云安全風(fēng)險(xiǎn)潛伏在大數(shù)據(jù)項(xiàng)目中

call_me_R 發(fā)布于2019-04-25 17:33 / 2914人閱讀

摘要：在監(jiān)測(cè)和信息安全培訓(xùn)機(jī)構(gòu)的大數(shù)據(jù)安全會(huì)議上，表示，經(jīng)常有業(yè)務(wù)部門(mén)繞過(guò)團(tuán)隊(duì)使用信用卡來(lái)租用云計(jì)算基礎(chǔ)設(shè)施。云安全聯(lián)盟和其他組織已經(jīng)明確指出了云計(jì)算的潛在風(fēng)險(xiǎn)。表示，與大數(shù)據(jù)相關(guān)的工具通常也不太安全。

? ? ?微軟Windows Azure或者其他云基礎(chǔ)設(shè)施供應(yīng)商的云計(jì)算服務(wù)來(lái)進(jìn)行大數(shù)據(jù)分析，因?yàn)榇髷?shù)據(jù)分析項(xiàng)目往往需要足夠的計(jì)算能力來(lái)進(jìn)行大規(guī)模數(shù)據(jù)分析。雖然這些云計(jì)算服務(wù)能夠幫助企業(yè)捕捉、管理和分析TB級(jí)結(jié)構(gòu)化和非結(jié)構(gòu)化數(shù)據(jù)，但是，如果系統(tǒng)沒(méi)有受到保護(hù)或者監(jiān)管，這些服務(wù)可能帶來(lái)數(shù)據(jù)泄漏、賬戶(hù)或服務(wù)劫持、或者濫用的風(fēng)險(xiǎn)。

??? 在監(jiān)測(cè)和信息安全培訓(xùn)機(jī)構(gòu)MIS Training Institute的大數(shù)據(jù)安全會(huì)議上，Barton表示，經(jīng)常有業(yè)務(wù)部門(mén)繞過(guò)IT團(tuán)隊(duì)使用信用卡來(lái)租用云計(jì)算基礎(chǔ)設(shè)施。企業(yè)高管想要從數(shù)據(jù)挖掘出較大價(jià)值，并且他們希望在短時(shí)間內(nèi)實(shí)現(xiàn)。

??? “大多數(shù)大數(shù)據(jù)項(xiàng)目的主要驅(qū)動(dòng)力不是安全性，而是銷(xiāo)量，”Barton表示，“快速的分析和部署是使用云計(jì)算的主要原因，而數(shù)據(jù)安全性和隱私性會(huì)減慢這種速度，所以，業(yè)務(wù)部門(mén)會(huì)想辦法繞過(guò)IT團(tuán)隊(duì)。”

??? 云安全聯(lián)盟和其他組織已經(jīng)明確指出了云計(jì)算的潛在風(fēng)險(xiǎn)。專(zhuān)家稱(chēng)，大量不適當(dāng)?shù)脑撇渴鸾o渠道解決方案供應(yīng)商帶來(lái) 了潛在的業(yè)務(wù)機(jī)會(huì)。對(duì)于租用計(jì)算能力，基礎(chǔ)設(shè)施即服務(wù)供應(yīng)商通常是最便宜的選擇，但“便宜沒(méi)好貨”，它也帶來(lái)較大的風(fēng)險(xiǎn)。除非企業(yè)選擇租用私有云，公共云環(huán)境中的基礎(chǔ)設(shè)施通常是與其他用戶(hù)共用的；數(shù)據(jù)的位置往往是不確定的，這增加了數(shù)據(jù)泄漏的風(fēng)險(xiǎn)。

??? 除了共享基礎(chǔ)設(shè)施，這些系統(tǒng)也可能“共享”技術(shù)漏洞，使其很容易受到攻擊者的攻擊。例如，拒絕服務(wù)攻擊可能導(dǎo)致云計(jì)算服務(wù)中斷，讓系統(tǒng)在長(zhǎng)時(shí)間內(nèi)無(wú)法訪(fǎng)問(wèn)。

??? Barton表示，與大數(shù)據(jù)相關(guān)的工具通常也不太安全。例如，常用于對(duì)大量數(shù)據(jù)進(jìn)行深度分析的Hadoop就缺乏安全功能，經(jīng)常默認(rèn)為“接受所有訪(fǎng)問(wèn)”。

??? Barton建議Hadoop用戶(hù)部署Kerberos來(lái)保護(hù)信息的安全性，Kerberos是一個(gè)網(wǎng)絡(luò)驗(yàn)證協(xié)議。該協(xié)議在Hadoop受支持，但并沒(méi)有被廣泛使用。

??? 另外，企業(yè)還應(yīng)該部署文件加密和密鑰管理來(lái)保護(hù)數(shù)據(jù)。服務(wù)器需要經(jīng)過(guò)驗(yàn)證，以確保每個(gè)節(jié)點(diǎn)聯(lián)網(wǎng)時(shí)采取了必要的安全措施。Barton指出：“在接入新節(jié)點(diǎn)前，請(qǐng)確保它預(yù)設(shè)置了其他節(jié)點(diǎn)采取的安全措施。”

??? 在調(diào)查安全故障時(shí)，日志管理和積極地查看日志可以幫助發(fā)現(xiàn)攻擊、診斷故障和協(xié)助IT團(tuán)隊(duì)。企業(yè)在傳輸敏感信息時(shí)，還應(yīng)該采用SSL和TLS安全協(xié)議。

??? 作為審計(jì)師，Barton表示，他通常還會(huì)查看證明企業(yè)定期檢查控制的文件，以及是否部署了相關(guān)政策。安全政策必須有效地傳達(dá)，并具有執(zhí)行機(jī)制。

??? “大數(shù)據(jù)與云計(jì)算關(guān)系密切，所以云計(jì)算風(fēng)險(xiǎn)等同于大數(shù)據(jù)風(fēng)險(xiǎn)，”Barton表示，“關(guān)鍵的問(wèn)題是：你的企業(yè)是否能夠承擔(dān)其面臨的風(fēng)險(xiǎn)？”