金融科技&大数据产品推荐：BIGDAF——专业的Hadoop大数据安全防火墙

BIGDAF是国内第一个网关级Hadoop大数据安全防火墙，也是目前唯一通过公安部认证的Hadoop安全防护产品，具备“软件-硬件-云”多样化产品形态

官网 | www.datayuan.cn

微信公众号ID | datayuancn

本产品为数据猿推出的“金融科技价值—数据驱动金融商业裂变”大型主题策划活动第一部分的文章/案例/产品征集部分；感谢 观数科技 的产品投递

1、产品名称

BIGDAF

2、所属分类

金融科技·大数据安全

3、产品介绍

BIGDAF（Big Data Application Firewall）是国内第一个网关级Hadoop大数据安全防火墙，也是目前唯一通过公安部认证的Hadoop安全防护产品，具备“软件-硬件-云”多样化产品形态。

BIGDAF由网管代理Gateway、管理后台Admin、插件三部分组成。网管代理Gateway等于在物理隔离区和公共区有一个桥梁，分析师必须通过身份验证后才能提交相关数据或分析任务；管理后台Admin主要配置相应的用户和权限，采取图形界面，不需要进行代码级操作；插件主要是对用户资源设置不同的权限。

三个部分合在一起，形成一个完整的大数据应用安全管控与防护平台。其核心能力包括用户管理、角色管理、权限管理、操作行为管控、任务管控、基线检测与漏洞扫描等。兼容各主流大数据平台版本，为银行、金融机构提供底层的安全防护能力。

4、应用场景／人群

包括大数据安全管理人员、大数据平台架构负责人等。

BIGDAF的安全防护能力横向覆盖银行、金融机构大数据平台的各个组件，以及平台可能对接的各类系统，纵向覆盖大数据的整个生命周期。从内到外构成一个分层的安全管控体系，做到事前可管、事中可控、事后可查。具体应用场景包括：

大数据平台的边界安全：银行、金融机构的数据敏感度、机密性很高，而大数据系统漏洞导致的入侵、拖库、接口攻击，以及内部合作或第三方通过接口调用数据，都有可能导致数据泄露。BIGDAF等于在物理隔离区和公共区设置一个边界，所有人都必须通过身份验证后才能提交相关数据或分析任务，这就从源头上避免数据泄露所导致的安全问责。

大数据平台的权限管理：金融银行机构由于权限控制缺乏体系，普遍存在越权访问、操作问题；服务器漏洞组件、常规型漏洞（如SQL诸如、存储XSS）升级修补都不及时，容易被攻击者侵入篡改数据；BIGDAF设置了严格的访问权限，从内到外，保护大数据资产的安全。

大数据平台的安全体系：很多银行、金融机构的安全体系化建设停留在纸面，为应对监管或安全检查，仅定期做安全测试。很多新发布的业务需求，未及时经过安全把关。BIGDAF形成一整套的安全解决方案，通过简易操作即可实现基线检测、漏洞扫描，提高大数据平台的安全防护能力。

5、产品功能

BIGDAF的主要功能包括账户及认证管理、授权和访问控制、任务沙箱及多租户、数据安全、漏洞扫描、基线检查、监控、审计等。

账户及认证管理。BIGDAF继承并接管Hadoop原生账户，完全重构了一套权限机制，技术上采用身份认证、多因素身份鉴别、网络控制、登录控制登措施，所有人必须通过身份认证后才能提交相关数据或分析任务。

授权和访问控制。针对大数据平台上的几乎所有组件进行单独授权管理（HDFS、Hbase、Strom、Knox、solr、Kafka）。实现了多种安全模型，包括符合国家等级保护制度的自主访问控制模型（DAC）、强制访问控制模型（MAC）、基于角色访问控制（RBAC）以及基于任务的访问控制（TBAC）。

任务沙箱及多租户。可通过沙箱预执行，判断访问资源是否越权；通过后台管理可以查看历史任务，给每个用户对应的使用资源，实现多租户的功能。

数据安全。包括数据脱敏和数据加密。BIGDAF可以根据需求对敏感区域进行，替换、重排、加密、截断、掩码；数据加密，BIGDAF的Gateway是https的通信加密方式，同时也支持kerberos、KMS的加密。

漏洞扫描。基于对大数据的漏洞研究，提炼出漏洞特征，形成大数据漏洞扫描功能，可以对大数据平台组件进行安全检测，针对大数据环境各个组件进行事前安全扫描，及时了解大数据环境的安全状态及安全隐患。

基线检测。针对大数据环境的各个组件进行安全配置合规性检查，覆盖大数据平台的基础设施、网络系统、数据处理层、数据采集层、数据存储层等各层级系统结构。

监控。对大数据环境中组件节点状态、资源的使用情况进行监控展示，包括节点正常运行时间、节点存活状态和内存、CPU、硬盘的使用情况；可设置预警值，当资源紧张时报警。

审计。将主客体的访问形成详细日志，包含用户名、IP、操作、资源、访问类型、时间、授权结果。可以根据用户、时间、认证结果进行筛选分析，做到事中监控、事后审计，追溯安全事件。

6、产品优势

易于部署。大数据平台有大量的组件和集群节点，各个组件的功能作用不同。BIGDAF支持跨平台运行，通过简单修改配置文件即可运行。

更全面的访问控制安全模型。BIGDAF针对金融、银行业大数据平台的复杂特显，实现了多种安全模型，包括自主访问控制模型（DAC）、强制访问控制模型（MAC）、基于角色访问控制（RBAC）、基于任务的访问控制（TBAC）。

定制化、自动化的漏洞扫描与基线检测。目前在大数据平台组件的基础安全方面，安全漏洞检测和基线检查更多的还是依靠手工，没有一个定制化的自动化解决方案。基于观数团队十余年的检测经验，以及CVE漏洞特征，BIGDAF能够实现大数据组件的自动化漏洞扫描和自动检测功能。

文件访问控制粒度更细致。BIGDAF对于Hadoop平台组件HDFS、Hbase、Hive等能够做到细粒度的访问控制。Hbase方面，可以达到基于列簇及列的访问控制。Hive可以针对数据库、表、字段进行细粒度的访问控制。

不存在性能瓶颈。BIGDAF并不转发流量，ACL与审计只针对主客体访问行为，几乎没有性能消耗。而并连模式支持多机高可用方案，不会存在性能瓶颈。

良好的兼容性。BIGDAF采用非侵入式技术，独立于Hadoop系统之外的防护体系，因此对通用版、发行版都具有良好的兼容性。

安全性。BIGDAF为独立体系，无法从Hadoop上配置BIGDAF的安全策略，可形式化语言验证的多种安全模型，配置、日志可备份保存，格式加密，后台防破解，全程SSL加密。

7、服务客户／使用人数

目前服务客户百余家，其中包括银行、金融、保险、运营商等政企单位。

8、市场价值

作为国内第一个大数据安全解决方案提供商，观数的理念就是“防风险、护业务、保价值”。大数据资产是金融、银行机构创新发展和转型突破的战略性资源。确保其安全性，不仅是业务层面的要求，也事关个人、机构主体和国家利益。

但就目前而言，国内还没有成熟的大数据安全解决方案。BIGDAF的部署可以为银行、金融机构减少安全隐患，避免重要数据的流失，及时发现攻击，避免潜在的安全事件出来以后的安全问责。

BIGDAF的价值就在于，实现账户的集中管理，对大数据平台所有操作者身份的合法性检查；灵活的权限管控体系，对用户使用大数据平台资源的具体情况进行合理分配；统一的日志信息管控，实现对安全事件的预警、响应、追因、追责；针对大数据环境的各个组件进行基线检测和漏洞扫描，实现事前预警、事中监控、事后可查。

BIGDAF致力于为银行、金融机构的大数据平台提供底层的防护能力，希望通过案例推动国内大数据安全的标准建立。

9、产品地址

http://www.databps.com/index.html

10、所属企业

北京观数科技有限公司

- 企业介绍 -

北京观数科技有限公司，总部在北京，贵阳设有分公司，是国内第一个Hadoop大数据安全解决方案的提供商。2017年，观数科技被认定为“国家级高新技术企业”。自主研发的产品BIGDAF是国内首个获得公安部认证的Hadoop安全防护产品，具备完整的“软件—硬件—云”多样化产品形态。目前产品已经逐步覆盖大数据中的多个应用组件，在大数据生命周期中的各个环节，为客户提供安全防护能力。

观数科技已与多个行业集成商、大数据基础软件发行商深度合作，从产品、方案、服务等多个维度进行融合，形成了多项创新成果，既提高了合作方在大数据上的安全防护能力，也为其带来了新的竞争力和赢利点。除此之外，观数科技还在“数谷”贵阳与高校和科研院所开展深度合作，承担大数据安全相关科研项目，并参与起草贵州省地方大数据安全相关标准制定。

观数科技虽然是一家新创企业，但核心团队均拥有超过10年以上的信息安全从业经验，是目前国内唯一拥有完全自主可控、并能提供本土化安全防护产品的高新技术企业。未来我们将为更多的政企客户提供“缺失的”的大数据底层保护能力，提高其防护的力度和精度。