有關大數據平臺的數據安全技術能力體系建設

中國人民銀行湘潭市中心支行 劉曼齊

加強大數據平臺數據安全體系建設有著重要意義，不僅能夠有效應對平臺實際所面臨的安全風險問題，同時對于增強數據信息的安全性與可靠性有著積極的促進作用。文章首先對推進大數據平臺數據安全技術能力體系建設的重要意義進行分析，接著探討大數據平臺的數據安全問題，并基于安全體系設計原則就大數據平臺數據安全技術能力體系建設提出幾點建議，以期為同類型工作提供一定的借鑒與參考。

在大數據等新技術應用規模不斷增長的同時，數據安全問題愈發得到各方的重視，如何進一步提高大數據平臺的數據安全管控水平成為業界重點關注的話題。由于大數據平臺中涉及到海量數據信息，在實際管理工作中存在較大難度，同時潛在的數據安全風險問題也會對大數據平臺的穩定有序運行造成嚴重的不利影響[1]。因此，下文將對大數據平臺的數據安全技術體系建設進行研究和分析，以此為數據安全管控提供良好支持與保障。

1 大數據平臺數據安全技術能力體系建設的重要意義

從當前階段的實際情況不難看出，大數據平臺的用戶逐漸增長，然而由于平臺中會涉及到海量數據信息，如果數據管理體系處于零散化、片面化狀態，便無法為數據安全管控提供良好的支持與保障。因此，積極推進大數據平臺的數據安全體系建設不僅是時代進步發展背景下的必然要求，同時也是為了有效緩解現階段大數據平臺發展進程中數據安全風險問題所引發的不利影響[2]。由此可見，加強數據安全技術能力體系建設，不僅可以更好地滿足用戶對于大數據平臺的安全需求，同時對于提升數據信息的安全性和可靠性有著積極的促進作用，進而讓大數據平臺的重要價值和功能得到更加穩定和充分的發揮。

2 大數據平臺所主要面臨的數據安全問題

(1)數據資產的梳理存在較大難度。與傳統結構化數據進行比較而言，大數據平臺中所涉及到的非結構化數據，在對需要保護的敏感數據進行搜集和識別上存在更高的困難程度[3]。例如，某企業在實際經營管理中所運用的大數據平臺，由于企業各部門的業務表現出相應的獨立性，同時在不同部門間的業務上還存在一定的重疊內容，導致部分員工無法對現有數據進行分類、分級，并做出合理判斷。通常而言，采取人工鑒別方式，則實際所需要的勞動量十分巨大。

(2)現階段有關大數據平臺安全基線的檢測通常需要較長周期，在發現、驗證大數據平臺本身安全漏洞上缺乏足夠的時效性[4]。此外，由于大數據平臺涉及到諸多節點和組件，如果單純憑借人工方式定期開展風險檢測以及安全評估活動，那么實際工作效率及質量無法得到有效保障。

(3)從分布狀態上來看，大數據平臺中的敏感數據資產較為離散，無法就此建立具有針對性的數據安全管控機制。仍以某企業所運用的大數據平臺為例，在各業務系統和存儲載體中客戶信息、經營數據等敏感數據處于游離的分布狀態，此類數據信息不僅數量巨大，同時受到應用場景的差異性，數據類別及形態也會發生變化[5]。在此條件下，便較為困難運用傳統技術手段就大數據平臺中的客戶信息做出有效的識別、脫敏、溯源，在客戶信息操作行為審計上同樣存在較大難度。

3 大數據平臺數據安全體系的設計原則

對于大數據平臺數據安全技術能力體系建設而言，首先要切實把握全面性原則，要根據實際情況對大數據平臺安全建設的全生命周期予以考慮，不僅要關注局部的細節方面，同時要確保從整體上對整個建設流程進行涵蓋。其次，將實用性原則寓于建設過程中，在推進數據安全體系建設的過程中要最大限度上考慮大數據平臺的實際使用需求，以此在確保數據安全管控水平的基礎上讓大數據平臺能夠充分發揮自身的預期功能[6]。此外，在體系建設中要遵循平衡性原則，一方面要特別關注科學管理的重要作用，另一方面則是要保證技術得到有效運用，從不同層面為數據信息的安全性與可靠性提供良好保障。不僅要確保內部管理的科學性，也要保證對外的保護符合規范標準以及一系列的風險評估要求。

4 大數據平臺數據安全技術能力體系建設思路

4.1 大數據平臺基線檢測能力

要結合大數據平臺的實際情況，針對其中一系列的基礎設施和應用組件提出相應的安全能力要求，通過科學有效的基礎安全配置，并施以合理化的技術管控手段，以此避免由于組件配置不當或技術手段不足所引發安全風險問題[7]。可根據實際情況運用如下兩點技術就大數據平臺開展基線檢測。

(1)多組件信息主動探測技術。布設并發揮采集引擎的功能，以此對有關組件的信息內容進行收集，并將反饋信息傳遞至后臺做出比對，以此確定有關組件的脆弱性信息。(2)超文本、XML標記抽取技術。超文本標記抽取主要通過端口、Http包頭、Banner信息、指紋信息等進行實現；發揮XML可擴展語言的特性，就端口返回的XML做出特定抽取，以此得到有關大數據集群的信息內容。

4.2 大數據平臺數據資產識別

對于數據資產識別而言，主要有如下三個方面的內容：數據資產識別、敏感數據發現、敏感數據識別規則等內容。

(1)識別數據資產。按照相應的識別規則，全量掃描大數據平臺中Hive、Hbase數據，根據實際所得到的掃描結果建立有關敏感數據資產的全景視圖，如此一來，不僅能夠為數據采集、存儲、分析使用等流程的制定提供便利指導，同時對于數據共享使用也有著良好的支持作用。(2)發現敏感數據。可根據實際情況選用敏感數據掃描識別算法，以多模式模糊匹配的形式對敏感數據做出及時有效的識別[8]。(3)敏感數據識別規則。根據敏感數據特征，如關鍵詞、數據類型、長度等一系列特征，通過多模式模糊匹配算法開展大規模的模糊匹配工作，以此提高匹配和識別效率。

4.3 數據采集安全技術

要從整體上對大數據平臺數據安全體系做出系統設計，以此為數據采集的安全性與可靠性提供良好保障。通常而言，在安全體系的整體建設過程中，需要對大數據網絡安全域做出合理劃分，即數據采集子域（針對內部數據的采集、針對外部的數據采集）、數據計算存儲子域（針對不同分布列式的數據存儲、針對不同用戶信息和數據資料分類的存儲、數據信息分發過程、數據分布式計算等設備所在區域）、管理子域（前臺及后臺業務管理平臺、網絡實時監控、數據安全審計設備所在區域）[9]。此外，要根據各子域以及各區域的實際情況，以VLAN劃分、強化防火墻部署等舉措提高安全防護力度，以此對大數據平臺中潛在的用戶差異性信息做出相應的隔離與保護。

4.4 數據存儲安全技術

對于大數據平臺的數據存儲方式而言，主要涉及到分布式文件存儲、分布式數據庫存儲等兩種方式。然而從工作實踐中可以看出，兩種存儲方式所運用的加解密技術有所不同。

此處以分布式文件存儲為例，其所運用加解密技術的主要工作原理是針對存儲空間做出相應的加解密管理，如果所存儲文件存在加密的儲存需求，大數據平臺則以自動形式將其存儲至需要加密的區域。在此過程中，只有得到身份授權的用戶可以通過驗證的方式對數據信息進行訪問；如果并未得到身份認證則無法對相關數據信息進行讀取[10]。解密步驟如下：加密區域密鑰會保存在密鑰管理系統中，用戶如果在加密區域建立源文件或子文件時，加密組件則會從KMS上申請密鑰，加密組件Proxy在得到信息密鑰后，向KMS提出申請，對EDEK做出解密處理。

4.5 大數據平臺脫敏

對Hadoop組件的Hive、Hbase進行數據脫敏。結合語法特征將安全脫敏策略配置到數據流轉過程中，以此實現對于流量中的請求訪問語句的匹配識別和處理，在此方面需要對如下三點予以重點關注：(1)可以結合具體需求對不同敏感數據選用差異化的敏感數據脫敏算法；(2)確保脫敏算法添加或刪除的動態性；(3)保護細粒度的敏感數據，要結合用戶的查詢需求合理選用脫敏算法，以此確保在實現脫敏效果的基礎上不會對用戶的實際體驗造成不利影響。

4.6 身份認證與數據審計

針對大數據平臺的身份信息做出有效管理，通過加密信息權限的方式為數據信息安全提供保障。在對平臺中用戶信息進行訪問的過程中會留下相應的印記，通過對此印記的分析，保證訪問記錄的安全性與可靠性。通常而言，訪問權限安全技術的實際操作過程主要有兩個方面：

(1)在訪問大數據平臺時需經過訪問認證，正確完成認證后才可以順利進入系統，屬于當前階段在網絡安全技術中較為常見的CA身份認證技術。用戶在對大數據平臺安全系統進行訪問前，需通過身份認證系統完成認證識別，接著經過訪問監控模塊，系統會結合用戶的實際身份以及具體授權情況給出相應的反饋。從認證方式上來看，通過密碼、數字證書、數字簽名、指紋虹膜等二者結合實現對用戶身份認證的雙因子認證方式，在現階段的實際應用較為廣泛，這種身份認證技術以口令形式開展權限管理和登錄活動，用戶通過雙因子認證后便可以在大數據平臺中得到相關的數據信息內容。

(2)發揮計算機網絡的媒介作用，通過對數據行為的審計分析，即對用戶訪問記錄和權限進行分析，依托數據庫審計的方式開展實時的記錄活動，不僅可以有效提高操作行為的規范性以及審計工作的一致性，同時在數據庫信息面臨風險問題時，數據庫信息系統會對此進行告警，并及時分析和阻斷風險行為。此外，在綜合考慮多條件關聯的前提下運用審計分析策略，可以對大數據日志做出更加直觀的展示，實際所展示出的內容不僅包含行為主體身份和時間地點，同時也包括采用哪種方式、做出哪些操作以及最終的操作結果等。通過4A統一安全管控平臺（“4A”主要是指為企業提供集中的賬號Account、認證Authentication、授權Authorization、審計Audit管理技術支撐及配套流程，提升系統安全性和可管理能力）實現IT資源集中管理，可以促進審計得到集中化管理和控制，大數據平臺審計的實時性以及可視性能夠得到進一步保障。這種數據庫審計方法可以以內部、外部相結合的方式更好地記錄數據庫網絡信息行為，信息資產的安全性與可靠性得到有效保障。如表1、表2所示，上述技術方法適用于用戶數據訪問認證和審計分析。

表2 用戶數據行為審計分析機制架構Tab.2 Architecture of user data behavior audit analysis mechanism

5 結語

總之，大數據平臺發揮其價值和功能的同時，其數據信息的安全風險問題應受到重視。對此，在數據平臺的數據安全技術能力體系建設中，理清數據安全管控的流程與思路，做好大數據平臺基線檢測能力、數據資產識別、數據采集安全技術、數據存儲安全技術、大數據平臺脫敏、身份認證與數據審計等非常必要。目前，上海已設立的數據交易所，是對數據安全可信交易生態建立做出的初步探索，但大數據的合規、數據運維、數據確權、數據定價、商業模式等難題仍然亟待解決，加快數字化轉型，以大促使數字經濟活力得到有效激發。