大數據環境下訪問控制模型適用性研究

陳垚坤 尹香蘭 劉文麗

陳垚坤 尹香蘭 劉文麗

（江南計算技術研究所 江蘇無錫 214083）

【 摘 要 】 論文分析大數據的特點及體系架構，得出大數據環境下訪問控制應滿足的原則，即自主、動態、細粒度、跨域授權。通過對比分析訪問控制模型DAC、MAC、RBAC及ABAC在大數據環境下適用性，得出結論：ABAC模型最適合應用于大數據。同時，論文針對大數據特性對各模型提出改進建議。

【 關鍵詞 】 大數據；訪問控制

【 中圖分類號 】 TP393 【 文獻標識碼 】 A

【 Abstract 】 This paper analyzes the characteristics and architecture of Big Data.The Conclusion shows that Big Data need an independent， dynamic， fine-grained，cross-domain access control model.The applicability of DAC， MAC， RBAC， ABAC in Big Data environment has been comparingly analyzed.The Conclusion shows that ABAC is the most applicable access control model for Big Data.The suggestions of making improvements to adapt to the Big Data features have been proposed for access control models.

【 Keywords 】 big data； access control

1 引言

近年來隨著互聯網行業的快速發展，全世界每年產生的數據規模也在劇烈增長。全球數據量從2010年起正式進入ZB（109TB）時代，2011年達到1.8ZB，2012年2.7ZB，而且這個數字正在以超過年平均50%的速度增長，2020年預計將達到35ZB[1]。與此同時，大數據技術包括數據采集、存儲、管理、分析挖掘、可視化等也在迅速發展。這些現象表明，大數據時代已經到來。大數據迅速發展的同時，安全問題也逐漸顯露出來，因為大數據具有數據體量巨大（Volume）、數據類型繁多（Variety）、價值密度低（Value）、處理速度快（Velocity）等4V[2]特性，其所面臨的安全威脅也是非傳統的。

目前，大數據資源安全主要面臨著多種的風險：非法用戶進入系統、合法用戶訪問權限外數據、敏感信息有泄漏風險[3]。針對以上安全風險，通常采用的安全措施：使用身份驗證系統阻止非法用戶接觸數據；建立訪問控制體系確保合法用戶只能訪問權限內數據；對敏感數據進行加密存儲以確保其隱私性等等。以上安全措施中，身份認證技術主要針對用戶群體，只需要應對用戶群規模的增大作改進；加密存儲技術主要針對數據資源，只需要應對數據的規模增大和實時性強而作出改進。這兩項技術相對而言改進較少，較容易將傳統技術移植入大數據資源系統。而訪問控制系統需要同時應對用戶群體和數據資源的規模增大和高實時性，訪問權限管理變得相當復雜，很難在現有數據資源存儲系統中常用的訪問控制技術上作改進移植。因此，分析訪問控制模型在大數據環境下的適用性，找出一種能很好使用大數據特性的訪問控制模型，成為大數據安全方面的重要課題。

2 大數據體系結構分析

2.1 大數據技術體系結構

大數據的技術體系結構如圖1所示。大數據的數據源包括結構化數據、非結構化數據和半結構化數據[4]，其中結構化數據所占的比例較小，絕大多數為非結構化數據和半結構化數據，這正是大數據區別于傳統數據應用的方面，而這種數據結構比例也決定了傳統的數據存儲、分析、安全技術需要作出較大改動才能使用于大數據。大數據的預處理過程包括數據清洗和元數據抽取[5]，這一過程可以將大數據中的無效或低效數據篩除。大數據處理平臺將篩選過的數據存入專門設計的高效分布式存儲系統，并基于此存儲系統實現并行計算框架和高性能數據庫應用，目前最適用的大數據處理平臺是Hadoop平臺[6]。在大數據生態體系的上層，用戶通過多種方式接入大數據，通過身份驗證后可調用大數據提供的多種數據服務，包括高性能計算、數據查詢、數據分析和數據挖掘等，用戶調用的這些數據服務必須通過訪問控制獲得相應權限后，才能訪問數據處理平臺中其所需的數據。

2.2 大數據訪問控制原則

通過以上對大數據體系結構的分析結合大數據的4V特點，可以得出大數據環境下訪問控制的四項原則。

（1）自主授權。大數據環境下，資源分布式存儲且規模巨大，如果采用管理員授權模式，授權效率低下，因此需要資源所有者能夠自主授權，提高授權效率的同時增強授權的靈活性。

（2）動態授權。大數據環境下，資源與用戶時刻都在動態變化中，靜態的授權方式難以應對這種動態變化，無法保證授權的有效性。

（3）細粒度授權。非結構化和半結構化數據在大數據中占絕大部分，繁雜的數據類型導致傳統的授權模式難以滿足最小授權原則。

（4）跨域授權。大數據中采用分布式存儲的方式，同時內部會形成多個邏輯上的安全域，會出現頻繁的跨安全域訪問，必須保證跨域訪問的安全性。

3 經典訪問控制模型適用性

3.1 自主訪問控制模型DAC適用性

自主訪問控制（Discretion Access Control，DAC）由客體擁有者規定主體對客體的訪問權限，自主性體現在客體擁有者可以自主決定客體的授權。DAC模型的實現方法有三種：訪問控制矩陣、訪問控制列表、訪問控制能力表。

由定義可知DAC模型靈活性高，可以滿足自主、細粒度授權的需求。但在大數據環境下，若用戶為O（m），資源為O（n），則訪問控制矩陣空間代價為O（mn），訪問控制矩陣的規模巨大導致管理困難，用戶和資源動態性變化帶來的矩陣維護同樣非常困難，且DAC屬于靜態授權，沒有考慮跨域訪問時復雜的上下文環境帶來的影響。同時，DAC存在安全性不高的缺陷：權限具有傳遞性，權限管理容易失控，無法阻止客體的非法訪問。

3.2 強制訪問控制模型MAC適用性

強制訪問控制（Mandatory Access Control，MAC）的基本思想是通過給主體和客體標記安全等級，控制信息只能從安全級別低的實體向安全級別高的實體流動。

MAC安全性較強，但在大數據復雜的訪問環境中難以為規模龐大的主客體制定恰當的安全等級，將千萬上億級別的數據僅僅劃分為數個或數十個安全等級顯然并不合適，同時其授權模式簡單，對權限的控制力度也很粗放，難以滿足自主、動態、細粒度授權的需求。MAC也屬于靜態授權，沒有考慮上下文環境，在跨域訪問時，不同安全域之間的安全等級可能有不同定義，安全性無法滿足。

為適應大數據環境，可在MAC模型中加入基于行為的考慮，將行為定義為角色、時態和環境的綜合體，既考慮了上下文時態對權限授予的影響，又繼承了MAC的強安全性。

3.3 基于角色訪問控制模型RBAC適用性

基于角色的訪問控制（Role-Based Access Control，RBAC），引入了角色的概念，作為主體和客體之間橋梁，將權限分配給角色，并將角色分配給系統中的用戶來授予用戶相應權限。

RBAC是傳統的管理員授權模式，無法自主授權，管理員可能缺乏足夠的專業知識，無法準確地為用戶指定可訪問的數據范圍，而且由管理員集中定義用戶所有授權規則的方式從效率角度考慮也不理想。傳統數據服務中，RBAC中角色的劃分基于精確、封閉的用戶集和資源集，在大數據環境下，由于用戶集和資源集的動態性，RBAC難以預先定義角色。當用戶、資源動態變化時，與之相關的角色也可能失效需要重新定義，難以管理和維護。此外，RBAC同樣屬于靜態授權，沒有考慮跨域訪問時復雜的上下文環境。

因此，若要改進RBAC模型使其適用于大數據環境，可以從兩方面入手。

（1）大數據角色挖掘技術。設計角色挖掘算法，分析系統中的訪問記錄，自動提取角色并對其進行優化，在系統中生成最小角色集，為用戶提供高效的個性化授權服務。

（2）基于工作流改進。從工作流中的任務角度建模，將工作流分解為一些相互依賴的任務，然后將任務分配給角色，角色通過執行任務節點動態獲得權限。

4 基于屬性模型適用性

基于屬性的訪問控制模型ABAC（Attribute Based Access Control）是一個四元組（S、O、P、E），其中S、O、P和E分別是由主體屬性、客體屬性、操作屬性和環境屬性確定的主體、客體、操作和環境集合。ABAC制定完善的屬性策略集，用戶的每一次訪問都要通過策略集判定是否合法，若合法則授予相應的訪問權限。

ABAC可以很好的適用于大數據場景，體現在四個方面。

（1）細粒度訪問控制。ABAC模型將一次訪問過程的所有元素使用屬性描述，可以嚴格控制訪問者取得權限的各種條件，并且將可訪問范圍精確到塊級別的資源，滿足最小權限原則。

（2）自主授權。在ABAC模型中，所有的訪問控制策略都由資源所有者制定，而且模型可為用戶提供策略管理接口，資源所有者可以根據自身實際應用需求新建、修改、刪除策略，保證了資源能夠按照其所有者的意愿被訪問。

（3）動態訪問控制。在ABAC模型中，屬性的定義和設置有很大的靈活性，能夠大規模動態擴展，可以滿足各種規模的應用系統的需求。模型中可以設置監控模塊，針對各類屬性動態變化的情況，制定應對機制，可以及時中斷訪問，避免因屬性動態變化造成的非法訪問，保證了模型的安全性。

（4）較小的系統開銷。傳統訪問控制在用戶和資源數量大幅度增加的情形下，訪問控制規則數目會呈現指數級增長，系統的維護量急劇增加，加大系統的開銷。ABAC中，訪問控制規則隨用戶和資源數量的增長呈現線性增加，系統開銷小。

為使ABAC模型更好的應用于大數據場景，應選擇一種標準、通用可擴展的策略描述語言。可擴展訪問控制標記語言（Extensible Access Control Markup Language，XACML）是一種基于XML的平臺無關的策略描述語言，XACML提供了多種策略合并算法，策略的合成靈活多變，有強大的訪問控制策略表達能力，可做為ABAC的策略表達語言。

5 結束語

大數據快速發展的同時，也面臨著安全挑戰。本文通過分析大數據的特點及體系架構，得出大數據環境下訪問控制的原則，即自主、動態、細粒度、跨域授權。根據上述原則，對比分析訪問控制模型DAC、MAC、RBAC及ABAC，經分析ABAC模型最適合應用于大數據，此外還針對大數據特性對各模型提出改進建議。下一步的工作集中在將ABAC模型融入大數據應用系統。

參考文獻

[1] 李國杰，程學旗.大數據研究：未來科技及經濟社會發展的重大戰略領域——大數據的研究現狀與科學思考[J].中國科學院院刊，2012，27（6）.

[2] 馮登國，張敏，李昊.大數據安全與隱私保護[J].計算機學報，2014，37（1）：246-258.

[3] 孟小峰，慈祥.大數據管理：概念、技術與挑戰[J].計算機研究與發展，2013，50（1）：146-169.

[4] Nandimath J，Banerjee E，Patil A，et al. Big data analysis using Apache Hadoop[C]// Information Reuse and Integration （IRI）， 2013 IEEE 14th International Conference on. IEEE， 2013：700 - 703.

[5] 朱星燁，何涇沙.大數據安全現狀及其保護對策[J].信息安全與通信保密，2014（10）：33-35.

[6] 溫春，鄭靜，張紅軍.淺談大數據風險與應對策略[J].信息安全與通信保密，2014（10）：44-44.

基金項目：

國家核高基項目 （2013ZX01029002-001）。

作者簡介：

陳垚坤（1991-），男，漢族，陜西漢中人，畢業于北京大學，在讀碩士研究生；主要研究方向和關注領域：信息安全。

尹香蘭（1980-），女，漢族，湖南邵陽人，畢業于解放軍理工大學，博士，工程師；主要研究方向和關注領域：信息安全。

劉文麗（1972-），女，漢族，安徽合肥人，畢業于吉林大學，碩士，高級工程師；主要研究方向和關注領域：信息安全。