淺析數據安全的重要性和保障方法

摘 要：隨著2018年4月的《大數據安全標準化白皮書》的發布，大數據安全現在已經上升為國家戰略，而數據也被視為國家的基礎性戰略資源受到保護。現如今各行各業都在投入大量精力收集數據、分析數據、挖掘數據，進而推動整個行業的發展。然而在享受大數據帶來的紅利時，越來越多的數據被開放共享、交叉使用，其所帶來的安全問題日益凸顯。以下就以平遙智慧城市項目為例來介紹數據安全的重要性以及為此所提出的保障方法。

關鍵詞：大數據；數據安全；網絡攻擊

1數據安全的重要性

1.1數據安全

數據安全分為數據自身的安全和數據防護的安全。

（1）數據自身的安全主要是指通過一定的加密算法確保數據安全，如數字水印、數字簽名等。

（2）數據防護安全主要是指數據在傳輸和存儲使用過程中進行的主動防護。其中尤以數據存儲的防護安全為重點。

非法獲取數據的途徑有很多種，但入侵數據存儲核心的數據中心機房無疑是最方便最高效的方式。在移動支付如支付寶微信支付等普及以前，網銀是線上支付的主流選擇，網絡上充斥著各種釣魚網站來竊取用戶資料，而這些釣魚網站很快會被舉報查封，所以這樣獲取的用戶信息其實是很有限的。就在攜程網泄漏用戶資料后的2018年8月28日，暗網又公開兜售華住旗下酒店的客戶數據，包括漢庭、桔子、全季、宜必思在內十幾家酒店的大約5億條數據信息。這些信息中包含姓名、身份證號碼、手機號，甚至有家庭住址。而調查的原因是內部工作人員與競爭對手勾結入侵了華住數據中心。

通過近幾年爆發的大規模數據泄露事件可以看出，以數據存儲為核心的數據中心成為了數據泄露的重災區，也是各種黑客和網絡攻擊重點關注的地方。

作為平遙縣智慧城市項目的基礎，城區數據中心已于2017年12月建成并投入使用。業務包括：移動辦公、綜合治理、智慧教育、智慧旅游、智慧醫療等多種服務。在最初接觸城區數據中心管理工作時候，對現在的網絡攻擊一無所知。直到承擔智慧醫療試點工作的4臺服務器被攻破，導致整個醫療試點項目前期工作白費的時候，才知道公網上跑服務是要面對多大挑戰。為此，與工程師一起做了個實驗：在公網環境中從城區數據中心物理服務器上開通一臺虛擬化的服務器，并設定密碼為Admin@123，同時用公網遠程訪問此服務器，不到5分鐘提示遠程登錄密碼不正確。通過FusionCompute管理平臺查看服務器卻顯示CPU以及內存全部100%運行。也就是說在這不到5分鐘時間里，此虛擬服務器被網絡攻擊攻破，并在此服務器中注入了“永恒之藍”勒索病毒的變異挖礦惡意程序，耗光了該服務器所有資源，成了網絡上的“肉雞”。

1.2數據安全的重要性

數據安全涉及各行業各領域各群體。在所有關乎民眾以及國家戰略數據的研究與使用中，其初衷是為了服務民眾以及為各種決策制定作出參考。然而在實際操作中，人性陰暗面展現的同樣“精彩”。

現有平遙智慧城市項目的諸多服務中，尤以智慧醫療最貼近百姓生活。因為醫療數據覆蓋全員人口和全生命周期，涉及國家戰略安全和人民生命安全。積極的一面是：通過對健康醫療大數據進行標準化治理、綜合行業數據、深度挖掘分析，可以達到優化醫療衛生資源配置、改善醫療服務、提升管理水平、為政府決策提供幫助、推動經濟發展的效果。然而，如果醫療數據泄露將會導致非常嚴重的后果。

通過醫療數據的收集并結合相關人口信息，如果某縣百姓患結石病情況比周邊縣市高，那么可能是該縣的水質有問題，或該縣居民有不良生活習慣，根據這種情況特定的分析當地水質土質或者調查當地居民不良生活習慣，進而通過政策干預來解決此問題。但如若被別有用心的國家拿到醫療數據并加以分析，得出國人可能存在的基因缺陷問題，然后開發出基因武器，后果不堪設想。2003年在全球爆發的“非典”，據統計96%的確診病人都是中國人以及新加坡的華人，白種人即使得了“非典”也會很快康復，這也引起了關于“非典”是針對華人基因所開發出來的“基因生化武器”的討論。

2數據安全的保障方法

在現有帶寬、安全設備環境及安全策略下，城區數據機房可以抵御一般性小規模的攻擊，也的確可以通過二代防火墻上集成的功能性軟件發現機房每天都在被各種網絡攻擊入侵。但如果遇到如今年5月15日騰訊云的高峰達400G的DDoS攻擊時候，顯然數據中心會癱瘓掉。更不用說那些為了攻破而特意研發的某種新型病毒了，比如美國為破壞伊朗鈾濃縮離心機而開發的“震網”病毒。

就現在我所遇到的問題以及接觸的一些案例，說一說我對如何保障城區數據中心機房的數據安全淺薄看法。

2.1 物理層面上，數據中心機房要嚴格按照相關規定建設。以前在鐵路上的通信系統相當于內網，所以要求不同于商業化運營的數據中心。總有人認為物理隔離或者說不聯網的計算機是安全可靠的，但是一篇題為《PowerHammer：通過電源線從物理隔離的計算機中泄露數據》的論文告訴我們，通過利用計算機CPU產生的類似于摩斯電碼的信號，通過電源線將數據轉化為二進制代碼傳輸并利用電源線上的監聽設備解析出數據。而現在電源系統已經是數據泄露的重災區了，所以在建設數據中心機房時候，必須按照國家《數據中心機房設計規范》以及場地、電力相關行業規范施工，如所有設備必須是有線連接，物理端口全劃分到各自網絡中，機房必須是無窗的，封閉的環境隔離開外部的強磁干擾同時確保沒有外人能夠感應到數據中心機房內設備的磁場。

2.2 作業務層面上，制定并嚴格遵守數據中心機房操作規范。數據中心機房管理人員和業務操作人員，要摒棄以往在內網管理與部署業務時的隨意性。總有人認為在內網展開業務時候是不會中病毒的，這也是導致現在各個內網設備，尤其是不聯網設備上病毒泛濫的原因。在部署智慧醫療試點工作中，中聯公司作為軟件提供方，盡然在不安裝任何殺毒軟件的情況下從自己電腦和U盤上傳資料到服務器，最后導致服務器中勒索病毒，前期工作全部白費。

2.3 管理層面上，數據中心的機房和控制區要分開，出入機房是要嚴格管理的。同時針對物理設備的任何操作都要申請和記錄。2018年9月，某公司提出掛在平遙數據中心機房上的數據庫讀寫慢，遠遠達不到SSD盤的讀寫速率，提出需對業務所在物理服務器做檢測。檢測過程中檢測廠商工程師提出需要拿網線一端接到核心交換機上另一端接到個人電腦上，這樣繞過了防火墻和FusionSphere虛擬化平臺的檢測才最簡單最準確的，然而但這樣的操作存在很大安全風險。在嘗試其他方法失敗情況下，工程師趁管理人員疏忽，拿網線直接插在了核心交換機上，好在核心交換機上的物理端口都做了保護，沒有因此出安全問題。這種就是典型的管理人員監管失職和管理不當，讓控制區人員隨意進出了機房設備區域。

2.4 設備層面上，網絡安全設備是必不可少的也是最客觀的解決安全問題的方法。隨著城區數據中心接入的業務的增多，現有防火墻、病毒庫等已經難以抵御越來越多的攻擊。2017年7月22日，四川宜賓市“教師發展平臺”被黑客攻破、2018年3月10日，運城市OA系統被攻破并被掛反標，這兩起已知事件都是由于對網絡安全不重視，沒有足夠的網絡安全設備導致的。DDoS攻擊是比較常見的網絡攻擊，所謂DDoS（Distributed Denial of Service），即分布式拒絕服務攻擊，通俗地說就是利用大量的虛假訪問，占據被攻擊網站的帶寬，讓真實的用戶無法正常訪問。這種攻擊可以通過特定的抗DDoS設備來抵御，比如騰訊云的大禹系統。而現在新出現的“商業間諜”式的APT攻擊主要靠滲透的方式盜取數據并且其主要針對的是政府機構或者涉及國家安全或者國防承包項目的大型跨國企業。通常情況下，依靠傳統的網絡安全設備很難發現APT攻擊，現在也只有通過態勢感知設備檢測到，而態勢感知設備在國內使用還是比較少的。當然網絡攻擊并不僅僅只有這兩種，相應的安全設備也有很多如上網行為管理、堡壘機、Waf、雙因素認證等。

2.5 運維層面上，再強大的硬件也彌補不了管理的缺失。2017年大規模爆發的WannaCry勒索病毒之所以能夠在2018年繼續通過445端口感染智慧醫療服務器，很大原因是使用的操作系統上沒有打補丁，也沒有在服務器上加裝殺毒軟件。所謂“術業有專攻”，商業化運作的數據中心機房里掛載了諸多重要業務，各個方面都要專業人員維護，如虛擬服務器管理、數據庫管理、系統管理、安全管理等，現在國內厲害的技術人員，諸如華為公司的工程師，都只專某一門技術，所以運維必須是專業的團隊，而不是依靠個人。

2.6 在以上問題都解決的情況下，尋找專業的測評機構對數據中心整體做一個信息安全等級保護測評工作。等級保護測評工作主要是發現現有信息系統與國家安全標準之間的差距，查明安全隱患和不足，通過安全整改后提升防護能力，客觀上降低系統被攻擊的風險。等級保護也是我國關于網絡安全的基本要求，也是行業主管單位要求，同時在出現問題時可以合理的規避風險：一個主觀上重視安全工作卻因技術不夠好而被攻擊造成破壞和一個主觀上都不重視安全工作被攻擊造成破壞的，孰輕孰重一目了然。目前城區數據中心已應股份公司和公安部要求對數據中心系統做了信息安全保護三級測評，并在晉中市網警支隊備案。借此機會升級和增添機房安全設備，并完善相關管理規范。

3結束語

“人之熙熙，皆為利來”，在大數據帶來各種紅利的同時，不法分子運用網絡攻擊非法獲得各種數據進而獲利現象也隨之爆發。普通用戶的悲哀在于既不可能切斷所有連接做一個數據社會的原始人，又無力選擇哪些數據被收集，個人數據從來只具有金礦屬性，沒有隱私屬性。作為數據收集和使用者，保護數據安全是我們的義務更是我們的責任。

作者簡介：

作者姓名（出生年—）：程千里，1989年9月，性別：男，民族：漢族，籍貫：安徽廣德，學歷：大學本科，職稱：助理工程師，研究方向（在校生寫xx專業）：智慧城市.