企業大數據數據源接入越來越多、數據量越來越大、平臺越來越複雜，保存了很多企業敏感數據，甚至客戶隱私信息。隨著數據商業價值的增加，針對數據的攻擊、竊取、濫用、洩露等活動的持續氾濫，企業面臨著嚴峻的安全風險。
安全風險及事件存在以下特點：一、風險成因複雜交織，既有外部攻擊，也有內部洩露，既有技術漏洞，也有管理缺陷；既有新技術新模式觸發的新風險，也有傳統安全問題的持續觸發；二、威脅範圍全域覆蓋，大數據安全威脅滲透在數據生產、交互和消費等大數據產業鏈的各個環節，包括數據源的提供者、大數據加工平臺的提供者以及大數據分析服務的提供者等各類主體；三、事件影響重大深遠，數據洩露影響面廣，對用戶隱私造成極大損害。從企業角度，建議運營者規範數據開發利用規則明確數據權屬關係，重點加強個人數據和重點數據的安全管理，針對採集、存儲、傳輸、處理、交換和銷燬等各個環節開展全生命週期的保護，從制度流程、人員能力、組織建設和技術工具等方面加強數據安全能力建設。
安全防護體系的建設需要遵循“三分技術七分管理”的安全防護理念，從技術層面上考慮物理設施的安全，終端安全、網絡安全和雲平臺安全等方面。平臺安全管理要強化數據權限控制、數據脫敏和隱私保護和數據可信賴管理。橫向涵蓋數據流向各環節、縱向平臺架構分層進行防護，規劃和設計從網絡、平臺、數據、管理等方面全方位考慮安全防護，構建安全防禦體系。
整體架構上橫向主要是在數據採集入口增加安全網關、防火牆防護；建立數據安全隔離區，集中進行數據對內外交互、數據出口側增加數據防洩漏設備，在交互過程對數據進行授權、隱私保護、水印、加密傳遞等處理。縱向從大數據平臺硬件資源層加強漏洞檢測版本補丁更新、Hadoop組件進行安全基線掃描。數據層面：管理上對數據進行敏感等級分類、安全保護機、操作規範制定，根據規則對現有數據進行脫敏處理；應用租戶，可通過4A等安全平臺進行授權及合規操作等。
網絡安全：
一、內外網物理隔離：大數據平臺部署在企業內網，與外網物理隔離杜絕安全隱患。對網絡通訊進行監控，如果發現任何來自於網絡內部或外部的黑客入侵或可疑的訪問行為，可做到及時的報警與阻斷，通過網絡平面隔離的方式來保證網絡安全。
二、數據採集安全防護：對內對外系統數據採集網絡入口部署防火牆、安全網關，建立數據隔離區，完成大數據平臺內外部系統數據交互，保障安全。
三、數據共享安全防護；多租戶隔離，實施多租戶訪問隔離，數據安全等級劃分以及基於標籤的強制訪問控制，提供數據訪問授權模型，提供全局數據視圖和私有數據視圖，提供數據視圖的訪問控制。通過數據隔離區，實現大數據平臺數據對企業內外部數據共享，在網絡出口處部署數據防洩漏設備，實現敏感數據保護。
四、數據傳輸安全防護：用戶隱私數據脫敏，提供數據脫敏和個人信息去標識化功能，提供滿足國際密碼算法的用戶數據加密服務。各類用戶可通過數據共享發佈平臺訪問大數據平臺，提交訪問數據請求，訪問代理層收到用戶訪問請求後，根據用戶權限分析所要訪問的數據，與脫敏及訪問策略映射庫進行比對，對需要脫敏的數據進行脫敏然後加密傳輸展示給用戶。
五、流量異常監控：搭建數據流量異常監控平臺，能夠實時監控平臺出現的各種網絡問題。對網絡中所有傳輸的數據進行檢測、分析、診斷，排除網絡事故，規避安全風險，有效的提高網絡性能。
六、數據容災：為集群內部數據提供實時的異地數據備份容災功能，數據庫對外提供跨數據中心的容災機制。
平臺安全：
一、硬件安全：主機安全漏洞掃描，系統版本補丁更新，防病毒處理等。加強主機口令、操作管理，減少非法登錄。定期備份系統和文件數據，能夠快速修復主機的系統問題。建設大數據系統的網關/防火牆，外部攻擊首先需要衝破代理的保護才能進一步攻擊大數據平臺，增加惡意用戶的攻擊難度。
二、組件安全：組件安全針對大數據的主流平臺HDFS、HIVE、HBASE、Storm、Spark等進行安全基線掃描，分別提出身份、認證、授權、審計等配置方面檢查方法，並形成可操作的手冊和可執行腳本，並整合入SMP系統管理；增加對大數據平臺漏洞信息的管理及處理。
三、存儲安全：存儲安全包括數據的加密存儲、訪問控制、數據的封裝、數據的備份與恢復以及殘餘數據的銷燬。敏感數據脫敏保存，禁止明文存儲。加強數據文件的校驗，保持分佈式文件的一致性。根據安全要求，授權訪問數據。定期備份數據，一旦發生數據丟失或損壞，可以利用備份來恢復數據，從而保證在故障發生後數據不丟失。
四、應用安全：用戶認證，多租戶納入4A平臺集中管理，接入4A平臺管控的大數據平臺必須開啟Kerberos認證配置，以集中管控大數據平臺的多租戶信息。金庫訪問：當多租戶沒有明文數據的查詢權限，經審批可以通過金庫模塊獲得明文數據的查看權限。
數據安全：對數據進行敏感等級分類、安全保護機及操作規範制定。根據敏感數據規則定義對平臺存儲敏感數據識別、打標及打標數據的分類分級訪問控制；根據數據敏感規則，掃描引擎、掃描數據庫敏感數據，生成敏感數據及訪問策略映射庫。
管理保障：建立大數據安全管理保障制度和規範，安全策略管控方面做到集中管理、集中修訂、集中更新安全規則，從而實現統一的安全策略實施，安全管理員能夠在中央控制端進行全系統的監控；安全保障要求方面按照規範要求進行數據訪問、應用操作。相關制度包括對外合作安全管理(外部業務合作和外部代維代建)、內部安全管理、數據分類分級管理、應急響應機制、資產設施保護和認證授權管理等。
大數據安全防護體系的建設，需要對大數據安全防護體系內部的各個模塊進行詳細的研究，通過多種手段保障企業級大數據平臺的安全，最終構建大數據安全管控平臺，實現敏感數據隱私保護，降低企業運營風險；規範大數據平臺操作流程，保證開源系統的安全，做到大數據平臺系統“事前可管、事中可控、事後可查”。
閱讀更多 西山科技 的文章
