基于大數(shù)據(jù)平臺的安全體系構(gòu)建研究

［孫淳曄 王睿軼 馮志杰］

1 前言

當(dāng)今時代，發(fā)展數(shù)字經(jīng)濟已成為世界各國構(gòu)建全球競爭力的共同選擇。數(shù)字經(jīng)濟的發(fā)展塑造了全新的數(shù)據(jù)安全治理體系[1]，數(shù)據(jù)安全已成為數(shù)字經(jīng)濟發(fā)展的基石，發(fā)展數(shù)字經(jīng)濟的首要前提，就是筑牢數(shù)據(jù)安全的底線，既要盤活海量數(shù)據(jù)讓其充分發(fā)揮價值，又要確保數(shù)據(jù)合規(guī)，守護數(shù)據(jù)安全。

2017年6月，《網(wǎng)絡(luò)安全法》頒布實施，以保護網(wǎng)絡(luò)及網(wǎng)絡(luò)數(shù)據(jù)安全為目的。同年9月《數(shù)據(jù)安全法》發(fā)布實施，以保護數(shù)據(jù)安全、促進數(shù)據(jù)開發(fā)利用為首要目的。11月，《個人信息保護法》頒布，建立了責(zé)權(quán)明確的個人信息處理規(guī)則，三部安全基本法的陸續(xù)頒布，確定了國家網(wǎng)絡(luò)安全、數(shù)據(jù)安全安全工作機制，也明確了預(yù)防、控制和消除網(wǎng)絡(luò)安全、數(shù)據(jù)安全風(fēng)險的一些列制度及措施，進一步提升了網(wǎng)絡(luò)安全及數(shù)據(jù)安全的整體保障能力[2]。

數(shù)據(jù)在成為熱點的同時，帶來了更多的安全風(fēng)險，表現(xiàn)為近年來數(shù)據(jù)泄露事件層出不窮，泄露數(shù)量急速上升，既有黑客攻擊，又有內(nèi)部人員泄露、合作人員泄露以及數(shù)據(jù)共享造成的泄露，尤其在當(dāng)今的大數(shù)據(jù)發(fā)展背景下，亟待需要在重視數(shù)據(jù)安全防護的同時轉(zhuǎn)變防護思路。

2 大數(shù)據(jù)發(fā)展帶來的安全風(fēng)險

以某省運營商大數(shù)據(jù)系統(tǒng)為例，如圖1運營商大數(shù)據(jù)平臺架構(gòu)圖所示，涉及多達幾十多個生產(chǎn)和業(yè)務(wù)系統(tǒng)與大數(shù)據(jù)平臺進行數(shù)據(jù)交互，大數(shù)據(jù)平臺里存儲了超過幾千甚至上萬個數(shù)據(jù)字段，涵蓋了電信運營服務(wù)種的各類數(shù)據(jù)，日均產(chǎn)生數(shù)據(jù)量幾十TB以上，海量的數(shù)據(jù)積累極易成為受攻擊對象。

圖1 運營商大數(shù)據(jù)平臺架構(gòu)圖

大數(shù)據(jù)時代的數(shù)據(jù)獲取、存儲方式、數(shù)據(jù)訪問特點，關(guān)注重點與傳統(tǒng)系統(tǒng)架構(gòu)發(fā)生了很大的不同[3]，這些新特性對信息安全提出了挑戰(zhàn)[4]，表現(xiàn)出了一些新特點。

更開放：大數(shù)據(jù)業(yè)務(wù)更加開放，業(yè)務(wù)生態(tài)更加復(fù)雜，參與角色更加多元，不斷產(chǎn)生數(shù)據(jù)共享需求，數(shù)據(jù)集中存儲，一次攻擊收益巨大、如何相對更加可靠的保障海量數(shù)據(jù)的存儲安全，已成為大數(shù)據(jù)面臨的主要難題之一。

不可控：數(shù)據(jù)流動由傳統(tǒng)上下游單鏈條演變?yōu)閺?fù)雜多輸入輸出形式，無統(tǒng)一安全管理視圖，使用者可獲得多個數(shù)據(jù)源并關(guān)聯(lián)分析的風(fēng)險，同時平臺承載了大量租戶、服務(wù)及海量數(shù)據(jù)，如何給予用戶身份并統(tǒng)一控制其享有的服務(wù)及訪問權(quán)限也是一大難題。

易泄露：敏感數(shù)據(jù)跨部門、跨系統(tǒng)共享留存常見，如安全措施不當(dāng)，環(huán)節(jié)中可能發(fā)生數(shù)據(jù)泄露風(fēng)險。數(shù)據(jù)在管道能力開放過程中，數(shù)據(jù)隱私的保護技術(shù)與管控手段應(yīng)該及時跟上[5]。

難防守：數(shù)據(jù)分布存儲于在各個集群內(nèi)、傳統(tǒng)的縱向分區(qū)分級模型不再適合，以至于無法實施有效的訪問控制策略，同時針對大數(shù)據(jù)平臺的攻擊手段不斷發(fā)展變化，傳統(tǒng)的靜態(tài)隔離安全保護方式已不能完全滿足大數(shù)據(jù)安全防護需求。綜上所述，急需構(gòu)建更加完善的大數(shù)據(jù)平臺安全保障體系。

3 基于大數(shù)據(jù)平臺的安全體系構(gòu)建

面對大數(shù)據(jù)背景下的新挑戰(zhàn)，從4個方面提出安全體系構(gòu)建，打造安全體系，實現(xiàn)IT安全的可管可控。

圍繞IT系統(tǒng)及其承載的數(shù)據(jù)、全方位核查IT安全資質(zhì)，理清IT資產(chǎn)，做到心中有數(shù)。

加強縱深防御：從物理、網(wǎng)絡(luò)、主機、應(yīng)用、終端、數(shù)據(jù)等各層分別針對實現(xiàn)安全加固，提升安全防護能力。

加強主動發(fā)現(xiàn)處理：利用大數(shù)據(jù)/AI手段，開展多維度智能分析，加強態(tài)勢感知，構(gòu)建安全防護大腦。

加強聯(lián)動機制：建立跨部門、跨業(yè)務(wù)、跨平臺的安全事件聯(lián)動處理機制和流程。

以上述4個方面為主線，構(gòu)建安全運營管理、安全分析、安全防御、安全接入、采集、數(shù)據(jù)安全及資產(chǎn)管理七大能力中心，做到“看得清”、“防得住”、“守得牢”、“管得好”。如圖2安全體系架構(gòu)圖所示。

圖2 安全體系架構(gòu)圖

（1）資產(chǎn)管理能力，通過資產(chǎn)梳理，建立資產(chǎn)視圖和臺賬，實現(xiàn)資產(chǎn)自動化管理。

資產(chǎn)梳理：梳理家底，消除“三無”資產(chǎn)，理清“七邊”資產(chǎn)。三無指：無人管理、無人使用、無人防護情況的業(yè)務(wù)/網(wǎng)站/系統(tǒng)/平臺；七邊指：處于測試、實驗、退網(wǎng)未交維、加載業(yè)務(wù)上線未交維、合作方共同運營、交接不清晰、衰退期資產(chǎn)。

資產(chǎn)流程閉環(huán)：建立資產(chǎn)入網(wǎng)-資產(chǎn)變更-資產(chǎn)監(jiān)視-資產(chǎn)退網(wǎng)流程，實現(xiàn)對主機、數(shù)據(jù)庫、業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)拓?fù)鋱D、業(yè)務(wù)系統(tǒng)互聯(lián)關(guān)系等IT安全資產(chǎn)的全生命周期閉環(huán)管理，如圖3資產(chǎn)生命周期管理視圖所示。

圖3 資產(chǎn)生命周期管理視圖

資產(chǎn)自動發(fā)現(xiàn)：通過網(wǎng)管發(fā)現(xiàn)、Agent采集等方式自動發(fā)現(xiàn)現(xiàn)網(wǎng)資產(chǎn)并生成網(wǎng)絡(luò)拓?fù)洹?/p>

資產(chǎn)動態(tài)更新：監(jiān)測發(fā)現(xiàn)未登記、退網(wǎng)等異常資產(chǎn)，實現(xiàn)資產(chǎn)數(shù)據(jù)查漏補缺和動態(tài)更新。

資產(chǎn)管理臺賬和視圖：通過管理視圖實現(xiàn)資產(chǎn)目錄的查詢、退網(wǎng)下線等；實現(xiàn)資產(chǎn)的全生命周期可管可視?；跇I(yè)務(wù)系統(tǒng)資產(chǎn)清單內(nèi)網(wǎng)絡(luò)互訪關(guān)系圖，自動生成業(yè)務(wù)系統(tǒng)互聯(lián)拓?fù)鋱D，能夠直觀查看數(shù)據(jù)域資產(chǎn)分布及安全防護情況，包括主機、應(yīng)用及其他資產(chǎn)情況。

（2）數(shù)據(jù)安全能力

建立標(biāo)準(zhǔn)，對數(shù)據(jù)進行分類和分級管理；通過各種數(shù)據(jù)安全保障措施，提升數(shù)據(jù)安全防護能力，建立數(shù)據(jù)安全管控中心，實現(xiàn)對數(shù)據(jù)安全的可視化管理和智能檢測控制。

數(shù)據(jù)分類分級：大數(shù)據(jù)平臺包含各類海量數(shù)據(jù)，通過對數(shù)據(jù)的有效理解和分析，對數(shù)據(jù)進行不同類別和密級的劃分，根據(jù)數(shù)據(jù)的類別和密級指定不同的管理和使用原則，對數(shù)據(jù)做到差別和針對性的防護，尤其針對敏感數(shù)據(jù)要做好防護，發(fā)現(xiàn)隱私有風(fēng)險的數(shù)據(jù)表、字段；調(diào)用數(shù)據(jù)匿名處理服務(wù)，匿名處理服務(wù)參照數(shù)據(jù)分類分級，針對不同敏感數(shù)據(jù)類型與字段進行自適應(yīng)的數(shù)據(jù)匿名處理，實現(xiàn)敏感數(shù)據(jù)識別及保護。

基礎(chǔ)數(shù)據(jù)安全防護：①數(shù)據(jù)脫敏：自動發(fā)現(xiàn)敏感數(shù)據(jù)，通過脫敏技術(shù)及規(guī)則，對敏感數(shù)據(jù)按需求進行規(guī)制變形；同時保證數(shù)據(jù)的一致性和數(shù)據(jù)管理性。②數(shù)據(jù)加密：重要的數(shù)據(jù)文件、對外對內(nèi)需要進行加密處理，有密鑰后才能打開，重點數(shù)據(jù)在通過接口傳輸數(shù)據(jù)過程需要加密，只有密鑰后才能讀取數(shù)據(jù)。③數(shù)據(jù)審計：記錄數(shù)據(jù)操作日志，對操作失誤、惡意操作、越權(quán)操作進行記錄，并評估；掃描代碼和記錄代碼修改日志，對代碼風(fēng)險進行評估；記錄軟件部署更新日志，并掃描軟件漏洞和評估。

（3）安全接入能力，加強訪問控制及細(xì)粒度授權(quán)。

減少暴露面，消除弱口令：以零信任技術(shù)為基礎(chǔ)，以身份為中心進行動態(tài)訪問控制，假設(shè)網(wǎng)絡(luò)無時無刻不處于危險的環(huán)境中，網(wǎng)絡(luò)中自始至終存在外部或內(nèi)部威脅，所有的設(shè)備、用戶和網(wǎng)絡(luò)流量都應(yīng)當(dāng)經(jīng)過認(rèn)證和授權(quán)，同時安全策略必須是動態(tài)的，并基于盡可能多的數(shù)據(jù)源計算而來。

統(tǒng)一賬戶授權(quán)：對數(shù)據(jù)訪問請求進行多層隔離，對關(guān)鍵數(shù)據(jù)進行操作限制，同時進行統(tǒng)一帳戶管理，按作用范圍分為前臺帳戶、后臺帳戶，統(tǒng)一授權(quán)，區(qū)別使用，在技術(shù)上和管理上為安全增加多重保障。

大數(shù)據(jù)平臺接入訪問控制：對數(shù)據(jù)安全可信區(qū)域進行細(xì)粒度的接入管控，建立細(xì)粒度的資源訪問策略，精細(xì)化控制資源訪問權(quán)限。

（4）安全采集能力，根據(jù)一定的安全采集策略，做好采集合規(guī)和問題及時上報。

按照一定的監(jiān)控策略、安全威脅、采集策略下發(fā)，并做好威脅分析、處置的及時上報。

此外在采集處理階段，需要實現(xiàn)對采集接口的鑒權(quán)，如圖4采集接口安全要求所示，如限制采集系統(tǒng)的IP、端口號，禁止通過USB口進行數(shù)據(jù)采集；同時也要限制流量采集設(shè)備的接入，限制對核心設(shè)備的鏡像操作，對采集行為進行日志記錄，對異常行為進行及時告警。

圖4 采集接口安全要求

（5）安全防護能力，根據(jù)網(wǎng)絡(luò)層到應(yīng)用層不同邊界風(fēng)險類型，實現(xiàn)有針對性重點防護能力。

根據(jù)網(wǎng)絡(luò)層到應(yīng)用層不同邊界風(fēng)險類型，實現(xiàn)有針對性重點防護能力，形成網(wǎng)絡(luò)、主機、應(yīng)用三層聚合的訪問控制能力、入侵防御能力、惡意代碼防護能力、威脅感知等安全能力。

在大數(shù)據(jù)平臺的網(wǎng)絡(luò)邊界部署網(wǎng)絡(luò)攻擊檢測防護設(shè)備，防止黑客攻擊。如部署抗DDOS、流量檢測、入侵檢測、流量溯源設(shè)備等防護設(shè)備。

通過部署IPS、WAF、APT、蜜罐等設(shè)備提升系統(tǒng)安全檢測及應(yīng)對風(fēng)險能力。

（6）安全分析中心

數(shù)據(jù)風(fēng)險預(yù)測的分析模型構(gòu)建：通過圖計算、機器學(xué)習(xí)[6]等AI技術(shù)，構(gòu)建面向數(shù)據(jù)風(fēng)險預(yù)測的分析模型，如事件理解模型、事件關(guān)聯(lián)分析模型、風(fēng)險評估模型，聚焦業(yè)務(wù)連續(xù)性、操作安全性、敏感數(shù)據(jù)分布、事件關(guān)聯(lián)分析、用戶趨勢行為分析、業(yè)務(wù)應(yīng)用運行分析、業(yè)務(wù)分析策略等安全態(tài)勢分析類場景應(yīng)用。

態(tài)勢感知：通過對業(yè)務(wù)系統(tǒng)及設(shè)備日志、網(wǎng)絡(luò)流量等進行大數(shù)據(jù)分析，對系統(tǒng)或大數(shù)據(jù)平臺遭到的WEB滲透攻擊、網(wǎng)絡(luò)木馬活動、DNS系統(tǒng)攻擊事件等情況進行實時監(jiān)測、分析挖掘、溯源和總體可視化呈現(xiàn)，提供事前預(yù)警的能力、事中感知和及時應(yīng)對能力，如圖5態(tài)勢感知分析圖所示。

圖5 態(tài)勢感知分析圖

（7）安全運營能力，通過技術(shù)發(fā)現(xiàn)和定位安全隱患，并做出相應(yīng)的響應(yīng)措施，建立指標(biāo)考核管理制度及配套工具，及時修復(fù)安全風(fēng)險、處理安全威脅，以保證業(yè)務(wù)的正常運營。

脆弱性檢測：提供漏洞和基線監(jiān)測能力，提供作業(yè)調(diào)度執(zhí)行周期的監(jiān)測任務(wù)。

風(fēng)險處置：對漏洞、基線生命周期以工單流方式進行閉環(huán)處理，并通過報表方式對風(fēng)險進行輸出。

安全事件管理：基于安全事件進行告警生命周期管理，提供事件檢索分析、統(tǒng)計和取證。

指標(biāo)考核管理：落實安全“三同步”，固化業(yè)務(wù)系統(tǒng)安全管理全生命周期流程體系，利用指標(biāo)模版定制化檢查點，通過考核任務(wù)來實現(xiàn)常態(tài)化安全工作，通過指標(biāo)統(tǒng)計進行考核評估和工作量化。

安全預(yù)警：通過指標(biāo)板的形式，展現(xiàn)各種數(shù)據(jù)資產(chǎn)的待處理告警、緊急告警的分布情況，以及安全威脅防御情況，并對整個數(shù)據(jù)域使用的安全防御規(guī)則進行配置，每個防御規(guī)則可包含多種防御場景。

端到端監(jiān)控：展現(xiàn)及維護大數(shù)據(jù)系統(tǒng)中所有的賬戶和功能授權(quán)關(guān)系監(jiān)控以及對大數(shù)據(jù)平臺及平臺之上應(yīng)用系統(tǒng)中，敏感數(shù)據(jù)分布以及敏感數(shù)據(jù)的保密處理方式的監(jiān)控。

4 結(jié)束語

基于大數(shù)據(jù)平臺的安全體系構(gòu)建，核心在于保障數(shù)據(jù)安全，并貫穿于數(shù)據(jù)的全生命周期管理，安全建設(shè)的最終目標(biāo)即是達到對于業(yè)務(wù)使用的“無感無擾”，整體監(jiān)控“威懾可見”，安全技術(shù)可視可見，并結(jié)合人工智能手段，通過自動化審計、智能的自適應(yīng)框架引導(dǎo)安全縱深防御體系的支撐轉(zhuǎn)型，實現(xiàn)安全風(fēng)險的精細(xì)化管理運營，開放大數(shù)據(jù)安全分析平臺框架，承載和可擴展集成更多安全威脅應(yīng)用，實現(xiàn)經(jīng)驗的廣泛推廣及應(yīng)用。