先后參與集團(tuán)OSS4.0、集團(tuán)集中化經(jīng)分、內(nèi)蒙古大數(shù)據(jù)平臺(tái)、上海統(tǒng)一匯聚平臺(tái)等大型項(xiàng)目建設(shè)，參與《中國(guó)移動(dòng)大數(shù)據(jù)安全防護(hù)技術(shù)實(shí)施指南》規(guī)范撰寫(xiě)，負(fù)責(zé)Hadoop平臺(tái)安全技術(shù)研究項(xiàng)目、“門(mén)神計(jì)劃”防數(shù)據(jù)泄漏系統(tǒng)項(xiàng)目等多個(gè)安全項(xiàng)目。為中國(guó)移動(dòng)集團(tuán)公司技術(shù)咨詢(xún)委員會(huì)安全領(lǐng)域?qū)＜医M成員。

關(guān)于大數(shù)據(jù)安全的思考

中移軟件多年來(lái)一直致力于大數(shù)據(jù)平臺(tái)建設(shè)，為中國(guó)移動(dòng)提供大數(shù)據(jù)平臺(tái)建設(shè)和服務(wù)能力。

在建設(shè)實(shí)踐過(guò)程中，我們一直在思考大數(shù)據(jù)平臺(tái)安全與傳統(tǒng)數(shù)據(jù)安全的區(qū)別。從本身特征來(lái)看，大數(shù)據(jù)平臺(tái)數(shù)據(jù)量大、數(shù)據(jù)涉敏，同時(shí)大數(shù)據(jù)平臺(tái)底層為開(kāi)源組件。從外部環(huán)境來(lái)看，GDPR和網(wǎng)絡(luò)安全法都關(guān)注個(gè)人隱私數(shù)據(jù)，最近頻發(fā)的安全事件也注意是數(shù)據(jù)泄露事件。

此前平臺(tái)建設(shè)實(shí)踐更多的關(guān)注于平臺(tái)本身，我們做了漏洞掃描工具等，但是都是獨(dú)立于數(shù)據(jù)采集、存儲(chǔ)、處理、共享過(guò)程之外的，要真正保障大數(shù)據(jù)平臺(tái)數(shù)據(jù)的安全，必須關(guān)注數(shù)據(jù)本身，關(guān)注數(shù)據(jù)生命周期，也就必須與數(shù)據(jù)采集、存儲(chǔ)、處理、共享完全結(jié)合，不能游離在大數(shù)據(jù)處理流程之外。

全生命周期數(shù)據(jù)安全防護(hù)平臺(tái)

我們將數(shù)據(jù)全生命周期精簡(jiǎn)定義為“采集傳輸-存儲(chǔ)處理-數(shù)據(jù)共享”三大部分流程，其中數(shù)據(jù)采集過(guò)程涉及平臺(tái)外與平臺(tái)內(nèi)之間的數(shù)據(jù)交互，存儲(chǔ)處理為平臺(tái)內(nèi)處理過(guò)程，數(shù)據(jù)共享為平臺(tái)內(nèi)與平臺(tái)外之間的數(shù)據(jù)交互。同時(shí)對(duì)全過(guò)程通過(guò)安全態(tài)勢(shì)感知平臺(tái)進(jìn)行檢測(cè)和預(yù)警。

圖1 數(shù)據(jù)全生命周期

數(shù)據(jù)采集傳輸安全防護(hù)

采集過(guò)程主要包括：

配置采集數(shù)據(jù)源、配置采集流程（含建目標(biāo)表）、調(diào)度監(jiān)控采集流程、采集數(shù)據(jù)傳輸四步。

配置采集數(shù)據(jù)源過(guò)程：

主要通過(guò)采集白名單配置、數(shù)據(jù)源操作權(quán)限管理等手段進(jìn)行安全防護(hù)

配置采集流程（含建目標(biāo)表）：

主要通過(guò)事前敏感字段標(biāo)注、安全級(jí)別設(shè)置、靜態(tài)脫敏等方式進(jìn)行安全防護(hù)

調(diào)度監(jiān)控采集流程:

通過(guò)應(yīng)用程序賬號(hào)認(rèn)證、流程監(jiān)控告警、資源相互隔離等方式保障

采集數(shù)據(jù)傳輸流程：

通過(guò)傳輸加密等方式保障

圖2 數(shù)據(jù)采集傳輸過(guò)程-靜態(tài)脫敏

數(shù)據(jù)存儲(chǔ)處理安全防護(hù)

敏感數(shù)據(jù)存儲(chǔ)是大數(shù)據(jù)安全的難題。全生命周數(shù)據(jù)安全防護(hù)平臺(tái)提供透明加密和數(shù)據(jù)完整性檢查兩種解決方案，加固數(shù)據(jù)存儲(chǔ)環(huán)節(jié)，提高數(shù)據(jù)存儲(chǔ)安全性。但是加密存儲(chǔ)對(duì)平臺(tái)性能影響大，同時(shí)對(duì)使用造成較大影響，因此一般敏感級(jí)別的數(shù)據(jù)不建議加密存儲(chǔ)。

中移軟件全生命周期數(shù)據(jù)安全防護(hù)平臺(tái)更重視使用過(guò)程的安全，使用過(guò)程分4種不同場(chǎng)景進(jìn)行防護(hù)。以數(shù)據(jù)使用場(chǎng)景 “用戶(hù)ABC對(duì)A表X字段進(jìn)行查詢(xún)操作”為例，通過(guò)不同的技術(shù)手段，實(shí)現(xiàn)4種不同層級(jí)的使用防護(hù)。

場(chǎng)景1：

對(duì)不起，您對(duì)A表的訪(fǎng)問(wèn)權(quán)限僅限訪(fǎng)問(wèn)Y字段，無(wú)權(quán)訪(fǎng)問(wèn)X字段。該場(chǎng)景使用行列細(xì)粒度權(quán)限管控技術(shù)實(shí)現(xiàn)細(xì)粒度數(shù)據(jù)權(quán)限管控。

場(chǎng)景2：

對(duì)不起，您對(duì)A表的操作權(quán)限僅限插入數(shù)據(jù)，無(wú)法查詢(xún)數(shù)據(jù)。該場(chǎng)景使用操作細(xì)粒度權(quán)限管控技術(shù)實(shí)現(xiàn)細(xì)粒度操作權(quán)限管控。

場(chǎng)景3：

對(duì)不起，該操作涉敏，需要XXX審批，審批后可執(zhí)行。該場(chǎng)景將傳統(tǒng)數(shù)據(jù)安全手段移植至大數(shù)據(jù)平臺(tái)，實(shí)現(xiàn)敏感重要操作的多人協(xié)同。

場(chǎng)景4：

對(duì)不起，該操作涉敏，查詢(xún)結(jié)果已自動(dòng)脫敏為“188****9672”。該場(chǎng)景通過(guò)動(dòng)態(tài)脫敏技術(shù)，使得不同使用者對(duì)涉敏數(shù)據(jù)操作得到不同結(jié)果。

圖3 數(shù)據(jù)存儲(chǔ)使用過(guò)程-金庫(kù)模式

數(shù)據(jù)共享安全防護(hù)

數(shù)據(jù)對(duì)外共享一般包括兩種方式：

接口方式和文件方式。

接口方式

包括接口數(shù)據(jù)(JSON/XML)、流式數(shù)據(jù)(Kafka)等多種數(shù)據(jù)訪(fǎng)問(wèn)方式。我們通過(guò)API操作權(quán)限管理、API流量管控、API認(rèn)證管理等手段實(shí)現(xiàn)接口管控。

文件方式

主要指通過(guò)FTP、SFTP、郵件等對(duì)外共享數(shù)據(jù)，數(shù)據(jù)類(lèi)型包括TXT、CSV、Word、PPT、Excel、網(wǎng)頁(yè)等，平臺(tái)通過(guò)數(shù)字暗水印進(jìn)行安全防護(hù)。數(shù)字水印通過(guò)對(duì)文本（TXT、CSV、Word、PPT、Excel、網(wǎng)頁(yè)等）嵌入暗水印作為標(biāo)記一起傳輸，保障數(shù)據(jù)在發(fā)生泄漏時(shí)，能夠提取水印信息并追蹤至責(zé)任人，達(dá)到事后安全保護(hù)的目的。企業(yè)安全管理員、文檔管理員等可以通過(guò)水印嵌入、水印提取功能，有效追溯外泄源頭，實(shí)現(xiàn)共享數(shù)據(jù)泄露的事后追蹤。解決了數(shù)據(jù)泄露后無(wú)法追蹤、難以定責(zé)、難以避免再發(fā)生的問(wèn)題。

圖4 數(shù)據(jù)共享過(guò)程-數(shù)字水印

全流程安全態(tài)勢(shì)感知

安全態(tài)勢(shì)感知依托于對(duì)大數(shù)據(jù)平臺(tái)操作行為的審計(jì)，對(duì)Hadoop集群業(yè)務(wù)進(jìn)行安全監(jiān)控，重點(diǎn)對(duì)用戶(hù)的內(nèi)部違規(guī)行為進(jìn)行采集分析、監(jiān)控和畫(huà)像，是一種企業(yè)業(yè)務(wù)型的態(tài)勢(shì)感知。通過(guò)“采集-分析-感知-告警”實(shí)現(xiàn)安全事件的有效感知，利用數(shù)據(jù)可視化技術(shù)實(shí)現(xiàn)整體風(fēng)險(xiǎn)態(tài)勢(shì)的直觀(guān)化呈現(xiàn)。

圖5 全過(guò)程-安全態(tài)勢(shì)感知

核心技術(shù)解析

在全生命周期數(shù)據(jù)安全防護(hù)平臺(tái)中，使用到大數(shù)據(jù)技術(shù)、傳輸數(shù)據(jù)安全技術(shù)以及AI技術(shù)，具體包括以下方面：

結(jié)語(yǔ)

從產(chǎn)品可用到安全有效之間，還存在很大的鴻溝，例如庫(kù)表敏感級(jí)別定義、字段敏感標(biāo)注、對(duì)應(yīng)的安全策略設(shè)置（動(dòng)態(tài)脫敏、靜態(tài)脫敏、金庫(kù)、存儲(chǔ)周期、加密算法）等，均暫無(wú)可直接借鑒的案例。這些實(shí)際的落地需要更多的業(yè)務(wù)人員參與進(jìn)來(lái)細(xì)化，使得大數(shù)據(jù)平臺(tái)真正實(shí)現(xiàn)數(shù)據(jù)全生命周期安全防護(hù)。?