为了深入落实国家大数据战略,推动大数据产业交流与合作,展示我国大数据产业最新发展成果,2019年6月4日至5日,由中国信息通信研究院、中国通信标准化协会主办,大数据技术标准推进委员会承办的2019大数据产业峰会在北京国际会议中心隆重开幕。6月5日,大数据安全论坛隆重举行。

关先生从中国电信的大数据安全管理实践经验讲解了对大数据安全的认识和理解。对企业来说,大数据安全问题不仅对数据安全管理和保护能力带来了严峻的挑战,也使得数据安全技术攻坚势在必行。下面有请中国信通院安全所行业网络安全事业部副主任廖璇浅述《安全数据检测技术研究》,有请廖主任。

廖璇 (1)

中国信通院安全所行业网络安全事业部副主任廖璇

谢谢陈主任介绍,各位专家、各位老师、各位安全的同仁以及朋友们:

大家上午好!

很荣幸这次有这么一个机会能够在这里跟大家做一个比较广泛的交流,同时刚才听了各位专家老师相关议题的这种分享,我这边也是深受启发,无论从国际到国内、从产业到行业,还是从相应的法律政策法规到标准建设,数据安全的重要性实际上是不言而喻的,同时数据安全所涉及的方方面面实际需要在座的各位同仁进行共同的努力跟探讨。今天我选择的题目实际上是从实战的角度,从找问题以及发现问题的角度来谈一谈数据安全检测技术的研究与实践的工作。

主要内容为数据安全检测框架以及数据安全检测技术。已经临近中午了,我简要地阐明我的一些观点,大家都知道,现在我们谈的数据安全不仅仅是传统的信息安全,以及网络安全,以前我们谈的数据安全可能就是数据安全保护以及面临的网络安全与数据安全的衍生品,但是我们现在谈的数据安全一定是一个自成体系的框架,而且在这个独立体系中,我们常用的网络与信息安全的检测风险评估的方式跟方法依然是可行的,但只是我们发现问题的切入点以及随着业务的变化和信息的重要程度逐渐演变为我们在目前我们所谈的数据安全保护,所以网络安全、信息安全和数据安全三者之间共进共演的现状一定是成为常态化的工作,也是将成为安全工作的一个常态化进程。

回到今天数据安全的检测来看,数据安全包含的条块其实可以分为很多,可以有不同的方式方法,可以有不同的维度来进行切入。比方说可以从传统的七层模型进行细分,也可以从传统的数据安全所说的全生命周期来进行细分等等,同样我们的检测框架实际上可以分为多个条块,但是从实战角度,我这里简单粗暴地分为了两个部分,也是在实际的检测过程中我们需要主要关注和投入的重点,一个是检测的过程,一个是检测的内容。我这里分别从每个点进行简要的叙述,首先是检测的依据。

上位的法律法规我这里不再做复述,刚才很多专家提到了,这是网络信息安全的首要,在上位法的要求跟指引下,各个行业、各个部门实际上是按照自身的管理需求跟实际情况制定实施符合自身实际情况的,比方说各个部门的法规,比方说工信部的11号令、24号令、368号文等等,以及指导行业进行相应的发展,同时,在行业内制定相应的通用性的检测方法,来进行标准化的要求,来进行工作的具体落地。但是从近年所出现的案例以及实际问题的事实来看,宽泛性和通用性检测的方式和方法,和数据安全的监督和管理的要求,并不能完全解决数据安全所面临的问题,因此我们也看到了越来越多的专项整治系统,比方说我们公安部牵头的大数据专项整治行动,网信办牵头的专项治理,工信部牵的行政监察等等,都会涉及。

检测方法并不超脱于现有的风险评估与我们在传统信息安全领域所做的等级保护,但是在数据安全的检测当中我们一定要强化相应的访谈跟调研的问卷,不单纯依靠传统的白、灰、黑和检测的技术,而是我们一定要打破一些传统检测过程中的边界,让所有的业务人员参与,让所有的安全人员参与,让所有的数据处理人员参与以及数据使用人员以及数据保护人员,以及在整个过程中,包括审计人员进行深度的参与、调查,因为如果不这样做的话就无法覆盖整个数据安全的生命周期,就会存在检测过程中的天然的死角和盲区。所以从检测的环境来看,我选择了通用的检测环境,在检测环境来说,数据安全检测实际上需要一些人为所需要忽略人为所涉及的网络边界和安全域,站在数据处理的动态流程来出发,由外到内,以及由内及外,无论从办公网再到生产网,从内部处理再到第三方合作,实际上我们有一些天然的边界,但是在检测,实际上我们要深入到各个环节进行逐步的解剖。

在进入到具体的实施阶段,检测必然需要全景的视角来辅助我们理清楚各个阶段的关注点。比方说我这里简单的也是分为了三块,从最底层的基础设施的安全,如物理安全中的电力保障、第三方措施以及网络安全里面所涉及到的结构安全、安全审计、边界的检测等等,这个实际上需要,基础设施关注的是什么?实际上是数据的生产以及存储。再逐步上移到平台和应用的安全,这里面涉及到应用的安全跟分布式平台的安全,包括文件系统、分布式计算、访问控制、日志的执行监控、剩余信息的清除等等,在这个过程中,实际上我们关注的点是什么?实际上是数据的处理和流转的环节,再到最终谈的数据安全保护,隐私、个人信息保护,这里我们要关注的是什么?实际上是数据的使用和共享环节所涉及到的方方面面,比如说在用互信息数据进行检测的时候你们必然需要关注到信息数据使用的授权、数据的清洗和脱敏以及结果发布的限制,是否存在违规发布的情况,相应的隐患,比如说你要考虑一些文件的控制措施,以及考虑文件加密的措施,来防止发布过程中的隐患,在信息的销毁环节需要测试当用户终止大数据服务的时候,相关的存储节点以及分析结果是否能够从相应的存储环节以及计算环节进行彻底的清除。

以及在数据安全保护情况进行检测的时候,在保密性和完整性测试的时候也有需要我们重点关注的评估要素,这里面我不再做一一列举,以及在数据质量安全的时候,特别是数据的一致性,我们在做大数据分析的时候,我们在做大数据业务的时候,我们最重要的是什么?实际上这个数据分析得有没有效、大数据业务能不能正常运转,实际上最重要的我认为实际上是做数据的清洗,很多的真实数据如果被注了水之后,如果被污染了之后,在这个基础上,我们所有的大数据建模跟分析是失效的,但是从我们检测的角度来看就要关注数据质量的安全,也就是数据的一致性,一致性的数据是指数据之间不能存在相互的矛盾,也就是说我们相应的数据在传输的前后跟存储的前后是否存在一致,对比原数据来确保数据的传输过程中以及处理加工过程中不失真,以及即使各个系统之间出来的这种数据存在不同的结构,比方说以前我们传统的数据结构,现在我们所面临的流媒体的形式,通过大数据处理,融合和分析之后进行提取,我们要形成统一的数据示图,来保证我们数据采集以及分析的这种可用性,包括内容、包括精度、展示等相应的指标。

在从生命周期的视角备份与恢复,删除数据等等。在实际检测过程中,我这边也发现,实际上虽然梳理出了这么多框架,但是在检测过程中各个层级的依赖关系并不是那么明显,而且关联度其实没有我们想象的那么高,并不是简单的说数据隐私安全我们上层做好了,你的平台安全、基础安全就没有问题,也不一定会出问题,也不是说我的基础设施,我的大数据里面基础设施做好了,就一定能够保护数据的隐私不被泄露,我想这就是我们今天在这里要探讨的数据安全检测的一个明显的特点,就是每个环节的每个点都有可能出相应的问题,以及即使你的业务看起来正常,但是存在相应的隐蔽的数据通路和相应的数据捷径、数据获取的捷径,这里我也不再做展开,后面的片子有一些简单的案例来进行相应的阐述。

如何进行相应的数据分析,并确实地反映业务的真实情况,我这里有一个简单的方式方法,这里也分享给大家,实际上就需要你把你分析的业务进行完整示图的表述,画图是最有效的帮你理清思路跟分析的方法,最简单,最有效。这里我举了一个典型的运营商的场景,以及在办理运营商业务的时候,运营商的系统会涉及到哪些方面,以及在各个系统关联的时候,我们需要关注哪些点,通过这个示图我们可以看到从用户的登录,再到CRM系统里面,再到BOSS系统里面,再到计费环节里面,再到专门的客户关系环节以及划单的环节,涉及到数据流转,数据生产经营以及用户保护到底会有哪些环节。比方说网厅系统是为用户侧提供业务办理、业务查询的功能,我们把网厅需要做的业务进行相应的分析,同时我通过网厅的数据,我的积分系统和BOSS系统是如何连接的,相应的划单数据到了BOSS系统、到CRM系统里面如何计算用户的消费、如何计算用户的数据,通过这个示图可以进行相应的分析。

我简单列举了一些目前我们测试的防止跟方法的维度,包括一些环节的管理要求,这里面有一些测试步骤,通过测试步骤相应的结果的判定以及通用性的技术要求,我们需要按步骤怎么做,最后实际上达到的效果是什么,就是防护手段效果的验证,在我们梳理的业务整个示图来看,我能够对整个业务环节,包括数据环节,包括整个业务流程,数据安全的风险点的识别,网厅是有什么样的风险点?关注的是什么?我有网站、我有App,同时我的BOSS系统可能还有一些对外接口的调用,我跟哪些系统有关联,在这个关联环节中,我是否可以利用一些系统原生的漏洞或者是一些设计的缺陷,来切入到数据安全的风险识别上面来看,比方说BOSS积分系统可以理解权限获取任意用户的详单信息,以及在网厅系统调用的时候,我网厅的外部服务器、App服务器可控,同时利用该权限可以获取相应的业务查询接口来查询用户的详单,以及在大量的计费数据库的时候,我们可以利用BOSS系统的权限,获得任意用户的详单,来获取最终对网源数据的采集,这个分析完之后我们就能够给相应的客户或者是给相应的监管机构梳理出整个的分析跟评价结果,也是同样站在数据整个生命周期的角度,同时站在公司以及管理的层面,以及技术的层面,一个人员的维度进行象限的划分。在制度管理角度,在整个生命周期有哪些缺失,比方说告知义务是缺失的,权限管理是缺失的,共享保护是缺失的,安全保护跟事件报告是缺失的,通过上一步是完全可以分析出来的,技术工具方面,在采集、存储、处理、传输阶段有哪些风险点,整张报表就是为之后解决数据安全风险、数据原生安全问题提供给具体的风险点的切入。

还记得刚才我提到的框架吧?包括数据的隐私环节实际上都有各个条块,通过各个条块,我再给大家做一些简单的举例,包括数据隐私安全,传统的安全检测存储过程中数据的保密性、完整性是什么样的?我的加密数据是否可被还原?实际上不仅仅是能够通过我们的一些黑白灰和检测能发现的,实际上需要把原数据取出,来判断相应的加密的方式方法,是否成功、是否有效,以及你可以尝试对原数据进行还原,来判断他的数据即使被窃取之后不会被非法滥用,还原出明文数据等。

在数据发布的限制安全检测里面,我们通过一些网络流量,包括传输环节的抓包跟分析中来看,即使做了简单的加密,但是通过一些还原,通过xss脚本和csrf的方法可以还原出手机号这种明文,以及再看一个典型的数据管理系统的例子来看,正常的业务设计一定是管理员登录或者是用户登录,一定天然带cookie、session,在开发阶段即使是覆盖所有开发阶段的设计是没有问题,但是通过实际检测来说,对cookie的伪造在某些系统里面你的设计是失效的,我可以通过解码出来的信息来判断你的cookie是否真正有效,你没有保证你的cookie、session、token不可被预测,我就可以伪造出来我想利用的信息来登录你的系统,通过篡改和伪造之后,我就能够绕过你的系统的天然的防护进行登录的认证,来查询相应的所有信息。

还有一个典型的场景,就是客户的环节,客户客服的环节实际上是能够针对整个网厅的,客服也是,相应的划单处理也是,打投诉电话也是。所有的客服环节在处理用户的业务的时候,一定是会有相应的客户信息提供的,以及客户信息的校验,在订单以及他们处理业务的时候提供相应的服务的时候,如果你的验证机制存在相应的逻辑漏洞,可以导致相应的重放以及绕过相应的客服来查询信息,在网约车场景里面大量的事实反映客服的权限,你即使在数据库里面设置了相应的判定标准,比方说不能批量读取上千条或者短时间内读取上百条的日志,但是通过客服正常的业务环节,如果我对他的权限,我对他的认证方式进行回放的话,实际上是可以达到批量查询的最终结果。同样可以截获数据包进行跳转越权访问其他的菜单功能,且权限较大。从低级的权限到客服经理的权限是完全可以达到的。即使在业务环节当中设置各种各样的横向或者纵向的权限隔离,即使安全做得再好,但是不切入到业务的真正的环节来看的话,实际上你的数据保护措施是失效的以及通过相应的功能点的越权,发现部分菜单参数存在遍历的情况。这里不再细讲。以及相应的功能点的越权,我跳过了你的实际业务的设计,我可以查询任意指定手机号的完整性,获取全网任意用户的敏感形成的订单等等,这也是网约车的场景。以及我们最常见的,无论是我们现在登网银也好,登网厅也好,用各类业务也好,我们的短信验证码的这种机制实际上在我们的这种检测跟发现的过程当中是存在各种各样的逻辑绕过的情况,实际上可以通过拦截浏览器这种返回包的形式来篡改它的校验值来浏览具体的话费详单。只要输入任何一个手机号,我发验证码,你也收到了验证码,但是系统设定的,判定这个验证码生效或者失效的过程中仅仅是通过一个反馈包就能验证后台需要校验的整套流程。还有相应的云桌面内部主机的访问策略不严格,导致天然的越权跟跨安全域的访问,以及软件代码,刚才老师也提到了,我们在数据保护的时候,我们喜欢加水印,我们来防止一些窥屏、防止截图,但是还得保证加水印的应用是真正有效的,即使你考虑到了加水印,但是你有没有考虑到加水印本身也是一种应用,也是一种代码的实现?如果你这个代码的实现包括应用能够被绕过,能够被消除的时候,你这个天然的节点,天然设计的,你脑子里设想的这种数据安全保护的场景是不存在的。在现实中我们也是做了一些相应的还原,即使前端页面加了水印,但是通过页面的修改或者欺骗服务器的形式能够导致你的水印功能失效,以及相应的到具体的水印可以被伪造,即使前端做了相应的数据的处理之数据的脱敏。但是我通过页面的原代码的查看,实际上在原代码中就是明文的,以及我们现在大数据的场景一定是虚拟化,云主机、云桌面内控的主机,存在原生系统自带的漏洞。大数据所依托的底层的基础设施实际上是失效的,以及数据访问控制,你并没有判断用户登录的真实状态就可以达到相应的我直接访问数据库的效果,直接访问主机的效果进行进一步的入侵。大数据运维的监管的平台、弱口令等等都是在具体的检测测试场景里面进行复现的。

最终我们需要判断的是什么?从基础层、到应用层,再到上面的隐私保护层,通过简单的全示图的场景分析来达到一个数据安全检测效果的呈现,而且这个效果展示的呈现一定是要跟你具体的业务流转环节进行对应,最终同样也是一个分析表格,从整个生命周期,再到制度流程、技术工具,以及人员的能力来看,我分析出真正达到一个相应的数据检测的效果。

以上就是我今天想要分享的内容,如果有不恰当的地方请大家多批评指正,谢谢。

关注中国IDC圈官方微信:idc-quan 我们将定期推送IDC产业最新资讯

查看心情排行你看到此篇文章的感受是:


  • 支持

  • 高兴

  • 震惊

  • 愤怒

  • 无聊

  • 无奈

  • 谎言

  • 枪稿

  • 不解

  • 标题党
2019-06-05 13:15:00
国内资讯 2019大数据产业峰会|中国信通院王卓:脱敏标准为何如此重要
在正常生产和使用中,对敏感数据进行共享和使用的时候,存在一些数据泄露的风险的场景,这种情况下数据脱敏就是必经环节。法律法规和行业要求,对数据脱敏的时候有脱敏程度 <详情>
2019-06-05 13:02:01
国内资讯 2019大数据产业峰会|对外经济贸易大学许可:金融数据的二元性:破解安全与利用的悖论
2019年6月4日至5日,由中国信息通信研究院、中国通信标准化协会主办,大数据技术标准推进委员会承办的2019大数据产业峰会在北京国际会议中心隆重开幕。6月5日,大数据安全 <详情>
2019-06-05 12:20:00
国内资讯 2019大数据产业峰会|中国电信云计算公司关泰璐:建立大数据安全的新思维
2019年6月4日至5日,由中国信息通信研究院、中国通信标准化协会主办,大数据技术标准推进委员会承办的2019大数据产业峰会在北京国际会议中心隆重开幕。6月5日,大数据安全 <详情>
2019-06-05 12:19:06
国内资讯 2019大数据产业峰会|阿里云郭华:从Flink看大数据实时变化
从两个角度看,流处理具有延迟比较低,实施计算的能力。综合这两方面,流处理能够做到秒级亚秒级的延迟,所以叫做大数据实时化的引擎。 <详情>
2019-06-05 11:59:00
国内资讯 2019大数据产业峰会|中国信通院王卓:第八批大数据产品能力评测解读
大数据产品能力评测促进了大数据软件产业发展成熟,现有的评测体系包含多项多方面评测,既有已经展开的评测也有未来计划开展的评测,测评项不只包含基础能力还有相应的性能 <详情>