最近的一次會議中，我聽到一位演講者提到通過硬件安全模塊提供的基于云的密鑰管理，或者HSM。HSM是什么?基于所有其他使用的云安全選擇，我如何知道自己是否需要?

簡短的回答就是如果你還沒聽到很多關(guān)于HSM的內(nèi)容，你可能就不需要用這種方法來進行信息安全管理，至少目前還不需要。你可以找到足夠多的其他的更容易且更便宜的方法來確保你的數(shù)據(jù)的安全。

HSM是一種專用硬件系統(tǒng)，旨在存儲和管理私有和公有密鑰，比如確保套接層安全，或者SSL、證書。最著名的HSM產(chǎn)品是亞馬遜Web服務(wù)的CloudHSM，在AWS云內(nèi)部運作。AWS將CloudHSM描述服務(wù)一種服務(wù)，可以允許客戶安全生成、存儲和管理加密密鑰，從而實現(xiàn)數(shù)據(jù)加密，某種程度上，這個密鑰只是用戶可訪問。

如果你需要運行數(shù)字版權(quán)管理或者公有密鑰基礎(chǔ)架構(gòu)的話，這種系統(tǒng)很有用。這種系統(tǒng)用于需要高水平安全的產(chǎn)品，有其是確保法規(guī)遵從。

但是針對大多數(shù)典型項目，你需要的安全遠不止這些。除非你在你處理分類治理數(shù)據(jù)、機密醫(yī)藥信息a

從概念上講，大數(shù)據(jù)并不是一個新的東西;幾十年以來，很多企業(yè)已收集和使用了大量的數(shù)據(jù)。近年來大數(shù)據(jù)的理念已真正成形，而其中很大一部分的原因是目前各種規(guī)模的企業(yè)都是通過云計算訪問基礎(chǔ)設(shè)施的，而云計算賦予了大數(shù)據(jù)發(fā)展的良好機遇。雖然新的機遇已成為了企業(yè)的巨大商機，但是很多企業(yè)仍然還在思考大數(shù)據(jù)應(yīng)用中所蘊含的安全性問題。

今年6月，云計算安全聯(lián)盟(CSA)的大數(shù)據(jù)工作組發(fā)布了一個名為“大數(shù)據(jù)安全性與隱私的十大挑戰(zhàn)”研究報告，其中詳細介紹了云計算服務(wù)環(huán)境中大型化、多樣化和低結(jié)構(gòu)化數(shù)據(jù)集合(統(tǒng)稱為大數(shù)據(jù))所需面臨的各種類型安全性問題和隱私問題。在如今喧囂塵上的大數(shù)據(jù)炒作下，企業(yè)消費者能夠從這份報告中對大數(shù)據(jù)安全性問題得到些什么啟示呢?

在本文中，我們將摘錄研究報告中對云計算環(huán)境下十大數(shù)據(jù)安全性挑戰(zhàn)的調(diào)查結(jié)果，并提出一些企業(yè)應(yīng)當(dāng)做些什么的忠告，以確保他們大數(shù)據(jù)項目實施的安全性。

安全性風(fēng)險建模

在深入探討與云計算環(huán)境下大數(shù)據(jù)應(yīng)用相關(guān)的各個風(fēng)險之前，CSA大數(shù)據(jù)工作組最直接有效的努力之一就是為風(fēng)險構(gòu)建了一個簡單的架構(gòu)模型。這個模型描述了數(shù)據(jù)是如何被處理和存儲的，其中包括了大數(shù)據(jù)的來源、處理集群以及數(shù)據(jù)的端點消費者(系統(tǒng)、移動設(shè)備等)，以及處理和存儲操作發(fā)生的云計算環(huán)境。此外，這個模型顯示了數(shù)據(jù)通過這個生態(tài)系統(tǒng)的一個簡單的定向數(shù)據(jù)流，這毫無疑問有助于企業(yè)用戶了解在云計算背景下大數(shù)據(jù)對于他們真正意義的所在。

CSA工作組還把風(fēng)險分為了四類：基礎(chǔ)設(shè)施安全性(安全計算和非關(guān)系型數(shù)據(jù)存儲);數(shù)據(jù)隱私性(加密、訪問控制、數(shù)據(jù)分析與數(shù)據(jù)挖掘的隱私性);數(shù)據(jù)管理(審計與數(shù)據(jù)存儲的安全性，和元數(shù)據(jù)出處[數(shù)據(jù)源驗證和確實性]);以及完整性和被動安全性(端點驗證和實時安全性監(jiān)控)。

通過使用這些分類方法，企業(yè)可以在他們現(xiàn)有的安全性控制架構(gòu)中確定主要風(fēng)險的所在。

大數(shù)據(jù)應(yīng)用的安全性挑戰(zhàn)

為了形成這份調(diào)查報告，CSA工作組對CSA的成員進行了訪談、對公開出版物和商業(yè)期刊進行了分析，其研究結(jié)果就是與大數(shù)據(jù)相關(guān)的十大安全性和隱私性風(fēng)險。

就具體研究結(jié)果來看，以下詳細列出了大多數(shù)企業(yè)關(guān)注他們努力方向的關(guān)鍵思考：即在分布式編程框架下確保計算的安全性。第一個發(fā)現(xiàn)的風(fēng)險涉及諸如MapReduce框架下計算元素的安全性，以及兩個具體的安全性問題。首先，是“映射器”的誠信問題，即代碼把數(shù)據(jù)分成片段進行分析，并輸出需要進行評估的鍵值對。其次，是執(zhí)行數(shù)據(jù)清理和分離識別操作以防止平臺發(fā)生敏感數(shù)據(jù)泄漏事件的能力。使用諸如MapReduce這樣復(fù)雜工具的企業(yè)將需要使用SELinux中的強制性訪問控制工具和分離識別程序;與之相同，企業(yè)應(yīng)當(dāng)要求云計算供應(yīng)商提供在他們的環(huán)境中是如何控制和彌補這個問題的。

非關(guān)系型數(shù)據(jù)存儲的安全最佳實踐。使用NoSQL和其他大型非關(guān)系型數(shù)據(jù)存儲可能會由于在一些關(guān)鍵領(lǐng)域的能力缺乏而產(chǎn)生新的安全問題，其中包括了任何的身份真實性驗證、數(shù)據(jù)在存儲或傳輸狀態(tài)下的加密、日志記錄或數(shù)據(jù)標(biāo)記，以及分類。企業(yè)需要考慮使用應(yīng)用程序隔離或中間件層以加強身份驗證和數(shù)據(jù)完整性。所有的密碼都必須經(jīng)過加密處理，所有至系統(tǒng)的連接都應(yīng)當(dāng)使用安全套接層/傳輸層等安全措施。同時，還應(yīng)確保生成的日志記錄涵蓋了所有與敏感數(shù)據(jù)相關(guān)的交易。

確保數(shù)據(jù)存儲和交易日志的安全性。數(shù)據(jù)和交易日志可存儲在多層存儲介質(zhì)中，但是企業(yè)需要預(yù)防未經(jīng)授權(quán)的訪問，并確保系統(tǒng)的連續(xù)性和可用性?？梢允褂没诓呗缘拿荑€加密算法以確保只有被授權(quán)的用戶和應(yīng)用程序才能夠訪問平臺。

端點輸入的驗證/過濾。在一個大數(shù)據(jù)項目實施中，眾多的端點可以提交用于處理和存儲的數(shù)據(jù)。為了確保只有受信任的端點可以提交數(shù)據(jù)，而不會有虛假或惡意的數(shù)據(jù)被提交，企業(yè)需要對連接至企業(yè)網(wǎng)絡(luò)的每個端點進行審批。但是，除了建議在可能的情況下將受信任的平臺模塊芯片(很多較新的端點設(shè)備已配置)引入驗證過程之外，CSA工作組并沒有提出一套可以緩解這一風(fēng)險的建議措施?；谥鳈C和移動設(shè)備的安全控制措施能夠緩解與不信任端點相關(guān)的風(fēng)險，以及圍繞系統(tǒng)庫存跟蹤和維護的強進程。

安全性的實時監(jiān)控。監(jiān)控大數(shù)據(jù)平臺和執(zhí)行安全性分析都應(yīng)當(dāng)以近乎實時的速度完成。很多傳統(tǒng)的安全信息與事件管理平臺都無法在真實大數(shù)據(jù)項目實施中滿足實際使用數(shù)據(jù)的規(guī)模(和格式)方面的要求。就目前而言，除非正在使用數(shù)據(jù)庫和其他的前端監(jiān)控工具，否則很少存在有真正的Hadoop監(jiān)控和其他大數(shù)據(jù)平臺。

可擴展、可組合、保護隱私的數(shù)據(jù)挖掘和分析。大數(shù)據(jù)實施可能會產(chǎn)生與數(shù)據(jù)泄漏和曝光相關(guān)的隱私性問題。事實上，目前已經(jīng)有了很多的安全控制措施，如果這些措施能夠切實落實到位的話，企業(yè)就能夠應(yīng)對這一難題，其中包括了對存儲狀態(tài)的數(shù)據(jù)使用強大的加密技術(shù)、執(zhí)行對數(shù)據(jù)的訪問控制、對工作流程和控制進行隔離處理以最大程度地減小內(nèi)部攻擊的成功率。

采用密碼方式加強以數(shù)據(jù)為中心的安全性。從歷史上來看，一直流行的數(shù)據(jù)控制方法都只能確保管理數(shù)據(jù)的系統(tǒng)的安全性，而不是確保數(shù)據(jù)本身的安全性。但是，實踐不斷地證明著，這些應(yīng)用程序和平臺都是非常脆弱的。使用強大的加密技術(shù)封裝在云計算供應(yīng)商環(huán)境中的敏感數(shù)據(jù)，以及使用實現(xiàn)密鑰管理和安全密鑰交換的新創(chuàng)新算法，都是管理數(shù)據(jù)訪問的更可靠方法，特別是因為它存在于一個獨立于任何一個平臺的云計算中。

細粒度的訪問控制。對諸如NoSQL數(shù)據(jù)庫和Hadoop分布式文件系統(tǒng)這樣的大數(shù)據(jù)存儲采用細粒度的訪問控制需要實施強制訪問控制和完善的身份認證。 諸如Apache Accumulo這樣的新NoSQL實施可以實現(xiàn)對鍵值對非常細粒度的訪問控制;云計算服務(wù)供應(yīng)商也應(yīng)該能夠清楚在他們的云計算環(huán)境中所采用的訪問控制類型。

細粒度審計。連續(xù)監(jiān)控、定期審計、日志與事件數(shù)據(jù)分析等方法的綜合使用將有助于在大數(shù)據(jù)環(huán)境中檢測入侵或攻擊事件。這里的關(guān)鍵控制在于集中關(guān)注大數(shù)據(jù)環(huán)境內(nèi)外所有層的日志記錄。

數(shù)據(jù)出處。 在這種情況下，數(shù)據(jù)出處主要關(guān)注數(shù)據(jù)的驗證和可信度。身份驗證、端到端的數(shù)據(jù)保護和細粒度的訪問控制等方法將有助于解決大數(shù)據(jù)環(huán)境中數(shù)據(jù)來源的驗證和確認問題;云計算服務(wù)供應(yīng)商應(yīng)當(dāng)已將這些控制措施落實到位，以解決其他的問題。

結(jié)論

在很多云計算服務(wù)供應(yīng)商環(huán)境中，都是以某種方式進行大數(shù)據(jù)采集和處理的。雖然大多數(shù)企業(yè)可能還沒有擁有大數(shù)據(jù)平臺和落實內(nèi)部控制措施，但是了解云計算環(huán)境中企業(yè)數(shù)據(jù)所面臨的主要威脅和風(fēng)險是非常重要的。通過利用CSA工作組在大數(shù)據(jù)應(yīng)用方面的研究成果和明確關(guān)注應(yīng)當(dāng)落實到位的關(guān)鍵控制措施，企業(yè)消費者就能夠?qū)υ谒麄兎?wù)供應(yīng)商環(huán)境中大數(shù)據(jù)項目的基礎(chǔ)設(shè)施和應(yīng)用程序的狀態(tài)做出正確的評估。

作者簡介：

Dave Shackleford是Voodoo安全有限責(zé)任公司的所有人和咨詢師、IANS資深導(dǎo)師、SANS研究院分析師、高級講師和課程作者。他已為數(shù)百個組織在安全、法規(guī)合規(guī)性以及網(wǎng)絡(luò)架構(gòu)與工程領(lǐng)域提供了咨詢服務(wù)，是具有豐富安全虛擬化基礎(chǔ)設(shè)施設(shè)計和配置經(jīng)驗的VMware vExpert。Dave之前是Configuresoft公司的CSO、互聯(lián)網(wǎng)安全中心的CTO、并曾出任多家財富500強公司的安全架構(gòu)師、分析師和經(jīng)理。Dave是Sybex一書的作者，虛擬化安全：保護虛擬化環(huán)境，以及信息安全課程技術(shù)的合作設(shè)計者。最近，Dave為SANS研究所合作設(shè)計了第一個虛擬化安全課程。目前，Dave在SANS技術(shù)研究院擔(dān)任董事一職，并協(xié)助領(lǐng)導(dǎo)云計算安全聯(lián)盟的亞特蘭大分部。

這樣的信息，或者構(gòu)建身份認證系統(tǒng)，否則就不需要HSM。