一种分布式大数据的数据安全管控策略研究

王晓卉++孙玉林

摘要： 系统安全策略包含了为不同节点和各种服务设计的安全验证，用户安全策略赋与了用户自定义安全规则的能力，应用于用户自己的分布任务组件和数据存取上，有助于强化数据处理过程中用户的数据安全。本文提出一种基于分布式大数据的数据安全管控策略，有效解决了大数据系统的数据面临的被窃取和被篡改风险。

关键词：数据安全 安全管控 集群

中图分类号：TP309 文献标识码：A 文章编号：1007-9416（2016）10-0212-01

1 引言

随着大数据技术的不断发展，分布式系统网络通信安全问题引起了越来越高的关注。安全问题将直接影响大数据在关键部门及领域的应用和普及速度，一方面，某些部门和领域的敏感数据不断聚集，形成的结构化和非结构化数据不断增长，随之产生了海量异构数据的融合、存储和管理的问题，需要一种能在确保数据安全的前提下，进行数据分析与挖掘处理的方法；另一方面，随着危害网络安全技术的不断更新，传统的数据分析方法存在诸多缺陷，特别是对于开源的Hadoop等系统，安全系统相互独立，无有效手段协同工作，面临的安全威胁日益显现，动摇了传统的安全分析方法。

2 数据安全管控策略研究现状

传统解决分布式大数据系统数据安全问题，采用的解决方案是构建基于规则和特征的分析引擎。安全信息与事件分析系统为来自企业和组织中所有IT资源产生的安全信息进行统一的实时监控、历史分析，对来自外部的入侵和内部的违规、误操作行为进行监控、审计分析、调查取证、出具各种报表报告，实现IT资源合规性管理的目标，同时提升企业和组织的安全运营、威胁管理和应急响应能力。

综上所述，当前分布式大数据安全管控方法，通过设置规则库和特征库，采用基于规则和特征的分析引擎。这种方法的缺点是规则库和特征库的滞后性导致的安全策略固态化。由于进入规则库和特征库的过滤规则只能是技术人员可预测、已知的攻击类型和威胁类型，无法动态的添加安全策略规则，所以该策略无法防范未知攻击和尚未被描述成规则的攻击和威胁。另一方面，当前分布式大数据处理系统在网络通讯防窃取与防篡改技术上存在缺陷。

3 一种分布式大数据的数据安全管控策略

一种分布式大数据的安全管控策略，通过构件化的方法解决分布式系统不同模块对安全等级的需求不同的问题，动态调整系统安全级别。通过设置各层安全架构策略，解决分布式系统网络通讯过程中窃取和篡改的安全威胁。应用SHA1签名可以保证网络间传输的内容正确性，系统安全策略包含了为不同节点和各种服务设计的安全验证，用户安全策略赋与了用户自定义安全规则的能力，应用于用户自己的分布任务组件和数据存取上，有助于强化数据处理过程中用户的数据安全。具体步骤如下：

步骤1：将分布式大数据系统分为内部网络和外部网络两个部分。内部网络由集群的所有权人负责实施和管理，是安全网络；外部网络是用户负责范围，用户通过互联网或者VPN的方式远程登录进入分布式集群执行数据操作，是不安全网络。

步骤2：设置内部网络的拓扑结构，内部网络地址采用的IP段为192.168.53.10—192.168.53.255。

步骤3：设置网关节点为192.168.53.1，采用SHA1算法签名，数据通信采用RSA加密后，再进行对称加密、系统安全策略、签名和用户安全策略。

步骤4：进入通讯安全管理层面。判断是否是内部网络通讯，如果是，则关闭安全通讯策略，执行步骤5；如果否，执行步骤6。

步骤5：外部网络的网络节点同时具有客户机/服务器的双重身份。在每一次网络通信开始时，为了确保客户机是可以信任的，服务器要求客户机出示通信安全凭证。这个凭证将保证双方在安全的状态下通信。通信安全凭证在FIXP服务器上配置，里面保存了客户机必须出示的信息。安全通信类型分为三种：地址验证、账号验证、地址/账号复合验证。当服务器要求出示安全憑证时，客户机必须遵守这个协定，向服务器出示自己的安全凭证，否则通信将被服务器中止。通过安全凭证检测后，可以确定网络两端间传输的数据是正确和可信任的，这样就为后续的数据处理提供了一个基本的安全保障。

步骤6：执行节点准入制度。一个节点若要向另一个节点发起命令请求，必须首先以客户机的身份登录它的服务器节点，客户机发出的每一条命令，都要接受服务器的验证和检查。

步骤7：用户登录使用前端节点。登录用户可以自由组织数据内容和数据格式。组织方式采用系统提供的可类化接口，在发送前，把数据按照自己理解的数据格式，用各种方式编排在一起，在接收后，再重新拆解。

步骤8：当数据块从缓存状态转向文件状态过程中，系统计算这个数据块的数据内容，生成一个256位的签名，做为校验码保存到数据块里。当数据节点重新启动，或者数据块被加载到内存，或者通过网络传输到另一个数据节点，系统会重新根据数据内容再次生成一个校验码，与已经存在的校验码进行比较，确认数据的完整性，以保证后续数据处理的数据本身是正确的。

步骤9：数据块从缓存状态转入到文件状态过程中，除生成数据块签名，还要根据数据块的存储模型，针对每一行或者每一列集合，生成各自的CRC32校验码，并且保存在记录的开始位置。数据安全管控流程完成，分布式大数据系统各环节依此方法进行数据存取与通信。

4 结语

本文提出了一种分布式大数据数据安全管控系统策略。通过采用构件化来分层解决分布式系统不同模块对安全等级的需求不同的问题，动态调整系统安全级别。通过设置各层安全架构策略，解决分布式系统网络通讯过程中窃取和篡改的安全威胁。应用SHA1签名可以保证网络间传输的内容正确性，系统安全策略包含了为不同节点和各种服务设计的安全验证，用户安全策略赋与了用户自定义安全规则的能力，应用于用户自己的分布任务组件和数据存取上，有助于强化数据处理过程中用户的数据安全。有效解决了大数据系统的数据面临的被窃取和被篡改风险。

参考文献

[1]蔡衍文.面向通信设备的构件化网络协议栈体系[D].浙江大学， 2004.

[2]陈骏.网络构件动态优化模型的研究[D].浙江大学，2004.

收稿日期：2016-09-01

基金项目：山东省科技发展计划2014GGX101045

作者简介：王晓卉（1981—），女，山东寿光人，讲师，硕士研究生，研究方向：数据挖掘、机器智能；孙玉林（1981—），男，山东烟台人，讲师，硕士研

究生，研究方向：数据挖掘，进化计算。