摘 要：隨著2018年4月的《大數(shù)據(jù)安全標(biāo)準(zhǔn)化白皮書(shū)》的發(fā)布，大數(shù)據(jù)安全現(xiàn)在已經(jīng)上升為國(guó)家戰(zhàn)略，而數(shù)據(jù)也被視為國(guó)家的基礎(chǔ)性戰(zhàn)略資源受到保護(hù)。現(xiàn)如今各行各業(yè)都在投入大量精力收集數(shù)據(jù)、分析數(shù)據(jù)、挖掘數(shù)據(jù)，進(jìn)而推動(dòng)整個(gè)行業(yè)的發(fā)展。然而在享受大數(shù)據(jù)帶來(lái)的紅利時(shí)，越來(lái)越多的數(shù)據(jù)被開(kāi)放共享、交叉使用，其所帶來(lái)的安全問(wèn)題日益凸顯。以下就以平遙智慧城市項(xiàng)目為例來(lái)介紹數(shù)據(jù)安全的重要性以及為此所提出的保障方法。

關(guān)鍵詞：大數(shù)據(jù)；數(shù)據(jù)安全；網(wǎng)絡(luò)攻擊

1數(shù)據(jù)安全的重要性

1.1數(shù)據(jù)安全

數(shù)據(jù)安全分為數(shù)據(jù)自身的安全和數(shù)據(jù)防護(hù)的安全。

（1）數(shù)據(jù)自身的安全主要是指通過(guò)一定的加密算法確保數(shù)據(jù)安全，如數(shù)字水印、數(shù)字簽名等。

（2）數(shù)據(jù)防護(hù)安全主要是指數(shù)據(jù)在傳輸和存儲(chǔ)使用過(guò)程中進(jìn)行的主動(dòng)防護(hù)。其中尤以數(shù)據(jù)存儲(chǔ)的防護(hù)安全為重點(diǎn)。

非法獲取數(shù)據(jù)的途徑有很多種，但入侵?jǐn)?shù)據(jù)存儲(chǔ)核心的數(shù)據(jù)中心機(jī)房無(wú)疑是最方便最高效的方式。在移動(dòng)支付如支付寶微信支付等普及以前，網(wǎng)銀是線上支付的主流選擇，網(wǎng)絡(luò)上充斥著各種釣魚(yú)網(wǎng)站來(lái)竊取用戶(hù)資料，而這些釣魚(yú)網(wǎng)站很快會(huì)被舉報(bào)查封，所以這樣獲取的用戶(hù)信息其實(shí)是很有限的。就在攜程網(wǎng)泄漏用戶(hù)資料后的2018年8月28日，暗網(wǎng)又公開(kāi)兜售華住旗下酒店的客戶(hù)數(shù)據(jù)，包括漢庭、桔子、全季、宜必思在內(nèi)十幾家酒店的大約5億條數(shù)據(jù)信息。這些信息中包含姓名、身份證號(hào)碼、手機(jī)號(hào)，甚至有家庭住址。而調(diào)查的原因是內(nèi)部工作人員與競(jìng)爭(zhēng)對(duì)手勾結(jié)入侵了華住數(shù)據(jù)中心。

通過(guò)近幾年爆發(fā)的大規(guī)模數(shù)據(jù)泄露事件可以看出，以數(shù)據(jù)存儲(chǔ)為核心的數(shù)據(jù)中心成為了數(shù)據(jù)泄露的重災(zāi)區(qū)，也是各種黑客和網(wǎng)絡(luò)攻擊重點(diǎn)關(guān)注的地方。

作為平遙縣智慧城市項(xiàng)目的基礎(chǔ)，城區(qū)數(shù)據(jù)中心已于2017年12月建成并投入使用。業(yè)務(wù)包括：移動(dòng)辦公、綜合治理、智慧教育、智慧旅游、智慧醫(yī)療等多種服務(wù)。在最初接觸城區(qū)數(shù)據(jù)中心管理工作時(shí)候，對(duì)現(xiàn)在的網(wǎng)絡(luò)攻擊一無(wú)所知。直到承擔(dān)智慧醫(yī)療試點(diǎn)工作的4臺(tái)服務(wù)器被攻破，導(dǎo)致整個(gè)醫(yī)療試點(diǎn)項(xiàng)目前期工作白費(fèi)的時(shí)候，才知道公網(wǎng)上跑服務(wù)是要面對(duì)多大挑戰(zhàn)。為此，與工程師一起做了個(gè)實(shí)驗(yàn)：在公網(wǎng)環(huán)境中從城區(qū)數(shù)據(jù)中心物理服務(wù)器上開(kāi)通一臺(tái)虛擬化的服務(wù)器，并設(shè)定密碼為Admin@123，同時(shí)用公網(wǎng)遠(yuǎn)程訪問(wèn)此服務(wù)器，不到5分鐘提示遠(yuǎn)程登錄密碼不正確。通過(guò)FusionCompute管理平臺(tái)查看服務(wù)器卻顯示CPU以及內(nèi)存全部100%運(yùn)行。也就是說(shuō)在這不到5分鐘時(shí)間里，此虛擬服務(wù)器被網(wǎng)絡(luò)攻擊攻破，并在此服務(wù)器中注入了“永恒之藍(lán)”勒索病毒的變異挖礦惡意程序，耗光了該服務(wù)器所有資源，成了網(wǎng)絡(luò)上的“肉雞”。

1.2數(shù)據(jù)安全的重要性

數(shù)據(jù)安全涉及各行業(yè)各領(lǐng)域各群體。在所有關(guān)乎民眾以及國(guó)家戰(zhàn)略數(shù)據(jù)的研究與使用中，其初衷是為了服務(wù)民眾以及為各種決策制定作出參考。然而在實(shí)際操作中，人性陰暗面展現(xiàn)的同樣“精彩”。

現(xiàn)有平遙智慧城市項(xiàng)目的諸多服務(wù)中，尤以智慧醫(yī)療最貼近百姓生活。因?yàn)獒t(yī)療數(shù)據(jù)覆蓋全員人口和全生命周期，涉及國(guó)家戰(zhàn)略安全和人民生命安全。積極的一面是：通過(guò)對(duì)健康醫(yī)療大數(shù)據(jù)進(jìn)行標(biāo)準(zhǔn)化治理、綜合行業(yè)數(shù)據(jù)、深度挖掘分析，可以達(dá)到優(yōu)化醫(yī)療衛(wèi)生資源配置、改善醫(yī)療服務(wù)、提升管理水平、為政府決策提供幫助、推動(dòng)經(jīng)濟(jì)發(fā)展的效果。然而，如果醫(yī)療數(shù)據(jù)泄露將會(huì)導(dǎo)致非常嚴(yán)重的后果。

通過(guò)醫(yī)療數(shù)據(jù)的收集并結(jié)合相關(guān)人口信息，如果某縣百姓患結(jié)石病情況比周邊縣市高，那么可能是該縣的水質(zhì)有問(wèn)題，或該縣居民有不良生活習(xí)慣，根據(jù)這種情況特定的分析當(dāng)?shù)厮|(zhì)土質(zhì)或者調(diào)查當(dāng)?shù)鼐用癫涣忌盍?xí)慣，進(jìn)而通過(guò)政策干預(yù)來(lái)解決此問(wèn)題。但如若被別有用心的國(guó)家拿到醫(yī)療數(shù)據(jù)并加以分析，得出國(guó)人可能存在的基因缺陷問(wèn)題，然后開(kāi)發(fā)出基因武器，后果不堪設(shè)想。2003年在全球爆發(fā)的“非典”，據(jù)統(tǒng)計(jì)96%的確診病人都是中國(guó)人以及新加坡的華人，白種人即使得了“非典”也會(huì)很快康復(fù)，這也引起了關(guān)于“非典”是針對(duì)華人基因所開(kāi)發(fā)出來(lái)的“基因生化武器”的討論。

2數(shù)據(jù)安全的保障方法

在現(xiàn)有帶寬、安全設(shè)備環(huán)境及安全策略下，城區(qū)數(shù)據(jù)機(jī)房可以抵御一般性小規(guī)模的攻擊，也的確可以通過(guò)二代防火墻上集成的功能性軟件發(fā)現(xiàn)機(jī)房每天都在被各種網(wǎng)絡(luò)攻擊入侵。但如果遇到如今年5月15日騰訊云的高峰達(dá)400G的DDoS攻擊時(shí)候，顯然數(shù)據(jù)中心會(huì)癱瘓掉。更不用說(shuō)那些為了攻破而特意研發(fā)的某種新型病毒了，比如美國(guó)為破壞伊朗鈾濃縮離心機(jī)而開(kāi)發(fā)的“震網(wǎng)”病毒。

就現(xiàn)在我所遇到的問(wèn)題以及接觸的一些案例，說(shuō)一說(shuō)我對(duì)如何保障城區(qū)數(shù)據(jù)中心機(jī)房的數(shù)據(jù)安全淺薄看法。

2.1 物理層面上，數(shù)據(jù)中心機(jī)房要嚴(yán)格按照相關(guān)規(guī)定建設(shè)。以前在鐵路上的通信系統(tǒng)相當(dāng)于內(nèi)網(wǎng)，所以要求不同于商業(yè)化運(yùn)營(yíng)的數(shù)據(jù)中心?？傆腥苏J(rèn)為物理隔離或者說(shuō)不聯(lián)網(wǎng)的計(jì)算機(jī)是安全可靠的，但是一篇題為《PowerHammer：通過(guò)電源線從物理隔離的計(jì)算機(jī)中泄露數(shù)據(jù)》的論文告訴我們，通過(guò)利用計(jì)算機(jī)CPU產(chǎn)生的類(lèi)似于摩斯電碼的信號(hào)，通過(guò)電源線將數(shù)據(jù)轉(zhuǎn)化為二進(jìn)制代碼傳輸并利用電源線上的監(jiān)聽(tīng)設(shè)備解析出數(shù)據(jù)。而現(xiàn)在電源系統(tǒng)已經(jīng)是數(shù)據(jù)泄露的重災(zāi)區(qū)了，所以在建設(shè)數(shù)據(jù)中心機(jī)房時(shí)候，必須按照國(guó)家《數(shù)據(jù)中心機(jī)房設(shè)計(jì)規(guī)范》以及場(chǎng)地、電力相關(guān)行業(yè)規(guī)范施工，如所有設(shè)備必須是有線連接，物理端口全劃分到各自網(wǎng)絡(luò)中，機(jī)房必須是無(wú)窗的，封閉的環(huán)境隔離開(kāi)外部的強(qiáng)磁干擾同時(shí)確保沒(méi)有外人能夠感應(yīng)到數(shù)據(jù)中心機(jī)房?jī)?nèi)設(shè)備的磁場(chǎng)。

2.2 作業(yè)務(wù)層面上，制定并嚴(yán)格遵守?cái)?shù)據(jù)中心機(jī)房操作規(guī)范。數(shù)據(jù)中心機(jī)房管理人員和業(yè)務(wù)操作人員，要摒棄以往在內(nèi)網(wǎng)管理與部署業(yè)務(wù)時(shí)的隨意性?？傆腥苏J(rèn)為在內(nèi)網(wǎng)展開(kāi)業(yè)務(wù)時(shí)候是不會(huì)中病毒的，這也是導(dǎo)致現(xiàn)在各個(gè)內(nèi)網(wǎng)設(shè)備，尤其是不聯(lián)網(wǎng)設(shè)備上病毒泛濫的原因。在部署智慧醫(yī)療試點(diǎn)工作中，中聯(lián)公司作為軟件提供方，盡然在不安裝任何殺毒軟件的情況下從自己電腦和U盤(pán)上傳資料到服務(wù)器，最后導(dǎo)致服務(wù)器中勒索病毒，前期工作全部白費(fèi)。

2.3 管理層面上，數(shù)據(jù)中心的機(jī)房和控制區(qū)要分開(kāi)，出入機(jī)房是要嚴(yán)格管理的。同時(shí)針對(duì)物理設(shè)備的任何操作都要申請(qǐng)和記錄。2018年9月，某公司提出掛在平遙數(shù)據(jù)中心機(jī)房上的數(shù)據(jù)庫(kù)讀寫(xiě)慢，遠(yuǎn)遠(yuǎn)達(dá)不到SSD盤(pán)的讀寫(xiě)速率，提出需對(duì)業(yè)務(wù)所在物理服務(wù)器做檢測(cè)。檢測(cè)過(guò)程中檢測(cè)廠商工程師提出需要拿網(wǎng)線一端接到核心交換機(jī)上另一端接到個(gè)人電腦上，這樣繞過(guò)了防火墻和FusionSphere虛擬化平臺(tái)的檢測(cè)才最簡(jiǎn)單最準(zhǔn)確的，然而但這樣的操作存在很大安全風(fēng)險(xiǎn)。在嘗試其他方法失敗情況下，工程師趁管理人員疏忽，拿網(wǎng)線直接插在了核心交換機(jī)上，好在核心交換機(jī)上的物理端口都做了保護(hù)，沒(méi)有因此出安全問(wèn)題。這種就是典型的管理人員監(jiān)管失職和管理不當(dāng)，讓控制區(qū)人員隨意進(jìn)出了機(jī)房設(shè)備區(qū)域。

2.4 設(shè)備層面上，網(wǎng)絡(luò)安全設(shè)備是必不可少的也是最客觀的解決安全問(wèn)題的方法。隨著城區(qū)數(shù)據(jù)中心接入的業(yè)務(wù)的增多，現(xiàn)有防火墻、病毒庫(kù)等已經(jīng)難以抵御越來(lái)越多的攻擊。2017年7月22日，四川宜賓市“教師發(fā)展平臺(tái)”被黑客攻破、2018年3月10日，運(yùn)城市OA系統(tǒng)被攻破并被掛反標(biāo)，這兩起已知事件都是由于對(duì)網(wǎng)絡(luò)安全不重視，沒(méi)有足夠的網(wǎng)絡(luò)安全設(shè)備導(dǎo)致的。DDoS攻擊是比較常見(jiàn)的網(wǎng)絡(luò)攻擊，所謂DDoS（Distributed Denial of Service），即分布式拒絕服務(wù)攻擊，通俗地說(shuō)就是利用大量的虛假訪問(wèn)，占據(jù)被攻擊網(wǎng)站的帶寬，讓真實(shí)的用戶(hù)無(wú)法正常訪問(wèn)。這種攻擊可以通過(guò)特定的抗DDoS設(shè)備來(lái)抵御，比如騰訊云的大禹系統(tǒng)。而現(xiàn)在新出現(xiàn)的“商業(yè)間諜”式的APT攻擊主要靠滲透的方式盜取數(shù)據(jù)并且其主要針對(duì)的是政府機(jī)構(gòu)或者涉及國(guó)家安全或者國(guó)防承包項(xiàng)目的大型跨國(guó)企業(yè)。通常情況下，依靠傳統(tǒng)的網(wǎng)絡(luò)安全設(shè)備很難發(fā)現(xiàn)APT攻擊，現(xiàn)在也只有通過(guò)態(tài)勢(shì)感知設(shè)備檢測(cè)到，而態(tài)勢(shì)感知設(shè)備在國(guó)內(nèi)使用還是比較少的。當(dāng)然網(wǎng)絡(luò)攻擊并不僅僅只有這兩種，相應(yīng)的安全設(shè)備也有很多如上網(wǎng)行為管理、堡壘機(jī)、Waf、雙因素認(rèn)證等。

2.5 運(yùn)維層面上，再?gòu)?qiáng)大的硬件也彌補(bǔ)不了管理的缺失。2017年大規(guī)模爆發(fā)的WannaCry勒索病毒之所以能夠在2018年繼續(xù)通過(guò)445端口感染智慧醫(yī)療服務(wù)器，很大原因是使用的操作系統(tǒng)上沒(méi)有打補(bǔ)丁，也沒(méi)有在服務(wù)器上加裝殺毒軟件。所謂“術(shù)業(yè)有專(zhuān)攻”，商業(yè)化運(yùn)作的數(shù)據(jù)中心機(jī)房里掛載了諸多重要業(yè)務(wù)，各個(gè)方面都要專(zhuān)業(yè)人員維護(hù)，如虛擬服務(wù)器管理、數(shù)據(jù)庫(kù)管理、系統(tǒng)管理、安全管理等，現(xiàn)在國(guó)內(nèi)厲害的技術(shù)人員，諸如華為公司的工程師，都只專(zhuān)某一門(mén)技術(shù)，所以運(yùn)維必須是專(zhuān)業(yè)的團(tuán)隊(duì)，而不是依靠個(gè)人。

2.6 在以上問(wèn)題都解決的情況下，尋找專(zhuān)業(yè)的測(cè)評(píng)機(jī)構(gòu)對(duì)數(shù)據(jù)中心整體做一個(gè)信息安全等級(jí)保護(hù)測(cè)評(píng)工作。等級(jí)保護(hù)測(cè)評(píng)工作主要是發(fā)現(xiàn)現(xiàn)有信息系統(tǒng)與國(guó)家安全標(biāo)準(zhǔn)之間的差距，查明安全隱患和不足，通過(guò)安全整改后提升防護(hù)能力，客觀上降低系統(tǒng)被攻擊的風(fēng)險(xiǎn)。等級(jí)保護(hù)也是我國(guó)關(guān)于網(wǎng)絡(luò)安全的基本要求，也是行業(yè)主管單位要求，同時(shí)在出現(xiàn)問(wèn)題時(shí)可以合理的規(guī)避風(fēng)險(xiǎn)：一個(gè)主觀上重視安全工作卻因技術(shù)不夠好而被攻擊造成破壞和一個(gè)主觀上都不重視安全工作被攻擊造成破壞的，孰輕孰重一目了然。目前城區(qū)數(shù)據(jù)中心已應(yīng)股份公司和公安部要求對(duì)數(shù)據(jù)中心系統(tǒng)做了信息安全保護(hù)三級(jí)測(cè)評(píng)，并在晉中市網(wǎng)警支隊(duì)備案。借此機(jī)會(huì)升級(jí)和增添機(jī)房安全設(shè)備，并完善相關(guān)管理規(guī)范。

3結(jié)束語(yǔ)

“人之熙熙，皆為利來(lái)”，在大數(shù)據(jù)帶來(lái)各種紅利的同時(shí)，不法分子運(yùn)用網(wǎng)絡(luò)攻擊非法獲得各種數(shù)據(jù)進(jìn)而獲利現(xiàn)象也隨之爆發(fā)。普通用戶(hù)的悲哀在于既不可能切斷所有連接做一個(gè)數(shù)據(jù)社會(huì)的原始人，又無(wú)力選擇哪些數(shù)據(jù)被收集，個(gè)人數(shù)據(jù)從來(lái)只具有金礦屬性，沒(méi)有隱私屬性。作為數(shù)據(jù)收集和使用者，保護(hù)數(shù)據(jù)安全是我們的義務(wù)更是我們的責(zé)任。

作者簡(jiǎn)介：

作者姓名（出生年—）：程千里，1989年9月，性別：男，民族：漢族，籍貫：安徽廣德，學(xué)歷：大學(xué)本科，職稱(chēng)：助理工程師，研究方向（在校生寫(xiě)xx專(zhuān)業(yè)）：智慧城市.