大數據時代安全可信防御體系

梁繼良，孫家彥，韓暉

（北京優炫股份有限公司， 北京 100081）

1 引言

當前，隨著“互聯網+”、大數據、云計算、移動互聯網等新技術興起，特別是大數據技術創新應用，使我們具備了對海量數據的處理和分析能力，數據挖掘、數據利用的時代已經來臨。與此同時，數據匯聚、數據分析等帶來的安全問題也給我們帶來前所未有的挑戰。

從國家層面而言，大數據已經影響到國家安全的方方面面。比如，通過對人口健康數據、基因數據的挖掘可以得出國民身體健康的趨勢，通過對移動支付的數據挖掘可以得出精準的國民消費等金融數據，通過對文化大數據分析可以得出國民的文化喜好和心理意識等，這些數據都可能會影響到國家各個領域的安全。最近，酒店上億條數據泄露，臉書（Facebook）信息被泄露分析，類似安全事件的發生同時給國家安全敲響了警鐘。

從個人層面而言，首先，信息的泄露給不法分子盜取個人信息提供了可乘之機，同時個人信息的非法獲取、交易和利用已經形成了完整的黑色產業鏈條。個人信息泄露，輕則造成財產受損，重則可能會影響到個人的人身安全。其次，個人信息被廣泛收集利用，包括我們的行為、習慣、社交關系等均被記錄下來，一旦數據被竊取，通過大數據分析個人信息，互聯網商家可以給每個用戶定向提供搜索結果，如最近被爆出的“大數據殺熟”等現象。在目前相關數據保護法律和監管要求不明確、不完善的情況下，只通過社會責任感、行業自律來要求這些掌握著大數據資源的企業“不作惡”是很困難的。

2 大數據時代安全需求

大數據的利用分析已經成為信息時代發展的決策性依據，大數據的特征是數據量大、種類繁多、速度快以及數據價值低。數據只有在充分挖掘、流動、共享和交換下才能實現其最大價值，國家高度重視數據資源推動國家現代化建設的巨大作用，同時國家對于大數據時代的數據安全予以高度的重視，如何保障數據安全已成為保護國家安全和個人安全的技術難題。

大數據優先考慮的是為大量數據提供速度，所以安全性通常放在最后考慮。因為沒有對數據進行特定的分類存儲和傳輸，從而導致不同技術的整合引入了新的安全挑戰，產生了安全隱患。在大數據系統支持關鍵基礎設施的情況下，安全必須考慮在內。由于大數據系統是復雜且異構的，所以安全保障必須是整體性的，以確保服務的可用性和連續性。

2.1 技術難點

大數據時代，數據被眾多聯網設備、應用軟件所采集，數據來源廣泛，數據種類多樣，如何保證所采集的數據真實可信以及對輸入數據進行完整性校驗，變得至關重要，若利用虛假數據進行分析處理，將影響結果的正確性，甚至造成重大決策失誤。海量多源數據在大數據平臺匯聚，來自多個用戶的數據可能存儲在同一個數據池中，并分別被不同用戶使用，要在看不見他人數據內容的前提下對數據進行加工利用，即實現數據“可用不可見”，必須強化數據隔離和訪問控制，否則將引發數據泄露風險。大數據技術促使數據生命周期由傳統的單鏈條逐漸演變成為復雜多鏈條形態，增加了共享、交易等環節，且數據應用場景和參與角色愈加多樣化，使得數據安全需求外延擴展。

2.1.1 安全威脅防護難點

針對外部黑客攻擊如SQL注入、APT可持續攻擊、釣魚、木馬僵尸等常見攻擊如何及時主動的防護，并對攻擊行為全面審計，方便追蹤溯源是目前解決大數據安全的重要難點。

2.1.2 主機系統安全加固難點

Window、unix、linux系統存在各種各樣的漏洞，漏洞極容易被利用造成惡意攻擊，最終造成數據泄露等重大安全問題。內部用戶權限過大帶來的安全問題同樣需要重視，如何實現權限精細化管理已經成為主機安全的挑戰之一。

2.1.3 網絡安全難點

網絡中存在各種各樣的網絡安全問題，如DDos攻擊、蠕蟲木馬、webshell等攻擊行為容易導致數據泄露、數據篡改等問題，網絡安全域劃分不合理帶來的內部安全邊界問題，如何全面保障網絡安全顯得尤為重要。

2.1.4 存儲安全難點

存儲安全難點主要包括保密性、完整性和安全備份三個方面。

數據保密性：對數據安全加密、脫敏，防止敏感數據被內外人員竊取造成重大的經濟損失。

數據完整性：保障數據傳輸過程中的完整，防止數據傳輸過程中被插入惡意內容或者病毒。

數據安全備份：對于重要的數據及時備份，防止服務器宕機損壞難以恢復完整數據。

2.2 安全需求

大數據技術在行業中的應用越發的廣泛，所暴露出來的大數據安全問題，越發嚴重。

運維入口：開發人員賬號混用、操作無詳細記錄、高危險誤操作無法控制、敏感數據泄露。

應用入口：敏感數據泄露、數據訪問無詳細記錄、應用冒名訪問開放接口。

平臺安全：大數據平臺是政府使用數據資源的基礎平臺，大數據平臺除了面臨傳統的惡意代碼、攻擊軟件套件、物理損壞與丟失等安全威脅外，還包括身份認證、數據加密手段適用性問題。

服務安全：應對基于Web的攻擊、Web應用程序攻擊/注入攻擊、拒絕服務攻擊、網絡釣魚、用戶身份盜竊等威脅，抵御信息泄露、網絡癱瘓、服務中斷等安全風險。

數據安全：數據自身安全非常重要，涉及數據生命周期各階段相關的數據采集、數據傳輸、數據存儲、數據處理、數據交換、數據銷毀等活動。

權限問題：在進行大數據分析中，必須做到權責分明，厘清數據權屬關系，防止數據流通過程中的非法使用，保障數據安全流通。在權利歸屬不明確的情況下，責任的歸屬也難以界定，相關數據安全難以保障。但是，目前數據權屬仍缺乏法律支撐，數據使用尤其是跨境流動所產生的安全風險日益凸顯。

APT攻擊防御：APT是黑客針對客戶所發動的網絡攻擊和侵襲行為，是一種蓄謀已久的“惡意網絡間諜威脅”。這種行為往往經過長期的經營與策劃，并具備高度的隱蔽性。APT攻擊以竊取核心資料為目的，對政府部門大數據應用產生重大安全威脅，因此必須在大數據中高度防范此類攻擊。

應用復雜性高：目前各地區和機構在進行業務領域信息化建設時大都根據自身需求建立獨立的信息系統，這些信息系統架構各異、數據格式不同，導致數據在安全共享、交換和處理時的復雜度大幅提升。

個人隱私保護難：大數據中包含特別敏感的個人隱私信息，必須依法進行管控和保護，對涉及的數據的管理方式要以相應的法律法規做指導，在數據的收集、存儲、挖掘等應用時，需要解決個人隱私保護的難題。

大數據聚合分析風險：在對大數據加工計算的過程中，如何保障不會因為大數據的聚合分析而實現“去匿名化”，依然是亟待解決的難題。

供應鏈安全：數據在移動網絡設備中產生，而這些設備是由多家供應商提供。同時，存在大數據平臺系統第三方供給代建設、代維護等問題，在特定階段，部分設備的操作權在供應商手中，這意味著供應鏈的各環節存在安全風險。

數據集中管理：在大數據業務應用發展的驅動下，數據由原來的各系統分散存儲轉變為大數據平臺集中存儲模式，大數據資源的安全風險更加集中，一旦發生安全事件將涉及海量客戶信息及公司數據資產。

平臺組件開源：大數據平臺多使用開源軟件，這些軟件設計初衷主要考慮高效數據處理，缺乏安全性保障，存在安全隱患。

敏感數據共享：在內部信息系統建設相對分散，敏感數據跨部門、跨系統共享留存比較常見，其中一旦存在系統安全防護措施不當，均可能發生敏感數據泄漏，造成“一點突破、全網皆失”的嚴重后果。

3 安全可信防御體系設計

如圖1所示，大數據安全可信防御體系，由網絡邊界安全、操作系統安全增強、數據（庫）安全、業務安全、運維安全五個版塊組成，圍繞各種類型數據資產，從外到內、從上到下打造立體、縱深防御體系，及時、主動識別潛在威脅，構建大數據應用更加可信的計算環境。

網絡邊界安全NGFW、漏洞掃描等下一代智能邊界防護產品，動態調整防護策略，及時感知網絡安全，面對未知威脅，能獲得更好的防護效果。

操作系統安全增強：操作系統增強系統，是在操作系統現有功能之上，新增的安全加強層，全權接管內外部交互，提供更加嚴格、更自主可控的安全管控能力，大大增強操作系統層面的安全。

數據（庫）安全：數據庫管理系統，完全自主可控，安全更有保障。通過數據庫管理系統，以及數據庫審計、數據脫敏、數據庫透明加密等外圍安全產品，可以確保各類型數據在抽取、傳輸、存儲、讀寫、共享等操作過程的安全性。

業務安全：業務監控系統，實時監測交易成功率、響應時長等性能指標，及時預警異常情況，使相關人員實時掌控業務系統健康狀況。

圖1 安全可信防御體系架構設計

運維安全：一體化運維服務管理平臺，通過對各網元日志、流量的綜合分析，及時發現異常行為，及時感知外部入侵和攻擊，維護信息系統安全。

4 安全可信防御體系關鍵技術

組織的網絡安全是一個綜合性全方位的安全防御體系，而不是單個安全產品或者多個產品簡單堆砌的安全。而一個綜合性的全方位的安全防御體系由點、線、面組成，既要有橫向的東西向的防御，也有縱向的南北向防御 ，從主機安全到網絡安全到應用安全最后數據安全，形成一個綜合有效的安全防御體系。

點是指主機和終端，除了部署傳統的網絡防病毒軟件實現對入侵到主機和終端病毒防御以外，還需要對操作系統實現強制訪問控制。

目前，我國絕大部分企事業單位使用的主機和終端的操作系統都是國外廠商輸出的，基本都處于c1或者c2的等級，屬于自主訪問控制級別無法實現操作系統的基本的安全可信，通過在主機和終端設備部署國產化操作系統增強系統，對用戶操作指令直接調用內核的行為進行強制訪問控制，所有程序對內核的調用指令都會被訪問控制列表過濾，如果是管理員授權允許的行為則放行，如果是未被授權禁止行為將被拒絕，最終實現主機和終端強制訪問控制；對于主機終端數據的采用可信國產NewSQL(結構化、半結構和非結構)數據庫并結合數據庫審計系統、數據庫加密系統實現數據庫用戶指令的監控審計并對存儲的數據進行加密，夯實數據的安全可信防御體系，最終達到主機、終端的安全可信性。

線的安全可信防御主要指在網絡邊界出口部署下一代防火墻、重要區域部署區域防火墻（包括虛擬防火墻），對流經防火墻的L2到L7層的內容進行檢查和策略的匹配、內容分析、病毒查殺，形成安全可信防御體系的第一道防御屏障，在主干網或重要的網絡內部署IPS入侵防御系統，對于繞過防火墻或者內部發起的攻擊入侵行為進行分析并能夠及時發現、及時阻斷入侵和攻擊。通過對防火墻、路由器、交換機、負載均衡等設備策略配置情況的分析利用大數據平臺綜合判斷分析，實現對數據鏈路可通達的可視化，發現刪除冗余策略、策略收斂，并根據具體數據鏈路的實際情況進行安全加固和優化，最終形成以下一代防火墻、WAF、IPS為線的安全可信的防御體系。

圖2 操作系統安全等級

安全可信防御體系的面則需要對整個防御體系的點、線串接起來，能夠對主機、終端設備、網絡設備的位置、性能、狀態、運行情況、配置做到實時監控。并通過大數據平臺能夠對這些設備產生的日志、事件進行關聯分析；實現對安全策略是否有效的分析評估和攻擊入侵事件的追蹤溯源，幫助網絡安全管理者對網絡內部存在的脆弱性發現分析；結合威脅情報分析系統對預測將要發生的攻擊并給出安全加固建議；智能深度學習網絡內各種正常的業務操作行為，并畫像建模，對未知的攻擊入侵行為進行主動防御；最終實現網絡安全事前預防、事中檢測防御、事后審計分析形成點、線、面綜合性安全可信的安全防御體系。

5 安全防御體系優勢分析

傳統的信息安全，受限于技術發展，采用被動防御方式。隨著大數據分析技術、云計算技術、SDN技術、安全情報收集的發展，信息系統安全檢測技術對安全態勢的分析越來越準確，對安全事件預警越來越及時精準，安全防御逐漸由被動防御向主動防御轉變。安全防御體系的優勢在于，當入侵行為對信息系統發生影響之前，通過構建的點、線、面綜合性安全可信的安全防御體系，能夠及時精準預警，實時構建彈性防御體系，避免、轉移、降低信息系統面臨的風險。安全防御體系優勢如下：

更智能的自我學習能力：本防御體系具備更智能的自我學習、自我更新能力，通過對本組織相關的人員機構數據、資產數據、業務數據、用戶操作行為數據、運維操作數據、內外部威脅數據、脆弱性數據信息等的不斷采集，不斷刷新，將會持續構建出更敏感、更有效的數據安全分析控制體系，識別內外部威脅更加精準，更加及時。

更高效的可信聯防機制：可信防御體系以國產核心系統為可信基，各子系統作為一個整體有機集合、無縫對接，可以加快威脅情報、防御能力在各組織、各環節、各階段、各時間周期的繼承、流轉、共享，能明顯提升應對威脅的能力和處理速度。

6 結束語

本文對大數據時代安全可信防御體系進行了探索研究，涉及點、線、面三個環節，提出了安全可信的方法進行主動立體化多維防御，采用主機防護、邊界行為分析與過濾的安全防護、核心數據審計、加密、脫敏以及采用安全可靠的基礎數據庫軟件進行主動防御，設計構建了多維度的縱深防御技術體系，為網絡與信息系統的安全可信主動防御提供技術支撐與方法參考。