中国信通院-大数据平台安全研究报告-2021.1-36页_1mb

大数据平台安全研究报告总结

核心内容

本报告由中国信息通信研究院安全研究所发布，旨在分析大数据平台在安全配置和漏洞管理方面存在的问题，并提出相应的解决方案和未来发展方向。报告指出，随着数字经济的发展，大数据平台成为数据价值释放的关键载体，但其安全问题同样不容忽视。

主要观点

• 大数据平台是数字经济的重要支撑：大数据平台通过计算和存储能力，使海量数据“活动”起来，释放其潜在价值，但其安全能力直接影响数据价值的释放。
• 安全是平台发展的基石：如同地基对建筑的重要性，大数据平台的安全能力决定了其稳定性和可持续发展。
• 当前安全问题突出：在平台配置和漏洞管理方面，存在大量安全隐患，包括日志不完整、身份认证未开启、权限未最小化、传输未加密、连接数未限制、敏感数据未加密等。
• 安全投入不足与意识薄弱：企业在平台建设初期往往忽视安全，导致安全规划不完善，安全措施滞后。同时，技术人员安全能力不足，影响平台安全水平。
• 边界防护与内部安全并重：企业普遍重视边界防护，却忽视内部安全，造成“防御空心”现象，增加内部攻击风险。

关键信息

一、大数据平台概况

1. 大数据产业蓬勃发展：

   • 2020年中国大数据市场收益达104.2亿美元，同比增长16.0%。
   • 预计到2024年，硬件、软件、服务三者比例将趋于均衡，年均复合增长率达19.0%。

2. 大数据平台应用模式多样化：

   • 自建平台：灵活、自主性强，但对技术要求高，需专业团队支撑。
   • 商业化平台：分为委托式和自主控制式，前者成本低但定制化差，后者功能全面但成本高。

二、大数据平台安全现状

1. 组件配置类安全隐患：

   • Top 5 配置问题：日志记录不完整（90%）、身份认证未开启（88%）、账号权限未最小化（80%）、审计日志权限未最小化（79%）、组件间传输未加密（74%）。
   • Top 3 高危组件：HDFS（50.5%）、HBase（44.8%）、Zookeeper（73.4%）。

2. 组件安全漏洞：

   • Top 3 漏洞组件：Zookeeper（55.4%）、Hive（21.1%）、HBase（10.5%）。
   • 主要漏洞类型：信息泄露、安全绕过、本地信息泄露、身份验证漏洞、缓冲区溢出、注入漏洞等。

3. 安全隐患分布：

   • 安全漏洞分布：平台管理类（58%）、计算类（21.1%）、存储类（10.5%）、传输交换类（0%）。
   • 配置安全隐患分布：存储类（42%）、计算类（17.5%）、平台管理类（17.2%）、传输交换类（0%）。

三、大数据平台安全问题分析

1. Hadoop平台安全配置复杂度高：

   • 配置文件分散，管理难度大。
   • 配置问题排查困难，影响业务恢复。
   • 安全配置易被忽略或未及时更新。

2. 安全漏洞修复影响大：

   • 安全漏洞修复需测试和同步更新，影响平台稳定性。
   • 企业常因修复周期长而选择接受风险。

3. 安全投入不足：

   • 建设初期更关注功能性，忽视安全性。
   • 功能成熟后，安全建设面临基线模糊、人员能力弱等问题。

4. 边界防护忽视内部安全：

   • 内部人员可能造成数据泄露或破坏。
   • 攻击者可能通过漏洞渗透内网，威胁平台安全。

5. 安全管理制度滞后：

   • 缺乏明确的安全基线和制度。
   • 安全流程不完善，影响平台使用效率和安全控制。

6. 技术人员安全能力不足：

   • 缺乏安全意识与技能，导致配置错误和漏洞利用。
   • 安全部门与业务部门协作不足，缺乏专业安全岗位。

四、大数据平台安全解决方案建议

1. 加强安全基线管理：

   • 明确安全基线内容，建立更新机制。
   • 建立统一配置管理平台，实现自动化配置与安全审计。
   • 加强安全漏洞管理，明确版本兼容关系，及时修复漏洞。

2. 对平台安全进行整体规划：

   • 在平台建设初期同步规划安全防护。
   • 在功能迭代中持续评估安全防护手段的适应性。

3. 边界防护与内部安全并重：

   • 构建全面的安全防护体系，兼顾边界与内部安全。
   • 防止因边界防护薄弱而造成内部威胁。

4. 建立完善的安全制度流程：

   • 制定专项安全制度，明确组织责任与操作规范。
   • 建立使用管理规范，平衡效率与安全。

5. 增强技术人员安全能力：

   • 设置专职安全人员，提升平台安全意识与技术水平。
   • 开展安全培训，提升平台使用人员的安全素养。

五、大数据平台安全未来发展建议

1. 加强监管：

   • 建议政府加强对企业大数据平台安全的监管指导。
   • 推动《电信网和互联网大数据平台安全防护要求》标准落地。

2. 强化技术研究：

   • 提升平台自身安全防御能力，引入身份认证、访问控制、安全审计、隐私保护等机制。
   • 关注攻防技术发展趋势，建立适应平台环境的安全防护机制。

3. 推动安全产品和服务市场发展：

   • 鼓励企业、科研机构、高校合作，推动核心关键技术攻关。
   • 发展平台安全集中管理、代码审计、应用监测等安全产品和服务。

4. 促进行业自律：

   • 鼓励企业参与行业自律，制定安全准则和公约。
   • 推进第三方评估与人员资质认证机制建设，提升行业整体安全水平。

结论

大数据平台安全是保障数据价值释放和数字经济健康发展的关键环节。当前平台存在大量配置和漏洞安全问题，需企业加强安全投入、完善制度流程、提升技术人员能力，并推动行业标准与技术研究，构建安全可靠的平台生态。