［孫淳曄 王睿軼 馮志杰］

1 前言

當(dāng)今時(shí)代，發(fā)展數(shù)字經(jīng)濟(jì)已成為世界各國(guó)構(gòu)建全球競(jìng)爭(zhēng)力的共同選擇。數(shù)字經(jīng)濟(jì)的發(fā)展塑造了全新的數(shù)據(jù)安全治理體系[1]，數(shù)據(jù)安全已成為數(shù)字經(jīng)濟(jì)發(fā)展的基石，發(fā)展數(shù)字經(jīng)濟(jì)的首要前提，就是筑牢數(shù)據(jù)安全的底線(xiàn)，既要盤(pán)活海量數(shù)據(jù)讓其充分發(fā)揮價(jià)值，又要確保數(shù)據(jù)合規(guī)，守護(hù)數(shù)據(jù)安全。

2017年6月，《網(wǎng)絡(luò)安全法》頒布實(shí)施，以保護(hù)網(wǎng)絡(luò)及網(wǎng)絡(luò)數(shù)據(jù)安全為目的。同年9月《數(shù)據(jù)安全法》發(fā)布實(shí)施，以保護(hù)數(shù)據(jù)安全、促進(jìn)數(shù)據(jù)開(kāi)發(fā)利用為首要目的。11月，《個(gè)人信息保護(hù)法》頒布，建立了責(zé)權(quán)明確的個(gè)人信息處理規(guī)則，三部安全基本法的陸續(xù)頒布，確定了國(guó)家網(wǎng)絡(luò)安全、數(shù)據(jù)安全安全工作機(jī)制，也明確了預(yù)防、控制和消除網(wǎng)絡(luò)安全、數(shù)據(jù)安全風(fēng)險(xiǎn)的一些列制度及措施，進(jìn)一步提升了網(wǎng)絡(luò)安全及數(shù)據(jù)安全的整體保障能力[2]。

數(shù)據(jù)在成為熱點(diǎn)的同時(shí)，帶來(lái)了更多的安全風(fēng)險(xiǎn)，表現(xiàn)為近年來(lái)數(shù)據(jù)泄露事件層出不窮，泄露數(shù)量急速上升，既有黑客攻擊，又有內(nèi)部人員泄露、合作人員泄露以及數(shù)據(jù)共享造成的泄露，尤其在當(dāng)今的大數(shù)據(jù)發(fā)展背景下，亟待需要在重視數(shù)據(jù)安全防護(hù)的同時(shí)轉(zhuǎn)變防護(hù)思路。

2 大數(shù)據(jù)發(fā)展帶來(lái)的安全風(fēng)險(xiǎn)

以某省運(yùn)營(yíng)商大數(shù)據(jù)系統(tǒng)為例，如圖1運(yùn)營(yíng)商大數(shù)據(jù)平臺(tái)架構(gòu)圖所示，涉及多達(dá)幾十多個(gè)生產(chǎn)和業(yè)務(wù)系統(tǒng)與大數(shù)據(jù)平臺(tái)進(jìn)行數(shù)據(jù)交互，大數(shù)據(jù)平臺(tái)里存儲(chǔ)了超過(guò)幾千甚至上萬(wàn)個(gè)數(shù)據(jù)字段，涵蓋了電信運(yùn)營(yíng)服務(wù)種的各類(lèi)數(shù)據(jù)，日均產(chǎn)生數(shù)據(jù)量幾十TB以上，海量的數(shù)據(jù)積累極易成為受攻擊對(duì)象。

圖1 運(yùn)營(yíng)商大數(shù)據(jù)平臺(tái)架構(gòu)圖

大數(shù)據(jù)時(shí)代的數(shù)據(jù)獲取、存儲(chǔ)方式、數(shù)據(jù)訪(fǎng)問(wèn)特點(diǎn)，關(guān)注重點(diǎn)與傳統(tǒng)系統(tǒng)架構(gòu)發(fā)生了很大的不同[3]，這些新特性對(duì)信息安全提出了挑戰(zhàn)[4]，表現(xiàn)出了一些新特點(diǎn)。

更開(kāi)放：大數(shù)據(jù)業(yè)務(wù)更加開(kāi)放，業(yè)務(wù)生態(tài)更加復(fù)雜，參與角色更加多元，不斷產(chǎn)生數(shù)據(jù)共享需求，數(shù)據(jù)集中存儲(chǔ)，一次攻擊收益巨大、如何相對(duì)更加可靠的保障海量數(shù)據(jù)的存儲(chǔ)安全，已成為大數(shù)據(jù)面臨的主要難題之一。

不可控：數(shù)據(jù)流動(dòng)由傳統(tǒng)上下游單鏈條演變?yōu)閺?fù)雜多輸入輸出形式，無(wú)統(tǒng)一安全管理視圖，使用者可獲得多個(gè)數(shù)據(jù)源并關(guān)聯(lián)分析的風(fēng)險(xiǎn)，同時(shí)平臺(tái)承載了大量租戶(hù)、服務(wù)及海量數(shù)據(jù)，如何給予用戶(hù)身份并統(tǒng)一控制其享有的服務(wù)及訪(fǎng)問(wèn)權(quán)限也是一大難題。

易泄露：敏感數(shù)據(jù)跨部門(mén)、跨系統(tǒng)共享留存常見(jiàn)，如安全措施不當(dāng)，環(huán)節(jié)中可能發(fā)生數(shù)據(jù)泄露風(fēng)險(xiǎn)。數(shù)據(jù)在管道能力開(kāi)放過(guò)程中，數(shù)據(jù)隱私的保護(hù)技術(shù)與管控手段應(yīng)該及時(shí)跟上[5]。

難防守：數(shù)據(jù)分布存儲(chǔ)于在各個(gè)集群內(nèi)、傳統(tǒng)的縱向分區(qū)分級(jí)模型不再適合，以至于無(wú)法實(shí)施有效的訪(fǎng)問(wèn)控制策略，同時(shí)針對(duì)大數(shù)據(jù)平臺(tái)的攻擊手段不斷發(fā)展變化，傳統(tǒng)的靜態(tài)隔離安全保護(hù)方式已不能完全滿(mǎn)足大數(shù)據(jù)安全防護(hù)需求。綜上所述，急需構(gòu)建更加完善的大數(shù)據(jù)平臺(tái)安全保障體系。

3 基于大數(shù)據(jù)平臺(tái)的安全體系構(gòu)建

面對(duì)大數(shù)據(jù)背景下的新挑戰(zhàn)，從4個(gè)方面提出安全體系構(gòu)建，打造安全體系，實(shí)現(xiàn)IT安全的可管可控。

圍繞IT系統(tǒng)及其承載的數(shù)據(jù)、全方位核查IT安全資質(zhì)，理清IT資產(chǎn)，做到心中有數(shù)。

加強(qiáng)縱深防御：從物理、網(wǎng)絡(luò)、主機(jī)、應(yīng)用、終端、數(shù)據(jù)等各層分別針對(duì)實(shí)現(xiàn)安全加固，提升安全防護(hù)能力。

加強(qiáng)主動(dòng)發(fā)現(xiàn)處理：利用大數(shù)據(jù)/AI手段，開(kāi)展多維度智能分析，加強(qiáng)態(tài)勢(shì)感知，構(gòu)建安全防護(hù)大腦。

加強(qiáng)聯(lián)動(dòng)機(jī)制：建立跨部門(mén)、跨業(yè)務(wù)、跨平臺(tái)的安全事件聯(lián)動(dòng)處理機(jī)制和流程。

以上述4個(gè)方面為主線(xiàn)，構(gòu)建安全運(yùn)營(yíng)管理、安全分析、安全防御、安全接入、采集、數(shù)據(jù)安全及資產(chǎn)管理七大能力中心，做到“看得清”、“防得住”、“守得牢”、“管得好”。如圖2安全體系架構(gòu)圖所示。

圖2 安全體系架構(gòu)圖

（1）資產(chǎn)管理能力，通過(guò)資產(chǎn)梳理，建立資產(chǎn)視圖和臺(tái)賬，實(shí)現(xiàn)資產(chǎn)自動(dòng)化管理。

資產(chǎn)梳理：梳理家底，消除“三無(wú)”資產(chǎn)，理清“七邊”資產(chǎn)。三無(wú)指：無(wú)人管理、無(wú)人使用、無(wú)人防護(hù)情況的業(yè)務(wù)/網(wǎng)站/系統(tǒng)/平臺(tái)；七邊指：處于測(cè)試、實(shí)驗(yàn)、退網(wǎng)未交維、加載業(yè)務(wù)上線(xiàn)未交維、合作方共同運(yùn)營(yíng)、交接不清晰、衰退期資產(chǎn)。

資產(chǎn)流程閉環(huán)：建立資產(chǎn)入網(wǎng)-資產(chǎn)變更-資產(chǎn)監(jiān)視-資產(chǎn)退網(wǎng)流程，實(shí)現(xiàn)對(duì)主機(jī)、數(shù)據(jù)庫(kù)、業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)拓?fù)鋱D、業(yè)務(wù)系統(tǒng)互聯(lián)關(guān)系等IT安全資產(chǎn)的全生命周期閉環(huán)管理，如圖3資產(chǎn)生命周期管理視圖所示。

圖3 資產(chǎn)生命周期管理視圖

資產(chǎn)自動(dòng)發(fā)現(xiàn)：通過(guò)網(wǎng)管發(fā)現(xiàn)、Agent采集等方式自動(dòng)發(fā)現(xiàn)現(xiàn)網(wǎng)資產(chǎn)并生成網(wǎng)絡(luò)拓?fù)洹?/p>

資產(chǎn)動(dòng)態(tài)更新：監(jiān)測(cè)發(fā)現(xiàn)未登記、退網(wǎng)等異常資產(chǎn)，實(shí)現(xiàn)資產(chǎn)數(shù)據(jù)查漏補(bǔ)缺和動(dòng)態(tài)更新。

資產(chǎn)管理臺(tái)賬和視圖：通過(guò)管理視圖實(shí)現(xiàn)資產(chǎn)目錄的查詢(xún)、退網(wǎng)下線(xiàn)等；實(shí)現(xiàn)資產(chǎn)的全生命周期可管可視。基于業(yè)務(wù)系統(tǒng)資產(chǎn)清單內(nèi)網(wǎng)絡(luò)互訪(fǎng)關(guān)系圖，自動(dòng)生成業(yè)務(wù)系統(tǒng)互聯(lián)拓?fù)鋱D，能夠直觀查看數(shù)據(jù)域資產(chǎn)分布及安全防護(hù)情況，包括主機(jī)、應(yīng)用及其他資產(chǎn)情況。

（2）數(shù)據(jù)安全能力

建立標(biāo)準(zhǔn)，對(duì)數(shù)據(jù)進(jìn)行分類(lèi)和分級(jí)管理；通過(guò)各種數(shù)據(jù)安全保障措施，提升數(shù)據(jù)安全防護(hù)能力，建立數(shù)據(jù)安全管控中心，實(shí)現(xiàn)對(duì)數(shù)據(jù)安全的可視化管理和智能檢測(cè)控制。

數(shù)據(jù)分類(lèi)分級(jí)：大數(shù)據(jù)平臺(tái)包含各類(lèi)海量數(shù)據(jù)，通過(guò)對(duì)數(shù)據(jù)的有效理解和分析，對(duì)數(shù)據(jù)進(jìn)行不同類(lèi)別和密級(jí)的劃分，根據(jù)數(shù)據(jù)的類(lèi)別和密級(jí)指定不同的管理和使用原則，對(duì)數(shù)據(jù)做到差別和針對(duì)性的防護(hù)，尤其針對(duì)敏感數(shù)據(jù)要做好防護(hù)，發(fā)現(xiàn)隱私有風(fēng)險(xiǎn)的數(shù)據(jù)表、字段；調(diào)用數(shù)據(jù)匿名處理服務(wù)，匿名處理服務(wù)參照數(shù)據(jù)分類(lèi)分級(jí)，針對(duì)不同敏感數(shù)據(jù)類(lèi)型與字段進(jìn)行自適應(yīng)的數(shù)據(jù)匿名處理，實(shí)現(xiàn)敏感數(shù)據(jù)識(shí)別及保護(hù)。

基礎(chǔ)數(shù)據(jù)安全防護(hù)：①數(shù)據(jù)脫敏：自動(dòng)發(fā)現(xiàn)敏感數(shù)據(jù)，通過(guò)脫敏技術(shù)及規(guī)則，對(duì)敏感數(shù)據(jù)按需求進(jìn)行規(guī)制變形；同時(shí)保證數(shù)據(jù)的一致性和數(shù)據(jù)管理性。②數(shù)據(jù)加密：重要的數(shù)據(jù)文件、對(duì)外對(duì)內(nèi)需要進(jìn)行加密處理，有密鑰后才能打開(kāi)，重點(diǎn)數(shù)據(jù)在通過(guò)接口傳輸數(shù)據(jù)過(guò)程需要加密，只有密鑰后才能讀取數(shù)據(jù)。③數(shù)據(jù)審計(jì)：記錄數(shù)據(jù)操作日志，對(duì)操作失誤、惡意操作、越權(quán)操作進(jìn)行記錄，并評(píng)估；掃描代碼和記錄代碼修改日志，對(duì)代碼風(fēng)險(xiǎn)進(jìn)行評(píng)估；記錄軟件部署更新日志，并掃描軟件漏洞和評(píng)估。

（3）安全接入能力，加強(qiáng)訪(fǎng)問(wèn)控制及細(xì)粒度授權(quán)。

減少暴露面，消除弱口令：以零信任技術(shù)為基礎(chǔ)，以身份為中心進(jìn)行動(dòng)態(tài)訪(fǎng)問(wèn)控制，假設(shè)網(wǎng)絡(luò)無(wú)時(shí)無(wú)刻不處于危險(xiǎn)的環(huán)境中，網(wǎng)絡(luò)中自始至終存在外部或內(nèi)部威脅，所有的設(shè)備、用戶(hù)和網(wǎng)絡(luò)流量都應(yīng)當(dāng)經(jīng)過(guò)認(rèn)證和授權(quán)，同時(shí)安全策略必須是動(dòng)態(tài)的，并基于盡可能多的數(shù)據(jù)源計(jì)算而來(lái)。

統(tǒng)一賬戶(hù)授權(quán)：對(duì)數(shù)據(jù)訪(fǎng)問(wèn)請(qǐng)求進(jìn)行多層隔離，對(duì)關(guān)鍵數(shù)據(jù)進(jìn)行操作限制，同時(shí)進(jìn)行統(tǒng)一帳戶(hù)管理，按作用范圍分為前臺(tái)帳戶(hù)、后臺(tái)帳戶(hù)，統(tǒng)一授權(quán)，區(qū)別使用，在技術(shù)上和管理上為安全增加多重保障。

大數(shù)據(jù)平臺(tái)接入訪(fǎng)問(wèn)控制：對(duì)數(shù)據(jù)安全可信區(qū)域進(jìn)行細(xì)粒度的接入管控，建立細(xì)粒度的資源訪(fǎng)問(wèn)策略，精細(xì)化控制資源訪(fǎng)問(wèn)權(quán)限。

（4）安全采集能力，根據(jù)一定的安全采集策略，做好采集合規(guī)和問(wèn)題及時(shí)上報(bào)。

按照一定的監(jiān)控策略、安全威脅、采集策略下發(fā)，并做好威脅分析、處置的及時(shí)上報(bào)。

此外在采集處理階段，需要實(shí)現(xiàn)對(duì)采集接口的鑒權(quán)，如圖4采集接口安全要求所示，如限制采集系統(tǒng)的IP、端口號(hào)，禁止通過(guò)USB口進(jìn)行數(shù)據(jù)采集；同時(shí)也要限制流量采集設(shè)備的接入，限制對(duì)核心設(shè)備的鏡像操作，對(duì)采集行為進(jìn)行日志記錄，對(duì)異常行為進(jìn)行及時(shí)告警。

圖4 采集接口安全要求

（5）安全防護(hù)能力，根據(jù)網(wǎng)絡(luò)層到應(yīng)用層不同邊界風(fēng)險(xiǎn)類(lèi)型，實(shí)現(xiàn)有針對(duì)性重點(diǎn)防護(hù)能力。

根據(jù)網(wǎng)絡(luò)層到應(yīng)用層不同邊界風(fēng)險(xiǎn)類(lèi)型，實(shí)現(xiàn)有針對(duì)性重點(diǎn)防護(hù)能力，形成網(wǎng)絡(luò)、主機(jī)、應(yīng)用三層聚合的訪(fǎng)問(wèn)控制能力、入侵防御能力、惡意代碼防護(hù)能力、威脅感知等安全能力。

在大數(shù)據(jù)平臺(tái)的網(wǎng)絡(luò)邊界部署網(wǎng)絡(luò)攻擊檢測(cè)防護(hù)設(shè)備，防止黑客攻擊。如部署抗DDOS、流量檢測(cè)、入侵檢測(cè)、流量溯源設(shè)備等防護(hù)設(shè)備。

通過(guò)部署IPS、WAF、APT、蜜罐等設(shè)備提升系統(tǒng)安全檢測(cè)及應(yīng)對(duì)風(fēng)險(xiǎn)能力。

（6）安全分析中心

數(shù)據(jù)風(fēng)險(xiǎn)預(yù)測(cè)的分析模型構(gòu)建：通過(guò)圖計(jì)算、機(jī)器學(xué)習(xí)[6]等AI技術(shù)，構(gòu)建面向數(shù)據(jù)風(fēng)險(xiǎn)預(yù)測(cè)的分析模型，如事件理解模型、事件關(guān)聯(lián)分析模型、風(fēng)險(xiǎn)評(píng)估模型，聚焦業(yè)務(wù)連續(xù)性、操作安全性、敏感數(shù)據(jù)分布、事件關(guān)聯(lián)分析、用戶(hù)趨勢(shì)行為分析、業(yè)務(wù)應(yīng)用運(yùn)行分析、業(yè)務(wù)分析策略等安全態(tài)勢(shì)分析類(lèi)場(chǎng)景應(yīng)用。

態(tài)勢(shì)感知：通過(guò)對(duì)業(yè)務(wù)系統(tǒng)及設(shè)備日志、網(wǎng)絡(luò)流量等進(jìn)行大數(shù)據(jù)分析，對(duì)系統(tǒng)或大數(shù)據(jù)平臺(tái)遭到的WEB滲透攻擊、網(wǎng)絡(luò)木馬活動(dòng)、DNS系統(tǒng)攻擊事件等情況進(jìn)行實(shí)時(shí)監(jiān)測(cè)、分析挖掘、溯源和總體可視化呈現(xiàn)，提供事前預(yù)警的能力、事中感知和及時(shí)應(yīng)對(duì)能力，如圖5態(tài)勢(shì)感知分析圖所示。

圖5 態(tài)勢(shì)感知分析圖

（7）安全運(yùn)營(yíng)能力，通過(guò)技術(shù)發(fā)現(xiàn)和定位安全隱患，并做出相應(yīng)的響應(yīng)措施，建立指標(biāo)考核管理制度及配套工具，及時(shí)修復(fù)安全風(fēng)險(xiǎn)、處理安全威脅，以保證業(yè)務(wù)的正常運(yùn)營(yíng)。

脆弱性檢測(cè)：提供漏洞和基線(xiàn)監(jiān)測(cè)能力，提供作業(yè)調(diào)度執(zhí)行周期的監(jiān)測(cè)任務(wù)。

風(fēng)險(xiǎn)處置：對(duì)漏洞、基線(xiàn)生命周期以工單流方式進(jìn)行閉環(huán)處理，并通過(guò)報(bào)表方式對(duì)風(fēng)險(xiǎn)進(jìn)行輸出。

安全事件管理：基于安全事件進(jìn)行告警生命周期管理，提供事件檢索分析、統(tǒng)計(jì)和取證。

指標(biāo)考核管理：落實(shí)安全“三同步”，固化業(yè)務(wù)系統(tǒng)安全管理全生命周期流程體系，利用指標(biāo)模版定制化檢查點(diǎn)，通過(guò)考核任務(wù)來(lái)實(shí)現(xiàn)常態(tài)化安全工作，通過(guò)指標(biāo)統(tǒng)計(jì)進(jìn)行考核評(píng)估和工作量化。

安全預(yù)警：通過(guò)指標(biāo)板的形式，展現(xiàn)各種數(shù)據(jù)資產(chǎn)的待處理告警、緊急告警的分布情況，以及安全威脅防御情況，并對(duì)整個(gè)數(shù)據(jù)域使用的安全防御規(guī)則進(jìn)行配置，每個(gè)防御規(guī)則可包含多種防御場(chǎng)景。

端到端監(jiān)控：展現(xiàn)及維護(hù)大數(shù)據(jù)系統(tǒng)中所有的賬戶(hù)和功能授權(quán)關(guān)系監(jiān)控以及對(duì)大數(shù)據(jù)平臺(tái)及平臺(tái)之上應(yīng)用系統(tǒng)中，敏感數(shù)據(jù)分布以及敏感數(shù)據(jù)的保密處理方式的監(jiān)控。

4 結(jié)束語(yǔ)

基于大數(shù)據(jù)平臺(tái)的安全體系構(gòu)建，核心在于保障數(shù)據(jù)安全，并貫穿于數(shù)據(jù)的全生命周期管理，安全建設(shè)的最終目標(biāo)即是達(dá)到對(duì)于業(yè)務(wù)使用的“無(wú)感無(wú)擾”，整體監(jiān)控“威懾可見(jiàn)”，安全技術(shù)可視可見(jiàn)，并結(jié)合人工智能手段，通過(guò)自動(dòng)化審計(jì)、智能的自適應(yīng)框架引導(dǎo)安全縱深防御體系的支撐轉(zhuǎn)型，實(shí)現(xiàn)安全風(fēng)險(xiǎn)的精細(xì)化管理運(yùn)營(yíng)，開(kāi)放大數(shù)據(jù)安全分析平臺(tái)框架，承載和可擴(kuò)展集成更多安全威脅應(yīng)用，實(shí)現(xiàn)經(jīng)驗(yàn)的廣泛推廣及應(yīng)用。