先后參與集團OSS4.0、集團集中化經(jīng)分、內蒙古大數(shù)據(jù)平臺、上海統(tǒng)一匯聚平臺等大型項目建設，參與《中國移動大數(shù)據(jù)安全防護技術實施指南》規(guī)范撰寫，負責Hadoop平臺安全技術研究項目、“門神計劃”防數(shù)據(jù)泄漏系統(tǒng)項目等多個安全項目。為中國移動集團公司技術咨詢委員會安全領域專家組成員。

關于大數(shù)據(jù)安全的思考

中移軟件多年來一直致力于大數(shù)據(jù)平臺建設，為中國移動提供大數(shù)據(jù)平臺建設和服務能力。

在建設實踐過程中，我們一直在思考大數(shù)據(jù)平臺安全與傳統(tǒng)數(shù)據(jù)安全的區(qū)別。從本身特征來看，大數(shù)據(jù)平臺數(shù)據(jù)量大、數(shù)據(jù)涉敏，同時大數(shù)據(jù)平臺底層為開源組件。從外部環(huán)境來看，GDPR和網(wǎng)絡安全法都關注個人隱私數(shù)據(jù)，最近頻發(fā)的安全事件也注意是數(shù)據(jù)泄露事件。

此前平臺建設實踐更多的關注于平臺本身，我們做了漏洞掃描工具等，但是都是獨立于數(shù)據(jù)采集、存儲、處理、共享過程之外的，要真正保障大數(shù)據(jù)平臺數(shù)據(jù)的安全，必須關注數(shù)據(jù)本身，關注數(shù)據(jù)生命周期，也就必須與數(shù)據(jù)采集、存儲、處理、共享完全結合，不能游離在大數(shù)據(jù)處理流程之外。

全生命周期數(shù)據(jù)安全防護平臺

我們將數(shù)據(jù)全生命周期精簡定義為“采集傳輸-存儲處理-數(shù)據(jù)共享”三大部分流程，其中數(shù)據(jù)采集過程涉及平臺外與平臺內之間的數(shù)據(jù)交互，存儲處理為平臺內處理過程，數(shù)據(jù)共享為平臺內與平臺外之間的數(shù)據(jù)交互。同時對全過程通過安全態(tài)勢感知平臺進行檢測和預警。

圖1 數(shù)據(jù)全生命周期

數(shù)據(jù)采集傳輸安全防護

采集過程主要包括：

配置采集數(shù)據(jù)源、配置采集流程（含建目標表）、調度監(jiān)控采集流程、采集數(shù)據(jù)傳輸四步。

配置采集數(shù)據(jù)源過程：

主要通過采集白名單配置、數(shù)據(jù)源操作權限管理等手段進行安全防護

配置采集流程（含建目標表）：

主要通過事前敏感字段標注、安全級別設置、靜態(tài)脫敏等方式進行安全防護

調度監(jiān)控采集流程:

通過應用程序賬號認證、流程監(jiān)控告警、資源相互隔離等方式保障

采集數(shù)據(jù)傳輸流程：

通過傳輸加密等方式保障

圖2 數(shù)據(jù)采集傳輸過程-靜態(tài)脫敏

數(shù)據(jù)存儲處理安全防護

敏感數(shù)據(jù)存儲是大數(shù)據(jù)安全的難題。全生命周數(shù)據(jù)安全防護平臺提供透明加密和數(shù)據(jù)完整性檢查兩種解決方案，加固數(shù)據(jù)存儲環(huán)節(jié)，提高數(shù)據(jù)存儲安全性。但是加密存儲對平臺性能影響大，同時對使用造成較大影響，因此一般敏感級別的數(shù)據(jù)不建議加密存儲。

中移軟件全生命周期數(shù)據(jù)安全防護平臺更重視使用過程的安全，使用過程分4種不同場景進行防護。以數(shù)據(jù)使用場景 “用戶ABC對A表X字段進行查詢操作”為例，通過不同的技術手段，實現(xiàn)4種不同層級的使用防護。

場景1：

對不起，您對A表的訪問權限僅限訪問Y字段，無權訪問X字段。該場景使用行列細粒度權限管控技術實現(xiàn)細粒度數(shù)據(jù)權限管控。

場景2：

對不起，您對A表的操作權限僅限插入數(shù)據(jù)，無法查詢數(shù)據(jù)。該場景使用操作細粒度權限管控技術實現(xiàn)細粒度操作權限管控。

場景3：

對不起，該操作涉敏，需要XXX審批，審批后可執(zhí)行。該場景將傳統(tǒng)數(shù)據(jù)安全手段移植至大數(shù)據(jù)平臺，實現(xiàn)敏感重要操作的多人協(xié)同。

場景4：

對不起，該操作涉敏，查詢結果已自動脫敏為“188****9672”。該場景通過動態(tài)脫敏技術，使得不同使用者對涉敏數(shù)據(jù)操作得到不同結果。

圖3 數(shù)據(jù)存儲使用過程-金庫模式

數(shù)據(jù)共享安全防護

數(shù)據(jù)對外共享一般包括兩種方式：

接口方式和文件方式。

接口方式

包括接口數(shù)據(jù)(JSON/XML)、流式數(shù)據(jù)(Kafka)等多種數(shù)據(jù)訪問方式。我們通過API操作權限管理、API流量管控、API認證管理等手段實現(xiàn)接口管控。

文件方式

主要指通過FTP、SFTP、郵件等對外共享數(shù)據(jù)，數(shù)據(jù)類型包括TXT、CSV、Word、PPT、Excel、網(wǎng)頁等，平臺通過數(shù)字暗水印進行安全防護。數(shù)字水印通過對文本（TXT、CSV、Word、PPT、Excel、網(wǎng)頁等）嵌入暗水印作為標記一起傳輸，保障數(shù)據(jù)在發(fā)生泄漏時，能夠提取水印信息并追蹤至責任人，達到事后安全保護的目的。企業(yè)安全管理員、文檔管理員等可以通過水印嵌入、水印提取功能，有效追溯外泄源頭，實現(xiàn)共享數(shù)據(jù)泄露的事后追蹤。解決了數(shù)據(jù)泄露后無法追蹤、難以定責、難以避免再發(fā)生的問題。

圖4 數(shù)據(jù)共享過程-數(shù)字水印

全流程安全態(tài)勢感知

安全態(tài)勢感知依托于對大數(shù)據(jù)平臺操作行為的審計，對Hadoop集群業(yè)務進行安全監(jiān)控，重點對用戶的內部違規(guī)行為進行采集分析、監(jiān)控和畫像，是一種企業(yè)業(yè)務型的態(tài)勢感知。通過“采集-分析-感知-告警”實現(xiàn)安全事件的有效感知，利用數(shù)據(jù)可視化技術實現(xiàn)整體風險態(tài)勢的直觀化呈現(xiàn)。

圖5 全過程-安全態(tài)勢感知

核心技術解析

在全生命周期數(shù)據(jù)安全防護平臺中，使用到大數(shù)據(jù)技術、傳輸數(shù)據(jù)安全技術以及AI技術，具體包括以下方面：

結語

從產(chǎn)品可用到安全有效之間，還存在很大的鴻溝，例如庫表敏感級別定義、字段敏感標注、對應的安全策略設置（動態(tài)脫敏、靜態(tài)脫敏、金庫、存儲周期、加密算法）等，均暫無可直接借鑒的案例。這些實際的落地需要更多的業(yè)務人員參與進來細化，使得大數(shù)據(jù)平臺真正實現(xiàn)數(shù)據(jù)全生命周期安全防護。?