大数据安全防护体系及访问控制技术研究

导读：随着云计算、物联网、移动互联网等信息技术迅猛发展，大数据应用是现有产业的重要推动力量。为了找到大数据高效应用和数据安全防护的平衡点，研究了大数据安全防护体系的功能架构，从安全标准、安全管理、安全防护和云基础支撑四个模块来详细阐述，结合数据访问控制机制，实现帐号管理、认证管理、授权管理、数据识别等，并将其统一到大数据安全服务系统中，提高了大数据时代数据资源的安全保护。

大数据时代随着医疗服务、健康管理和卫生监管等领域数据爆炸性增长,大量信息跨越组织边界传播，信息安全问题相伴而生，国家安全、个人信息等都面临着前所未有的安全挑战。根据我国 “十三五” 规划纲领强调的“加强数据资源安全保护”规定，随着技术逐步完善，有效管理大数据，保障大数据安全等问题越来越得到重视。由于大数据通常采用云端存储, 数据管理比较分散，对用户进行数据处理的场所无法控制，容易导致非法用户入侵，窃取或篡改重要数据信息。而且大数据用户群复杂，场景分散，其访问控制需求十分突出。因此，如何保证大数据安全是信息安全领域需要解决的新课题，研究大数据安全防护体系和访问控制技术刻不容缓。

大数据安全防护体系功能架构

大数据平台的安全防护体系是一个系统化工程，包括安全标准、安全管理、防护平台等多项内容。体系架构的初步设计主要包括：指标体系，管理中心，数据安全防护和管理系统，可以分为四大部分：大数据安全标准层；大数据安全管理中心；大数据安全防护层；云环境基础支撑层，如图1所示。

图1 大数据安全防护体系功能架构

大数据安全标准层：包括大数据安全评估和指标体系、国家政策和标准体系，从法规、政策、标准等角度勾画出大数据安全的整体轮廓，综合分析大数据标准化需求，为后续大数据安全标准化工作提供指导。

大数据安全管理中心：包括数据资产管理、威胁情报分析、数据服务管理、安全策略管理、安全组件管理、风险态势管理和审计监控管理。数据资产管理是实现对数据资产的安全属性评估，确定数据的安全属性，方便数据实施分级别管理；威胁情报分析是反映威胁情况并给出报警信息；数据服务管理是严格控制数据的使用权限，最大限度的管控数据的使用；安全策略管理是实现对数据安全要求的多种策略基线的维护和管理，生成动态数据保护策略；安全组件管理是对安全策略管理模块发出的安全策略包进行解读，根据安全机制生成具体配置信息，并下发给相应的安全组件；风险态势管理：通过分析敏感数据的位置、扩散范围、成本等因素确定风险，并且标记出保护程度不够的数据；审计监控管理：对敏感数据的数据流图进行监控，如果发现数据在数据流图之外，立即报警提示。

大数据安全防护层：包括接入安全层、清洗安全层、存储安全层、服务安全层和应用安全层。接入安全层负责对恶意代码进行检测和验证，保证导入数据的安全性；清洗安全层先对数据进行清洗，保证数据的一致性，然后对数据进行筛选，经过筛选的数据将会自动打上专项标签分类；存储安全层将根据数据的密级、业务、备份等需求，采取加密、细粒度访问控制、防泄漏或完整性验证等安全保障手段，防止数据泄露，同时可以结合安全审计功能，对平台涉密数据访问行为进行记录，并保证审计数据的完整性。

云环境基础支撑层：云计算的核心目标是资源的按需动态快速供给，要想达到这一目标，除了上层的虚拟化等技术外，还需要有底层的资源池支撑。构建资源池是通过虚拟化的方式将服务器、存储、网络等资源聚集起来，形成一个巨大的资源池。该资源池可以包括计算资源池、存储资源池、网络资源池和安全资源池等，它是云计算基础架构建设的第一步，也是至关重要的一步。

访问控制技术

利用4A（Account、Authentication、Authorization、Audit)等技术，解决在大数据外围环境实现帐号管理、认证管理、授权管理、数据识别、安全审计和代理引擎，并将其整合成集中、统一的大数据安全服务系统平台，对大数据平台进行访问保护，具体实现如图2所示。

图2 大数据平台安全访问控制示意图

如果每一个用户可以直接访问大数据平台，而Hadoop集群为每一个服务开放了一个端口，攻击者可以利用这些开放的端口,或者Hadoop系统的漏洞，发起各种攻击，通过大数据安全服务系统平台，作为大数据平台安全的第一道保护屏障，从应用层面，通过单点登录，实现对大数据平台的统一认证与授权管理。

大数据安全服务系统平台可以实现如下功能：

账号管理：明确定义组织角色，集中管理大数据的应用账号，不仅能够实现被管理资源账号的创建、删除及同步等管理，还可以通过平台进行账号密码策略、密码强度等的设定。

认证管理：提供对大数据平台访问的统一安全认证服务，为用户提供不同强度的认证方式，既可以保证原有的静态口令方式，又可以提供多种高强度的认证方式，而且还能够集成现有其他如生物特征等新型的认证方式，实现资源的认证集中控制，保障大数据平台的访问安全性，以及实现对大数据平台访问的单点登录。

授权管理：对组织中的不同角色进行授权，可以实现对应用系统资源的访问授权，也可以实现对特定角色基于时间、IP或者指令集进行授权。

数据识别：对存储在大数据平台的数据首先要进行分类分级,对特定角色所能访问的数据根据分类分级进行限制，以及根据标签对特定级别的数据访问进行特定的访问限制，以及对特定输出的数据内容进行识别与控制。数据在采集过程中，当数据经过清洗后，对所采集的数据进行分类分级，并嵌入安全标签，其元数据和标签信息存入数据资产管理库，数据存入数据库，当特定级别的数据被访问时，可根据数据标识识别策略进行访问控制，实现大数据环境下基于安全标签的数据资源的访问控制机制。

安全审计：实现对大数据安全平台运行与运维进行安全审计，以及从代理层实现对大数据平台的访问行为进行行为审计，不仅可以对用户的行为进行监控，还可以通过集中的审计数据进行数据挖掘，以便于事后安全责任的认定。

代理引擎：大数据安全服务系统平台作为大数据访问的统一入口，对大数据平台所有资源的访问都通过代理引擎进行映射，用户对大数据平台的所有操作都通过代理引擎进行转发。

大数据应用在为人们带来便利的同时也带来了信息安全的问题和挑战。如何平衡大数据的高效应用和数据的安全保护显得尤为重要，本文给出了大数据安全防护体系架构，指出该体系是一项系统化工程，并采用大数据安全服务系统平台实现对大数据平台的访问控制。随着大数据应用场景不断复杂，安全防护体系和访问控制机制还需要进一步扩展、精细化和标准化。

文章来源：《中国数字医学》杂志2019年第2期，作者及单位：任皓，解放军总医院计算机室。