大數據環境下電信運營商數據安全保護方案

周勝利，陳斌，吳禮發

?

大數據環境下電信運營商數據安全保護方案

周勝利1,2，陳斌3，吳禮發1

(1.中國人民解放軍理工大學，江蘇南京210095；2.浙江警察學院，浙江杭州310053； 3.華信咨詢設計研究院有限公司，浙江杭州310014)

隨著大數據、云計算技術的應用普及，電信運營商用戶數據向海量化和多樣化方向發展，面臨著安全管理、黑客攻擊、風險評估等方面的風險。做好數據安全工作對保護電信運營商用戶隱私、提升企業競爭力尤為重要。從數據采集傳輸安全保密、數據分級、數據脫敏、數據加密、數據發布安全防護等方面，提出了行之有效的電信運營商數據安全保護實施方案，以保障平臺數據的保密性、完整性、可用性、可控性，并且可在中國電信數據安全保護工程中實施。

電信運營商；數據安全；隱私保護；數據加密

1 引言

隨著信息化的飛速發展，社交網絡的興起及云存儲、物聯網等新興信息技術的廣泛應用，全球數據飛速增長。為應對海量多樣化數據對信息的有效存儲、快速讀取、檢索提出的挑戰，大數據技術成為電信運營商關注的熱點。新技術往往帶來新的安全挑戰，電信運營商數據由于集中化等特點，面臨著新的安全風險。如何在大數據環境下確保電信運營商數據共享的安全性，如何為用戶提供更為精細的數據共享安全控制策略等問題值得深入研究。

根據電信運營商大數據存儲應用實際情況，從數據采集傳輸、數據安全分級、數據脫敏、數據加密、安全基線配置、數據發布安全保護設計了數據安全保護的關鍵技術方案，對電信運營商數據安全隱私保護具有非常重要的借鑒意義。

2 研究現狀

在電信運營商數據安全保護方面，現有的研究主要集中在基于密碼學的數據安全保護研究方面，理論性強，缺乏整體實施架構及安全閉環設計。參考文獻[1]從應用的角度介紹了中國聯通的大數據平臺以及大數據生態系統。參考文獻[2]介紹了一個基于Hadoop MapReduce、公鑰加密和SSL（secure sockets layer，安全套接層）協議的安全模型，缺乏模型效率可行性論證。參考文獻[3]對數據生命周期的傳輸階段的云計算相關的數據安全和隱私保護問題提出了一些解決方案。參考文獻[4]結合公鑰的同態認證和云審計系統，實現云計算隱私保護。參考文獻[5]提出了一種混合云存儲架構，以保證混合云中的數據安全。參考文獻[6]提出了一種基于素數的動態密碼的安全驗證方案（DPBSV），實現數據共享安全。

3 電信運營商數據安全保護的必要性

3.1 面臨黑客攻擊的安全挑戰

電信運營商存儲著海量的用戶數據，在用戶數據的使用和共享過程中容易成為黑客攻擊的目標。用戶數據中包含著大量的個人隱私，提高了其潛在的價值，而數據的大量匯集使得一次成功的黑客攻擊可以獲得更多數據。并且因為電信運營商數據具有低密度特性，很難分析出潛在風險，持續攻擊很可能隱藏在海量數據中，從而進一步加大了用戶信息泄露的風險和安全分析的難度，導致安全監測偏離應有方向，事故處理難度大大提升。

3.2 面臨管理的挑戰

電信運營商數據安全保護面臨的管理方面的挑戰如下。

?? 數據保護管理主體多，缺乏管理體系。我國沒有獨立的數據保護機關，數據保護管理職責散落在工業和信息化部、商務部、公安部以及各個行業主管部門，數據保護行政管理體系尚未建立。

?? 行業自律組織較為欠缺。我國目前尚無受到行業內廣泛認可的針對數據保護的行業自律組織或第三方認證機構。

?? 數據生態環境中各個角色的權利、義務尚未明確，數據開放和共享過程中的產權保護、權限管理和隱私保護等問題需要解決。

?? 尚未建立可管理、維護、可信、易于互操作的數據資源集。

3.3 缺乏安全標準與有效安全評估手段

我國數據安全標準起步較晚，目前逐步受到重視，已有專門針對數據保護的標準，首個關于個人信息保護的國家標準《信息安全技術公共及商用服務信息系統個人信息保護指南》也已于2013年2月1日起實施。2014年發布電信和互聯網行業用戶信息保護標準，如《電信和互聯網用戶個人電子信息保護通用技術要求和管理要求》《電信和互聯網用戶個人電子信息保護檢測要求》。

我國至今尚未建立針對數據安全的安全評估體系，針對數據安全及用戶信息保護的安全評估尚為空白。一般由政府委托檢測機構對安全事故單位開展檢測，未形成常態化的數據安全評估體系。針對各個專業網絡和系統及新興技術業務的數據安全要求，分散在各個通信網絡安全防護標準及相關標準中，數據安全評估開展落地困難?，F有數據安全評估僅針對某個業務系統開展，尚未形成完整的數據安全評估通用體系。

4 電信運營商數據安全實施方案

數據的生命周期[7]一般可以分為生成、變換、傳輸、存儲、使用、歸檔、銷毀7個階段。根據數據自身特點及應用需求，如圖1所示，結合上述階段進行合并與精簡，可以得出數據應用過程應劃分為采集、存儲、挖掘與應用、發布4個關鍵環節。

?? 數據采集階段：確保數據安全傳輸并對數據進行分類分級管理。

?? 數據存儲階段：對敏感數據進行特殊保護與脫敏處理，并對數據使用人員進行細粒度的授權管理與訪問控制。

?? 數據挖掘與應用階段：對數據的使用行為進行審計與溯源。

?? 數據發布階段：對發放數據內容進行安全審計。

4.1 數據采集傳輸安全

數據傳輸加密可以選擇在鏈路層、網絡層、傳輸層等層面實現，采用網絡傳輸加密技術保證網絡傳輸數據信息的機密性、完整性、可用性[8]。一般來說，數據傳輸的安全要求有如下幾點。

?? 機密性：只有預期的目的段才能獲得數據。

?? 完整性：數據在傳輸過程中未受到未經授權的篡改，即接收到的數據與發送的數據完全相同。

?? 真實性：數據來源真實可靠。

?? 防止重放攻擊：每個數據分組必須是單一的，保證攻擊者捕捉的數據分組不能重發或者重用。

要達到上述安全要求，一般采用的技術手段如下。

?? 目的端認證源端的身份，確保數據的真實性。

?? 數據加密以滿足數據機密性要求。

?? 密文數據后附加MAC（消息認證碼），以達到數據完整性保護的目的。

?? 數據分組中加入時間戳或不可重復的標識來保證數據抵抗重放攻擊的能力。

VPN（虛擬專用網）技術將隧道技術、協議封裝技術、密碼技術和配置管理技術結合在一起，采用安全通道技術在源端和目的端建立安全的數據通道，通過將待傳輸的原始數據進行加密和協議封裝處理后再嵌套裝入另一種協議的數據報文中，像普通數據報文一樣在網絡中進行傳輸[9]。只有源端和目的端的用戶對通道中的嵌套信息能夠進行解釋和處理。因此，采用VPN技術可以通過在數據節點以及管理節點之間布設VPN的方式，滿足安全傳輸的要求。

目前較成熟的VPN實用技術均有相應的協議規范和配置管理方法。這些常用配置方法和協議主要包括路由過濾技術、通用路由封裝（generic routing encapsulation，GRE）協議、第二層轉發協議（level 2 forwarding protocol，L2F）、IP安全（IP security，IPSec）協議、SSL協議等，如圖2所示。其中，SSL VPN憑借其簡單、靈活、安全的特點，得到了迅速發展，尤其在大數據環境下的遠程接入訪問應用方面，SSL VPN具有明顯的優勢。

4.2 數據安全分級

為加強用戶個人信息安全保護的精細化管理，按各類用戶信息的敏感程度，可將用戶信息分為3個級別，從低到高分別為一級、二級、三級。一級用戶信息主要包含用戶的消費信息與業務、合作信息；二級用戶信息主要包含用戶的身份信息，如用戶姓名、證件號碼、地址信息、銀行賬號信息等；三級用戶信息主要包含用戶通信信息，如用戶通信詳單、定位（位置）信息、用戶身份鑒權信息等。

因此，需要發現定位和分類企業數據庫中的敏感信息（哪些是敏感信息），敏感數據應該分類并加密存儲，同時需要跟蹤哪些用戶下載了敏感數據，控制敏感數據下載的生命周期，二級、三級用戶信息必須做脫敏處理。對敏感數據保護，可對數據記錄分配數據標簽，可對應用用戶分配用戶標簽，使用內置的算法實現對表的透明訪問。敏感數據發現與分類如圖3所示。

4.3 數據脫敏

在開發測試、統計分析、生產環境等過程中，需要對于用戶敏感信息要采用模糊化方法進行處理，避免批量信息泄露。

數據脫敏處理指對某些敏感數據通過脫敏規則進行數據的變形、加密或屏蔽，實現數據的隱私保護[10]。

數據脫敏的關鍵步驟具體如下。

?? 確定需求：根據業務實際需求，確定數據脫敏的方法以及數據的管理策略等。

?? 確定脫敏對象：確定哪些是需要脫敏的敏感數據以及來源?？梢酝ㄟ^工具自動探查敏感數據，也可以人工判斷。

?? 配置脫敏規則：根據不同的數據情況，采用合適的脫敏算法進行配置。

?? 測試脫敏規則：通過測試，檢驗規則的適用度、可靠性、業務適應性以及效率等。如果有新的需求點出現，可以進行迭代開發，不斷完善。

數據脫敏的方法主要有：數據替換（截斷、加密、隱藏或使之無效）；隨機化（以隨機數據代替真值）；偏移（通過隨機移位改變數字數據）；字符子鏈屏蔽（為特定數據創建定制屏蔽）；限制返回行數（僅提供可用回應的小部分子集）[11]。

敏感信息脫敏邏輯部署方案如圖4所示。

4.4 數據加密

大數據環境下，可以根據數據敏感特性，對數據進行選擇性的加密。敏感數據加密，阻止攻擊者從數據傳輸過程中獲取非授權的敏感信息。數據加密可分為靜態數據（文檔、報表、資料等不參與計算的數據）加密和動態數據（需要檢索或參與計算的數據）加密。靜態數據加密可選擇文件或數據塊進行加密[12]。動態數據加密主要考慮數據傳輸到Hadoop系統過程中要進行保護，SASL（simple authentication and security layer，擴充C/S模式驗證能力的機制）認證框架用于加密流動中的數據。

每個安全級別定義唯一加密密鑰，存儲在有憑證的DateNode（數據節點）中。只有授權響應安全級別的用戶可以請求對應的密鑰，敏感數據也基于安全級別選擇加密密鑰。當用戶運行MapReduce作業訪問分類的數據集時，要從有憑證的數據節點獲取對應的密鑰發送給MapReduce作業。只有用戶通過對應安全級別授權，才可以獲取到密鑰。在Hadoop中存儲和獲取數據以及在數據流動過程中都要保證數據安全。

4.5 安全基線配置

安全基線是信息系統最小的安全保證，是系統滿足最基本的安全要求，在業務系統的整個生命周期的各個環節中對網上的設備以及系統安全配置進行定期檢查，而所遵守的最低安全標準[13]。

安全基線配置包括以下4個方面：操作系統、數據庫、應用中間件和網絡設備[14]。評估大數據生態系統漏洞和配置缺陷，執行安全加固；保護核心數據安全，建議使用風險評估工具，定期對大數據生態系統組件安全配置進行安全風險檢查，以便發現系統組件中的安全隱患，及時進行人工加固；在應用系統上線前，要對應用進行安全風險評估測試，及時發現并修復存在的安全隱患。

對Hadoop生態系統組件進行安全配置，所有在Hadoop生態系統中運行的服務都要向KDC（密鑰分配中心）進行認證，確保沒有惡意進程創建惡意活動。

服務進程需要由Kerberos（一種安全認證的系統）確保完全安全，運行服務的主機也要限制用戶的訪問。身份認證至關重要，任何安全失效都會導致惡意用戶冒充任何其他合法用戶。

加強集群的防火墻策略確保沒有非授權訪問，需要為Hadoop配置安全的VLAN并限制所有流量[15]。防火墻策略確保沒有任何來自非法的訪問。所有的連接限制建議只能通過網關服務器發起。

4.6 數據發布安全保護

數據發布前必須進行全面的安全審查[15]，確保輸出的數據符合“不泄密、無隱私、不超限、合規約”等要求。在數據發布后，一旦出現機密外泄、隱私泄露等數據安全問題，必須要有必要的數據溯源機制，確保能夠迅速定位到出現問題的環節、出現問題的實體，以便對出現泄露的環節進行封堵，追查責任者，杜絕類似問題發生。數據發布安全架構如圖5所示。

5 結束語

大數據、云計算時代，電信運營商逐步把數據和業務搬到云上，面臨著新的數據安全挑戰。在中國電信云安全實際業務需求的指引下，根據電信運營商數據敏感程度，將數據分為3個級別，并且從數據采集傳輸安全保護、數據脫敏加密、安全基線配置、數據發布階段安全保護等方面設計數據保護方案，對電信運營商大數據平臺數據安全保護機制的新建和完善、安全管理架構的設置、安全管理制度的制定、安全管理流程梳理等有一定的指導意義，并且將納入中國電信大數據資源池安全加固工程中實施。

[1] HUANG W, CHEN Z, DONG W, et al. Mobile internet big data platform in China Unicom[J]. Tsinghua Science and Technology, 2014, 19(1): 95-101.

[2] ZHAO J, WANG L, TAO J, et al. A security framework in G-Hadoop for big data computing across distributed Cloud data centres[J]. Journal of Computer and System Sciences, 2014, 80(5): 994-1007.

[3] CHEN D, ZHAO H. Data security and privacy protection issues in cloud computing[C]//2012 International Conference on Computer Science and Electronics Engineering (ICCSEE), March 23, 2012, Hangzhou, Zhejiang, China. New Jersey: IEEE Press, 2012: 647-651.

[4] SUBASHINI S, KAVITHA V. A survey on security issues in service delivery models of cloud computing[J]. Journal of Network and Computer Applications, 2011, 34(1): 1-11.

[5] ZHOU L, VARADHARAJAN V, HITCHENS M. Achieving secure role-based access control on encrypted data in cloud storage[J]. IEEE Transactions on Information Forensics and Security, 2013, 8(12): 1947-1960.

[6] PUTHAL D, NEPAL S, RANJAN R, et al. A dynamic prime number based efficient security mechanism for big sensing data streams[J]. Journal of Computer and System Sciences, 2017, 83(1): 22-42.

[7] 胡坤, 劉鏑, 劉明輝. 大數據的安全理解及應對策略研究[J]. 電信科學, 2014, 30(2): 112-117,122.

HU K, LIU D, LIU M H, et al. Research on Security Connotation and Response Strategies for Big Data [J]. Telecommunications Science, 2014, 30(2): 112-117,122.

[8] 張啟云. 云計算中數據安全問題的研究 [J]. 計算機光盤軟件與應用, 2012, 30(2): 25-26.

ZHANG Q Y. Research on data security in cloud computing [J]. Computer CD Software and Applications, 2012, 30(2): 25-26.

[9] 盧川英. 大數據環境下的信息系統安全保障技術[J]. 價值工程, 2014, 30(4): 188-190.

LU C Y. Information systems security technology for big data environments [J].Value Engineering, 2014, 30(4): 188-190.

[10] 趙祥, 馮華, 韓利凱. 云計算數據安全問題 [J]. 電子世界, 2014, 30(2): 8-9.

ZHAO X, FENG H, HAN L K. Data Security in Cloud computing [J].Electronics World, 2014, 30(2): 8-9.

[11] 劉明輝, 張尼, 張云勇, 等. 云環境下的敏感數據保護技術研究[J]. 電信科學, 2014, 30(11): 2-8.

LIU M H, ZHANG N, ZHANG Y Y, et al. Research on sensitive data protection technology on cloud computing [J]. Telecommunications Science, 2014, 30(11): 2-8.

[12] 王志中, 周城, 牟宇飛. 基于分離密鑰的云存儲加密解決方案[J]. 電信科學, 2013(11): 51-56.

WANG Z Z, ZHOU C, MOU Y F. A project designed by cloud storage encryption based on separated key[J]. Telecommunications Science, 2013(11): 51-56.

[13] 唐磊, 馬錚. 運營商網絡安全基線研究與探討[J]. 郵電設計技術, 2016(1): 65-69.

TANG L, MA Z. Research and discussion on the network safety baseline of the telecom operators[J]. Designing Techniques of Posts and Telecommunications, 2016 (1): 65-69.

[14]張震, 馮偉, 顏金韜. 一種基于云掃描技術的系統安全配置基線核查機制及方法[J]. 電信工程技術與標準化, 2012(4): 31-34.

ZHANG Z, FENG W, YAN J T. New mechanism and method for system security configuration baseline verification based on cloud scanning technique[J]. Telecom Engineering Technics and Standardization, 2012(4): 31-34.

[15]陳璽, 馬修軍, 呂欣. Hadoop生態體系安全框架綜述[J]. 信息安全研究, 2016,2(8): 684-698.

CHEN X, MA X J, LV X. An overview of Hadoop security framework[J]. Journal of Information Security Research, 2016, 2(8): 684-698.

Data security protection schema of telecom operators under the environment of big data

ZHOU Shengli1,2, CHEN Bin3, WU Lifa1

1.The Chinese People’s Liberation Army (PLA) University of Science and Technology, Nanjing 210095, China 2.Zhejiang Police College, Hangzhou 310053, China 3.Huaxin Design Consulting Institute, Hangzhou 310014, China

With the popularity of big data and cloud computing technology, data of telecom operators collected is increasingly larger, and much more various. The data faces the risk of broken security management, hacker attacks, and imperfection of risk assessment, etc. The current situation of data security in the environment was analyzed, and a more complete data security implementation plan was put forward. From the two aspects of data security technology and management, several strategies were proposed, including security classification, privacy protection, data desensitization encryption and security protection. The proposed schema has been implemented in China Telecom data security protection project.

telecom operator, data security, privacy protection, data encryption

TP393

A

10.11959/j.issn.1000?0801.2017136

2016?03?22；

2017?05?10

周勝利（1982?），男，浙江警察學院工程師，中國人民解放軍理工大學博士生，主要研究方向為大數據安全管理。

陳斌（1969?），男，華信設計咨詢研究院教授級高級工程師，主要研究方向為云計算、大數據安全。

吳禮發（1968?），男，博士，中國人民解放軍理工大學教授，主要研究方向為大數據安全。