摘 要：
大數據環(huán)境下，海量數據呈現出主體多樣化、處理活動復雜化的特點，數據除了面臨傳統(tǒng)的安全威脅外，更要面臨諸多新型安全威脅，傳統(tǒng)的安全手段及體系已不能有效應對大數據環(huán)境下的安全威脅。針對大數據的流轉復雜、關聯(lián)融合、蘊含價值等特點，提出了面向動態(tài)防御的大數據防御模型。此外，研究了相關的大數據安全技術，這些技術能夠構建大數據安全動態(tài)防御體系，提供動態(tài)防御能力，促進大數據安全全面向動態(tài)、主動防御方向轉變。
內容目錄：
1 大數據安全風險分析
1.1 海量數據流轉復雜化使得數據泄露風險增大
1.2 攻擊手段多樣化使得傳統(tǒng)安全手段防護效果甚微
1.3 大數據價值高導致數據更易遭受攻擊竊取2 大數據安全需求分析
2.1 大數據體系化防護需求
2.2 大數據安全綜合治理需求
2.3 大數據智能化及動態(tài)化體系防護需求
3 大數據安全動態(tài)防御模型
4 大數據安全動態(tài)防御關鍵技術
4.1 數據資產可視化分級分類保護技術
4.1.1 數據分級保護策略自動化生成技術
4.1.2 敏感資產自動化發(fā)現技術
4.1.3 多場景數據資產威脅可視化分析處理技術
4.2 數據安全風險感知與協(xié)同防御技術
4.2.1 全態(tài)化防御信息采集及行為分析技術
4.2.2 數據安全風險智能識別技術
4.2.3 數據安全態(tài)勢預測模型和評估指標體系
4.2.4 攻擊評估與協(xié)同防御技術
4.3 數據安全服務增強技術
4.3.1 數據服務 Web 服務透明加固和細粒度參數 保護技術
4.3.2 安全配置自動生成、動態(tài)部署及監(jiān)控技術
4.3.3 安全服務能力在線編排與重構、調整調度、 快速集成技術
4.4 數據安全能力綜合評估技術
4.4.1 數據安全能力智能稽查技術
4.4.2 數據安全風險智能評估技術
4.5 數據安全風險追蹤溯源技術
4.5.1 多源異構數據行為監(jiān)控與全路徑追蹤溯源技術
4.5.2 數據安全風險根因分析技術
5 結 語
00 引 言
隨著信息技術的快速發(fā)展，人類的生產生活與信息技術交匯融合的程度也越來越深。在融合的過程中，各類數據呈現指數級增長的特點。這些海量數據在聚集的過程中，對經濟發(fā)展、社會治理、人民生活都產生了重大而深刻的影響。與此同時，數據安全也成為事關國家安全和經濟社會發(fā)展的重大課題?！吨腥A人民共和國數據安全法》的正式發(fā)布 標志著數據安全已經上升至國家戰(zhàn)略高度，數據已經成為國家基礎性戰(zhàn)略資源，沒有數據安全就沒有國家安全。
當前，各類海量數據呈現出主體多樣化、處理活動復雜化的特點。大數據環(huán)境下，數據除了面臨傳統(tǒng)的安全威脅外，還要面臨諸多新型安全威脅。 傳統(tǒng)的安全手段及體系呈現出的單點、靜態(tài)、被動防護的特點已不能有效應對大數據環(huán)境下的安全威脅。大數據的安全防御需要從大數據的流轉復雜、關聯(lián)融合、蘊含價值等特點入手 ，面向攻擊手段多樣、攻擊程序不斷更新迭代的新型安全威脅，圍繞數據全生命周期提供動態(tài)防御能力。在這種背景下，安全防御技術及體系需要從單點、靜態(tài)、被動 防護向全面、動態(tài)、主動防護轉變 。
01 大數據安全風險分析
大數據除了面臨傳統(tǒng)安全威脅以外，同時還要 面臨新型的安全威脅。
1.1 海量數據流轉復雜化使得數據泄露風險增大
隨著信息化建設持續(xù)推進和技術不斷發(fā)展，數 據呈現爆發(fā)式增長，同時各類應用系統(tǒng)也呈現出多樣化特點，使得數據的流轉更加錯綜復雜，導致數據暴露出更大的攻擊面。此外，由于數據平臺支撐 的業(yè)務應用多種多樣，對外提供的服務接口千差萬別；因此，攻擊者有機會通過服務接口攻擊大數據 系統(tǒng)，而如何保證多種服務接口的安全也成為大數據平臺面臨的極大挑戰(zhàn)。
1.2 攻擊手段多樣化使得傳統(tǒng)安全手段防護效果甚微
大數據在全生命周期過程中呈現出數據動態(tài) 化、密級多樣化、權屬復雜化、使用實時化、價值最大化的特點，這些特點導致了大數據環(huán)境下的攻 擊手段多樣化。攻擊程序不斷更新迭代，使得大數 據在全生命周期過程中被竊取、被濫用、被篡改的風險不斷增大。傳統(tǒng)的安全手段及體系呈現出單點、 靜態(tài)防護的特點，在應對大數據環(huán)境下的安全威脅時會出現防護效果不佳，甚至失效的情況，也為數據安全威脅的追蹤溯源帶來了更大的挑戰(zhàn)。
1.3 大數據價值高導致數據更易遭受攻擊竊取
大數據經挖掘分析后能產生具有極高價值的數據產品，這些產品能夠為經濟、社會、國家戰(zhàn)略等活動提供決策支撐；但與此同時，大數據產品極易吸引內部非法人員的攻擊竊取。這類攻擊呈現出長 期潛伏、難以發(fā)現的特點，現有態(tài)勢感知及應急處 置等協(xié)同防御手段無法有效應對此類威脅，更無法 有效發(fā)現未知威脅，使得高價值數據面臨巨大的安 全風險。
02 大數據安全需求分析
2.1 大數據體系化防護需求
大數據系統(tǒng)及平臺的可靠、安全運行是信息系統(tǒng)運行的重要基本保障，但也往往成為對手首要攻擊對象。數據對經濟決策、社會治理、國家安全等活動具有重大意義，其安全的重要性不言而喻。 近年來發(fā)生的由于內部管理不規(guī)范導致的斯諾登事件， 美軍士兵運動信息被收集導致美軍事基地暴露， 劍橋數據分析公司惡意影響美國總統(tǒng)大選等，證明 網絡空間對抗的日益常態(tài)化、高級化、復雜化，也 暴露出單純使用漏洞移除、打補丁、訪問控制、邊界防護等傳統(tǒng)安全防護技術的網絡空間靜態(tài)防御難以預防動態(tài)的內外部復雜攻擊，需要積極探索大數據安全動態(tài)化、體系化防御框架。
2.2 大數據安全綜合治理需求
數據來源眾多、密級不同，對不同級別數據的管理和防護要求也不相同，為了高效安全使用多來源、多種類、多密級海量數據，充分體現并發(fā)揮大 數據在各領域價值，需要對大數據進行綜合安全治 理 [5-7]。大數據綜合安全治理需要在分級分類基礎上，為數據添加屬性標識，并根據數據屬性進行細粒度全生命周期安全防護。在體系化安全防護中， 首先，需制定數據安全防護基線，并對數據安全保密能力進行評估；其次，針對數據共享、數據應用等過程提供多層次安全保密服務，并制定針對不同 密級數據的安全防護策略；最后，針對任何可疑數據行為，特別是內部行為提供追蹤溯源能力。通過大數據綜合安全治理，可為大數據在全生命周期過程中面臨的安全威脅提供事前預防、事中發(fā)現、事后溯源的體系化安全保密防御能力。
2.3 大數據智能化及動態(tài)化體系防護需求
隨著云計算、大數據、人工智能等新技術的發(fā) 展，針對大數據的攻擊手段呈現出多樣化、自動化、 智能化的特點。為有效應對新的攻擊手段及新型安 全威脅，迫使安全防護手段必須向智能化、動態(tài)化 防護方向演進。數據在全生命周期流通過程中，訪問用戶的身份、數據的權屬關系、數據的訪問行為等都在動態(tài)發(fā)生變化;因此，安全防護系統(tǒng)需要對用戶身份和權限進行動態(tài)評估和識別，同時對數據資產也要進行動態(tài)梳理，并對數據的訪問行為進行動態(tài)監(jiān)控，實現大數據的智能化、動態(tài)化、體系化 安全防護。
03 大數據安全動態(tài)防御模型
基于以上對大數據安全風險的分析，面向大數據動態(tài)防御需求，圍繞大數據全生命周期活動，通過數據分類分級， 構建“梳—管—控—監(jiān)—評—溯” 的動態(tài)防御體系模型。在該模型中， 通過密碼保密、 身份認證、數據安全標簽、權限管控、日志審計、分級分類、行為分析、流量分析等數據安全支撐技術共同形成數據安全服務增強、數據分級分類保護、 數據追蹤溯源、數據安全防護能力評估等一系列安 全防護能力，構建大數據動態(tài)防護體系，提供大數 據動態(tài)防御能力。
圖 1 中的大數據動態(tài)防御模型是從大數據生命周期和大數據平臺兩個維度全方位考慮動態(tài)安全防護能力，其形成的動態(tài)防護流程如下文所述。
(1)對數據生產者、數據消費者、數據提供 者產生的數據進行梳理，重點是按照數據分類分級標準對各類敏感數據資產進行梳理， 包括系統(tǒng)信息、 人員信息、業(yè)務信息等，讓數據擁有者或管理者了解自己數據的分布情況。
(2)在數據各類應用場景下， 根據數據等級、 用戶防護需求，制定不同的數據安全防護策略，并將策略分發(fā)至各類安全防護設備，防護設備依據防護策略對數據各種流程進行管控，在對各類數據流程進行管控的過程中，應根據用戶的權限和數據的屬性實施細粒度權限管控，細粒度權限管控應涉及數據平臺自身安全、數據源與數據平臺間、數據平臺與業(yè)務應用系統(tǒng)間、業(yè)務應用系統(tǒng)與終端用戶(數 據消費者)間等典型場景。
(3)對數據在生命周期各階段的行為進行監(jiān)控，重點對異常數據資產進行監(jiān)控，并提供數據安 全態(tài)勢感知和態(tài)勢展示。
(4)對數據行為監(jiān)控過程中發(fā)現的異常行為或威脅進行追蹤溯源，將溯源結果和各類安全設備反饋的安全策略執(zhí)行情況進行綜合分析，對數據安全防護效能進行動態(tài)評估，并根據評估結果對安全策略進行及時調整。
通過上述過程的循環(huán)執(zhí)行， 持續(xù)進行數據梳理、 策略制定、流程管控、行為監(jiān)控、溯源評估、態(tài)勢展現的動態(tài)防護過程，能夠形成對數據實時可感、 可知、可視的動態(tài)防護能力。
圖 1 大數據動態(tài)防御模型
04 大數據安全動態(tài)防御關鍵技術
4.1 數據資產可視化分級分類保護技術
近年來，越來越多的科技工作者開始了大數據安全技術的研究，涉及到大數據自身安全和大數據技術應用到安全兩方面 ，本文提出的面向動態(tài)防御的大數據安全技術涉及大數據自身安全，主要包括以下 5 個技術路線。
針對海量數據及屬性難維護、異構數據模型不統(tǒng)一、安全威脅不直觀、敏感數據資產可視能力不 足等問題， 數據資產可視化分級分類保護技術 [11-12] 根據數據分類分級標準，實現多來源、多種類、多 密級、多種安全保密防護要求以及不同網絡環(huán)境的數據資產的綜合管理能力，支撐數據綜合安全治理 裝備體系構建，滿足數據在不同應用場景下多密級 安全保密策略的動態(tài)化、體系化管控需求。數據資 產可視化分級分類保護技術主要包括數據分級保護 策略自動化生成技術、敏感資產自動化發(fā)現技術、 多場景數據資產威脅可視化分析處理技術。
4.1.1 數據分級保護策略自動化生成技術
數據在多應用場景下，存在多密級的情況，不 同業(yè)務的安全防護需求在不同密級情況下要求也不 同。針對大數據的多源異構數據，利用數據安全標識，在數據安全基線的基礎上，構建統(tǒng)一數據安全 模型，自動生成安全防護策略，建立數據安全屬性 與安全保密能力的連接關系，提供多層次安全防護 策略，實現自動化數據安全防護。
4.1.2 敏感資產自動化發(fā)現技術
基于數據分類分級標準，研究敏感數據屬性 分類機制，統(tǒng)一敏感數據結構描述方法，建立統(tǒng)一 的敏感數據發(fā)現體系。此外，在統(tǒng)一發(fā)現體系基礎
上，實現敏感數據資產及其屬性和數據關系的自動 發(fā)現， 全面盤點敏感數據資產， 形成敏感數據地圖。
4.1.3 多場景數據資產威脅可視化分析處理技術
研究海量異構數據信息在數據生命周期各階段 不同場景下的威脅可視化呈現方式和操作方式，并 基于數據分類分級，將數據威脅與敏感數據自動關聯(lián)，實現敏感數據威脅的高效可視化管控，提升綜合安全治理決策效率。
4.2 數據安全風險感知與協(xié)同防御技術
面向大數據環(huán)境下的各類信息系統(tǒng)和業(yè)務系統(tǒng)，通過數據采集、傳輸、存儲、處理、交換和銷 毀的各個環(huán)節(jié)存在的各種脆弱性和威脅，研究數據安全風險智能感知、風險評估和協(xié)同防御技術 [13-15]， 為大數據動態(tài)防御體系提供用于智能化決策的預警信息并制定動態(tài)協(xié)同防御策略，有力支撐大數據動 態(tài)防御體系構建。數據安全風險感知與協(xié)同防御技術主要包括全態(tài)化防御信息采集及行為分析技術、 數據安全風險智能識別技術、數據安全態(tài)勢預測模型和評估指標體系、攻擊評估與協(xié)同防御技術。
4.2.1 全態(tài)化防御信息采集及行為分析技術
從多維度、全方位進行全態(tài)化數據收集，研究數據系統(tǒng)中軟硬件、網絡、業(yè)務多種類信息精準、高效、可動態(tài)調整采集方法；并基于采集的數據， 構建數據及網絡流量的行為特征模型，通過數據通 信協(xié)議特征、訪問行為與訪問接口之間的關系，構建流量分析模型和內容分析模型，通過特征學習、 關系學習等流量分析和內容識別手段發(fā)現隱藏在數據流量中的安全威脅。
4.2.2 數據安全風險智能識別技術
首先，研究并建立一種形式化數據安全風險描述模型，構建大數據環(huán)境下數據流經的環(huán)境安全風險集；其次，基于粗糙集理論研究數據安全風險篩選規(guī)則技術，從安全事件中學習規(guī)則，使獲得的各安全域的數據安全風險更加貼近真實情況，從而能夠準確實時地識別出數據安全風險。
4.2.3 數據安全態(tài)勢預測模型和評估指標體系
研究大數據環(huán)境下安全態(tài)勢數據采集和統(tǒng)一的信息交互表示協(xié)議和標準、系統(tǒng)配置漏洞、運行環(huán)境漏洞、目標代碼漏洞及其關聯(lián)環(huán)境漏洞，提出對漏洞、違規(guī)操作、攻擊行為的多維度監(jiān)測識別手段。 研究態(tài)勢量化評估和預測模型，利用機器深度學習態(tài)勢評估算法實現安全態(tài)勢綜合評估，基于攻擊意圖推演實現態(tài)勢趨勢預測和預警。
4.2.4 攻擊評估與協(xié)同防御技術
針對大數據環(huán)境下的惡意行為的攻擊階段、影響范圍、威脅程度進行智能化評估，并結合實際情況制定相應的防御措施，分級別、分層次、分范圍地對大數據系統(tǒng)進行協(xié)同防御策略制定和分發(fā)，形成圍繞“網絡—應用—平臺—數據”的協(xié)同防御系統(tǒng)，提供大數據系統(tǒng)網絡“一處發(fā)現威脅，全網協(xié) 同防御”的能力。
4.3 數據安全服務增強技術
數據安全服務增強技術針對大數據場景下數據 安全服務面臨的身份仿冒、越權訪問、數據監(jiān)聽、 惡意攻擊等問題，提升大數據服務的身份安全驗證能力和數據共享使用時的細粒度訪問控制能力，提供數據服務系統(tǒng)配置自動化處理、動態(tài)編排、動態(tài) 調整、快速集成等數據安全增強服務，保證各類敏感數據的合理、安全、保密等共享使用。數據安全服務增強技術主要包括數據服務 Web 服務透明加固和細粒度參數保護技術，安全配置自動生成、動態(tài)部署及監(jiān)控技術，
安全服務能力在線編排與重構、 調整調度、快速集成技術。
4.3.1 數據服務 Web 服務透明加固和細粒度參數保護技術
針對數據服務缺乏細粒度管控，數據服務缺乏保護等問題， 研究大數據服務場景下的 Web 服務透明化加固和參數級管控技術，實現對業(yè)務透明的數據加密和參數粒度的數據安全管控。
4.3.2 安全配置自動生成、動態(tài)部署及監(jiān)控技術
研究安全配置自動生成并將目標系統(tǒng)模型自動轉化為機器可識讀的配置劇本以及安全配置的形式 化驗證方法，確保配置高層語義滿足一致性條件和 正確性、安全性要求。研究在編排器和控制器上將高層安全配置劇本按照全局一致性和過渡一致性的約束下執(zhí)行配置指令及以及系統(tǒng)運行狀態(tài)與抽象描述一致性監(jiān)控方法。
4.3.3 安全服務能力在線編排與重構、調整調度、 快速集成技術
面向服務節(jié)點應用場景的特定需要，通過對基 礎安全服務按照一定模式流程的順序關聯(lián)調用，抑或針對基礎安全保密服務的模式化擴展，實現安全服務節(jié)點安全服務能力在線編排、重構、調整調度 和快速集成。
4.4 數據安全能力綜合評估技術
數據安全能力綜合評估技術針對大數據環(huán)境下的各類數據安全設備和大數據平臺等對象實體，按 照數據安全動態(tài)防護的思路，以數據安全能力動態(tài)評估與持續(xù)提升為目標，通過對各數據安全設備的據安全策略執(zhí)行效果、大數據平臺自身安全脆弱 性情況，以及數據生命周期重要環(huán)節(jié)過程控制情況 等進行稽查和評估，核實數據安全策略以及過程控制等執(zhí)行情況，判斷各數據安全能力是否充分和有效發(fā)揮，達到對各數據安全設備、大數據平臺內生的數據安全能力的“可視、可查、可審”的目的， 以及優(yōu)化數據安全防護策略，為數據安全能力持續(xù)改進、迭代提升提供支撐。數據安全能力綜合評估技術主要包括數據安全能力智能稽查技術、數據安全風險智能評估技術。
4.4.1 數據安全能力智能稽查技術
研究數據安全設備的策略配置、安全配置等數據安全配置基線的智能構建以及實時監(jiān)控技術，并構建數據安全綜合監(jiān)控模型。
4.4.2 數據安全風險智能評估技術
通過對大數據平臺自身安全配置和安全漏洞進行掃描，基于人工智能和機器學習對數據行為綜合 關聯(lián)分析，構建大數據安全能力智能評估模型，構建智能評估體系。
4.5 數據安全風險追蹤溯源技術
數據安全風險追蹤溯源技術針對大數據環(huán)境下 的數據安全風險存在動態(tài)變化的新情況，對數據訪問行為監(jiān)控、全路徑追蹤溯源以及安全風險根因分 析等技術開展研究，實現數據的風險追蹤溯源，為安全防御策略制定提供支撐，確保數據全生命周期安全、可控。主要包括多源異構數據行為監(jiān)控與全路徑追蹤溯源技術、數據安全風險根因分析技術。
4.5.1 多源異構數據行為監(jiān)控與全路徑追蹤溯源技術
研究各類數據形態(tài)的數據實體，及數據流轉過程中實體之間的依賴關系提取技術，構建數據分布情況信息庫、數據等級分布情況信息庫、數據使用情況信息庫以及數據血緣關系庫。以數據標簽為基礎，將數據標簽與數據結合并貫穿于數據整個生命周期，利用大數據綜合關聯(lián)分析及機器學習對數據行為進行分析并實行監(jiān)管。數據追蹤溯源是實現權 責分離、數據安全管控的重要基礎，基于標識實現數據全生命周期的唯一性，通過對結構化、非結構 化、半結構化的數據按照內容屬性、安全屬性、簽 名屬性等不同視角進行標注，對每個數據的跨域訪問進行全路徑追蹤溯源。
4.5.2 數據安全風險根因分析技術
根據數據流轉、調用鏈等信息流勾勒數據流動 畫像;利用強化學習、逆強化學習等算法建立根因追溯模型；基于圖搜索等根因追溯算法，進行根因定位；構建安全風險根因追溯評估指標，對根因追溯模型及算法準確性進行有效評估；研究基于數據 安全風險根因的主動防御系統(tǒng)聯(lián)動機制，在發(fā)生安全風險時能夠及時采取對系統(tǒng)影響最小的應對措施進行阻斷。
05 結 語
本文在分析了大數據的安全風險和動態(tài)防御方面安全需求的基礎上，圍繞數據全生命周期，給出了面向動態(tài)防御的“梳—管—控—監(jiān)—評—溯”大數據安全防御模型，對模型的動態(tài)防護流程進行了說明并對模型中涉及的數據資產可視化分級分類保護技術、數據安全風險感知與協(xié)同防御技術、數據安全服務增強技術、數據安全能力綜合評估技術以 及數據安全風險追蹤溯源技術進行了討論和研究。 本文提出的思路和方法體現了大數據安全體系化動態(tài)防御的先進性和實用性，能夠為相關的研究提供指導和借鑒。
引用本文： 許杰， 張鋒軍， 陳捷， 等 . 面向動態(tài)防御的大數據安全技術研究 [J]. 通信技術， 2021， 54(11)：2551-2556.
作者簡介 >>>
許 杰 ， 男， 博 士， 高 級 工程師，主要研究方向為大數據安全、信息 安全;
張鋒軍， 男， 博士研究生，研究員級高工，主要研究方向為云計算和大數據安全、信息系統(tǒng)智能管控技術;
陳 捷， 博士研究生， 研究員級高工， 主要研究方向為通信網絡與信息安全;
李慶華 ， 男， 學士， 高級工程師， 主要 研究方向為軟件工程、云計算與大數據安全技術;
牛作元 ，男， 碩士， 高級工程師， 主要 研究方向為云計算與大數據安全;
石 凱 ， 男， 碩士， 工程師， 主要研究方向為云計算與大數據安全。
選自《通信技術》2021年第11期
來源：信息安全與通訊保密雜志社
