面向動態防御的大數據安全技術研究
摘 要：
大數據環境下，海量數據呈現出主體多樣化、處理活動復雜化的特點，數據除了面臨傳 統的安全威脅外，更要面臨諸多新型安全威脅，傳統的安全手段及體系已不能有效應對大數據環 境下的安全威脅。針對大數據的流轉復雜、關聯融合、蘊含價值等特點，提出了面向動態防御的 大數據防御模型。此外，研究了相關的大數據安全技術，這些技術能夠構建大數據安全動態防御 體系，提供動態防御能力，促進大數據安全全面向動態、主動防御方向轉變。
內容目錄：
1 大數據安全風險分析
1.1 海量數據流轉復雜化使得數據泄露風險增大
1.2 攻擊手段多樣化使得傳統安全手段防護效果甚微
1.3 大數據價值高導致數據更易遭受攻擊竊取
2 大數據安全需求分析
2.1 大數據體系化防護需求
2.2 大數據安全綜合治理需求
2.3 大數據智能化及動態化體系防護需求
3 大數據安全動態防御模型
4 大數據安全動態防御關鍵技術
4.1 數據資產可視化分級分類保護技術
4.1.1 數據分級保護策略自動化生成技術
4.1.2 敏感資產自動化發現技術
4.1.3 多場景數據資產威脅可視化分析處理技術
4.2 數據安全風險感知與協同防御技術
4.2.1 全態化防御信息采集及行為分析技術
4.2.2 數據安全風險智能識別技術
4.2.3 數據安全態勢預測模型和評估指標體系
4.2.4 攻擊評估與協同防御技術
4.3 數據安全服務增強技術
4.3.1 數據服務 Web 服務透明加固和細粒度參數 保護技術
4.3.2 安全配置自動生成、動態部署及監控技術
4.3.3 安全服務能力在線編排與重構、調整調度、 快速集成技術
4.4 數據安全能力綜合評估技術
4.4.1 數據安全能力智能稽查技術
4.4.2 數據安全風險智能評估技術
4.5 數據安全風險追蹤溯源技術
4.5.1 多源異構數據行為監控與全路徑追蹤溯源技術
4.5.2 數據安全風險根因分析技術
5 結 語
00 引 言
隨著信息技術的快速發展，人類的生產生活與 信息技術交匯融合的程度也越來越深。在融合的過 程中，各類數據呈現指數級增長的特點。這些海量 數據在聚集的過程中，對經濟發展、社會治理、人 民生活都產生了重大而深刻的影響。與此同時，數 據安全也成為事關國家安全和經濟社會發展的重大 課題。《中華人民共和國數據安全法》的正式發布 標志著數據安全已經上升至國家戰略高度，數據已經成為國家基礎性戰略資源，沒有數據安全就沒有 國家安全。
當前，各類海量數據呈現出主體多樣化、處理 活動復雜化的特點。大數據環境下，數據除了面臨 傳統的安全威脅外，還要面臨諸多新型安全威脅。 傳統的安全手段及體系呈現出的單點、靜態、被動 防護的特點已不能有效應對大數據環境下的安全威 脅。大數據的安全防御需要從大數據的流轉復雜、 關聯融合、蘊含價值等特點入手 ，面向攻擊手段多樣、攻擊程序不斷更新迭代的新型安全威脅，圍 繞數據全生命周期提供動態防御能力。在這種背景 下，安全防御技術及體系需要從單點、靜態、被動 防護向全面、動態、主動防護轉變 。
01 大數據安全風險分析
大數據除了面臨傳統安全威脅以外，同時還要 面臨新型的安全威脅。
1.1 海量數據流轉復雜化使得數據泄露風險增大
隨著信息化建設持續推進和技術不斷發展，數 據呈現爆發式增長，同時各類應用系統也呈現出多 樣化特點，使得數據的流轉更加錯綜復雜，導致數 據暴露出更大的攻擊面。此外，由于數據平臺支撐 的業務應用多種多樣，對外提供的服務接口千差萬 別；因此，攻擊者有機會通過服務接口攻擊大數據 系統，而如何保證多種服務接口的安全也成為大數 據平臺面臨的極大挑戰。
1.2 攻擊手段多樣化使得傳統安全手段防護效果甚微
大數據在全生命周期過程中呈現出數據動態 化、密級多樣化、權屬復雜化、使用實時化、價值 最大化的特點，這些特點導致了大數據環境下的攻 擊手段多樣化。攻擊程序不斷更新迭代，使得大數 據在全生命周期過程中被竊取、被濫用、被篡改的 風險不斷增大。傳統的安全手段及體系呈現出單點、 靜態防護的特點，在應對大數據環境下的安全威脅 時會出現防護效果不佳，甚至失效的情況，也為數 據安全威脅的追蹤溯源帶來了更大的挑戰。
1.3 大數據價值高導致數據更易遭受攻擊竊取
大數據經挖掘分析后能產生具有極高價值的數 據產品，這些產品能夠為經濟、社會、國家戰略等 活動提供決策支撐；但與此同時，大數據產品極易 吸引內部非法人員的攻擊竊取。這類攻擊呈現出長 期潛伏、難以發現的特點，現有態勢感知及應急處 置等協同防御手段無法有效應對此類威脅，更無法 有效發現未知威脅，使得高價值數據面臨巨大的安 全風險。
02 大數據安全需求分析
2.1 大數據體系化防護需求
大數據系統及平臺的可靠、安全運行是信息系統運行的重要基本保障，但也往往成為對手首要 攻擊對象。數據對經濟決策、社會治理、國家安全 等活動具有重大意義，其安全的重要性不言而喻。 近年來發生的由于內部管理不規范導致的斯諾登事 件， 美軍士兵運動信息被收集導致美軍事基地暴露， 劍橋數據分析公司惡意影響美國總統大選等，證明 網絡空間對抗的日益常態化、高級化、復雜化，也 暴露出單純使用漏洞移除、打補丁、訪問控制、邊 界防護等傳統安全防護技術的網絡空間靜態防御難 以預防動態的內外部復雜攻擊，需要積極探索大數 據安全動態化、體系化防御框架。
2.2 大數據安全綜合治理需求
數據來源眾多、密級不同，對不同級別數據的 管理和防護要求也不相同，為了高效安全使用多來 源、多種類、多密級海量數據，充分體現并發揮大 數據在各領域價值，需要對大數據進行綜合安全治 理 [5-7]。大數據綜合安全治理需要在分級分類基礎 上，為數據添加屬性標識，并根據數據屬性進行細 粒度全生命周期安全防護。在體系化安全防護中， 首先，需制定數據安全防護基線，并對數據安全保 密能力進行評估；其次，針對數據共享、數據應用 等過程提供多層次安全保密服務，并制定針對不同 密級數據的安全防護策略；最后，針對任何可疑數 據行為，特別是內部行為提供追蹤溯源能力。通過 大數據綜合安全治理，可為大數據在全生命周期過 程中面臨的安全威脅提供事前預防、事中發現、事 后溯源的體系化安全保密防御能力。
2.3 大數據智能化及動態化體系防護需求
隨著云計算、大數據、人工智能等新技術的發 展， 針對大數據的攻擊手段呈現出多樣化、自動化、 智能化的特點。為有效應對新的攻擊手段及新型安 全威脅，迫使安全防護手段必須向智能化、動態化 防護方向演進。數據在全生命周期流通過程中，訪 問用戶的身份、數據的權屬關系、數據的訪問行為 等都在動態發生變化；因此，安全防護系統需要對 用戶身份和權限進行動態評估和識別，同時對數據 資產也要進行動態梳理，并對數據的訪問行為進行 動態監控，實現大數據的智能化、動態化、體系化 安全防護。
03 大數據安全動態防御模型
基于以上對大數據安全風險的分析，面向大數據動態防御需求，圍繞大數據全生命周期活動，通過數據分類分級， 構建“梳—管—控—監—評—溯” 的動態防御體系模型。在該模型中， 通過密碼保密、 身份認證、數據安全標簽、權限管控、日志審計、分級分類、行為分析、流量分析等數據安全支撐技術共同形成數據安全服務增強、數據分級分類保護、 數據追蹤溯源、數據安全防護能力評估等一系列安 全防護能力，構建大數據動態防護體系，提供大數 據動態防御能力。
圖 1 中的大數據動態防御模型是從大數據生命 周期和大數據平臺兩個維度全方位考慮動態安全防 護能力，其形成的動態防護流程如下文所述。
（1）對數據生產者、數據消費者、數據提供 者產生的數據進行梳理，重點是按照數據分類分級 標準對各類敏感數據資產進行梳理， 包括系統信息、 人員信息、業務信息等，讓數據擁有者或管理者了 解自己數據的分布情況。
（2）在數據各類應用場景下， 根據數據等級、 用戶防護需求，制定不同的數據安全防護策略，并將策略分發至各類安全防護設備，防護設備依據防 護策略對數據各種流程進行管控，在對各類數據流 程進行管控的過程中，應根據用戶的權限和數據的 屬性實施細粒度權限管控，細粒度權限管控應涉及 數據平臺自身安全、數據源與數據平臺間、數據平 臺與業務應用系統間、業務應用系統與終端用戶（數 據消費者）間等典型場景。
（3）對數據在生命周期各階段的行為進行監 控，重點對異常數據資產進行監控，并提供數據安 全態勢感知和態勢展示。
（4）對數據行為監控過程中發現的異常行為 或威脅進行追蹤溯源，將溯源結果和各類安全設備 反饋的安全策略執行情況進行綜合分析，對數據安 全防護效能進行動態評估，并根據評估結果對安全 策略進行及時調整。
通過上述過程的循環執行， 持續進行數據梳理、 策略制定、流程管控、行為監控、溯源評估、態勢 展現的動態防護過程，能夠形成對數據實時可感、 可知、可視的動態防護能力。
圖 1 大數據動態防御模型
04 大數據安全動態防御關鍵技術
4.1 數據資產可視化分級分類保護技術
近年來，越來越多的科技工作者開始了大數據 安全技術的研究，涉及到大數據自身安全和大數據 技術應用到安全兩方面 ，本文提出的面向動態 防御的大數據安全技術涉及大數據自身安全，主要 包括以下 5 個技術路線。
針對海量數據及屬性難維護、異構數據模型不 統一、安全威脅不直觀、敏感數據資產可視能力不 足等問題， 數據資產可視化分級分類保護技術 [11-12] 根據數據分類分級標準，實現多來源、多種類、多 密級、多種安全保密防護要求以及不同網絡環境的數據資產的綜合管理能力，支撐數據綜合安全治理 裝備體系構建，滿足數據在不同應用場景下多密級 安全保密策略的動態化、體系化管控需求。數據資 產可視化分級分類保護技術主要包括數據分級保護 策略自動化生成技術、敏感資產自動化發現技術、 多場景數據資產威脅可視化分析處理技術。
4.1.1 數據分級保護策略自動化生成技術
數據在多應用場景下，存在多密級的情況，不 同業務的安全防護需求在不同密級情況下要求也不 同。針對大數據的多源異構數據，利用數據安全標 識，在數據安全基線的基礎上，構建統一數據安全 模型，自動生成安全防護策略，建立數據安全屬性 與安全保密能力的連接關系，提供多層次安全防護 策略，實現自動化數據安全防護。
4.1.2 敏感資產自動化發現技術
基于數據分類分級標準，研究敏感數據屬性 分類機制，統一敏感數據結構描述方法，建立統一 的敏感數據發現體系。此外，在統一發現體系基礎 上，實現敏感數據資產及其屬性和數據關系的自動 發現， 全面盤點敏感數據資產， 形成敏感數據地圖。
4.1.3 多場景數據資產威脅可視化分析處理技術
研究海量異構數據信息在數據生命周期各階段 不同場景下的威脅可視化呈現方式和操作方式，并 基于數據分類分級，將數據威脅與敏感數據自動關 聯，實現敏感數據威脅的高效可視化管控，提升綜 合安全治理決策效率。
4.2 數據安全風險感知與協同防御技術
面向大數據環境下的各類信息系統和業務系 統，通過數據采集、傳輸、存儲、處理、交換和銷 毀的各個環節存在的各種脆弱性和威脅，研究數據 安全風險智能感知、風險評估和協同防御技術 [13-15]， 為大數據動態防御體系提供用于智能化決策的預警 信息并制定動態協同防御策略，有力支撐大數據動 態防御體系構建。數據安全風險感知與協同防御技 術主要包括全態化防御信息采集及行為分析技術、 數據安全風險智能識別技術、數據安全態勢預測模 型和評估指標體系、攻擊評估與協同防御技術。
4.2.1 全態化防御信息采集及行為分析技術
從多維度、全方位進行全態化數據收集，研究 大數據系統中軟硬件、網絡、業務多種類信息精準、高效、可動態調整采集方法；并基于采集的數據， 構建數據及網絡流量的行為特征模型，通過數據通 信協議特征、訪問行為與訪問接口之間的關系，構 建流量分析模型和內容分析模型，通過特征學習、 關系學習等流量分析和內容識別手段發現隱藏在數 據流量中的安全威脅。
4.2.2 數據安全風險智能識別技術
首先，研究并建立一種形式化數據安全風險描 述模型，構建大數據環境下數據流經的環境安全風 險集；其次，基于粗糙集理論研究數據安全風險篩 選規則技術，從安全事件中學習規則，使獲得的各 安全域的數據安全風險更加貼近真實情況，從而能 夠準確實時地識別出數據安全風險。
4.2.3 數據安全態勢預測模型和評估指標體系
研究大數據環境下安全態勢數據采集和統一的 信息交互表示協議和標準、系統配置漏洞、運行環 境漏洞、目標代碼漏洞及其關聯環境漏洞，提出對 漏洞、違規操作、攻擊行為的多維度監測識別手段。 研究態勢量化評估和預測模型，利用機器深度學習 態勢評估算法實現安全態勢綜合評估，基于攻擊意 圖推演實現態勢趨勢預測和預警。
4.2.4 攻擊評估與協同防御技術
針對大數據環境下的惡意行為的攻擊階段、影 響范圍、威脅程度進行智能化評估，并結合實際情 況制定相應的防御措施，分級別、分層次、分范圍 地對大數據系統進行協同防御策略制定和分發，形 成圍繞“網絡—應用—平臺—數據”的協同防御系 統，提供大數據系統網絡“一處發現威脅，全網協 同防御”的能力。
4.3 數據安全服務增強技術
數據安全服務增強技術針對大數據場景下數據 安全服務面臨的身份仿冒、越權訪問、數據監聽、 惡意攻擊等問題，提升大數據服務的身份安全驗證 能力和數據共享使用時的細粒度訪問控制能力，提 供數據服務系統配置自動化處理、動態編排、動態 調整、快速集成等數據安全增強服務，保證各類敏 感數據的合理、安全、保密等共享使用。數據安全 服務增強技術主要包括數據服務 Web 服務透明加 固和細粒度參數保護技術，安全配置自動生成、動 態部署及監控技術， 安全服務能力在線編排與重構、 調整調度、快速集成技術。
4.3.1 數據服務 Web 服務透明加固和細粒度參數 保護技術
針對數據服務缺乏細粒度管控，數據服務缺乏 保護等問題， 研究大數據服務場景下的 Web 服務 透明化加固和參數級管控技術，實現對業務透明的 數據加密和參數粒度的數據安全管控。
4.3.2 安全配置自動生成、動態部署及監控技術
研究安全配置自動生成并將目標系統模型自動 轉化為機器可識讀的配置劇本以及安全配置的形式 化驗證方法，確保配置高層語義滿足一致性條件和 正確性、安全性要求。研究在編排器和控制器上將 高層安全配置劇本按照全局一致性和過渡一致性的 約束下執行配置指令及以及系統運行狀態與抽象描 述一致性監控方法。
4.3.3 安全服務能力在線編排與重構、調整調度、 快速集成技術
面向服務節點應用場景的特定需要，通過對基 礎安全服務按照一定模式流程的順序關聯調用，抑 或針對基礎安全保密服務的模式化擴展，實現安全 服務節點安全服務能力在線編排、重構、調整調度 和快速集成。
4.4 數據安全能力綜合評估技術
數據安全能力綜合評估技術針對大數據環境下 的各類數據安全設備和大數據平臺等對象實體，按 照數據安全動態防護的思路，以數據安全能力動態 評估與持續提升為目標，通過對各數據安全設備的 數據安全策略執行效果、大數據平臺自身安全脆弱 性情況，以及數據生命周期重要環節過程控制情況 等進行稽查和評估，核實數據安全策略以及過程控 制等執行情況，判斷各數據安全能力是否充分和有 效發揮，達到對各數據安全設備、大數據平臺內生 的數據安全能力的“可視、可查、可審”的目的， 以及優化數據安全防護策略，為數據安全能力持續 改進、迭代提升提供支撐。數據安全能力綜合評估 技術主要包括數據安全能力智能稽查技術、數據安 全風險智能評估技術。
4.4.1 數據安全能力智能稽查技術
研究數據安全設備的策略配置、安全配置等數 據安全配置基線的智能構建以及實時監控技術，并 構建數據安全綜合監控模型。
4.4.2 數據安全風險智能評估技術
通過對大數據平臺自身安全配置和安全漏洞進 行掃描，基于人工智能和機器學習對數據行為綜合 關聯分析，構建大數據安全能力智能評估模型，構 建智能評估體系。
4.5 數據安全風險追蹤溯源技術
數據安全風險追蹤溯源技術針對大數據環境下 的數據安全風險存在動態變化的新情況，對數據訪 問行為監控、全路徑追蹤溯源以及安全風險根因分 析等技術開展研究，實現數據的風險追蹤溯源，為 安全防御策略制定提供支撐，確保數據全生命周期 安全、可控。主要包括多源異構數據行為監控與全 路徑追蹤溯源技術、數據安全風險根因分析技術。
4.5.1 多源異構數據行為監控與全路徑追蹤溯源技術
研究各類數據形態的數據實體，及數據流轉過 程中實體之間的依賴關系提取技術，構建數據分布 情況信息庫、數據等級分布情況信息庫、數據使用 情況信息庫以及數據血緣關系庫。以數據標簽為基 礎，將數據標簽與數據結合并貫穿于數據整個生命 周期，利用大數據綜合關聯分析及機器學習對數據 行為進行分析并實行監管。數據追蹤溯源是實現權 責分離、數據安全管控的重要基礎，基于標識實現 數據全生命周期的唯一性，通過對結構化、非結構 化、半結構化的數據按照內容屬性、安全屬性、簽 名屬性等不同視角進行標注，對每個數據的跨域訪 問進行全路徑追蹤溯源。
4.5.2 數據安全風險根因分析技術
根據數據流轉、調用鏈等信息流勾勒數據流動 畫像；利用強化學習、逆強化學習等算法建立根因 追溯模型；基于圖搜索等根因追溯算法，進行根因 定位；構建安全風險根因追溯評估指標，對根因追 溯模型及算法準確性進行有效評估；研究基于數據 安全風險根因的主動防御系統聯動機制，在發生安 全風險時能夠及時采取對系統影響最小的應對措施 進行阻斷。
05 結 語
本文在分析了大數據的安全風險和動態防御方 面安全需求的基礎上，圍繞數據全生命周期，給出 了面向動態防御的“梳—管—控—監—評—溯”大 數據安全防御模型，對模型的動態防護流程進行了說明并對模型中涉及的數據資產可視化分級分類保 護技術、數據安全風險感知與協同防御技術、數據 安全服務增強技術、數據安全能力綜合評估技術以 及數據安全風險追蹤溯源技術進行了討論和研究。 本文提出的思路和方法體現了大數據安全體系化動 態防御的先進性和實用性，能夠為相關的研究提供指導和借鑒。
