楊雪濤

（中國移動通信集團四川有限公司，成都 610041）

無線音樂業(yè)務敏感數(shù)據(jù)保護技術(shù)研究

楊雪濤

（中國移動通信集團四川有限公司，成都 610041）

中國移動無線音樂基地從2005年創(chuàng)立至今，得到了飛速的發(fā)展，目前用戶規(guī)模超過1億，在業(yè)務快速發(fā)展的同時，如何保護好上億用戶的個人敏感數(shù)據(jù)，成為音樂基地信息安全管理的一個重大課題。本文結(jié)合音樂基地個人敏感信息的特點和網(wǎng)絡(luò)系統(tǒng)架構(gòu)的實際，綜合運用業(yè)務應用敏感數(shù)據(jù)檢測等技術(shù)，探索實現(xiàn)了一種保護音樂基地敏感數(shù)據(jù)的方法。

信息安全；敏感數(shù)據(jù)；數(shù)據(jù)保護

1 研究背景

隨著信息技術(shù)的高速發(fā)展，用戶私人信息的泄露情況也日益嚴重，已經(jīng)成為一種亟待解決的社會現(xiàn)象，據(jù)統(tǒng)計88.9%的人表示曾因個人信息泄露遭遇困擾，其中84.2%的人認為個人電話號碼最需要立法保護。電信企業(yè)擁有大量有價值用戶信息和自身敏感的商業(yè)數(shù)據(jù)，成為信息泄露源頭之一。

目前音樂基地業(yè)務量已達到很大的規(guī)模，敏感數(shù)據(jù)主要存在于音樂基地六大門戶（WWW網(wǎng)站， WAP門戶，IVR門戶，手機客戶端，PC客戶端，短信門戶）、業(yè)務系統(tǒng)及中音平臺中，涵蓋生產(chǎn)系統(tǒng)、支撐系統(tǒng)、測試系統(tǒng)、已備份的數(shù)據(jù)等各個層面。

從數(shù)據(jù)內(nèi)容來看，敏感數(shù)據(jù)主要包括用戶個人手機號碼、用戶個人鈴音庫、集團客戶資料等。

從訪問者、訪問途經(jīng)的角度來分析，音樂基地敏感數(shù)據(jù)的泄露存在于以下幾個環(huán)節(jié)中。

（1） 開發(fā)環(huán)節(jié)：涉及集成商、第三方、音樂基地開發(fā)和測試人員、外圍系統(tǒng)人員(包括應用開發(fā)環(huán)節(jié)、數(shù)據(jù)遷移、應用接口、應用測試等環(huán)節(jié))。

（2） 運維環(huán)節(jié)：涉及音樂基地維護人員、代維廠商(包括主機管理、數(shù)據(jù)庫管理、應用管理、安全管理、存儲管理、網(wǎng)絡(luò)管理等環(huán)節(jié))。

（3） 使用環(huán)節(jié)：涉及音樂基地業(yè)務支撐部門以外的業(yè)務部門和人員包括客戶服務環(huán)節(jié)（營業(yè)廳、客服坐席、跨區(qū)服務面向最終用戶服務、渠道或代銷合作伙伴。

目前，音樂基地已經(jīng)建立了比較完善的管理制度，同時結(jié)合身份認證、訪問控制、后臺審計等技術(shù)手段來進行數(shù)據(jù)安全管理，但這些技術(shù)手段主要是從訪問者的行為角度對其訪問行為進行記錄和審計，以訪問控制為基礎(chǔ)，達到防止違規(guī)訪問的目的，并通過日志審計對合法訪問者的訪問進行審計。但現(xiàn)有的這些手段難以從業(yè)務流中識別非法者的訪問，綜合以往的信息泄露事件來看，敏感信息的泄露，往往是具有合法身份的人對敏感數(shù)據(jù)合法或非法的訪問。如果合法訪問者采取較為隱蔽、復雜的方式訪問敏感數(shù)據(jù)，如采用跳轉(zhuǎn)、運行腳本等，則很難單純地利用審計日志分析其行為的合法性。

為了達到防止音樂基地敏感數(shù)據(jù)泄露的目的，除了需要建立完善的訪問控制機制來控制、審計訪問行為外，還需要從網(wǎng)絡(luò)數(shù)據(jù)流中感知傳輸?shù)拿舾袛?shù)據(jù)、分析敏感數(shù)據(jù)全局網(wǎng)絡(luò)流向，關(guān)聯(lián)分析訪問行為，從而全面發(fā)現(xiàn)并防止敏感數(shù)據(jù)的非法訪問。

2 無線音樂業(yè)務敏感數(shù)據(jù)保護技術(shù)研究

2.1 當今主流的敏感數(shù)據(jù)保護技術(shù)及優(yōu)點

當今主流的敏感數(shù)據(jù)保護技術(shù)主要是通過數(shù)據(jù)采集、數(shù)據(jù)還原、數(shù)據(jù)檢測及分析等方法來實現(xiàn)的。

圖1 當今主流的敏感數(shù)據(jù)保護技術(shù)

2.1.1 鏡像數(shù)據(jù)接入采集及還原技術(shù)

數(shù)據(jù)采集通過普通網(wǎng)卡或是專用采集卡來實現(xiàn)。采用專門定制的智能網(wǎng)卡，智能網(wǎng)卡能夠接入2～4個吉比特以太網(wǎng)線路，能線速處理2 Gbit/s以上流量。

對于網(wǎng)絡(luò)數(shù)據(jù)流量的采集可以通過在核心交換機上鏡像數(shù)據(jù)或是對核心交換鏈路進行分光，復制出網(wǎng)絡(luò)數(shù)據(jù)流，然后通過對網(wǎng)絡(luò)數(shù)據(jù)流利用旁路捕分組技術(shù)，實現(xiàn)對網(wǎng)絡(luò)數(shù)據(jù)的采集。網(wǎng)絡(luò)數(shù)據(jù)底層采用UDP、TCP/ IP進行傳輸，對采集的網(wǎng)絡(luò)數(shù)據(jù)按照UDP、TCP/IP協(xié)議規(guī)范進行還原、重組，得到目前網(wǎng)絡(luò)中交互的各種數(shù)據(jù)。

2.1.2 業(yè)務應用敏感數(shù)據(jù)檢測技術(shù)

對于業(yè)務應用敏感數(shù)據(jù)的保護，首先在于能夠識別出網(wǎng)絡(luò)中傳送的業(yè)務數(shù)據(jù)流，并能夠區(qū)分出敏感的業(yè)務內(nèi)容。

（1）IP業(yè)務流自動識別模型。目前業(yè)務識別技術(shù)是基于五元組（IP協(xié)議字段、IP源目的地址、TCP源目的端口號）的流分類技術(shù)，但對于上層的應用協(xié)議識別技術(shù)的算法研究并不多，實際可行的成熟算法實現(xiàn)并不多見。流分類技術(shù)分關(guān)鍵性在于查找的時間效率和空間效率，算法已經(jīng)比較成熟。

（2）基于業(yè)務流的敏感內(nèi)容檢測模型。目前對于敏感內(nèi)容的檢測，主要基于深度分組檢測技術(shù)即DPI技術(shù)來實現(xiàn)。DPI是一種基于應用層的流量檢測和控制技術(shù)，當IP數(shù)據(jù)分組、TCP或UDP數(shù)據(jù)流通過基于DPI技術(shù)的帶寬管理系統(tǒng)時，該系統(tǒng)通過深入讀取IP分組載荷的內(nèi)容來對OSI 7層協(xié)議中的應用層信息進行重組，從而得到整個應用程序的內(nèi)容，然后按照系統(tǒng)定義的管理策略對流量進行整形操作。對與網(wǎng)絡(luò)中傳遞的數(shù)據(jù)內(nèi)容的檢測，目前采用基于“特征字”的識別技術(shù)；應用層網(wǎng)關(guān)識別技術(shù)；行為模式識別技術(shù)方式來實現(xiàn)。

2.2 無線音樂基地敏感數(shù)據(jù)保護所采用的主要技術(shù)及優(yōu)點

在音樂基地目前的網(wǎng)絡(luò)環(huán)境中，通過對核心交換鏈路的分光/鏡像等技術(shù)手段，旁路采集網(wǎng)絡(luò)數(shù)據(jù)流并進行重組、還原，然后通過應用業(yè)務自動識別，發(fā)現(xiàn)業(yè)務數(shù)據(jù)流，并對業(yè)務交互中出現(xiàn)的敏感內(nèi)容進行識別，從而對訪問敏感內(nèi)容的行為進行監(jiān)管。

2.2.1 鏡像數(shù)據(jù)接入采集及還原技術(shù)

2.2.1.1 鏡像/分光采集

音樂基地網(wǎng)絡(luò)環(huán)境具有高帶寬的特點，采用了專門定制的智能網(wǎng)卡，能夠接入2～4個吉比特以太網(wǎng)線路，能線速處理2Gbit/s以上流量，并且通過零拷貝技術(shù)將數(shù)據(jù)報文直接送到監(jiān)控程序運行的用戶態(tài)，從而將整個監(jiān)控系統(tǒng)在鏡像數(shù)據(jù)接入采集上的計算資源消耗降低到小于1%的CPU消耗。同時，智能網(wǎng)卡能夠?qū)笪倪M行同源同宿的分流，即在確保報文同源同宿的情況下把報文送到多個不同的緩沖區(qū)中，這樣監(jiān)控程序才可以充分發(fā)揮多核CPU硬件系統(tǒng)的計算能力。

2.2.1.2 網(wǎng)絡(luò)協(xié)議還原

協(xié)議分析還原技術(shù)從IP分片報文開始，一直到應用層的HTTP會話，一層層進行協(xié)議還原，首先完成IP分片的重組，獲得完整的IP報文后進行TCP會話重組，獲得TCP的原始報文流以后進行HTTP協(xié)議還原，對壓縮內(nèi)容進行解壓，從而獲得完整的HTTP會話數(shù)據(jù)。

IP分片和完整IP報文差不多擁有相同的IP頭，ID域?qū)τ诿總€分片都是一致的，這樣才能在重新組裝的時候識別出來自同一個IP報文的分片。在IP頭里面，16bit識別號唯一記錄了一個IP分組的ID，具有同一個ID的IP分片將會重新組裝；而13bit片偏移則記錄了某IP片相對整個分組的位置；而這兩個表中間的3bit標志則標志著該分片后面是否還有新的分片。這3個標志就組成了IP分片的所有信息，接受方就可以利用這些信息對IP數(shù)據(jù)進行重新組織。

分片重組是IP層一個最重要的工作，其處理的主要思想：必須進行分片的報文分組，在IP數(shù)據(jù)分組的報頭有若干標識域注明分片分組的共同標識號、分片的偏移量、是否最后一片及是否允許分片。傳輸途中的網(wǎng)關(guān)利用這些標識域進行分片，有主機把收到的分片進行重組以恢重數(shù)據(jù)。因此，分片分組在經(jīng)過網(wǎng)絡(luò)監(jiān)測設(shè)備、安全設(shè)備、系統(tǒng)管理設(shè)備時，為了獲取信息、處理數(shù)據(jù)，往往必須完成數(shù)據(jù)分組的分片或重組。

2.2.1.3 TCP數(shù)據(jù)流重組

建立TCP流需要進行三次握手信息，當斷開連接時需要四次握手信息，具體交互如圖2所示。

圖2 TCP三次握手技術(shù)

由于網(wǎng)絡(luò)的復雜性，TCP協(xié)議還規(guī)定了重發(fā)機制以保證數(shù)據(jù)流的完整性，同時不同的TCP數(shù)據(jù)分組，由于網(wǎng)絡(luò)時延、數(shù)據(jù)分組丟失等原因，可能會產(chǎn)生分組亂序現(xiàn)象，因此對于整個TCP數(shù)據(jù)流的處理，遠比對單個分組進行檢測難度大很多。著眼于大流量高速TCP流的重組還原，具體需要考慮TCP數(shù)據(jù)流高速緩存查找算法和TCP數(shù)據(jù)分組快速排序算法。

2.2.2 業(yè)務應用敏感數(shù)據(jù)檢測技術(shù)

對網(wǎng)絡(luò)數(shù)據(jù)流進行還原后需要針對業(yè)務應用場景進行業(yè)務流的識別，以準確定位含敏感內(nèi)容的業(yè)務交互。

基于流的敏感內(nèi)容檢測模型是針對識別到的業(yè)務流結(jié)合特征字檢測、行為模式分析等手段對整個業(yè)務流進行監(jiān)測，從而判定業(yè)務流中是否存在敏感數(shù)據(jù)內(nèi)容。

2.2.2.1 敏感數(shù)據(jù)特征庫

建立敏感數(shù)據(jù)多維特征庫，以識別傳輸內(nèi)容中是否含有敏感數(shù)據(jù)。敏感數(shù)據(jù)特征庫應包含以下3個方面。

（1） 敏感數(shù)據(jù)存放特征：對于數(shù)據(jù)庫中存放的敏感數(shù)據(jù)包括了數(shù)據(jù)庫服務器地址、數(shù)據(jù)庫服務端口、數(shù)據(jù)庫類型、數(shù)據(jù)庫實例名、表名、數(shù)據(jù)表結(jié)構(gòu)描述等信息；對于存放于主機中的敏感數(shù)據(jù)文件，包括主機地址、開放協(xié)議類型、端口、文件存放路徑、文件名格式描述等信息。

（2） 敏感數(shù)據(jù)內(nèi)容特征：包括敏感數(shù)據(jù)內(nèi)容格式特征、敏感數(shù)據(jù)關(guān)鍵字特征、敏感數(shù)據(jù)類型特征等。

（3） 敏感數(shù)據(jù)操作命令特征：包括HTTP請求命令特征、FTP操作命令特征、Telnet執(zhí)行命令特征、數(shù)據(jù)表查詢命令特征等。

2.2.2.2 敏感數(shù)據(jù)內(nèi)容發(fā)現(xiàn)

根據(jù)敏感數(shù)據(jù)多維特征庫，利用模式識別技術(shù)對解析后的內(nèi)容，進行模式識別，判斷是否進行敏感數(shù)據(jù)訪問，獲取相應的訪問方式等信息。主要包括以下兩方面的識別。

（1） 訪問目標識別：根據(jù)訪問目標的IP、端口等要素，結(jié)合敏感數(shù)據(jù)存放特征和敏感數(shù)據(jù)操作命令特征進行匹配，判斷訪問目標是否存放有敏感數(shù)據(jù)。

（2） 訪問內(nèi)容識別：根據(jù)解析、還原出來的應用協(xié)議內(nèi)容，結(jié)合敏感數(shù)據(jù)內(nèi)容特征，判斷是否正在訪問敏感內(nèi)容。

2.2.2.3 訪問行為分析

訪問行為分析是根據(jù)解析訪問者的HTTP請求命令、FTP操作命令、Telnet執(zhí)行命令、數(shù)據(jù)庫操作命令等信息，綜合回應的內(nèi)容、流量、數(shù)據(jù)來源等信息，并關(guān)聯(lián)其它系統(tǒng)提供的如訪問者身份、操作日志等信息進行分析以確定訪問行為。

3 無線音樂業(yè)務敏感數(shù)據(jù)保護技術(shù)實踐

在無線音樂基地敏感數(shù)據(jù)保護工作中，首先在核心交換機處部署鏡像分光設(shè)備，用以采集網(wǎng)絡(luò)訪問數(shù)據(jù)，之后將這些數(shù)據(jù)傳送到數(shù)據(jù)庫分析服務器、數(shù)據(jù)庫服務器、Web等服務器，對業(yè)務流中敏感數(shù)據(jù)的還原、分析、保存。對識別出的違規(guī)使用敏感信息行為進行告警。

系統(tǒng)測試組網(wǎng)如圖3所示。

圖3 系統(tǒng)測試組網(wǎng)圖

（1） 采集服務器：抓取從核心交換機鏡像出來的數(shù)據(jù)。

（2） 數(shù)據(jù)分析服務器：對還原、重組后的TCP數(shù)據(jù)流進行包括業(yè)務應用協(xié)議識別、敏感內(nèi)容識別等分析。

（3） 數(shù)據(jù)庫服務器：用于存儲還原后的原始數(shù)據(jù)，并提供關(guān)聯(lián)分析的基礎(chǔ)。

（4） Web展現(xiàn)服務器：提供用戶訪問的UI。

要實現(xiàn)對無線音樂敏感信息的保護，還有一項重要工作，就是對敏感數(shù)據(jù)特征庫的配置。這需要基于對目前無線音樂業(yè)務敏感數(shù)據(jù)的全面準確的調(diào)研，包括對存儲有敏感信息的數(shù)據(jù)庫的表、字段等特征進行詳細的調(diào)研，同時對合法訪問這些敏感信息的途徑進行統(tǒng)計和抽象提取；除此之外，還需要對無線音樂敏感信息的內(nèi)容特征進行統(tǒng)計和抽象提取，如手機號碼、身份證號碼等這些字段的特征。

在把上述信息統(tǒng)計好后，配置到數(shù)據(jù)庫服務器的應用中，就可以對還原的網(wǎng)絡(luò)數(shù)據(jù)流進行關(guān)聯(lián)分析了，對發(fā)現(xiàn)的不合規(guī)的敏感信息訪問和操作行為，即可視為對敏感信息的非法訪問，從而予以識別和告警。

在實際應用中，獲得的統(tǒng)計數(shù)據(jù)如表1所示。

表1 系統(tǒng)測試數(shù)據(jù)

4 結(jié)束語

目前無線音樂業(yè)務往往面臨兩難境地，一方面，為使信息的價值實現(xiàn)最大化，它們必須向員工、商業(yè)伙伴和顧客公開信息；另一方面，這種公開使企業(yè)難以進行訪問控制，也難以限制信息被復制的次數(shù)，給對敏感數(shù)據(jù)的保護帶來一定難度。

本文總結(jié)了前期無線音樂基地探索實現(xiàn)敏感信息保護所采取的一些嘗試和努力，在實際的工作中發(fā)揮了較好的作用，為移動數(shù)據(jù)業(yè)務發(fā)展中敏感信息防護提供了一套有益的解決思路和方法。

隨著移動互聯(lián)網(wǎng)的不斷發(fā)展，提供給用戶的業(yè)務越來越開放，敏感信息的防護也面臨越來越嚴峻的挑戰(zhàn)，敏感信息防護技術(shù)也必將隨之不斷發(fā)展。無線音樂基地也將持續(xù)關(guān)注敏感信息防護技術(shù)的最新發(fā)展，不斷提升敏感信息的防護力度，以確保無線音樂業(yè)務的健康發(fā)展。

[1] Stallings William著, 瀟湘工作室譯. 網(wǎng)絡(luò)安全要素——應用與標準[M]. 北京：人民郵電出版社, 2000,9.

[2] Housley R. Internet X.509 Public Key Infrastructure Certificate and CRL Profile,RFC2459[S]. January 1999.

[3] 劉樂偉. 面向數(shù)據(jù)發(fā)布的隱私保護技術(shù)研究[J]. 數(shù)字技術(shù)與應用，2012,(12).

[4] 王波，楊靜. 數(shù)據(jù)發(fā)布中的個性化隱私匿名技術(shù)研究[J]. 計算機科學，2012,(04).

[5] 韓璐. 針對推薦系統(tǒng)中信息共享需求下隱私保護機制的研究與實現(xiàn)[D]. 南京：華東師范大學，2011.

[6] 張立豐. 基于動態(tài)數(shù)據(jù)集面向多敏感屬性的隱私保護技術(shù)研究[D]. 呼和浩特：內(nèi)蒙古科技大學，2011.

News

泰克最新前沿相干光測試完整解決方案

泰克公司日前在亞洲光纖通信與光電國際會議 (ACP 2013)上展出了其最新前沿相干光測試完整解決方案，其中包括寬帶OFDM光通信系統(tǒng)測試解決方案、400G/1Tbit/s多載波相干光調(diào)制方案以及40G/100G光通信一致性解決方案。

在大會現(xiàn)場，泰克專家向與會觀眾介紹了泰克寬帶OFDM光通信系統(tǒng)測試解決方案，這是一套結(jié)合了泰克最新推出的AWG70000任意波形發(fā)生器與高帶寬的DSA73304D數(shù)字熒光示波器組成的無縫測試解決方案。AWG70000采樣率高達50GS/s、帶寬高達20GHz，可以直接生成現(xiàn)代相干光通信系統(tǒng)要求的IQ基帶信號，而DSA73304D高達33 GHz的帶寬、100GS/s采樣率，以及PDOJET專業(yè)抖眼圖動測試軟件、SignalVu（OFDM）信號分析專業(yè)軟件，完美滿足了接收機測試對高帶寬、高性能示波器的要求。

Research on wireless music business sensitive data protection technology

YANG Xue-tao
(China Mobile Group Sichuan Co., Ltd., Chengdu 610041, China)

China Mobile Wireless Music Base was founded in 2005, has been rapid development, at present the user scale more than 100,000,000, in the rapid development of the business, how to protect sensitive personal data of millions of users, has become an important research topic music base for information security management. In this paper, sensitive personal information music base characteristics and the actual network system architecture, comprehensive use of business application of sensitive data detection technology, exploring music base to achieve a kind of protection sensitive data.

information security; sensitive data; data protection

TN918

A

1008-5599（2013）12-0055-05

2013-06-08