7.3　應用安全

7.3　應用安全

7.3.1　應用程序管理

7.3.1.1　一般要求

大數據服務提供者應：
a) 建立大數據應用和服務組件管理策略與規程，包括相關數據源安全接入規程。
b) 建立大數據應用運行環境安全評估策略與規程，明確支撐大數據應用的開源程序與組件使用、外部數據供應鏈集成的安全評估流程、方法和要求。
c) 建立大數據應用程序注冊和上線管理規程，明確授權流程和相關角色職責，確保授權單詳細標明有效表征應用身份信息、軟件屬性信息等的安全元數據，包括應用程序名稱、版本、來源、開發者、部署位置、第三方安全報告、內部安全評估結果、特別安全要求等元數據。
d) 建立大數據應用程序安裝包及升級包版本管理機制和安全檢查機制，明確標識方法與技術、管控措施和相關角色與職責。
e) 確保大數據應用程序能處理可預知的運行錯誤，并保證在缺陷服務組件更新過程中不應影響大數據平臺的正常工作。
f) 明確應用程序要訪問的數據資源，如數據資源目錄、審計數據、系統日志等，并向應用程序的資源獲取者發出通知。
g) 建立大數據應用程序下線管理規程，明確下線過程中的數據遷出、轉移等處置方案和操作規范,并將數據銷毀記錄作為應用程序安全下線的必要性驗收材料之一。
h) 在卸載大數據應用程序時同時刪除應用配置、運行日志等運行信息。

7.3.1.2　增強要求

大數據服務提供者應：
a) 對大數據應用關鍵服務組件和應用程序進行安全風險評估，并經組織的安全管理組織機構批準后才可部署或更新。
b) 定期對已部署的大數據應用程序進行安全風險評估，更新大數據應用安全基線要求。

7.3.2　應用終端安全

7.3.2.1　一般要求

大數據服務提供者應：
a) 使用工具來管理移動應用相關的終端設備和網絡設備安全屬性，如使用用戶、設備參數、終端數據等安全元數據，確保安全地管理如物聯網設備、移動終端等大數據服務終端設備。
b) 明確應用程序需要訪問的終端資源信息，如網絡連接、位置服務、通用串行總線接口等硬件資源清單，并向用戶提供可控選項，以便在訪問前向應用終端的資源獲取者發出通知。
c) 建立應用終端輸入約束規范，對終端應用輸入進行安全驗證，以過濾惡意輸入。

7.3.2.2　增強要求

大數據服務提供者應：
a) 確保應用終端依據大數據服務業務要求限制了不必要的內部與外部網絡通信。
b) 建立針對應用終端輸入的攻擊保護系統，防止偽造、冒用身份等攻擊行為。
c) 采用技術手段或管控措施，確保經過授權的數據才能在應用終端輸出。

7.3.3　缺省配置安全

7.3.3.1　一般要求

大數據服務提供者應：
a) 確保在使用默認身份憑證或未配置身份憑證時，應用程序只能提供用于設置新身份憑證所必須的功能，如使用默認口令登錄系統時，僅允許用戶進入修改口令界面，且若未完成默認口令修改，應用程序不能提供其它功能。
b) 確保在默認配置下，認證用戶不能訪問未授權的應用程序和大數據平臺相關的數據和接口。
c) 限制應用程序缺省用戶的默認訪問權限，如使用默認的非系統最高權限賬號啟動用戶程序。
d) 確保應用程序服務運行最小化，停用不必要的服務模塊，限制訪問不必要的端口和服務，如不需要使用SSH則關閉對22端口的訪問等。
e) 確保應用程序默認啟用用戶賬號安全配置功能，包括口令長度、復雜性、使用期限限制等。

7.3.3.2　增強要求

大數據服務提供者應：
a) 對應用程序在默認安裝模式下開啟更安全的安全配置，如應用程序同時提供了用戶口令和數字證書兩個登錄模塊，則在默認安裝模式下應選擇安裝數字證書登錄模塊。
b) 要求應用程序只調用大數據平臺推薦的機制來存儲以及設置應用程序的配置選項。

7.3.4　身份憑證管理

7.3.4.1　一般要求

大數據服務提供者應：
a) 明確應用程序用戶的身份憑證實現機制、持久化存儲的方法和位置。
b) 明確應用程序用戶的身份憑證類型和內容，如數字證書、認證口令、生物特征等。
c) 記錄應用程序用戶的身份憑證建立、更改、授權、禁用、終止等操作日志，確保應用程序用戶的身份憑證操作可追溯。

7.3.4.2　增強要求

大數據服務提供者應：
a) 建立應用程序用戶的身份憑證存儲方法評估程序。

7.3.5　身份標識與鑒別

7.3.5.1　一般要求

大數據服務提供者應：
a) 建立大數據應用和大數據平臺之間用戶身份標識和鑒別機制，確保能正確標識和鑒別大數據服務相關個人、組、角色、設備、應用等主體身份信息和授權信息。
b) 依據大數據服務業務目標、安全策略和涉及數據的重要性，核查應用程序用戶身份標識和鑒別措施合理性和安全性。
c) 具備大數據服務用戶身份分層管理能力，能夠自動判斷大數據應用中用戶身份信息，確保終端用戶標識與應用和平臺層授權信息之間的映射關系。
d) 使用安全協議進行身份鑒別，并設置最小化反饋和安全退出措施。
e) 采用密碼技術和訪問控制技術對存儲和傳輸的用戶口令等鑒別憑證信息進行保護。
f) 定期對用戶賬號的使用情況進行安全性分析，如對登錄時間、登錄位置、訪問時長、訪問模塊等信息進行綜合分析，評估賬號安全風險。

7.3.5.2　增強要求

大數據服務提供者應：
a) 對關鍵崗位用戶采用多因素鑒別技術對其身份進行鑒別，以滿足用戶身份強鑒別要求。
b) 采用符合國家密碼管理有關規定的用戶身份鑒別算法、密碼協議和密碼產品。
c) 支持多節點身份鑒別，確保大數據服務分布式處理用戶身份鑒別的安全性。

7.3.6　授權與訪問控制

7.3.6.1　一般要求

大數據服務提供者應：
a) 建立大數據應用的物理與邏輯訪問授權策略、規程和授權機制，明確授權原則。
b) 依據資產管理策略和資產安全屬性設置授權和訪問控制措施，以滿足大數據應用多粒度授權訪問控制管理能力要求。
c) 依據大數據服務流程制定信息流安全控制策略和機制，對大數據平臺、大數據應用以及外部IT系統間的數據導入、導出、共享、遷移、發布等信息流動進行控制。

7.3.6.2　增強要求

大數據服務提供者應：
a) 依照權限分離原則設置安全授權員角色，僅授予用戶信息維護、權限管理等安全管理功能。
b) 結合業務需求建立基于屬性訪問控制機制，提供策略編輯點、策略決策點、策略執行點和策略訪問點等面向不同粒度數據對象的授權管理和訪問控制功能。
c) 建立用戶權限巡檢系統，能根據業務需求對用戶授予的權限進行核查，確保訪問權限限定在滿足業務需求的最小范圍內。

7.3.7　租戶數據安全

7.3.7.1　一般要求

大數據服務提供者應：
a) 制定多租戶應用程序及其服務數據資源的隔離策略與規程。
b) 建立多租戶應用程序安全運行環境，利用數據分割、存儲區切割等機制來隔離租戶數據資源。
c) 建立多租戶應用程序的剩余信息保護、租戶數據物理刪除等機制與規范。

7.3.7.2　增強要求

大數據服務提供者應：

7.3.8　應用行為監測

7.3.8.1　一般要求

大數據服務提供者應：
a) 建立大數據應用行為及其數據自由使用監測策略和規程。
b) 支持用戶自定義應用程序的行為監測規則，能夠對相關異常操作行為進行監測和告警。

7.3.8.2　增強要求

大數據服務提供者應：
a) 建立基于大數據應用行為記錄和分析平臺，具備應用運行行為安全性分析能力。
b) 建立端到端大數據應用業務模型、行為監測體系和操作指南。