王文莉 鄭蕾

【摘 要】本文依據(jù)大數(shù)據(jù)中心架構(gòu)模式，提出面向?qū)ο蟮亩鄬哟伟踩雷o模式設計思路，以大數(shù)據(jù)管理或使用者為對象，按照對象在大數(shù)據(jù)訪問和使用過程中可能面臨的服務器物理安全、服務器主機系統(tǒng)安全、服務器數(shù)據(jù)安全、數(shù)據(jù)網(wǎng)絡傳輸安全以及數(shù)據(jù)操作維護安全問題，設計多層次安全防護模式。

【關鍵詞】對象 大數(shù)據(jù)中心 多層次安全防護模式

【中圖分類號】G ?【文獻標識碼】A

【文章編號】0450-9889（2021）07-0167-03

隨著互聯(lián)網(wǎng)應用的不斷深化，數(shù)據(jù)的巨大價值充分體現(xiàn)出來，各行各業(yè)紛紛開始深入挖掘數(shù)據(jù)經(jīng)濟，建立各種大數(shù)據(jù)中心，將行業(yè)相關數(shù)據(jù)集中起來管理，以實現(xiàn)數(shù)據(jù)的及時性、準確性和共享性。早期，數(shù)據(jù)的集中管理采用客戶機/服務器的方式（C/S方式），這種方式應用于局域網(wǎng)內(nèi)居多，導致數(shù)據(jù)的共享性不強，應用面比較小，數(shù)據(jù)經(jīng)濟價值也沒有充分體現(xiàn)。隨著互聯(lián)網(wǎng)的不斷發(fā)展，軟件開發(fā)模式從C/S方式轉(zhuǎn)換成基于web形式的面向?qū)ο蟮拈_發(fā)方式，大數(shù)據(jù)的集中管理和利用也仿效這種模式，轉(zhuǎn)換成通過互聯(lián)網(wǎng)連接中央服務器的方式。這種方式管理簡便、高效準確，共享利用率大幅提高，安全性也相較以往得到了提升。但此種方式是基于網(wǎng)絡連接架構(gòu)的，涉及多層次的硬件連接、網(wǎng)絡管理軟件和操作系統(tǒng)等，其網(wǎng)絡安全問題較為復雜，進而導致中央服務器的數(shù)據(jù)中心的安全體系存在較多隱患。因此，大數(shù)據(jù)中心的安全既要考慮網(wǎng)絡連接和傳輸?shù)陌踩?，又要考慮中央服務器本身的防護安全和數(shù)據(jù)訪問安全。本文擬依據(jù)大數(shù)據(jù)中心架構(gòu)模式，以大數(shù)據(jù)管理或使用者為對象，設計一套多層次的安全防護模式。

一、面向?qū)ο蟮亩鄬哟伟踩雷o模式設計思路

在大數(shù)據(jù)中心的數(shù)據(jù)訪問中，用戶在獲得一定權(quán)限后，通過網(wǎng)絡連接設備和應用管理軟件實施客戶端與服務器端的鏈接。安全連接后，用戶就可以訪問存儲池中的數(shù)據(jù)了。按照這種模式，可以采取網(wǎng)絡數(shù)據(jù)傳輸?shù)哪Ｊ綄?shù)據(jù)訪問的整個過程進行分層，然后分層進行防御。對數(shù)據(jù)的訪問，可以分面向客戶端和服務器兩個對象來分析整個過程，進行安全層次劃分，然后采用多種方法分層防御，避免出現(xiàn)安全真空環(huán)節(jié)。如圖1所示，將服務器端的管理人員和客戶端的使用人員分別列為管理用戶和終端用戶，統(tǒng)一規(guī)劃為用戶層。將用戶請求連接接入的過程，統(tǒng)一劃為網(wǎng)絡安全連接層。用戶通過網(wǎng)絡連接安全進入服務器后進行數(shù)據(jù)分析和訪問操作，由此可以把數(shù)據(jù)存儲和數(shù)據(jù)分析統(tǒng)一劃為數(shù)據(jù)安全層。在每一個層次都執(zhí)行各自的安全防護，實施自上而下的縱深防御，在一層防御不夠時，其他層防御也會阻止破壞的發(fā)生，保證網(wǎng)絡傳輸數(shù)據(jù)過程中沒有單個環(huán)節(jié)安全故障發(fā)生而影響整體安全。

二、面向?qū)ο蟮亩鄬哟伟踩雷o模式設計方案

大數(shù)據(jù)中心的安全防護設計從分層和縱深防御的思想出發(fā)，重點防護對象是數(shù)據(jù)服務器。面向?qū)ο蠓掌鞫藭r，客戶端先通過互聯(lián)網(wǎng)向服務器發(fā)起數(shù)據(jù)訪問請求，服務器在接收到申請并審核通過后，再通過互聯(lián)網(wǎng)將準確、安全的數(shù)據(jù)傳輸給客戶端，此過程涉及服務器物理安全、服務器主機系統(tǒng)安全、服務器上數(shù)據(jù)安全、數(shù)據(jù)網(wǎng)絡傳輸安全以及數(shù)據(jù)操作維護安全。為確保數(shù)據(jù)的準確安全，可以對以上環(huán)節(jié)進行逐步防護，形成多層次安全防護模式，如圖2所示。

（一）服務器物理安全

大數(shù)據(jù)中心服務器的物理安全主要是指數(shù)據(jù)中心主機的物理層面的安全管理，其中包括內(nèi)部人員安全管理、機房物理安全管理。由于中心機房內(nèi)服務器處于不安全狀態(tài)導致的數(shù)據(jù)安全事件層出不窮，機房安全管理不到位、外部人員入侵等導致的數(shù)據(jù)泄密是大數(shù)據(jù)中心最為擔憂的情況，尤其是存儲著大量用戶敏感信息的數(shù)據(jù)中心，對黑客無疑具有非常大的吸引力，一旦數(shù)據(jù)泄密，對整個大數(shù)據(jù)中心而言是毀滅性打擊。對此，大數(shù)據(jù)中心應對應用主機現(xiàn)場環(huán)境進行嚴格管理，對機房內(nèi)進出設置嚴格規(guī)定，如實行提前實名預約、出入場人員身份驗證、數(shù)據(jù)中心內(nèi)部管理人員實時陪同，并安裝符合國標的電子門禁及監(jiān)控設備進行人員進出控制及實時監(jiān)控。同時，建立安全管理制度，嚴格審核數(shù)據(jù)中心內(nèi)部管理人員，定期舉行安全管理培訓，規(guī)定內(nèi)部人員進出數(shù)據(jù)中心核心區(qū)域時應取得相應授權(quán)，同時實行兩人同進同出制，防止內(nèi)部數(shù)據(jù)竊取事件發(fā)生。

（二）服務器系統(tǒng)安全

縱觀整個大數(shù)據(jù)中心，服務器是承載核心應用及數(shù)據(jù)的設備，因而服務器的安全是最關鍵的環(huán)節(jié)。服務器往往使用了不同類型的操作系統(tǒng)、數(shù)據(jù)庫和互聯(lián)網(wǎng)連接等通用軟件，很容易遭受病毒入侵、漏洞攻擊、木馬、拒絕服務等安全威脅。由于需要對外提供業(yè)務訪問，服務器接入互聯(lián)網(wǎng)后風險大幅提高，在傳統(tǒng)互聯(lián)網(wǎng)領域常有攻擊服務器的現(xiàn)象，例如，通過DDoS泛洪攻擊發(fā)送大量垃圾數(shù)據(jù)包使服務器陷入拒絕服務狀態(tài)，使正常用戶無法通過服務器開放的應用端口進行訪問，一方面占用了大量的服務器網(wǎng)絡帶寬，使正常的訪問無法接入;另一方面使服務器所處網(wǎng)絡中提供網(wǎng)絡服務的設備如核心交換機、路由器的傳輸通道受到阻塞，網(wǎng)絡流量處理能力下降，造成不良影響。同時，黑客還有可能通過互聯(lián)網(wǎng)入口進行滲透，在服務器操作系統(tǒng)中利用未發(fā)現(xiàn)的遠程攻擊漏洞進行木馬植入、病毒植入等，使應用系統(tǒng)受到極大的威脅，數(shù)據(jù)泄密風險大幅增加。

為了抵御服務器系統(tǒng)可能遭受的各種類型攻擊和用戶請求數(shù)據(jù)遭竊聽和篡改等安全威脅，可以從以下方面進行考慮：一是通過加強服務器漏洞掃描能力，在內(nèi)網(wǎng)部署相應的漏洞掃描設備，定期對服務器進行漏洞掃描，利用最新發(fā)布的漏洞補丁進行封堵，減少攻擊者入侵的通道;二是在服務器系統(tǒng)中建立對應的文件安全機制，對關鍵數(shù)據(jù)進行二次加密，加密算法應采用符合國密要求的算法，如RAS、SM2等，這樣即使文件被內(nèi)部竊取，竊取者也無法通過反向解密的方式破解，可以最大限度地防止內(nèi)部數(shù)據(jù)泄密事件;三是服務器系統(tǒng)應設置對應的監(jiān)視系統(tǒng)，通過部署相應的系統(tǒng)級的監(jiān)視軟件或日志審計系統(tǒng)，實現(xiàn)內(nèi)部運行數(shù)據(jù)實時記錄，第一時間阻止非法操作，而對數(shù)據(jù)庫類應用，應結(jié)合相應的數(shù)據(jù)庫審計系統(tǒng)，主動屏蔽高危操作命令，防止數(shù)據(jù)庫內(nèi)數(shù)據(jù)遭到惡意復制及惡意刪除。

（三）服務器數(shù)據(jù)安全

服務器的數(shù)據(jù)安全是保障數(shù)據(jù)中心安全的重點。為了保障用戶需要的數(shù)據(jù)安全，服務器數(shù)據(jù)中心應從數(shù)據(jù)隔離、訪問控制等多個方面采取措施。

1.數(shù)據(jù)域訪問控制

對服務器數(shù)據(jù)的訪問控制，可以考慮針對不同級別及不同應用的數(shù)據(jù)劃分對應的數(shù)據(jù)域，每個數(shù)據(jù)域需要設置不同的訪問用戶組及訪問策略，未獲取數(shù)據(jù)域授權(quán)的用戶，禁止訪問對應數(shù)據(jù)域內(nèi)的數(shù)據(jù)，多個數(shù)據(jù)域之間相互隔離不能互訪。同時，在數(shù)據(jù)訪問過程中，服務器端和存儲端的訪問都需要有對應的雙向數(shù)據(jù)訪問認證，如CHAP認證等，只有通過訪問認證的服務器設備才可以接入對應存儲設備獲取數(shù)據(jù)。認證時需要打上對應的用戶標識，用戶標識在訪問結(jié)束后自動清除，下次訪問時需要重新申請防衛(wèi)標識、重新進行訪問認證，這樣可以有效地防止未經(jīng)授權(quán)的服務器非法接入存儲設備。

2.數(shù)據(jù)多重備份

大數(shù)據(jù)中心的數(shù)據(jù)存儲采用多重備份機制，每一份數(shù)據(jù)都可以有一個或者多個備份，當數(shù)據(jù)因存儲載體（如硬盤）出現(xiàn)故障時，不會引起數(shù)據(jù)的丟失，也不會影響系統(tǒng)的正常使用。系統(tǒng)同時對存儲數(shù)據(jù)按位或字節(jié)的方式進行數(shù)據(jù)校驗，并把校驗的信息均勻地分散到陣列的各個磁盤上。陣列的磁盤上既有數(shù)據(jù)，也有數(shù)據(jù)校驗信息，數(shù)據(jù)塊和對應的校驗信息會存儲于不同的磁盤上，當一個數(shù)據(jù)盤損壞時，系統(tǒng)可以根據(jù)同一帶區(qū)的其他數(shù)據(jù)塊和對應的校驗信息重構(gòu)損壞的數(shù)據(jù)。

3.存儲載體加密

數(shù)據(jù)中心的數(shù)據(jù)存儲載體大多為硬盤，少部分冷備數(shù)據(jù)會采用光盤或磁帶。在數(shù)據(jù)中心被物理入侵竊取硬盤導致數(shù)據(jù)被讀取的情況下，作為數(shù)據(jù)關鍵載體的硬盤成了數(shù)據(jù)安全的風險點，因此，在存儲內(nèi)部需要對存儲核心關鍵數(shù)據(jù)的硬盤進行磁盤加密算法，如利用SED等進行加密，通過在存儲側(cè)生成DEK加密密鑰與AK加密密鑰，AK加密磁盤訪問、DEK加密磁盤上的數(shù)據(jù)，當硬盤上線時需要由專用存儲分配AK密鑰才能訪問磁盤，即使硬盤被竊取，竊取者沒有對應的AK密鑰也無法訪問磁盤，因而可以有效防止數(shù)據(jù)泄露。

（四）數(shù)據(jù)網(wǎng)絡傳輸安全

由于大數(shù)據(jù)中心通過網(wǎng)絡提供對外服務，傳統(tǒng)的DDoS攻擊、零日攻擊、數(shù)據(jù)竊聽等來自互聯(lián)網(wǎng)的攻擊手段已然成為當前大數(shù)據(jù)中心數(shù)據(jù)安全的最大威脅，更好地抵御來自互聯(lián)網(wǎng)的威脅，是大數(shù)據(jù)中心安全運營的前提。

面向互聯(lián)網(wǎng)提供服務的業(yè)務，應對不同應用系統(tǒng)、不同數(shù)據(jù)域進行相應的安全域的劃分。劃分安全域第一步就是對網(wǎng)絡進行隔離，不同應用系統(tǒng)及不同數(shù)據(jù)域應處于不同的網(wǎng)段，防止單一應用被入侵時橫向傳播，以及防止網(wǎng)絡風暴的擴散導致業(yè)務中斷。第二步是在大數(shù)據(jù)承載平臺中在各個應用各個部門間劃分VPC（虛擬私有網(wǎng)絡）以及虛擬防火墻，每個VPC之間的業(yè)務應用虛機互不干擾，單個VPC內(nèi)發(fā)生病毒傳播不對外擴散。第三步是在互聯(lián)網(wǎng)出口區(qū)域設置信任域與非信任域，處于內(nèi)網(wǎng)可信網(wǎng)絡的核心應用應劃分入信任域，信任域內(nèi)的主機持續(xù)受到防火墻及入侵防御設備的監(jiān)管，第三方非核心應用應劃入非信任域，非信任域中需要設置對應的網(wǎng)絡授信，授信后方可訪問內(nèi)網(wǎng)應用，授信期間持續(xù)被防火墻及安全態(tài)勢感知中心監(jiān)管。

VPN管理方式（見圖3）主要特點是分網(wǎng)絡區(qū)域管理，在大數(shù)據(jù)中心與用戶之間，通過設置虛擬私有云端，在大數(shù)據(jù)中心內(nèi)部給每個部門劃分獨立的VLAN，對應獨立的虛擬防火墻，保證不同區(qū)域部署在大數(shù)據(jù)中心的數(shù)據(jù)和應用與該區(qū)域的內(nèi)網(wǎng)通過VPN或?qū)＞W(wǎng)無縫安全對接，并保證不同的用戶能安全訪問數(shù)據(jù)中心的數(shù)據(jù)和應用，在確保數(shù)據(jù)中心安全性的同時，各劃分區(qū)域之間相互獨立訪問數(shù)據(jù)。在實際數(shù)據(jù)管理中，很多大數(shù)據(jù)中心內(nèi)部通信用不同的VLAN劃分不同的業(yè)務平面、存儲平面和管理平面等多個網(wǎng)絡平面，平面與平面之間的隔離主要采用的是防火墻模式。

（五）數(shù)據(jù)操作維護安全

大數(shù)據(jù)在帶來成本降低、效率提高等一系列好處的同時，由于計算、存儲的集中，對管理維護提出了更高的安全要求，以保障基礎設施的安全運行。大數(shù)據(jù)承載平臺應從管理流程的角度對數(shù)據(jù)安全進行多重保護。

首先，大數(shù)據(jù)平臺系統(tǒng)管理員可以實行“分域分權(quán)”管理。分域指的是劃分數(shù)據(jù)資源管理權(quán)，通過分域管理其下的賬戶可以把管理權(quán)下放，域內(nèi)的用戶可以看到對應分域中的數(shù)據(jù)及資源，在平臺界面的體現(xiàn)就是看到域內(nèi)可管理的虛機。分權(quán)即在域中劃分不同級別管理員的操作權(quán)限，劃分不同的管理角色，不同角色間對分域間的管理權(quán)不同，可管理內(nèi)容也有所區(qū)別。通過設置分權(quán)分域，可以實現(xiàn)不同部門間資源不重合、不同部門之間管理權(quán)相互隔離，避免發(fā)生越權(quán)管理，有效防止單業(yè)務被非法入侵后利用高權(quán)限強行跨部門進行數(shù)據(jù)操作，從而保證數(shù)據(jù)安全性。

其次，大數(shù)據(jù)承載平臺需要支持日志系統(tǒng)對自身平臺運行做記錄，即支持集中的日志收集和存儲。日志系統(tǒng)是一個非常重要的功能組成部分，它可以記錄下系統(tǒng)所產(chǎn)生的所有行為，反映很多安全攻擊行為，比如登錄錯誤、異常訪問等。通過采集操作日志和運行日志，可以實現(xiàn)平臺的安全運營要求。操作日志主要用于記錄平臺管理人員管理維護操作歷史，包括記錄登錄者執(zhí)行的操作、登錄的IP地址、輸入的關鍵參數(shù)、登錄操作的時間、執(zhí)行操作的結(jié)果等內(nèi)容，日志存放在管理節(jié)點的數(shù)據(jù)庫中。后期審計人員可以通過導出相應的操作日志審計管理者的一些過往操作，同時在發(fā)生因誤操作導致的業(yè)務癱瘓及數(shù)據(jù)丟失等事件時，審計人員還可以通過操作日志來追溯操作者及惡意操作證據(jù)。操作日志僅有審計人員有管理權(quán)，管理員無法手動刪除操作日志，因而操作日志可作為證據(jù)防止抵賴行為。運行日志主要用于記錄系統(tǒng)各節(jié)點的運行情況，通過控制日志讀取參數(shù)可以了解不同節(jié)點的運行狀態(tài)，通過運行不同線程可以獲取不同的運行信息，還可以在這個過程中添加條目篩選快速地導出異常運行信息。將運行日志和操作日志結(jié)合起來可以反映很多安全攻擊行為，如異常登錄導致的網(wǎng)絡流量震蕩、異常訪問導致的IO懸掛等。

目前大數(shù)據(jù)分析在各行各業(yè)體現(xiàn)出了非常大的經(jīng)濟價值，而大數(shù)據(jù)需要在互聯(lián)網(wǎng)中進行傳輸，存在很大的安全隱患，給行業(yè)帶來了許多不安全因素。本文采用面向?qū)ο蟮姆椒?，按照對象在大?shù)據(jù)訪問和使用過程中可能遇到的各種安全隱患設計了一套多層次的數(shù)據(jù)安全防護架構(gòu)，以期做到更全面的防護。

【參考文獻】

[1]王田，李洋，賈維嘉，等.傳感云安全研究進展[J].通信學報，2018（3）.

[2]黃波，霍丹妮，諶雅詩，等.大數(shù)據(jù)技術(shù)在企業(yè)中應用的約束機制研究[J].企業(yè)科技與發(fā)展，2020（7）.

[3]金玉凱，岳滕飛.大數(shù)據(jù)下計算機發(fā)展趨勢研究[J].數(shù)字化用戶，2019（48）.

[4]何瑋.一種基于大數(shù)據(jù)分析的政企OTN節(jié)點預測模型[J].數(shù)字化用戶，2019（45）.

[5]孫洪艷.大數(shù)據(jù)視角下的人工智能技術(shù)應用[J].內(nèi)蒙古煤炭經(jīng)濟，2020（6）.

[6]張航，何建艷.區(qū)塊鏈技術(shù)驅(qū)動下的物聯(lián)網(wǎng)安全研究[J].數(shù)字化用戶，2019（47）.

[7]李昊.關于稅收應用中的數(shù)據(jù)庫安全機制淺析[J].數(shù)字化用戶，2019（48）.

[8]王鑫.安全生產(chǎn)中煤礦地質(zhì)勘測技術(shù)的應用探討[J].內(nèi)蒙古煤炭經(jīng)濟，2020（5）.

[9]陳霖，梁坤.4G時代基于網(wǎng)絡流量大數(shù)據(jù)分析的安全預警研究[J].湖南郵電職業(yè)技術(shù)學院學報，2016（4）.

[10]岑華升.淺談網(wǎng)絡流量大數(shù)據(jù)分析的探索和實踐[J].廣東公安科技，2016（2）.

[11]姜開達，章思宇，孫強.基于Hadoop的校園網(wǎng)站日志系統(tǒng)的設計與實現(xiàn)[J].華東師范大學學報（自然科學版），2015（z1）.

[12]李秀龍.基于網(wǎng)絡流量監(jiān)測與預測的用戶流量行為分析方法研究[D].北京：北京工業(yè)大學，2013.

注：2019年度廣西職業(yè)教育教學改革研究項目“以崗位能力為導向的大數(shù)據(jù)專業(yè)2+1模式課程體系的研究與實踐”（GXGZJG2019B038）

【作者簡介】王文莉（1981— ），女，漢族，廣西南寧人，碩士研究生，廣西國際商務職業(yè)技術(shù)學院講師，研究方向為大數(shù)據(jù)和軟件技術(shù);鄭 蕾（1980— ），男，漢族，湖北荊州人，碩士研究生，廣西國際商務職業(yè)技術(shù)學院講師，研究方向為云計算與大數(shù)據(jù)。

（責編 蘇 洋）