大數(shù)據(jù)安全的現(xiàn)狀分析和對(duì)策

【摘要】伴隨著信息革命浪潮的日漸高漲，數(shù)據(jù)信息爆發(fā)性增長(zhǎng)，衍生出所謂的“大數(shù)據(jù)”。對(duì)它的研究推動(dòng)了信息存儲(chǔ)、信息挖掘、網(wǎng)絡(luò)應(yīng)用以及計(jì)算技術(shù)的快步發(fā)展，同時(shí)大數(shù)據(jù)也是一把雙刃劍——它帶來(lái)了前所未有的新的安全問(wèn)題。學(xué)術(shù)界、企業(yè)界、信息安全界已經(jīng)開(kāi)始著手研究大數(shù)據(jù)安全的發(fā)展，全球諸多國(guó)家已經(jīng)將其列為國(guó)家信息安全戰(zhàn)略。本文從大數(shù)據(jù)的概念入手，淺析大數(shù)據(jù)獨(dú)特之處，分析當(dāng)前大數(shù)據(jù)安全的研究狀況和存在的問(wèn)題，并提出相關(guān)建議，找到相應(yīng)的對(duì)策。

【關(guān)鍵詞】大數(shù)據(jù)安全;信息安全;展望

1.引言

我們已經(jīng)進(jìn)入大數(shù)據(jù)時(shí)代，數(shù)據(jù)量變得越來(lái)越大，數(shù)據(jù)環(huán)境也變得越來(lái)越復(fù)雜。隨著社交網(wǎng)絡(luò)、電子商務(wù)、移動(dòng)網(wǎng)絡(luò)以及近年興起的物聯(lián)網(wǎng)大大拓展互聯(lián)網(wǎng)的邊界和應(yīng)用領(lǐng)域。我們的生活由于互聯(lián)網(wǎng)發(fā)展而變得愈發(fā)多姿多彩，在享受便利的同時(shí)，也無(wú)意貢獻(xiàn)了自己的信息和行蹤。大數(shù)據(jù)應(yīng)用實(shí)際上是虛擬技術(shù)、云計(jì)算和數(shù)據(jù)中心三者使用率增加后的必然結(jié)果。從另一個(gè)方面來(lái)說(shuō)，雖然大數(shù)據(jù)是一個(gè)可有效使用數(shù)據(jù)的方式，但同樣也存在著嚴(yán)重的數(shù)據(jù)安全和合規(guī)性問(wèn)題。大數(shù)據(jù)時(shí)代，數(shù)據(jù)量是非線性增長(zhǎng)的，而絕大多數(shù)企業(yè)都沒(méi)有專(zhuān)門(mén)的工具或流程來(lái)應(yīng)對(duì)這種非線性增長(zhǎng)。數(shù)據(jù)量的不斷增長(zhǎng)，也讓傳統(tǒng)安全工具已經(jīng)不再像以前那么有效。在過(guò)去，一講到數(shù)據(jù)安全，通常采購(gòu)一個(gè)防火墻就能基本實(shí)現(xiàn)。但在今天，這已經(jīng)遠(yuǎn)遠(yuǎn)不夠。相關(guān)威脅報(bào)告顯示：2013年第三季度，數(shù)據(jù)庫(kù)泄露威脅創(chuàng)下歷史新高。到目前為止，2012年數(shù)據(jù)泄露總數(shù)已超過(guò)2011年全年;今年，相關(guān)開(kāi)發(fā)人員發(fā)現(xiàn)并修補(bǔ)的新型數(shù)據(jù)庫(kù)相關(guān)漏洞已接近100個(gè)。隨著大數(shù)據(jù)的深入應(yīng)用，數(shù)據(jù)安全準(zhǔn)則也將隨之發(fā)生改變，針對(duì)大數(shù)據(jù)必須要制定新的安全對(duì)策。

2.大數(shù)據(jù)安全分析

現(xiàn)如今，圍繞著大數(shù)據(jù)分析所涉及到的相關(guān)隱私問(wèn)題存在著許多的擔(dān)憂，例如：企業(yè)和各國(guó)的政府機(jī)構(gòu)是否有權(quán)獲得如此廣泛的個(gè)人和群體信息？同時(shí)，對(duì)于他們收集和處理這些數(shù)據(jù)信息是否有相關(guān)的法律或政策對(duì)其進(jìn)行指導(dǎo)和約束？這其中一個(gè)相當(dāng)關(guān)鍵但卻并不經(jīng)常被人們討論和關(guān)注的問(wèn)題是安全性。要解決大數(shù)據(jù)安全問(wèn)題，需要從大數(shù)據(jù)自身及其特性去分析：

（1）大數(shù)據(jù)不僅僅只是大量的數(shù)據(jù)

從某種意義上說(shuō)，當(dāng)一家機(jī)構(gòu)或企業(yè)開(kāi)始收集和存儲(chǔ)大量的數(shù)據(jù)信息時(shí)，其就已然成為了一個(gè)相當(dāng)顯眼的被攻擊及竊取信息的目標(biāo)。但更廣泛地說(shuō)，對(duì)那些收集了大量有價(jià)值的非結(jié)構(gòu)化數(shù)據(jù)信息的企業(yè)而言，其數(shù)據(jù)信息可能并不存在任何根本性的新威脅。

對(duì)于黑客攻擊而言，那些PB級(jí)存儲(chǔ)的大數(shù)據(jù)信息是安全的，因?yàn)檫@些數(shù)據(jù)的量對(duì)于黑客而言根本就太大了。也許除了那些資金雄厚的贊助商之外，一般的黑客都缺乏相關(guān)的分析工具來(lái)從如此龐大的數(shù)據(jù)量中提取有意義的信息。換句話說(shuō)，企業(yè)也和這些黑客一樣，面臨同樣嚴(yán)峻而顯著的問(wèn)題：如何從他們所收集的龐大數(shù)據(jù)中提取有價(jià)值的東西出來(lái)。因此，對(duì)于個(gè)別大型數(shù)據(jù)存儲(chǔ)庫(kù)而言，考慮增加任何超出其它類(lèi)型數(shù)據(jù)庫(kù)的安全性措施并無(wú)太大的實(shí)施意義，尤其是考慮到這些黑客相對(duì)于各大機(jī)構(gòu)的能力往往是有限的。

（2）環(huán)境和細(xì)粒度的安全

雖然大數(shù)據(jù)是非結(jié)構(gòu)化的或更難進(jìn)行篩選分析，并不意味著大數(shù)據(jù)必然是更安全。如果所有的大數(shù)據(jù)存儲(chǔ)庫(kù)都是有用的，就不能將所有每一條信息都進(jìn)行同等的維護(hù)。企業(yè)所收集的數(shù)據(jù)越多，保持這些數(shù)據(jù)細(xì)粒度的任務(wù)和挑戰(zhàn)也就越艱巨。企業(yè)如何才能在不犧牲大數(shù)據(jù)性能的前提下牢牢把握所有這些數(shù)據(jù)的所有權(quán)，并遵守相關(guān)的監(jiān)管規(guī)定呢？

（3）大數(shù)據(jù)不能被匿名化

大數(shù)據(jù)所包括的內(nèi)容多且龐雜，系統(tǒng)所收集的數(shù)據(jù)越詳細(xì)，就越是可能涉及到更多的國(guó)家、企業(yè)甚至是私人信息，因此，對(duì)于個(gè)人隱私和安全問(wèn)題的關(guān)注度也應(yīng)提高?，F(xiàn)在的數(shù)據(jù)技術(shù)可以實(shí)現(xiàn)使用不涉及個(gè)人可識(shí)別信息的數(shù)據(jù)來(lái)重建相關(guān)人員的身份數(shù)據(jù)。例如，如果某公司獲得了覆蓋某地區(qū)一年的客戶GPS記錄列表，那么，他們可以用該列表來(lái)了解一人或多人的身份信息。在這種情況下，找到一個(gè)人的身份信息是非常簡(jiǎn)單的。例如，在某個(gè)時(shí)間段根據(jù)GPS進(jìn)行定位，然后從互聯(lián)網(wǎng)上搜索與該位置有關(guān)用戶的姓名。一般情況下，這個(gè)過(guò)程可能會(huì)更復(fù)雜一點(diǎn)，但從概念上講，其是一個(gè)很容易解決的簡(jiǎn)單問(wèn)題。盡管有部分公司采用大數(shù)據(jù)匿名化的方法，這些公司最好的方法也只是使這些數(shù)據(jù)“假名化”——讓一些信息是假名的，但其實(shí)系統(tǒng)中假名與真實(shí)的身份還是互相聯(lián)系的。這一有限制性的匿名化是大數(shù)據(jù)危險(xiǎn)的一部分：黑客和其他惡意方可能無(wú)法完成數(shù)據(jù)的精細(xì)分析，但考慮到這些有限信息種類(lèi)的豐富性，他們可以收集各種可利用的結(jié)論，進(jìn)行欺詐，偷盜或者更糟的行為。

（4）大數(shù)據(jù)在數(shù)據(jù)輸出方面的風(fēng)險(xiǎn)

即使原始數(shù)據(jù)在數(shù)據(jù)存儲(chǔ)的過(guò)程中得到了充分保護(hù)，但大數(shù)據(jù)所面臨的更大的威脅是企業(yè)支付了巨大的成本才從大數(shù)據(jù)分析中獲得的有價(jià)值的信息，而這些中最有價(jià)值的信息風(fēng)險(xiǎn)則在相關(guān)數(shù)據(jù)信息的輸出方面。由于企業(yè)往往很少監(jiān)視或保護(hù)這些數(shù)據(jù)，作為接觸到這些數(shù)據(jù)最多的人——企業(yè)員工往往是這些最有價(jià)值信息被破壞最常見(jiàn)的罪魁禍?zhǔn)?。所以企業(yè)需要保護(hù)大數(shù)據(jù)，盡管其必須對(duì)某些原始信息要進(jìn)行保護(hù)，但我們需要將更多的重點(diǎn)放到通過(guò)對(duì)原始數(shù)據(jù)分析所獲得的結(jié)果方面。

3.對(duì)策和建議

雖然許多企業(yè)意識(shí)到了信息數(shù)據(jù)安全的重要性，但其并不知道自己目前的安全狀況，也不清楚存在哪些安全隱患，針對(duì)企業(yè)安全的薄弱環(huán)節(jié)，進(jìn)行較全面的企業(yè)信息數(shù)據(jù)安全風(fēng)險(xiǎn)的評(píng)估，通過(guò)評(píng)估制定出合理完善的整體防護(hù)安全策略。構(gòu)建管理、策略、手段等多位一體的信息安全支撐體系。

（1）提高安全意識(shí)

企業(yè)的IT部門(mén)各崗位重要責(zé)任之一就是保障本公司IT信息的安全、完整與可用性。所以，在職責(zé)上要清晰明確IT部門(mén)的安全責(zé)任，通過(guò)收集、分析與調(diào)查事件，來(lái)檢測(cè)信息安全違反行為，把IT信息安全的質(zhì)量、健全性和可靠性通知和報(bào)告高層管理人員，確保IT信息安全的職能集成在業(yè)務(wù)流程過(guò)程中而不是獨(dú)立的任務(wù)。此外大部分企業(yè)都愿意花大把的錢(qián)購(gòu)買(mǎi)服務(wù)器、交換機(jī)、防火墻，卻很少去加強(qiáng)企業(yè)IT信息的管理安全策略。因此，管理短視正是目前IT信息安全最大的隱憂，提高IT部門(mén)對(duì)信息安全的認(rèn)識(shí)也是企業(yè)IT信息安全的重中之重。企業(yè)IT部門(mén)不但自己要提高安全意識(shí)，還要不斷推進(jìn)企業(yè)全體成員的IT信息安全意識(shí)建設(shè)。因?yàn)楸Ｕ螴T信息安全的根本立足點(diǎn)，不是對(duì)設(shè)備的保護(hù)，也不是對(duì)數(shù)據(jù)的看守，而是規(guī)范企業(yè)員工的IT信息行為，這也是上升到對(duì)人的管理的措施。事實(shí)上所有的員工都會(huì)是IT信息安全的威脅。因此，在人員越來(lái)越流動(dòng)的今天，有效的做法是要給員工進(jìn)行相關(guān)培訓(xùn)，告知員工哪些資料是機(jī)密資料應(yīng)該要慎重處理。提高全體成員的安全意識(shí)，做到防微杜漸，以小見(jiàn)大。

（2）采取有效的數(shù)據(jù)訪問(wèn)規(guī)則

面向大數(shù)據(jù)集群的大多數(shù)應(yīng)用都是Web應(yīng)用。雖然全面討論大數(shù)據(jù)安全的這個(gè)問(wèn)題超出了本文的范圍，但基于Web的應(yīng)用程序和API給這些大數(shù)據(jù)集群帶來(lái)了一種最重大的威脅。在遭受攻擊或破壞后，它們可以提供對(duì)大數(shù)據(jù)集群中所存儲(chǔ)數(shù)據(jù)的無(wú)限制訪問(wèn)。應(yīng)用程序安全、用戶訪問(wèn)管理及授權(quán)控制非常重要，與重點(diǎn)保障大數(shù)據(jù)集群安全的安全措施一樣都不可或缺。企業(yè)應(yīng)當(dāng)從四個(gè)方面滿足企業(yè)數(shù)據(jù)安全及審計(jì)要求：發(fā)現(xiàn)和分類(lèi)，審計(jì)和報(bào)表，評(píng)估和加固，監(jiān)控和執(zhí)行。力求在數(shù)據(jù)安全保護(hù)方面得到全面化的管理，而不是單一依靠監(jiān)控軟件達(dá)到數(shù)據(jù)防泄漏的目的，從而解決整個(gè)數(shù)據(jù)安全與合規(guī)/審計(jì)問(wèn)題。常見(jiàn)數(shù)據(jù)安全及合規(guī)審計(jì)應(yīng)該包括如下內(nèi)容：

訪問(wèn)安全：包含創(chuàng)建帳戶、分配權(quán)限、身份認(rèn)證與訪問(wèn)控制、用戶行為審計(jì)、角色變更和賬戶回收等幾個(gè)方面;數(shù)據(jù)訪問(wèn)審計(jì)：包括合適的數(shù)據(jù)庫(kù)安全或合規(guī)/審計(jì)系統(tǒng)能通過(guò)網(wǎng)絡(luò)數(shù)據(jù)的采集、分析、識(shí)別，實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)中數(shù)據(jù)庫(kù)的所有訪問(wèn)操作;數(shù)據(jù)訪問(wèn)監(jiān)控：包括支持自定義內(nèi)容關(guān)鍵字庫(kù)，實(shí)現(xiàn)數(shù)據(jù)庫(kù)操作的內(nèi)容監(jiān)測(cè)識(shí)別，發(fā)現(xiàn)各種違規(guī)數(shù)據(jù)庫(kù)操作行為，及時(shí)報(bào)警響應(yīng)、全過(guò)程操作還原;數(shù)據(jù)安全記錄：實(shí)現(xiàn)安全事件的準(zhǔn)確全程跟蹤定位，全面保障數(shù)據(jù)系統(tǒng)安全。

4.總結(jié)

目前，國(guó)內(nèi)外一系列的泄密事件將安全問(wèn)題推到了眾人的面前，這個(gè)問(wèn)題只會(huì)越來(lái)越突出，越來(lái)越重要。所以，身處大數(shù)據(jù)信息時(shí)代，數(shù)據(jù)永遠(yuǎn)是企業(yè)最需要保護(hù)的東西，未來(lái)的數(shù)據(jù)安全將以高度集成化和標(biāo)準(zhǔn)化為趨勢(shì)，立體全面的對(duì)企業(yè)甚至國(guó)家的安全提供保障。

參考文獻(xiàn)

[1]王珊，王會(huì)舉.架構(gòu)大數(shù)據(jù)：挑戰(zhàn)、現(xiàn)狀與展望[J].計(jì)算機(jī)學(xué)報(bào)，2011.

[2]陳明奇.大數(shù)據(jù)時(shí)代的美國(guó)信息網(wǎng)絡(luò)安全新戰(zhàn)略分析[J].信息網(wǎng)絡(luò)安全，2012.

[3]覃雄派，王會(huì)舉.大數(shù)據(jù)分析——RDBMS與MapReduce的競(jìng)爭(zhēng)與共生[J].軟件學(xué)報(bào)，2011.

基金項(xiàng)目：2014年度集團(tuán)科技創(chuàng)新基金（項(xiàng)目編號(hào)：2014MS027）。

作者簡(jiǎn)介：陳小林（1979—），男，江蘇泰州人，工程師，主要從事煤礦企業(yè)信息化軟件開(kāi)發(fā)工作。