shù)據(jù)傳輸流程：

通過傳輸加密等方式保障

圖2 數(shù)據(jù)采集傳輸過程-靜態(tài)脫敏

數(shù)據(jù)存儲處理安全防護(hù)

敏感數(shù)據(jù)存儲是大數(shù)據(jù)安全的難題。全生命周數(shù)據(jù)安全防護(hù)平臺提供透明加密和數(shù)據(jù)完整性檢查兩種解決方案，加固數(shù)據(jù)存儲環(huán)節(jié)，提高數(shù)據(jù)存儲安全性。但是加密存儲對平臺性能影響大，同時對使用造成較大影響，因此一般敏感級別的數(shù)據(jù)不建議加密存儲。

中移軟件全生命周期數(shù)據(jù)安全防護(hù)平臺更重視使用過程的安全，使用過程分4種不同場景進(jìn)行防護(hù)。以數(shù)據(jù)使用場景 “用戶ABC對A表X字段進(jìn)行查詢操作”為例，通過不同的技術(shù)手段，實現(xiàn)4種不同層級的使用防護(hù)。

場景1：

對不起，您對A表的訪問權(quán)限僅限訪問Y字段，無權(quán)訪問X字段。該場景使用行列細(xì)粒度權(quán)限管控技術(shù)實現(xiàn)細(xì)粒度數(shù)據(jù)權(quán)限管控。

場景2：

對不起，您對A表的操作權(quán)限僅限插入數(shù)據(jù)，無法查詢數(shù)據(jù)。該場景使用操作細(xì)粒度權(quán)限管控技術(shù)實現(xiàn)細(xì)粒度操作權(quán)限管控。

場景3：

對不起，該操作涉敏，需要XXX審批，審批后可執(zhí)行。該場景將傳統(tǒng)數(shù)據(jù)安全手段移植至大數(shù)據(jù)平臺，實現(xiàn)敏感重要操作的多人協(xié)同。

場景4：

對不起，該操作涉敏，查詢結(jié)果已自動脫敏為“188****9672”。該場景通過動態(tài)脫敏技術(shù)，使得不同使用者對涉敏數(shù)據(jù)操作得到不同結(jié)果。

圖3 數(shù)據(jù)存儲使用過程-金庫模式

數(shù)據(jù)共享安全防護(hù)

數(shù)據(jù)對外共享一般包括兩種方式：

接口方式和文件方式。

接口方式

包括接口數(shù)據(jù)(JSON/XML)、流式數(shù)據(jù)(Kafka)等多種數(shù)據(jù)訪問方式。我們通過API操作權(quán)限管理、API流量管控、API認(rèn)證管理等手段實現(xiàn)接口管控。

文件方式

主要指通過FTP、SFTP、郵件等對外共享數(shù)據(jù)，數(shù)據(jù)類型包括TXT、CSV、Word、PPT、Excel、網(wǎng)頁等，平臺通過數(shù)字暗水印進(jìn)行安全防護(hù)。數(shù)字水印通過對文本（TXT、CSV、Word、PPT、Excel、網(wǎng)頁等）嵌入暗水印作為標(biāo)記一起傳輸，保障數(shù)據(jù)在發(fā)生泄漏時，能夠提取水印信息并追蹤至責(zé)任人，達(dá)到事后安全保護(hù)的目的。企業(yè)安全管理員、文檔管理員等可以通過水印嵌入、水印提取功能，有效追溯外泄源頭，實現(xiàn)共享數(shù)據(jù)泄露的事后追蹤。解決了數(shù)據(jù)泄露后無法追蹤、難以定責(zé)、難以避免再發(fā)生的問題。

圖4 數(shù)據(jù)共享過程-數(shù)字水印

全流程安全態(tài)勢感知

安全態(tài)勢感知依托于對大數(shù)據(jù)平臺操作行為的審計，對Hadoop集群業(yè)務(wù)進(jìn)行安全監(jiān)控，重點(diǎn)對用戶的內(nèi)部違規(guī)行為進(jìn)行采集分析、監(jiān)控和畫像，是一種企業(yè)業(yè)務(wù)型的態(tài)勢感知。通過“采集-分析-感知-告警”實現(xiàn)安全事件的有效感知，利用數(shù)據(jù)可視化技術(shù)實現(xiàn)整體風(fēng)險態(tài)勢的直觀化呈現(xiàn)。

圖5 全過程-安全態(tài)勢感知

核心技術(shù)解析

在全生命周期數(shù)據(jù)安全防護(hù)平臺中，使用到大數(shù)據(jù)技術(shù)、傳輸數(shù)據(jù)安全技術(shù)以及AI技術(shù)，具體包括以下方面：

結(jié)語

從產(chǎn)品可用到安全有效之間，還存在很大的鴻溝，例如庫表敏感級別定義、字段敏感標(biāo)注、對應(yīng)的安全策略設(shè)置（動態(tài)脫敏、靜態(tài)脫敏、金庫、存儲周期、加密算法）等，均暫無可直接借鑒的案例。這些實際的落地需要更多的業(yè)務(wù)人員參與進(jìn)來細(xì)化，使得大數(shù)據(jù)平臺真正實現(xiàn)數(shù)據(jù)全生命周期安全防護(hù)。?