运营商大数据安全管理策略研究

1、运营商大数据安全管理策略研究摘要：为确保运营商大数据安全风险的可管可控，分析了运营商大 数据的发展趋势及面临的安全问题，提出了一种运营商大数据全生命周期 安全管控策略。通过基于运营商大数据系统建设的五个层级，建立数据采 集、传输、存储、共享、使用、审计、销毁等七个环节的端到端安全管理 体系。针对运营商敏感数据建立统一客户敏感数据管理平台，并从检测、 响应、恢复及加固四个环节建立大数据安全事件闭环管控流程，提升大数 据安全事件快速分析能力，对增强安全事件发生后的应对处置能力起到有 效作用。关键词：大数据 数据安全安全分析安全技术安全防护1引言随着大数据技术日益发展成熟，运营商通过多年的发展积累了

2、庞大的 数据资源，基于数据资源方面的显著优势，在确保数据安全使用的前提下, 积极开展大数据外部旅游、交通、政府、地产、人力资源、汽车、公共服 务等行业的营销实践，可实现人数据经济效益和社会效益的双重提升。中华人民共和国国民经济和社会发展第十三个五年规划纲要明确 指出，要“实施国家大数据战略”，“加快推动数据资源共享开放和开发应 用”；耍“加强数据资源安全保护”，“保障安全高效可信应用”。国务院颁 布的促进大数据发展行动纲要提出，要深化大数据在各行业的创新应 用，同步建立健全大数据安全保障体系，切实保障数据安全。但是，随着运营商大数据应用需求的快速增加，其面临的安全风险也 在不断增大，为贯彻落实

3、国家的相关要求，确保运营商大数据安全风险可 管可控，在确保安全的前提下发挥数据价值，开展运营商大数据安全管理 策略研究，对实现运营商大数据安全管理具有重要的意义。2运营商大数据全生命周期安全管控运营商建设大数据系统通常分为五个层级：（1）数据采集层：主要是对移动通信网络、家庭宽带网络、集团专 线网络的网络设备及业务平台侧进行数据分光复用、流量镜像等配置操 作。（2）数据处理层：基丁服务器资源对传输过来的原始数据进行解析, 生产准实时数据，其中包括位置数据、通话数据、漫游数据、上网数据等 明细数据。（3）数据标签层：根据上层应用功能需求，对数据处理层生成的基 础明细数据进行建模，生产满足各个应用

4、场景的小吋/日/周/月宽表数据 和用户画像标签。（4）功能模块层：为支撑各种不同行业产品的需求，需要提供对外 数据推送的openapi接口，实现与外部需求系统的协议适配、准实时推送、 定时分发和实时查询等功能。同时对外输出分析报告、数据产品和行业解 决方案。（5）行业应用层：根据行业特征和需求，针对客户、产品、服务等 方面进行分析研究，并输出大数据开放接口、大数据分析报告、大数据解 决方案及大数据产品，提升客户在各行业进行业务管理、产品运营、精准 营销等方面的能力，实现运输商大数据变现。基于运营商大数据系统建设的五个层级，构建大数据全生命周期安全 管控如图1所示。对于运营商大数据全生命周期安全

5、管控，需要建立数据采集、传输、 存储、共亨、使用、审计、销毁等七个环节的端到端安全管理体系。（1）采集环节在数据采集过程中，应确保数据采集和处理均在运营商机房内，确保 核心数据不出机房。采集所使用的分光器应在建设时做好包括端口、位置 等信息在内的记录，并定期开展审计。（2）传输环节针对跨安全域传输等存在潜在安全风险的环境，应对敏感信息的传输 进行加密保护，并根据数据敏感级别釆用相应的加密手段。对于目前已使 用的未进行数据加密传输，应令厂家尽快加入加密模块，并在传输两端协 商好加解密算法与密钥，密钥应做到定期更换。（3）存储环节针对存在潜在安全风险的存储环境，例如hadoop中的数据库、磁盘 阵

6、列等，应对大数据中的敏感信息加密存储，确保其保密性，保障数据完 整性，做好数据容灾备份。建立从设备到操作系统、从平台应用到数据库、从业务到数据等多角 度的容灾备份方案，大数据安全管理员从应急预案、风险检测、实时预警、 风险遏制、问题根除、系统恢复、跟踪总结各环节建立落实大数据安全事 件应急响应方案，定期开展演练。（4 ）使用环节大数据平台的所有设备及平台应用必须全量接入安全审计系统，并实 施绕行访问控制，禁止直连访问。对涉及用户身份、位置等敏感信息提取 的操作采用“金库模式”管控。对用户敏感信息进行对外查询、展现、统 计、导出等操作时，必须首先经过模糊化处理或脱敏处理。（5 ）共享环节针对跨部

7、门的大数据共享，通过保密协议等方式明确数据共享双方应 承担的安全责任、应具备的数据保护手段、限制数据使用范围和场景等。 一切离开大数据平台的敏感数据都需要先进行加密，确保未授权的人员无 法访问其内容。（6）审计环节用户登录大数据平台后的任何操作必须有详细的志记录，志log 文件屮应至少包括“何时、何地、何账号、何操作”，涉及大数据的具体 操作，日志中还应该记录关键字段名称。（7）销毁环节涉及用户敏感信息的大数据平台下线或分析工作结束后留在系统内 部的敏感信息，应采用技术手段删除，确保信息不可还原。对于分析工作 结束后留在系统内部的敏感信息，应根据数据需求工单中的数据有效期进 行销毁。3构建统一

8、客户敏感数据管理运营商大数据涉及到用户的行为特征，可以分为敏感数据和非敏感数据。敏感数据是不可下载木地系统进行操作，只允许在统一客户敏感数据 管理平台中对其进行直接操作，而非敏感数据是可以下载本地进行操作， 非敏感数据的下载只允许通过数据提取系统进行下载。统一客户敏感数据 管理系统架构如图2所示。在市?鲂楼觅嗽碧岗鲂帐虫善7、'?后，数据分析接口管理人员必须能够识 别是否为敏感数据和非敏感数据。3.1非敏感数保护原则（1）市场营销人员提出需求单，数据分析接口管理人员把此需求单 定义为非敏感数据后，数据分析人员把分析的结果上传到数据上载区的非 敏感数据区。（2）数据分析人员把非敏感数据区

9、的数据上载到数据提取系统中。（3）审核人员对此需求单的数据进行审核。（4）市场营销人员通过数据提取系统下载非敏感数据，整个非敏感 数据流向都需要口志审计。（5）数据上载区的非敏感数据区只有数据分析人员有读、写、删等 权限，其它人员无任何权限。3. 2敏感数据保护原则（1）市场营销人员提出需求单，数据分析接口管理人员把此需求单 定义为敏感数据后，数据分析人员把分析的结果上传到数据上载区的敏感 数据区。（2）由数据分析人员把敏感数据区的数据放置审核区。（3）由审核人员进行审核审核区的数据z后，放置个人工作区。（4）市场营销人员直接操作个人工作区的数据，也可放置该数据至共享工作区，以便其它市场营销人

10、员访问。（5）数据上载区的敏感数据区，仅仅只有数据分析人员有读、写、 删等完全控制权限，其它人员无任何权限。（6）审核区仅仅只有审核人员有读、写、删等完全控制权限。（7）数据操作区的个人工作区，市场营销人员分别对自己的个人工 作区有读、写、删等完全控制权限，而审核人员对个人工作区有写权限。（8）数据操作区的共享工作区，市场营销人员仅仅对该部门或者该 单位的共享工作区有读、写、删等完全控制权限，但是无上一级共享工作 区的权限。3.3敏感数据使用原则（1）获得授权的用户（数据提取人员、市核人员、市场营销人员）， 必须在系统安全域中分配相应的账号和密码。（2）数据提取人员遵循的原则数据分析人员只能通

11、过专有的无盘瘦客户端登陆到应用交付系统进 行正常业务工作，该无盘瘦客户端无硬盘、光驱及usb接口，无法将数据 复制到本地。数据分析人员在数据提取系统接到需求单时，需区分该需求单得出的 数据是敏感数据还是非敏感数据。数据分析人员在后台业务数据取得数据以后，必须把该数据放到数据 上载区，建议把敏感数据放到数据上载区的敏感数据区，把非敏感数放到 数据上载区的非敏感数据区。数据分析人员在数据管理服务器上，非敏感数据区的数据只能上传至数据提取系统中，以给审核人员进行审核。数据分析人员在数据管理服务器上，敏感数据区的数据只能上传至审 核区中，以给审核人员进行审核。（3）审核人员遵循的原则对于非敏感数据，审

12、核人员登陆数据提取系统，根据数据提取人员上 传的数据进行审核，市核通过后，由市场营销人员下载到本地（此本地为 市场营销的办公电脑）。对于敏感数据，审核人员进入数据管理服务器的审计区，对该区的数 据进行审核，并根据该数据的需求人把数据上载到个人工作区（需求人工 作区）。（4）市场营销人员遵循的原则对于非敏感数据，市场营销人员登录数据提取系统后，下载已经审核 通过的非敏感数据至木地，然后在木地对非敏感数据进行操作。对于敏感数据，市场营销人员通过应用交付系统进入数据管理服务器 的个人工作区，然后直接对敏感数据进行操作。敏感数据需耍进行共享，则必须由市场营销个人把数据从个人工作区 拷贝到共享工作区中，

13、然后其他营销人员进行拷贝或者直接进行操作。4大数据安全事件闭环管控4. 1建立大数据安全事件闭环管控流程大数据安全从检测、响应、恢复及加固四个环节开展大数据安全事件 的全流程管控。（1）建立大数据系统的安全属性库，考虑系统的可用性、完整性和 保密性，针对系统的弱点属性如系统漏洞信息、安全配置信息等，进行完 整记录和及时更新机制。（2）建立必要的大数据安全防御手段，包括防火墙、入侵防御、防 病毒、终端管理、上网行为管理、数据防泄漏等。（3）发生安全事件时触发预警/告警，安全监控人员及时进行数据采 集解析、事件识别、实时数据分析、历史数据分析，进行事件溯源，并启 动工单系统，生成安全事件工单，派发

14、相应运维人员处理。（4）安全运维人员开展事件处理、系统加固、安全策略调整，实现 大数据安全的闭环管控。大数据安全事件闭环管控流程如图3所示。42建立大数据安全事件快速分析能力大数据安全事件发牛后的首要任务是及时开展安全事件的分析，具备 完整、及时的安全数据分析能力是缩短安全事件的处置、减小损失的关键。（1）建立全面、及时的安全数据的搜集。通过snmp、syslog. agent、 netflow、api 接口、数据库接口、ftp、hdfs、kafka、端口镜像、netflow 等数据源接口对网络设备、安全设备、应用系统、中间件、主机、数据库 等开展数据釆集。（2）数据解析处理：通过安全数据字段

15、的识别、时间字段侦测、时 间同步等技术提升数据的解析成功率。（3）建立数据关联分析模型：基于spark streaming技术对系统采 集的实时数据流进行关联分析，关联的模式包括统计关联、设备关联、信 息关联、模式关联、漏洞关联、策略关联等，并内置安全关联规则。（4）用户行为画像：建立特定用户的画像，包括其合法行为白名单和行为基线。通过用户行为分析引擎侦测用户的异常行为，例如异常时间、 从可疑位置登录，或是访问和平时完全不同的数据或?稻荼浚?或是把数据 上传至公司外部的可疑地址，提供可疑用户最近的所有行为给安全管理员 进行进一步的详细调查。 （5）建立分等级的告警规则：根据监控 内容，对不同设

16、备和系统的异常情况进行告警，并对告警进行分类，例如 高级告警、中级告警等。制定监控告警牛成事件的规则，如主要告警可以 生成安全事件进行跟踪和处理。常见的高级告警：违规安全软件、违规登录系统、终端数据泄漏；中 级告警：违规上网访问、密码未定期更新、终端病毒感染、？k端恶意扫描; 低级告警：补丁未及时更新、恶意卸载软件。大数据安全分析能力模型如 图4所示。5结论本方案分析了运营商大数据发展的趋势，重点阐述了当前面临严峻的 安全挑战，并为运营商大数据开展内外部变现提出了一种运营商大数据全 生命周期安全管控策略，通过基于运营商大数据系统建设的五个层级，建 立数据采集、传输、存储、共享、使用、审计、销毁

17、等七个环节的端到端 安全管理体系。运营商大数据由于涉及到用户敏感数据，一方面可以建立统一客户敏 感数据管理平台，对数据进行分级管理，定制差异化审批审计流程。另一 方面从检测、响应、恢复及加固四个环节建立大数据安全事件闭环管控流 程，并提升大数据安全事件快速分析能力，将有效增强安全事件发牛后的 应对处置能力。参考文献：1 中国移动通信集团公司.中国移动大数据安全风险防控工作指 引z 2016.2 中国移动通信集团广东有限公司.广东公司dpk2/3/4g软硬采) 数据安全管理规定z. 2016.3 王准.大数据环境下数据安全策略研究j网络安全技术与应用，2016 (5)：48-49.4 李战克，丁梦娟.大数据环境下的数据安全研究j信息安全 与技术，2015 (6)5 陈左宁，王广益，胡苏太，等.大数据