明朝万达：提高关键环节安全防护能力，实现大数据平台安全访问 – 作者:Wondersoft

舍恩伯格说“大数据正在改变我们的生活以及理解世界的方式”。

当前，互联网正处于高速发展时期，为迎接数字化转型浪潮带来的机遇和挑战，各产业加大对技术创新、技术应用的投入，如大数据平台建设如火如荼。

而在大数据平台搭建完成后，如何确保数据的合规使用，保障数据完整性、可用性和保密性，以及防御信息泄漏和非法篡改等威胁，就成为了政府机构、企事业单位信息化发展所要考虑的重要问题。

大数据平台安全防护以数据为核心，围绕数据共享使用的整个过程中所面临风险点展开，即数据在终端、链路、平台流转过程中面临的安全挑战，是探索大数据平台安全访问的关键环节。

❖ 终端泄漏风险

运维人员权限相对较大，直接对数据库进行操作，涉及的数据量非常大，内部人员的误操作导致数据丢失或不可用，蓄谋恶意行为导致数据泄漏，数据安全难以保障。

❖ 链路泄漏风险

传统的数据加密技术，在性能效率上很难满足高速、大容量数据的加密要求，同时分布式节点之间的传输网络易受到攻击、劫持和破坏，使得数据的完整性、机密性难以保证。

❖ 平台泄漏风险

用户多样性和业务场景多样性带来的权限控制多样性和精细化要求，数据应用有报表类、运营类、取数类等，各类数据应用通常要为不同身份和目的的用户提供服务，在身份鉴别、访问控制、审计溯源上都带来了巨大的挑战。明朝万达数据安全专家认为：以“防内为主、内外兼防”的理念来设计研发大数据平台的数据安全防护体系，实现集终端、链路、平台防护为一体的大数据平台安全态势感知和主动防御。一方面加强对平台入口、访问、识别、权限分配、操作行为等过程的综合管理，通过对合法访问的有效授权，增大非法访问和信息获取的难度，提高平台抵御外部攻击的能力；另一方面实现数据泄漏、数据传输加密和数据脱敏等方面的安全加固，促进数据资源安全使用。

1.用户终端访问环境隔离。

通过虚拟安全桌面访问大数据平台，无法将业务数据拷贝到真实桌面，避免了终端桌面泄密事件的发生，同时收敛大数据平台的数据访问途径，对运维人员访问大数据平台的操作行为进行操作管控、操作审计。

2.传输链路加密、防泄漏与隔离交换。

采用基于PKI技术的安全机制进行数据传输加密处理，使用户在不知道对方身份或者分布地很广的情况下，以证书为基础，通过一系列的信任关系取得安全通讯，以保证数据传输的机密性和完整性。同时部署网络数据防泄漏网关，对外发数据进行内容敏感性检查，避免大数据平台敏感数据的泄漏。

将多种不同的安全技术手段（身份认证、物理隔离、访问控制）有效结合，实现数据交换对象的身份认证、访问权限的控制、数据的异构转换、数据对照关系的匹配，并对交换行为的实时监控、数据代理装载转发结果数据等，通过物理单向传输技术保障反向传输上的物理零反馈，确保数据在共享交换过程中的安全。

3.平台数据的脱敏与访问控制。

针对海量、多源、异构数据在访问中面临的敏感及隐私数据泄漏问题，通过脱敏技术实现敏感数据的模糊化，确保敏感数据信息安全可靠及脱敏后可用性不受影响。

采用基于API网关技术打通大数据平台应用和服务的最后一公里。通过API网关访问大数据平台，进行访问鉴权、服务注册、服务调度、服务路由、访问控制、安全审计等，以满足不同业务场景下的技术要求。对接入平台的请求方进行身份验证，对服务请求方发出的请求进行权限检查，对于越权访问予以拒绝，满足企事业单位大数据平台应用和服务的同时保证数据安全。

4．大数据平台访问态势感知。

通过采集网络、终端的各类数据，以人员和终端行为进行分析为主线，对平台数据流转过程的安全态势进行探测分析和可视化展现，发现威胁平台的安全事件，并提供完整的追溯取证的证据链，实现管理人员对大数据环境的安全现状实时掌握，支撑对整个大数据系统精细化运维和管理。

来源：freebuf.com 2021-03-25 11:12:52 by: Wondersoft