大数据引发的安全性革命：在数字化世界进行身份管理
http://security.chinaitlab.com/sjaq/962721.html

　现如今，数据正以指数级增长。有专家最近提出，其增长率相当于在国际象棋棋盘的第一格放置一粒大米，第二格放置其个数的平方粒米，第三格放置其个数的三次方粒米。当放置到第64格时，最后一格的米粒数量将相当于全世界水稻年产量的一千倍。

　　现如今的各行各业，包括医疗保健业，金融业，零售业和政府机构都面临着如何最好地利用他们所收集的海量数据信息的问题。而大数据服务供应商们所提供的各种应用程序方便了人们能够对海量大数据进行分析，提取出有巨大价值的见解，进而能够跨部门、跨业务功能的帮助各行各业的发展。这种融合导致了大数据使用量在所有经济领域的迅速增加。

　　然而，很明显，随着大数据应用程序通过网络环境连接数据库，企业最敏感信息并未受到同等级别优先级的安全保护。为了确保防止黑客盗窃数据信息的风险，企业应该在转移到充分利用大数据的优势的同时，也相当有必要采取相关的安全措施来保护他们数据资产的完整性。

　　流程自动化

　　为了从大数据分析中得到相关有价值的见解，大数据集被划分成更小的高纤维的分析组件，通过一个Hadoop集群单独处理，然后重新组合，以产生有价值的信息。该过程几乎完全自动化，因此需要大量的机器对机器(M2M)通过网络的交流。

　　在Hadoop的基础设施会发生几个层次的授权;具体包括：

　　Ø 访问Hadoop集群

　　Ø 簇间通信

　　Ø 群集访问数据源

　　这些授权往往是基于SSH(Secure Shell)密钥的，其对于使用Hadoop是理想的，因其安全级别支持自动化的M2M通信。许多基于流行的基于云计算的Hadoop服务也使用SSH作为访问Hadoop集群的认证方法。确保了授予访问大数据环境中的身份应该是一个高优先级的，但其也具有挑战性。对于那些希望利用大数据分析的人，应考虑以下问题：

　　1、谁应该对建立大数据分析的授权负责?

　　2、这些授权的管理得当吗?

　　3、谁可以访问这些特定的授权?

　　4、如果最初的授权创造者离职，会发生什么情况?

　　5、“需要知道”的安全规则是否会直接影响访问授权级别?

　　这些问题并不仅仅只是针对大数据而言。事实上，随着数据中心自动化业务流程的增加，这些问题正在变得更为重要。自动化的M2M交易占到了数据中心所有通信的80%，然而大部分管理员则把焦点集中在员工帐户相关联的20%的通信流量。某些严重依赖数据的行业，如金融业和基于云计算的服务业，基于机器的身份识别与人机交互的比例通常达到了四比一的比例。那么，为什么这个大的身份识别集被忽视了呢?很明显，随着大数据信息总量的上涨，应对M2M身份管理保证的紧迫感增强了。

　　业务危机四伏

　　无视M2M身份验证的风险是非常可怕的，而这些授权的管理不善可能导致严重的数据泄露。虽然终端用户的身份的安全管理已经得到了显著的进步，但基于机器的身份验证则被严重忽视，导致IT环境产生深远的攻击向量。

　　这种忽视的部分原因可能是由于对正在运行中的系统实现变化所带来的挑战。把中央身份验证和访问管理带入到数以千计的基于机器的身份验证，无疑是一项复杂的工作。鉴于相关风险的不断上升，需要新的工具和流程，以规避和对抗这种风险。

　　目前，IT管理员使用手动跟踪验证密钥的方法来保护M2M的交易。过时的方法，如电子表格或自行开发的脚本是监控，分配和库存检查密钥很受欢迎的选择。如同所有的手工管理一样，人为操作错误也会导致其本身的错误，使得许多部署键落空。这种方法通常缺乏定期扫描，所以没有系统管理知识的管理员可以从后门插入。

　　合规意味着企业业务的相关方面

　　跨多种行业的合规标准强制要求中央控制这些认证密钥。如果不这样做的企业，就可以面临巨额罚款和违规被识别，声誉损害的风险。例如，最近加强的PCI标准要求规定，接受支付卡的任何企业都必须严格控制谁有权访问敏感的财务信息。这项规定会影响银行业，餐饮业，零售业和医疗保健业;正因为如此，很多垂直行业正在快速改变他们的安全状态，以尽量减少违规等相关风险。

　　加强M2M网络安全的步骤

　　为了对付这些风险，我们建议您的企业采取以下步骤来实现最佳实践：

　　Ø 发现：数据中心管理员，安全团队或身份验证和访问权限管理人员对于身份信息存储的地方、怎样的身份信息是允许访问的以及支持访问哪些业务流程很少有透明度可视性。因此，在修复过程中重要的第一步是相当被动的，非侵入性的发现。

　　Ø 修复：随着可视化和相关控制的建立，某些违反政策的必要的身份验证可以在不中断正在进行的业务流程中进行更新。例如，一台机器的身份验证可以支撑一个积极的过程，但其可以具有比需要水平更高的特权。采用集中管理，分配给该身份的权限级别可以进行修复。

　　Ø 监控：需要持续的监控网络环境，以确定哪些标识是在频繁使用，哪些是与非活动用户或进程相关联。有利的一面是，在许多企业中，未使用的(因此不再需要)身份往往占多数。一旦这些未使用身份被标识并移除之后，处理的范围将显著降低。

　　Ø 管理：机器身份的添加，更改和删除应通过中央控制实施。这种方法使基于政策的管理能够有效掌握相关的身份信息是如何被使用的，确保不再添加未经管理的身份，及提供符合验证的证据。

　　当然，罗马不是一天建成的，其也不可完全一次性实现。在每天使用相关的工具和流程的过程也会促进这些最佳实践，提供积极的风险管理和合规管理。

　　展望未来

　　当谈到从信息中分析获取价值时，大数据开辟了无限的可能性，但在各种新技术层出不穷的情况下，企业会需要有一种方法来保护数据信息的安全，保持与当前各种风险威胁相同的发展步伐。自动化的M2M身份管理可能带来显著的业务收益，如节省时间和成本。除了眼前的利益，也有利于企业实现长期的合规性和增强企业信誉。那些希望利用所有大数据优势的企业必须同时确保最高的安全级别，请务必遵循上文中所述的最佳实践方案。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课