揭秘大數據安全
舊聞：2018年8月28日，網傳華住旗下多個連鎖酒店開房信息數據遭泄露售賣。泄露的數據包含漢庭、美爵、禧玥、漫心、諾富特、美居、CitiGo、桔子等酒店用戶詳細信息。涉及53G華住官網注冊資料，大約1.23億條記錄;22.3G酒店入住登記資料，約1.3億人身份證信息;66.2G酒店開房記錄，約2.4億條。隨后華住集團發布申明已開始核實事件真實性，并已報警處理。
數據之于大數據項目就猶如泉水之于錦鯉，其重要性不言而喻，必然是企業極力保護的核心資產之一。那大數據安全又是什么呢?是確保數據在收集、傳輸、處理和存儲時的安全?那這個常見的數據安全又有何異同?是說通過大數據分析來提高企業安全?但這更像是大數據在安全領域的運用。
沒關系，我們先不急著下定義，讓我們先從幾個不同的方面來感受下大數據安全的輪廓。
一、大數據語境下都有哪些安全問題?
1. 新工具帶來新的安全風險
大數據用到多種新工具，這些新工具在誕生之初并沒有把安全作為第一要素進行考慮，因此是存在安全隱患的，而工具在被大規模運用后這些安全隱患會逐步凸顯出來。以MangoDB為例，它假設自己運行在企業內網環境中，且假設內網環境是安全可靠的，因此MangoDB默認情況下無需身份驗證即可登錄。有類似問題的還有Redis的早期版本。可想而知，如果這樣毫不設防的數據庫如果出現在了互聯網上，勢必會造成嚴重的安全問題。
在2016年底之后，出現了一波針對MangoDB的勒索攻擊浪潮，黑客們發現互聯網上有大量無需身份驗證即可登錄的MangoDB實例，其中一些數據庫中還保存著大量高價值數據。于是黑客們把數據庫中的數據進行了加密，并要求受害者支付贖金才能換回數據。美國某個醫療機構就是這么中招的，其存放了大量患者個人及醫療數據的MangoDB被黑客攻擊，醫院最終被迫無奈向黑客支付了贖金才換回了數據庫的控制權，但誰知道在此期間攻擊者有沒有利用MangoDB的漏洞，以MangoDB為跳板進而已經入侵了企業內部網絡呢?誰知道攻擊者有沒有把數據拖庫，進而轉賣給了第三方呢?
2. 數據污染
大數據系統收集的數據來自數量眾多且類型各異的來源，并且對這些數據進行分析處理后生成更具價值的數據，或者基于對數據的分析處理來觸發后續業務邏輯。這一點在運用了大數據的物聯網系統中更為常見。由于物聯網系統中部署了數量龐大的終端設備，各種各樣的傳感器、控制器都在產生數據并回傳給數據平臺做處理。
大數據系統中的數據流動路徑就像是樹根，每個根節點產生的數據都會對整棵樹的生長產生影響。攻擊者自然也明白這一點，破壞這些根節點就能破壞整個大數據系統的正常運行。例如，如果是大量破壞根節點使其不能生產數據，大數據系統將面臨“巧婦難為無米之炊”的困境;如果是暗中替換或者篡改了某些根節點生產的數據，大數據系統的行為可能被攻擊者操控;如果攻擊者能夠偽造根節點向大數據系統傳遞錯誤的，或者別有用心構造過的數據，那么大數據系統最終產出的數據價值可能大打折扣。
試想一下，某個養老院中實施監控老年人脈搏、心跳、血壓等等數據，并基于對這些數據的分析處理而觸發相應的警報、自動呼叫醫護人員的系統，如果攻擊者偽造數據制造出假警報，必將造成急救資源的浪費。而如果攻擊者能夠篡改心跳數據，當受害者心臟病突然發作時，系統可能無法監控到異常從而無法做出回應，受害者的人身安全必然受到嚴重威脅。
3. 個人隱私面臨更多的風險
匿名化處理后的數據，在配合上其他維度的數據后，依然可以識別出用戶身份。例如就算把數據記錄中的姓名、身份證號等能夠直接識別出某個個體的信息隱去，但如果有其他維度的帶有個體標識信息的數據集合做參考，那么依然能識別出這些匿名化的數據記錄多對應的個體。
現實中的例子有很多，比如Netflix對數據做了匿名化處理，但這些數據中的用戶依然可以被識別出來，因為其中一些用戶同時在Netflix和IMDB上給相同的電影做了評分，故而只需把這些數據關聯起來就能達到識別用戶的目的。
4. 存儲大數據處理后的高價值數據的應用系統，其本身就是被攻擊的目標
大數據所收集的原始數據往往單位價值密度低，但經過大數據處理后能夠提取出這些數據中高價值的部分。這些經過處理后的數據除了可用于觸發后續業務邏輯，也是輔助企業進行業務決策的重要輸入。與此同時也是攻擊者們天然感興趣，千方百計想要獲取到的數據。
從攻擊者的角度來看，這些存儲著高價值數據的系統其本質上不外乎也是個應用程序，如果能攻破這些應用程序進而拿到數據，相比于攻擊者自己收集原始數據再處理而言要劃算得多。
再加上大多數企業在防御攻擊這件事上面主要依靠的是基于網絡隔離的防御方式，意味著應用程序本身的安全質量極可能是靠不住的，一旦攻擊者侵入企業內網，這些存儲著高價值數據的應用程序勢必會變成任攻擊者宰割的“羔羊”。
5. 防火防盜防內鬼
“防火防盜防內鬼”可不是隨便說說的段子。無論是大數據系統中的巨量原始數據，還是經過處理后的高價值數據，它們不僅是外部攻擊者眼中的肥肉，也可能被內鬼盯上。
永遠不要低估了企業內部威脅，見諸報端的企業內鬼作案不在少數，就在1個多月前，特斯拉指控一名前員工泄露了特斯拉機密數據，聲稱該員工定期將特斯拉的數據輸出給公司以外的人。明星獨角獸企業出的事情更容易被傳播報道出去，相信還有更多不為人知的案例已經或者正在發生，只不過不為公眾所知而言。
二、什么是大數據安全?
通過以上幾個維度來看，大數據安全顯然不是指SIEM(Security Information & Events Management)這類系統。盡管SIEM描述的景象讓人非常期待，企業可以利用大數據處理和分析來自各個IT基礎設施、網絡設備、業務系統中的數據，從而實時感知企業當前的安全態勢，使得企業迅速的有針對性的采取處理措施消滅安全隱患于萌芽階段成為可能，但這是大數據系統在安全領域中的運用，是“安全大數據”而不是“大數據安全”。
那它和傳統的數據安全又有何不同?莫非是因為數據量大到一定規模了之后，量變產生了質變，因此變成了另一個東西?這個問題的答案既可以是肯定的也可以是否定的。
說它是肯定的，原因在于大數據系統要處理的數據體量龐大，大到傳統數據處理方式、處理系統無能為力，只能用新的技術架構、新的工具才能完成這一任務，而對應的安全風險和防御舉措也都發生了變化，因此確實和和傳統數據安全有些不一樣。
但也可以說是否定的，原因在于大數據系統本質上也是IT信息系統，傳統數據安全的那些實踐(例如數據加密、鑒權)在大數據環境下依然適用。
那當我們說“大數據安全”的時候，我們到底在講什么?我想，至少我們在說大數據系統中的數據的安全。
數據是值錢的，這顯而易見。進入到大數據時代后尤其如此。大數據安全必然最關心的也就是數據在整個系統中，從誕生到收集、清洗、存儲、分析、消費、存檔以及銷毀這個生命周期中，其機密性、完整性和可用性不被破壞。
大數據處理和分析系統(也有人稱之為大數據平臺，下文統稱“大數據系統”)中最重要的當然是數據，但與此同時，和數據共生的還有組成大數據系統的各個應用。數據在應用里誕生、流轉、被消費，這些應用自身的安全性如何，在很大程度上將直接影響數據的安全性。因此，大數據安全也應該包含這些應用的安全。
光有數據和應用的大數據系統并不能真正發揮它的價值，直到大數據系統將分析處理后的高價值數據反饋給人的時候，在輔助企業做出業務甚至戰略決策的時候，它的價值才被最大化。這也就意味著，人也是大數據系統中的重要參與者，一個有價值的大數據系統不應該只是一堆冷冰冰的機器上運行的成千上萬個實例，處理著幾個T的實時數據，然而卻沒有任何人使用的復雜分布式系統。
與此同時，人是容易犯錯的，這是人的特性(好吧，你要說它是人的Bug也行)。既然人參與了大數據系統，那么確保人在這個復雜的系統中盡可能不犯錯、少犯錯就顯得很有必要了。
至此我們分析得出了一個極簡的關于大數據安全的模型，看上去這個模型似乎也太過于簡單了，但有時候事情往往就是如此簡單，并沒有什么神秘的地方。
三、我們可以做些什么?有哪些實踐?
雖然沒有名單妙藥能夠既簡單又高效的一鍵解決大數據安全所面對的各種挑戰，不過大數據安全倒是可以從傳統數據安全、企業安全等等傳統安全實踐中借鑒經驗。
那我們到底應該做些什么呢?總的來說我們還是需要從上文中梳理出來的基建大數據安全模型入手，分門別類的開展一系列安全活動。
1. 確保數據安全
不管是“大數據”還是“小數據”，數據對企業而言始終是最有價值的資產。為確保大數據安全系統中的數據安全，傳統數據安全領域里的安全實踐完全可以復用。
一些典型的安全實踐有：文件系統加密，從而避免數據泄露后攻擊者能夠直接拿到明文數據;面向業務透明的敏感字段加密;用戶隱私數據脫敏后存儲;數據異地備份;數據完整性校驗等。
2. 加強系統安全
抽象來看，大數據系統不外乎也是IT系統，它依賴虛擬機或物理服務器、網絡設備和各種軟件應用，因此傳統企業安全中關于主機、網絡、應用相關的實踐在大數據安全上下文里依然適用。
一些典型的安全實踐有：IT基礎設施物理安全控制、操作系統安全加固、應用補丁管理、主機入侵檢測、網絡入侵檢測等等。每個企業的大數據系統架構各不一樣，企業必然需要根據自己的實際情況從傳統企業安全實踐中挑選最適合自己的來使用。
3. 減少人因失誤
有調查稱至少半數以上的安全問題源自于人為失誤，因為人總是易犯錯的。先拋開這個調查中的數字是否準確的討論，至少這是一個大家都能在自己周圍感受到的普遍現象。
除了因為員工粗心大意造成安全問題之外，“內鬼作案”也是需要企業警惕的一大安全風險。
在這方面，企業需要做好特權賬號管理、用戶身份認證、基于角色的權限控制、資源從屬關系校驗、日志審計、員工安全意識建設等安全實踐。
4. 抗拒數據誘惑：不該收集的數據別去碰
基于對大數據的分析可以產生出一些洞見，某些洞見可能具備巨大的商業價值。因此簡單來講，多收集數據有助于多產生洞見，或者產生更精準的洞見，從而產生更大規模的經濟效應。
另一方面，手握數據可以給企業帶來一種虛假的安全感：雖然我現在不知道這些數據該怎么使用，但未來可能會，所以還是先收集起來吧，畢竟數據在手天下我有。
正因如此，許多企業(尤其是國內企業)爭先恐后、肆無忌憚的收集用戶個人信息。
然而這種做法是把雙刃劍，擁有數據確實是一種優勢，但如果這些數據涉及用戶個人隱私，持有這些數據的風險就會升高。數據越是敏感，被攻擊者“盯上”的可能性就越高，數據遭到泄露的概率也在上升。
因此，從風險控制的角度講，企業收集一些當前階段暫且使用不上的涉及個人隱私的數據無疑是在給自己挖坑。更為值得采取的做法是，僅僅只是收集能夠滿足業務開展而所需的數據即可。因為不持有敏感數據，也就沒有數據泄露風險。
【本文為51CTO專欄作者“張逸”原創稿件，轉載請聯系原作者】
