[[177952]]

移動互聯、社交網絡、電子商務等極大地拓展了互聯網的邊界和應用范圍，各種數據正在迅速膨脹并變大，大數據應用隨之迅猛發展。但與此同時，國內外數據泄露事件頻發，用戶隱私受到極大挑戰，在數據驅動環境下，網絡攻擊也更多地轉向存儲重要敏感信息的信息化系統。在此背景下，安全已成為影響大數據應用發展的重要因素之一，大數據安全防護成為大數據應用發展的一項重要課題。

大數據應用安全挑戰

大數據具有容量大、類型多、價值高、速度快的4V特性。由于大量數據集中存儲，一次成功攻擊所導致的損失巨大，因此大數據應用更容易成為攻擊目標。同時，大數據時代數據源多樣化，數據對象范圍與分布更為廣泛，對數據的安全保護更為困難。大數據應用采用全新的Hadoop處理架構，內在安全機制仍不完善，因此在推動大數據技術應用時面臨著很多安全風險和挑戰，具體包括：第一，用戶隱私泄露問題隨著大數據技術應用的深入將更為嚴重。第二，大數據應用信息安全暴露點增多。第三，大數據應用中數據往往穿越原有系統數據保護邊界，數據屬主與權限隨之發生遷移，導致原有數據保護方案失效。第四，大數據應用存在大量外界數據接口，加大了數據安全風險。第五，大數據引入Hadoop等新的技術體系，帶來新的安全漏洞與風險。

此外，大數據應用仍面臨傳統IT系統中存在的安全技術與管理風險，流量攻擊、病毒、木馬、口令破解、身份仿冒等各類攻擊行為對大數據應用仍然有效，系統漏洞、配置脆弱性、管理脆弱性等問題在大數據環境中仍然存在。

大數據應用安全對策

大數據應用的核心資源是數據，對敏感數據的安全保護成為大數據應用安全的重中之重。同時大數據運行環境涉及網絡、主機、應用、計算資源、存儲資源等各個層面，需要具備縱深的安全防護手段。因此，面對上述大數據應用的安全挑戰，在進行大數據應用安全防護時應注重兩大核心：隱私保護與計算環境安全防護。

其一，通過重構分級訪問控制機制、解構敏感數據關聯、實施數據全生命周期安全防護，增強大數據應用隱私保護能力。

大數據應用中往往通過對采集到的數據進行用戶PII(Personal Identifiable Information，個人可標識信息)與UL(User Label，用戶標簽)信息分析，部分大數據應用進一步分析PII與UI關聯信息，從而進行定向精準營銷等應用，這類應用對隱私侵害的影響最大，因此PII與UL兩者關聯信息是大數據隱私保護的重點，同時由于PII直接關聯各類用戶信息，也是大數據隱私保護的重點。

在大數據隱私保護中，應基于PII與UL等數據的敏感度進行分級，進而重構數據安全訪問控制機制。將原始數據、UL數據、PII數據及PII與UL關聯數據按安全等級由低到高進行分類，并根據安全需求實施用戶身份訪問控制、加密等不同等級安全策略，限制數據訪問范圍。同時在大數據運營中應盡可能實現PII數據與個人屬性數據的解構，將PII數據與UL數據分開存儲，并為PII數據建立索引，將UL與PII的關聯通過索引表完成，黑客即使獲得UL信息，也無法獲得用戶的PII信息及對應關系，同時對索引表進行加密存儲，黑客即使獲得索引表，也無法得到用戶的PII信息。

在對數據進行分級與解構的基礎上，還應對數據實施全生命周期的安全防護。重點加強數據接口管控，對數據批量導出接口進行審批與監控，對數據接口進行定期審計與評估，規范數據接口管理，且在數據流出時對敏感數據進行脫敏處理。同時采用安全通信協議傳輸數據，如SSL/TLS、HTTPS、SFTP等，并對重要數據的傳輸根據需要進行加密。在數據銷毀時，應清除數據的所有副本，保證用戶鑒別信息、文件、目錄和數據庫記錄等資源所在的存儲空間被釋放或再分配給其他用戶前，得到完全清除。

其二，做好大數據應用計算平臺、分布式探針、網絡與主機等基礎設施安全防護，提升大數據計算環境安全防御水平。

大數據計算環境包括網絡、主機、計算平臺、分布式探針等，針對各層面面臨的安全風險，應采取如下安全對策：

首先，加固大數據計算平臺，提升計算環境安全性。引入Kerberos，建立KDC安全認證中心，需要部署多個KDC，規避單點缺陷;基于Kerberos方式進行訪問控制與授權;對所有元數據進行存儲加密;在性能允許的情況下可借助KMS等工具對HDFS原始數據進行透明加密，同時配置Web控制臺和MapReduce間的隨機操作使用SSL進行加密，配置HDFS文件傳輸器為加密傳輸。

其次，加強各類大數據應用探針的安全防護，防止源端數據泄露或濫用。對探針設備進行安全加固，設置安全的登錄賬號和口令，及時更新系統補丁，設置防病毒與入侵檢測;對遠程操作進行嚴格訪問控制，限制特定IP地址訪問;對探針登錄與操作行為進行細粒度審計;對存儲在本地的數據進行加密保護;在探針公網出口實施異常流量監控與DDoS攻擊防護。

最后，加強對大數據系統網絡、主機、終端等基礎設施運行環境的安全防護。應采用傳統安全防護手段構建縱深安全防護體系，在網絡層面進行安全域劃分，部署邊界訪問控制、入侵檢測/防御、異常流量監控、DDoS攻擊防御、VPN等安全手段;在主機層面部署入侵檢測、漏洞掃描、病毒防護、操作監控、補丁管理等安全手段;在終端層面部署準入控制、終端安全管理、漏洞掃描、病毒防護等安全手段。此外，應構建大數據統一安全管控、組件監測、資源監測等基礎安全服務設施，對大數據平臺主機、網絡、大數據組件、租戶應用等數據進行監控分析，實現大數據平臺及時預警、全面分析、快速響應的安全運營能力。

大數據應用的新特點帶來了新的挑戰，隱私保護以及數據安全是大數據應用安全防護的重中之重，同時構建涵蓋網絡、主機、終端、應用等各層面基礎設施的縱深安全防御體系也是其安全防護的重要方面。大數據應用服務提供商應根據“三同步”原則，在設計、建設、運營等階段同步考慮大數據安全防護技術與方案，構建日益完善的大數據安全防護體系，進而持續推動大數據應用發展。