最近的一次會議中，我聽到一位演講者提到通過硬件安全模塊提供的基于云的密鑰管理，或者HSM。HSM是什么?基于所有其他使用的云安全選擇，我如何知道自己是否需要?

簡短的回答就是如果你還沒聽到很多關于HSM的內容，你可能就不需要用這種方法來進行信息安全管理，至少目前還不需要。你可以找到足夠多的其他的更容易且更便宜的方法來確保你的數據的安全。

HSM是一種專用硬件系統，旨在存儲和管理私有和公有密鑰，比如確保套接層安全，或者SSL、證書。最著名的HSM產品是亞馬遜Web服務的CloudHSM，在AWS云內部運作。AWS將CloudHSM描述服務一種服務，可以允許客戶安全生成、存儲和管理加密密鑰，從而實現數據加密，某種程度上，這個密鑰只是用戶可訪問。

如果你需要運行數字版權管理或者公有密鑰基礎架構的話，這種系統很有用。這種系統用于需要高水平安全的產品，有其是確保法規遵從。

但是針對大多數典型項目，你需要的安全遠不止這些。除非你在你處理分類治理數據、機密醫藥信息a

從概念上講，大數據并不是一個新的東西;幾十年以來，很多企業已收集和使用了大量的數據。近年來大數據的理念已真正成形，而其中很大一部分的原因是目前各種規模的企業都是通過云計算訪問基礎設施的，而云計算賦予了大數據發展的良好機遇。雖然新的機遇已成為了企業的巨大商機，但是很多企業仍然還在思考大數據應用中所蘊含的安全性問題。

今年6月，云計算安全聯盟(CSA)的大數據工作組發布了一個名為“大數據安全性與隱私的十大挑戰”研究報告，其中詳細介紹了云計算服務環境中大型化、多樣化和低結構化數據集合(統稱為大數據)所需面臨的各種類型安全性問題和隱私問題。在如今喧囂塵上的大數據炒作下，企業消費者能夠從這份報告中對大數據安全性問題得到些什么啟示呢?

在本文中，我們將摘錄研究報告中對云計算環境下十大數據安全性挑戰的調查結果，并提出一些企業應當做些什么的忠告，以確保他們大數據項目實施的安全性。

安全性風險建模

在深入探討與云計算環境下大數據應用相關的各個風險之前，CSA大數據工作組最直接有效的努力之一就是為風險構建了一個簡單的架構模型。這個模型描述了數據是如何被處理和存儲的，其中包括了大數據的來源、處理集群以及數據的端點消費者(系統、移動設備等)，以及處理和存儲操作發生的云計算環境。此外，這個模型顯示了數據通過這個生態系統的一個簡單的定向數據流，這毫無疑問有助于企業用戶了解在云計算背景下大數據對于他們真正意義的所在。

CSA工作組還把風險分為了四類：基礎設施安全性(安全計算和非關系型數據存儲);數據隱私性(加密、訪問控制、數據分析與數據挖掘的隱私性);數據管理(審計與數據存儲的安全性，和元數據出處[數據源驗證和確實性]);以及完整性和被動安全性(端點驗證和實時安全性監控)。

通過使用這些分類方法，企業可以在他們現有的安全性控制架構中確定主要風險的所在。

大數據應用的安全性挑戰

為了形成這份調查報告，CSA工作組對CSA的成員進行了訪談、對公開出版物和商業期刊進行了分析，其研究結果就是與大數據相關的十大安全性和隱私性風險。

就具體研究結果來看，以下詳細列出了大多數企業關注他們努力方向的關鍵思考：即在分布式編程框架下確保計算的安全性。第一個發現的風險涉及諸如MapReduce框架下計算元素的安全性，以及兩個具體的安全性問題。首先，是“映射器”的誠信問題，即代碼把數據分成片段進行分析，并輸出需要進行評估的鍵值對。其次，是執行數據清理和分離識別操作以防止平臺發生敏感數據泄漏事件的能力。使用諸如MapReduce這樣復雜工具的企業將需要使用SELinux中的強制性訪問控制工具和分離識別程序;與之相同，企業應當要求云計算供應商提供在他們的環境中是如何控制和彌補這個問題的。

非關系型數據存儲的安全最佳實踐。使用NoSQL和其他大型非關系型數據存儲可能會由于在一些關鍵領域的能力缺乏而產生新的安全問題，其中包括了任何的身份真實性驗證、數據在存儲或傳輸狀態下的加密、日志記錄或數據標記，以及分類。企業需要考慮使用應用程序隔離或中間件層以加強身份驗證和數據完整性。所有的密碼都必須經過加密處理，所有至系統的連接都應當使用安全套接層/傳輸層等安全措施。同時，還應確保生成的日志記錄涵蓋了所有與敏感數據相關的交易。

確保數據存儲和交易日志的安全性。數據和交易日志可存儲在多層存儲介質中，但是企業需要預防未經授權的訪問，并確保系統的連續性和可用性。可以使用基于策略的密鑰加密算法以確保只有被授權的用戶和應用程序才能夠訪問平臺。

端點輸入的驗證/過濾。在一個大數據項目實施中，眾多的端點可以提交用于處理和存儲的數據。為了確保只有受信任的端點可以提交數據，而不會有虛假或惡意的數據被提交，企業需要對連接至企業網絡的每個端點進行審批。但是，除了建議在可能的情況下將受信任的平臺模塊芯片(很多較新的端點設備已配置)引入驗證過程之外，CSA工作組并沒有提出一套可以緩解這一風險的建議措施。基于主機和移動設備的安全控制措施能夠緩解與不信任端點相關的風險，以及圍繞系統庫存跟蹤和維護的強進程。

安全性的實時監控。監控大數據平臺和執行安全性分析都應當以近乎實時的速度完成。很多傳統的安全信息與事件管理平臺都無法在真實大數據項目實施中滿足實際使用數據的規模(和格式)方面的要求。就目前而言，除非正在使用數據庫和其他的前端監控工具，否則很少存在有真正的Hadoop監控和其他大數據平臺。

可擴展、可組合、保護隱私的數據挖掘和分析。大數據實施可能會產生與數據泄漏和曝光相關的隱私性問題。事實上，目前已經有了很多的安全控制措施，如果這些措施能夠切實落實到位的話，企業就能夠應對這一難題，其中包括了對存儲狀態的數據使用強大的加密技術、執行對數據的訪問控制、對工作流程和控制進行隔離處理以最大程度地減小內部攻擊的成功率。

采用密碼方式加強以數據為中心的安全性。從歷史上來看，一直流行的數據控制方法都只能確保管理數據的系統的安全性，而不是確保數據本身的安全性。但是，實踐不斷地證明著，這些應用程序和平臺都是非常脆弱的。使用強大的加密技術封裝在云計算供應商環境中的敏感數據，以及使用實現密鑰管理和安全密鑰交換的新創新算法，都是管理數據訪問的更可靠方法，特別是因為它存在于一個獨立于任何一個平臺的云計算中。

細粒度的訪問控制。對諸如NoSQL數據庫和Hadoop分布式文件系統這樣的大數據存儲采用細粒度的訪問控制需要實施強制訪問控制和完善的身份認證。 諸如Apache Accumulo這樣的新NoSQL實施可以實現對鍵值對非常細粒度的訪問控制;云計算服務供應商也應該能夠清楚在他們的云計算環境中所采用的訪問控制類型。

細粒度審計。連續監控、定期審計、日志與事件數據分析等方法的綜合使用將有助于在大數據環境中檢測入侵或攻擊事件。這里的關鍵控制在于集中關注大數據環境內外所有層的日志記錄。

數據出處。 在這種情況下，數據出處主要關注數據的驗證和可信度。身份驗證、端到端的數據保護和細粒度的訪問控制等方法將有助于解決大數據環境中數據來源的驗證和確認問題;云計算服務供應商應當已將這些控制措施落實到位，以解決其他的問題。

結論

在很多云計算服務供應商環境中，都是以某種方式進行大數據采集和處理的。雖然大多數企業可能還沒有擁有大數據平臺和落實內部控制措施，但是了解云計算環境中企業數據所面臨的主要威脅和風險是非常重要的。通過利用CSA工作組在大數據應用方面的研究成果和明確關注應當落實到位的關鍵控制措施，企業消費者就能夠對在他們服務供應商環境中大數據項目的基礎設施和應用程序的狀態做出正確的評估。

作者簡介：

Dave Shackleford是Voodoo安全有限責任公司的所有人和咨詢師、IANS資深導師、SANS研究院分析師、高級講師和課程作者。他已為數百個組織在安全、法規合規性以及網絡架構與工程領域提供了咨詢服務，是具有豐富安全虛擬化基礎設施設計和配置經驗的VMware vExpert。Dave之前是Configuresoft公司的CSO、互聯網安全中心的CTO、并曾出任多家財富500強公司的安全架構師、分析師和經理。Dave是Sybex一書的作者，虛擬化安全：保護虛擬化環境，以及信息安全課程技術的合作設計者。最近，Dave為SANS研究所合作設計了第一個虛擬化安全課程。目前，Dave在SANS技術研究院擔任董事一職，并協助領導云計算安全聯盟的亞特蘭大分部。

這樣的信息，或者構建身份認證系統，否則就不需要HSM。