適用于基礎電信行業(yè)的數(shù)據(jù)安全技術模型研究

0引言我國工信部近年來針對數(shù)據(jù)安全的管理力度及處置力度日益增大，這也促使了眾多行業(yè)不斷完善數(shù)據(jù)安全體系建設和數(shù)據(jù)安全技術創(chuàng)新?；A電信行業(yè)用戶面廣，信息繁雜，數(shù)據(jù)海量的特點更是成為數(shù)據(jù)安全的重點關注行業(yè)。本文主要從數(shù)據(jù)安全“H”技術模型來研究適用于基礎電信行業(yè)的數(shù)據(jù)安全技術模型。1數(shù)據(jù)安全“H”模型電信運營商數(shù)據(jù)可大致分為三類：第一類是用戶信息數(shù)據(jù)，包括用戶身份信息，終端信息等；第二類是用戶消費類數(shù)據(jù)，包括用戶通信消費情況、賬單等；第三類是用戶行為數(shù)據(jù)，包括用戶通話行為記錄、上網(wǎng)行為記錄等。根據(jù)對數(shù)據(jù)的操作內容，可以將數(shù)據(jù)安全的完整生命周期劃分為6個階段，即數(shù)據(jù)采集、數(shù)據(jù)傳輸、數(shù)據(jù)存儲、數(shù)據(jù)使用、數(shù)據(jù)開放共享和數(shù)據(jù)銷毀。利用業(yè)內共識的各階段標簽，結合客觀的流量感知手段，建立了數(shù)據(jù)安全的“H模型”，如圖1所示。下面，將對數(shù)據(jù)安全技術模型中的數(shù)據(jù)標簽和流量感知進行闡述和說明。圖1數(shù)據(jù)安全“H”技術模型2“H”模型的數(shù)據(jù)標簽數(shù)據(jù)是客觀存在的，通常由數(shù)據(jù)用途及特征決定其內容和字段。在讀取數(shù)據(jù)時，得到的信息是其直接傳遞的，無法從數(shù)據(jù)本身直觀看到數(shù)據(jù)來源。如果為數(shù)據(jù)源打上數(shù)據(jù)標簽，標簽中含有數(shù)據(jù)源的IP地址、系統(tǒng)名稱、MAC地址、傳遞時間等信息，數(shù)據(jù)在傳遞的過程中，約定雙方不得改變這些由采集源賦予的特征標簽值，即可讓數(shù)據(jù)具備可追溯性和問責性，如圖2所示。數(shù)據(jù)標簽通常是不可察的，它與數(shù)據(jù)共享數(shù)據(jù)塊緊密結合并隱藏其中，成為源數(shù)據(jù)不可分離的一部分，并經過不破壞源數(shù)據(jù)使用價值的操作保存下來。圖2數(shù)據(jù)標簽示例帶上了數(shù)據(jù)標簽的數(shù)據(jù)，具備了識別數(shù)據(jù)來源的功能，能夠實現(xiàn)源數(shù)據(jù)的追溯，從而進一步為問責機制的建立創(chuàng)造了條件，在對一些異常數(shù)據(jù)和垃圾數(shù)據(jù)的分析中具有重要的作用。例如，在某一生產場景中，發(fā)現(xiàn)某條數(shù)據(jù)數(shù)值異常，僅從數(shù)值來看，無法得知是哪個數(shù)據(jù)源存在問題導致的數(shù)值異常，若采用數(shù)據(jù)標簽的形式，可以清楚追溯數(shù)據(jù)來源。在基礎電信行業(yè)的信息系統(tǒng)中，常常會有多系統(tǒng)來源的數(shù)據(jù)，數(shù)據(jù)標簽模式無疑是更好的數(shù)據(jù)安全實踐，同時針對數(shù)據(jù)跨域、跨境傳輸具有非常有效的管控力。圖3數(shù)據(jù)標簽加密過程采用數(shù)據(jù)特征字段加密的方法，實現(xiàn)其機密性和完整性。即在數(shù)據(jù)唯一特征值后增加數(shù)據(jù)來源特征標識，再利用高級加密標準(AdvancedEncryptionStandard,AES)等高級加密算法加密后存儲、傳輸。利用AES加密算法的特性，保證了數(shù)據(jù)在流動中的完整性不被破壞，同時其密鑰僅被少數(shù)數(shù)據(jù)安全管理人員持有，確保了數(shù)據(jù)標簽的機密性，如圖3所示。在5G應用場景中，為實現(xiàn)低時延要求，常常將5G核心能力之一的移動邊緣計算（MobileEdgeComputing，MEC）能力下沉到近用戶側，這樣在某種場景下會多用戶共用MEC，對于數(shù)據(jù)安全的要求也就越高。5G的高速特性將激發(fā)更多的數(shù)據(jù)被產生和傳輸。5G被應用于社會生產和關鍵應用，其中會包含影響到人身和物理安全的關鍵數(shù)據(jù)。若采用數(shù)據(jù)標簽管控的方式，既解決了數(shù)據(jù)流向管控的問題，也有效降低了數(shù)據(jù)泄露事件帶來的影響。數(shù)據(jù)標簽為數(shù)據(jù)本身在存儲、傳輸、加工、銷毀過程中提供了安全保證，同時，也需要企業(yè)從規(guī)范管理的角度來要求規(guī)范性的開發(fā)策略，特別對于新技術和新業(yè)務的發(fā)展更是如此。但對于擁有長久發(fā)展歷史的基礎電信行業(yè)來說，存量數(shù)據(jù)的管控同等重要，通過客觀的原始流量（數(shù)據(jù)包）數(shù)據(jù)分析，即可感知和管控數(shù)據(jù)流向、數(shù)據(jù)接口狀態(tài)等形成數(shù)據(jù)資產的多維畫像。3“H”模型的流量感知數(shù)據(jù)不會一直靜默不動，任何信息系統(tǒng)之間的交互都需要數(shù)據(jù)流動的支撐，數(shù)據(jù)的流動即產生了網(wǎng)絡流量。由于因特網(wǎng)的普遍性和易操作性，態(tài)勢感知在其中有著廣泛的應用，利用態(tài)勢感知強大的全局監(jiān)控能力，可實時掌握網(wǎng)絡的運行狀態(tài)并采取對應的安全措施，保證網(wǎng)絡系統(tǒng)的安全。對于基礎電信行業(yè)的信息系統(tǒng)而言，最常見的網(wǎng)絡拓撲結構是樹型和星型，少量追求高可靠性的網(wǎng)絡使用網(wǎng)狀結構。對于這兩種拓撲來說，任何服務器都存在“唯一”的網(wǎng)絡出口，如果通過技術手段抓取系統(tǒng)網(wǎng)絡出口交換機或深度報文檢測(DeepPacketInspection,DPI)等分流設備的下聯(lián)口（業(yè)務口）的雙向流量鏡像，即可做到業(yè)務系統(tǒng)出、入流量的全面感知，同時不影響正常業(yè)務的進行。圖4流量感知工具運行拓撲如圖4所示，不同的鏡像流適用于不同的場景。在分析系統(tǒng)內部之間的數(shù)據(jù)流時，常接入近系統(tǒng)側的交換機鏡像流，例如鏡像流1和鏡像流2，這種情況下能夠分析出交換機下掛資產中數(shù)據(jù)之間流通的情況，分析顆粒度也更為精細化。而如果需要分析不同系統(tǒng)之間的數(shù)據(jù)互通情況，則需要接入系統(tǒng)上層匯聚交換機的流量。鏡像流的采集和控制，需要由實際分析需求去定義。而在基礎電信行業(yè)統(tǒng)一建設安全技術能力的時候，往往是考慮到流量的覆蓋性，常使用鏡像流3的方式配置。通過合理的流量鏡像部署方案和分析方法，可以客觀、準確地實現(xiàn)數(shù)據(jù)資產的發(fā)現(xiàn)、數(shù)據(jù)接口的狀態(tài)監(jiān)控和數(shù)據(jù)流量的監(jiān)測預警。3.1數(shù)據(jù)資產發(fā)現(xiàn)數(shù)據(jù)資產是數(shù)據(jù)安全保護的基礎，只有梳理清楚系統(tǒng)內部存在的數(shù)據(jù)資產，才能夠對其進行后續(xù)的安全部署。但對于基礎電信行業(yè)來說，資產龐大、結構復雜是一個重要的特點，從而也給數(shù)據(jù)資產的梳理帶來了困難。電信運營商在對網(wǎng)絡資產進行漏洞掃描、加固等安全防護工作時，齊全的資產信息可以避免出現(xiàn)安全盲區(qū)，同時通過對資產信息的分析，可以及時全面掌握現(xiàn)網(wǎng)設備的漏洞、風險情況。在前者的基礎上，通過流量感知技術結合協(xié)議發(fā)現(xiàn)技術，能夠客觀、清楚地梳理出系統(tǒng)在當前網(wǎng)絡環(huán)境下的絕大部分資產和服務，實現(xiàn)數(shù)據(jù)資產全方位發(fā)現(xiàn)分析。首先，可以通過源目網(wǎng)絡地址(InternetProtocolAddress,IP)的識別，得到網(wǎng)絡內部的IP清單，然后通過“源目端口+源目IP”的識別，得到網(wǎng)絡內部開放服務的清單。例如，在某次梳理過程中，收集到了N個IP，其中每個IP都開放了22端口、23端口，由此可以判定，網(wǎng)絡內部共有N個資產，每個資產開放了2個服務，根據(jù)安全基線合規(guī)的要求，即可以針對性地對這兩個服務進行精細化防護。圖5數(shù)據(jù)資產發(fā)現(xiàn)得到IP和服務對應關系后，需要對這種對應關系打上資產標簽，用于識別其歸屬的資產組/資源組，最終形成一份完整的數(shù)據(jù)資產發(fā)現(xiàn)清單，如圖5所示。數(shù)據(jù)資產的發(fā)現(xiàn)，奠定了數(shù)據(jù)安全的基礎，為數(shù)據(jù)安全工作的開展提供了重要依據(jù)。3.2數(shù)據(jù)接口狀態(tài)監(jiān)控在業(yè)務系統(tǒng)數(shù)據(jù)傳輸?shù)倪^程中，少不了數(shù)據(jù)接口的交互，任何數(shù)據(jù)的流動都需要通過數(shù)據(jù)接口或特定協(xié)議進行。在基礎電信行業(yè)中，常常通過數(shù)據(jù)接口進行業(yè)務系統(tǒng)之間的數(shù)據(jù)交互，或者是數(shù)據(jù)資產之間的數(shù)據(jù)同步。在流量感知狀態(tài)下，能夠實時監(jiān)控到一些異常行為的發(fā)生。例如，在話單同步場景下，A系統(tǒng)每天固定向B系統(tǒng)發(fā)送1TB數(shù)據(jù)，數(shù)據(jù)安全管理員通過數(shù)據(jù)接口狀態(tài)監(jiān)控發(fā)現(xiàn)某天僅發(fā)送了2MB數(shù)據(jù)，其立即可以判斷，此數(shù)據(jù)接口異常，原因可能為系統(tǒng)故障或網(wǎng)絡故障。除此之外，通過監(jiān)控數(shù)據(jù)接口的異常返回包、異常請求包，亦可發(fā)現(xiàn)針對業(yè)務系統(tǒng)的異常攻擊行為，做到防患于未然。3.3數(shù)據(jù)流向監(jiān)控通過數(shù)據(jù)資產發(fā)現(xiàn)，定義了系統(tǒng)內部數(shù)據(jù)資產，進一步通過對數(shù)據(jù)資產的分組，可劃定系統(tǒng)內部的資產組。結合數(shù)據(jù)接口的發(fā)現(xiàn)和監(jiān)控，就能夠清晰地看到系統(tǒng)內部數(shù)據(jù)與外部資產的交互情況。例如，話單同步場景下，A系統(tǒng)固定每天9點向B系統(tǒng)發(fā)送大量話單數(shù)據(jù)，數(shù)據(jù)安全管理員通過數(shù)據(jù)接口狀態(tài)監(jiān)控發(fā)現(xiàn)某天10點A系統(tǒng)發(fā)送了少量話單數(shù)據(jù)到C系統(tǒng)，即可以判斷此種數(shù)據(jù)接口狀態(tài)為異常，可能發(fā)生了數(shù)據(jù)泄露事件，如圖6所示。圖6數(shù)據(jù)流向監(jiān)控4結語結合數(shù)據(jù)標簽和流量感知技術，能夠做到數(shù)據(jù)采集、存儲、傳輸、共享、加工、銷毀六個生命周期中的安全管控和評估。在基礎電信行業(yè)中，利用自有網(wǎng)絡資源的優(yōu)勢，可以通過網(wǎng)絡流量對