在Hadoop中保護大資料安全的9個技巧

當企業轉變為資料驅動的機器時，其潛力是巨大的：企業所擁有的資料可能成為獲得競爭優勢的關鍵。 因此，企業的資料和基礎設施的安全也變得比以往任何時候都重要。

在許多情況下，企業或組織都可能得到Forrester所說的「有毒的資料」。 例如，一家無線公司正在收集誰登錄哪一個天線塔、他們線上逗留多長時間、他們使用多少資料、他們是在移動還是處於靜止狀態等資料，這些資料可用來瞭解使用者行為的狀況。

這家無線公司也許有許多使用者生成的資料：信用卡號碼、社會保險號碼、購買習慣資料和使用者使用任何資訊的方式等。 關聯這種資料和從這些資料中提取推斷結果的能力是有價值的，但是，這種做法也是有害的，如果這種關聯的資料洩露到機構外部並且落入他人手中，這將給個人和機構造成災難性的損失。

應用大資料，不要忘記法規遵從和控制。 下面是保證大資料安全的9個技巧。

1. 在啟動大資料項目目之前要考慮安全問題。 不應該等到發生資料突破事件之後再採取保證資料安全的措施。 組織的IT安全團隊和參加大資料項目目的其他人員在向分散式運算(Hadoop)集群安裝和發送大資料之前應該認真地討論安全問題。

2. 考慮要存儲什麼資料。 在計畫使用Hadoop存儲和運行要提交給監管部門的資料時，可能需要遵守具體的安全要求。 即使所存儲的資料不受監管部門的管轄，也要評估風險，如果個人識別資訊等資料丟失，造成的風險將包括信譽損失和收入損失。

3. 責任集中。 現在，企業的資料可能存在於多個機構的豎井之中和資料集中。 集中的資料安全的責任可保證在所有這些豎井中強制執行一致的政策和存取控制。

4. 加密靜態和動態資料。 在檔層增加透明的資料加密。 SSL(安全套接層)加密能夠在資料在節點和應用程式之間移動時保護大資料。 安全研究與顧問公司Securosis的首席技術官和分析師阿德里安·萊恩(Adrian Lane)稱，檔加密解決了繞過正常的應用安全控制的兩種攻擊方式。 在惡意使用者或者管理員獲得資料節點的存取權限和直接檢查檔的許可權以及可能竊取檔或者不可讀的磁片鏡像的情況下，加密可以起到保護作用。 這是解決一些資料安全威脅的節省成本的途徑。

5. 把金鑰與加密的資料分開。 把加密資料的金鑰存儲在加密資料所在的同一台伺服器中等於是鎖上大門，然後把鑰匙懸掛在鎖頭上。 金鑰管理系統允許組織安全地存儲加密金鑰，把金鑰與要保護的資料隔離開。

6. 使用Kerberos網路身份識別協定。 企業需要能夠管理什麼人和流程可以訪問存儲在Hadoop中的資料。 這是避免流氓節點和應用進入集群的一種有效的方法。 萊恩說，這能夠説明保護網路控制接入，使管理功能很難被攻破。 我們知道，設置Kerberos比較困難，驗證或重新驗證新的節點和應用可以發揮作用。 但是，沒有建立雙向的信任，欺騙Hadoop允許惡意應用進入這個集群、或者接受引進的惡意節點是很容易的。 這個惡意節點以後可以增加、修改或者提取資料。 Kerberos協定是可以控制的最有效的安全控制措施。 Kerberos建在Hadoop基礎設施中，因此，請使用它。

7. 使用安全自動化。 企業是在處理一個多節點環境，因此，部署的一致性是很難保證的。 Chef和Puppet等自動化工具能夠説明企業更好地使用補丁、配置應用程式、更新Hadoop棧、收集可信賴的機器鏡像、證書和平臺的不一致性等資訊。 事先建立這些腳本需要一些時間，但是，以後會得到減少管理時間的回報，並且額外地保證每一個節點都有基本的安全。

8. 向Hadoop集群增加記錄。 大資料很自然地適合收集和記錄管理資料。 許多網站公司開始使用大資料專門記錄管理檔。 為什麼不向現有的集群增加記錄呢?這會讓企業觀察到什麼時候出現的故障或者是否有人以為企業已經被駭客攻破了。 沒有一個事件追蹤記錄，你就是一個瞎子。 記錄MR請求和其它集群活動是很容易的並且可以稍微提高存儲和處理需求。 但是，當有需要的時候，這些資料是不可或缺的。

9. 節點之間以及節點與應用之間採用安全通信。 要做到這一點，需要部署一個SSL/TLS(安全套接層/傳輸層安全)協定保護企業的全部網路通信，而不是僅僅保護一個子網。 就像許多雲服務提供者一樣，Cloudera等Hadoop供應商已經在做這件事。 如果設置上沒有這種能力，就需要把這些服務集成到應用棧中。 (編譯/胡楊)

(責任編輯：蒙遺善)