適用于基礎(chǔ)電信行業(yè)的數(shù)據(jù)安全技術(shù)模型研究

0引言我國(guó)工信部近年來針對(duì)數(shù)據(jù)安全的管理力度及處置力度日益增大，這也促使了眾多行業(yè)不斷完善數(shù)據(jù)安全體系建設(shè)和數(shù)據(jù)安全技術(shù)創(chuàng)新。基礎(chǔ)電信行業(yè)用戶面廣，信息繁雜，數(shù)據(jù)海量的特點(diǎn)更是成為數(shù)據(jù)安全的重點(diǎn)關(guān)注行業(yè)。本文主要從數(shù)據(jù)安全“H”技術(shù)模型來研究適用于基礎(chǔ)電信行業(yè)的數(shù)據(jù)安全技術(shù)模型。1數(shù)據(jù)安全“H”模型電信運(yùn)營(yíng)商數(shù)據(jù)可大致分為三類：第一類是用戶信息數(shù)據(jù)，包括用戶身份信息，終端信息等；第二類是用戶消費(fèi)類數(shù)據(jù)，包括用戶通信消費(fèi)情況、賬單等；第三類是用戶行為數(shù)據(jù)，包括用戶通話行為記錄、上網(wǎng)行為記錄等。根據(jù)對(duì)數(shù)據(jù)的操作內(nèi)容，可以將數(shù)據(jù)安全的完整生命周期劃分為6個(gè)階段，即數(shù)據(jù)采集、數(shù)據(jù)傳輸、數(shù)據(jù)存儲(chǔ)、數(shù)據(jù)使用、數(shù)據(jù)開放共享和數(shù)據(jù)銷毀。利用業(yè)內(nèi)共識(shí)的各階段標(biāo)簽，結(jié)合客觀的流量感知手段，建立了數(shù)據(jù)安全的“H模型”，如圖1所示。下面，將對(duì)數(shù)據(jù)安全技術(shù)模型中的數(shù)據(jù)標(biāo)簽和流量感知進(jìn)行闡述和說明。圖1數(shù)據(jù)安全“H”技術(shù)模型2“H”模型的數(shù)據(jù)標(biāo)簽數(shù)據(jù)是客觀存在的，通常由數(shù)據(jù)用途及特征決定其內(nèi)容和字段。在讀取數(shù)據(jù)時(shí)，得到的信息是其直接傳遞的，無法從數(shù)據(jù)本身直觀看到數(shù)據(jù)來源。如果為數(shù)據(jù)源打上數(shù)據(jù)標(biāo)簽，標(biāo)簽中含有數(shù)據(jù)源的IP地址、系統(tǒng)名稱、MAC地址、傳遞時(shí)間等信息，數(shù)據(jù)在傳遞的過程中，約定雙方不得改變這些由采集源賦予的特征標(biāo)簽值，即可讓數(shù)據(jù)具備可追溯性和問責(zé)性，如圖2所示。數(shù)據(jù)標(biāo)簽通常是不可察的，它與數(shù)據(jù)共享數(shù)據(jù)塊緊密結(jié)合并隱藏其中，成為源數(shù)據(jù)不可分離的一部分，并經(jīng)過不破壞源數(shù)據(jù)使用價(jià)值的操作保存下來。圖2數(shù)據(jù)標(biāo)簽示例帶上了數(shù)據(jù)標(biāo)簽的數(shù)據(jù)，具備了識(shí)別數(shù)據(jù)來源的功能，能夠?qū)崿F(xiàn)源數(shù)據(jù)的追溯，從而進(jìn)一步為問責(zé)機(jī)制的建立創(chuàng)造了條件，在對(duì)一些異常數(shù)據(jù)和垃圾數(shù)據(jù)的分析中具有重要的作用。例如，在某一生產(chǎn)場(chǎng)景中，發(fā)現(xiàn)某條數(shù)據(jù)數(shù)值異常，僅從數(shù)值來看，無法得知是哪個(gè)數(shù)據(jù)源存在問題導(dǎo)致的數(shù)值異常，若采用數(shù)據(jù)標(biāo)簽的形式，可以清楚追溯數(shù)據(jù)來源。在基礎(chǔ)電信行業(yè)的信息系統(tǒng)中，常常會(huì)有多系統(tǒng)來源的數(shù)據(jù)，數(shù)據(jù)標(biāo)簽?zāi)Ｊ綗o疑是更好的數(shù)據(jù)安全實(shí)踐，同時(shí)針對(duì)數(shù)據(jù)跨域、跨境傳輸具有非常有效的管控力。圖3數(shù)據(jù)標(biāo)簽加密過程采用數(shù)據(jù)特征字段加密的方法，實(shí)現(xiàn)其機(jī)密性和完整性。即在數(shù)據(jù)唯一特征值后增加數(shù)據(jù)來源特征標(biāo)識(shí)，再利用高級(jí)加密標(biāo)準(zhǔn)(AdvancedEncryptionStandard,AES)等高級(jí)加密算法加密后存儲(chǔ)、傳輸。利用AES加密算法的特性，保證了數(shù)據(jù)在流動(dòng)中的完整性不被破壞，同時(shí)其密鑰僅被少數(shù)數(shù)據(jù)安全管理人員持有，確保了數(shù)據(jù)標(biāo)簽的機(jī)密性，如圖3所示。在5G應(yīng)用場(chǎng)景中，為實(shí)現(xiàn)低時(shí)延要求，常常將5G核心能力之一的移動(dòng)邊緣計(jì)算（MobileEdgeComputing，MEC）能力下沉到近用戶側(cè)，這樣在某種場(chǎng)景下會(huì)多用戶共用MEC，對(duì)于數(shù)據(jù)安全的要求也就越高。5G的高速特性將激發(fā)更多的數(shù)據(jù)被產(chǎn)生和傳輸。5G被應(yīng)用于社會(huì)生產(chǎn)和關(guān)鍵應(yīng)用，其中會(huì)包含影響到人身和物理安全的關(guān)鍵數(shù)據(jù)。若采用數(shù)據(jù)標(biāo)簽管控的方式，既解決了數(shù)據(jù)流向管控的問題，也有效降低了數(shù)據(jù)泄露事件帶來的影響。數(shù)據(jù)標(biāo)簽為數(shù)據(jù)本身在存儲(chǔ)、傳輸、加工、銷毀過程中提供了安全保證，同時(shí)，也需要企業(yè)從規(guī)范管理的角度來要求規(guī)范性的開發(fā)策略，特別對(duì)于新技術(shù)和新業(yè)務(wù)的發(fā)展更是如此。但對(duì)于擁有長(zhǎng)久發(fā)展歷史的基礎(chǔ)電信行業(yè)來說，存量數(shù)據(jù)的管控同等重要，通過客觀的原始流量（數(shù)據(jù)包）數(shù)據(jù)分析，即可感知和管控?cái)?shù)據(jù)流向、數(shù)據(jù)接口狀態(tài)等形成數(shù)據(jù)資產(chǎn)的多維畫像。3“H”模型的流量感知數(shù)據(jù)不會(huì)一直靜默不動(dòng)，任何信息系統(tǒng)之間的交互都需要數(shù)據(jù)流動(dòng)的支撐，數(shù)據(jù)的流動(dòng)即產(chǎn)生了網(wǎng)絡(luò)流量。由于因特網(wǎng)的普遍性和易操作性，態(tài)勢(shì)感知在其中有著廣泛的應(yīng)用，利用態(tài)勢(shì)感知強(qiáng)大的全局監(jiān)控能力，可實(shí)時(shí)掌握網(wǎng)絡(luò)的運(yùn)行狀態(tài)并采取對(duì)應(yīng)的安全措施，保證網(wǎng)絡(luò)系統(tǒng)的安全。對(duì)于基礎(chǔ)電信行業(yè)的信息系統(tǒng)而言，最常見的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)是樹型和星型，少量追求高可靠性的網(wǎng)絡(luò)使用網(wǎng)狀結(jié)構(gòu)。對(duì)于這兩種拓?fù)鋪碚f，任何服務(wù)器都存在“唯一”的網(wǎng)絡(luò)出口，如果通過技術(shù)手段抓取系統(tǒng)網(wǎng)絡(luò)出口交換機(jī)或深度報(bào)文檢測(cè)(DeepPacketInspection,DPI)等分流設(shè)備的下聯(lián)口（業(yè)務(wù)口）的雙向流量鏡像，即可做到業(yè)務(wù)系統(tǒng)出、入流量的全面感知，同時(shí)不影響正常業(yè)務(wù)的進(jìn)行。圖4流量感知工具運(yùn)行拓?fù)淙鐖D4所示，不同的鏡像流適用于不同的場(chǎng)景。在分析系統(tǒng)內(nèi)部之間的數(shù)據(jù)流時(shí)，常接入近系統(tǒng)側(cè)的交換機(jī)鏡像流，例如鏡像流1和鏡像流2，這種情況下能夠分析出交換機(jī)下掛資產(chǎn)中數(shù)據(jù)之間流通的情況，分析顆粒度也更為精細(xì)化。而如果需要分析不同系統(tǒng)之間的數(shù)據(jù)互通情況，則需要接入系統(tǒng)上層匯聚交換機(jī)的流量。鏡像流的采集和控制，需要由實(shí)際分析需求去定義。而在基礎(chǔ)電信行業(yè)統(tǒng)一建設(shè)安全技術(shù)能力的時(shí)候，往往是考慮到流量的覆蓋性，常使用鏡像流3的方式配置。通過合理的流量鏡像部署方案和分析方法，可以客觀、準(zhǔn)確地實(shí)現(xiàn)數(shù)據(jù)資產(chǎn)的發(fā)現(xiàn)、數(shù)據(jù)接口的狀態(tài)監(jiān)控和數(shù)據(jù)流量的監(jiān)測(cè)預(yù)警。3.1數(shù)據(jù)資產(chǎn)發(fā)現(xiàn)數(shù)據(jù)資產(chǎn)是數(shù)據(jù)安全保護(hù)的基礎(chǔ)，只有梳理清楚系統(tǒng)內(nèi)部存在的數(shù)據(jù)資產(chǎn)，才能夠?qū)ζ溥M(jìn)行后續(xù)的安全部署。但對(duì)于基礎(chǔ)電信行業(yè)來說，資產(chǎn)龐大、結(jié)構(gòu)復(fù)雜是一個(gè)重要的特點(diǎn)，從而也給數(shù)據(jù)資產(chǎn)的梳理帶來了困難。電信運(yùn)營(yíng)商在對(duì)網(wǎng)絡(luò)資產(chǎn)進(jìn)行漏洞掃描、加固等安全防護(hù)工作時(shí)，齊全的資產(chǎn)信息可以避免出現(xiàn)安全盲區(qū)，同時(shí)通過對(duì)資產(chǎn)信息的分析，可以及時(shí)全面掌握現(xiàn)網(wǎng)設(shè)備的漏洞、風(fēng)險(xiǎn)情況。在前者的基礎(chǔ)上，通過流量感知技術(shù)結(jié)合協(xié)議發(fā)現(xiàn)技術(shù)，能夠客觀、清楚地梳理出系統(tǒng)在當(dāng)前網(wǎng)絡(luò)環(huán)境下的絕大部分資產(chǎn)和服務(wù)，實(shí)現(xiàn)數(shù)據(jù)資產(chǎn)全方位發(fā)現(xiàn)分析。首先，可以通過源目網(wǎng)絡(luò)地址(InternetProtocolAddress,IP)的識(shí)別，得到網(wǎng)絡(luò)內(nèi)部的IP清單，然后通過“源目端口+源目IP”的識(shí)別，得到網(wǎng)絡(luò)內(nèi)部開放服務(wù)的清單。例如，在某次梳理過程中，收集到了N個(gè)IP，其中每個(gè)IP都開放了22端口、23端口，由此可以判定，網(wǎng)絡(luò)內(nèi)部共有N個(gè)資產(chǎn)，每個(gè)資產(chǎn)開放了2個(gè)服務(wù)，根據(jù)安全基線合規(guī)的要求，即可以針對(duì)性地對(duì)這兩個(gè)服務(wù)進(jìn)行精細(xì)化防護(hù)。圖5數(shù)據(jù)資產(chǎn)發(fā)現(xiàn)得到IP和服務(wù)對(duì)應(yīng)關(guān)系后，需要對(duì)這種對(duì)應(yīng)關(guān)系打上資產(chǎn)標(biāo)簽，用于識(shí)別其歸屬的資產(chǎn)組/資源組，最終形成一份完整的數(shù)據(jù)資產(chǎn)發(fā)現(xiàn)清單，如圖5所示。數(shù)據(jù)資產(chǎn)的發(fā)現(xiàn)，奠定了數(shù)據(jù)安全的基礎(chǔ)，為數(shù)據(jù)安全工作的開展提供了重要依據(jù)。3.2數(shù)據(jù)接口狀態(tài)監(jiān)控在業(yè)務(wù)系統(tǒng)數(shù)據(jù)傳輸?shù)倪^程中，少不了數(shù)據(jù)接口的交互，任何數(shù)據(jù)的流動(dòng)都需要通過數(shù)據(jù)接口或特定協(xié)議進(jìn)行。在基礎(chǔ)電信行業(yè)中，常常通過數(shù)據(jù)接口進(jìn)行業(yè)務(wù)系統(tǒng)之間的數(shù)據(jù)交互，或者是數(shù)據(jù)資產(chǎn)之間的數(shù)據(jù)同步。在流量感知狀態(tài)下，能夠?qū)崟r(shí)監(jiān)控到一些異常行為的發(fā)生。例如，在話單同步場(chǎng)景下，A系統(tǒng)每天固定向B系統(tǒng)發(fā)送1TB數(shù)據(jù)，數(shù)據(jù)安全管理員通過數(shù)據(jù)接口狀態(tài)監(jiān)控發(fā)現(xiàn)某天僅發(fā)送了2MB數(shù)據(jù)，其立即可以判斷，此數(shù)據(jù)接口異常，原因可能為系統(tǒng)故障或網(wǎng)絡(luò)故障。除此之外，通過監(jiān)控?cái)?shù)據(jù)接口的異常返回包、異常請(qǐng)求包，亦可發(fā)現(xiàn)針對(duì)業(yè)務(wù)系統(tǒng)的異常攻擊行為，做到防患于未然。3.3數(shù)據(jù)流向監(jiān)控通過數(shù)據(jù)資產(chǎn)發(fā)現(xiàn)，定義了系統(tǒng)內(nèi)部數(shù)據(jù)資產(chǎn)，進(jìn)一步通過對(duì)數(shù)據(jù)資產(chǎn)的分組，可劃定系統(tǒng)內(nèi)部的資產(chǎn)組。結(jié)合數(shù)據(jù)接口的發(fā)現(xiàn)和監(jiān)控，就能夠清晰地看到系統(tǒng)內(nèi)部數(shù)據(jù)與外部資產(chǎn)的交互情況。例如，話單同步場(chǎng)景下，A系統(tǒng)固定每天9點(diǎn)向B系統(tǒng)發(fā)送大量話單數(shù)據(jù)，數(shù)據(jù)安全管理員通過數(shù)據(jù)接口狀態(tài)監(jiān)控發(fā)現(xiàn)某天10點(diǎn)A系統(tǒng)發(fā)送了少量話單數(shù)據(jù)到C系統(tǒng)，即可以判斷此種數(shù)據(jù)接口狀態(tài)為異常，可能發(fā)生了數(shù)據(jù)泄露事件，如圖6所示。圖6數(shù)據(jù)流向監(jiān)控4結(jié)語結(jié)合數(shù)據(jù)標(biāo)簽和流量感知技術(shù)，能夠做到數(shù)據(jù)采集、存儲(chǔ)、傳輸、共享、加工、銷毀六個(gè)生命周期中的安全管控和評(píng)估。在基礎(chǔ)電信行業(yè)中，利用自有網(wǎng)絡(luò)資源的優(yōu)勢(shì)，可以通過網(wǎng)絡(luò)流量對(duì)