10 cách thực hành tốt nhất để bảo mật dữ liệu lớn

Mọi doanh nghiệp đều muốn thu thập các nhóm thông tin kinh doanh (BI), nhiều dữ liệu như giám đốc điều hành, nhà tiếp thị và mọi bộ phận khác trong tổ chức có thể nắm bắt được. Nhưng một khi bạn đã có được dữ liệu đó, khó khăn không chỉ nằm ở việc phân tích hồ dữ liệu khổng lồ để tìm ra những hiểu biết chính mà bạn đang tìm kiếm (mà không bị ngập bởi khối lượng thông tin tuyệt đối) mà còn đảm bảo tất cả dữ liệu đó .

Vì vậy, trong khi các nhà khoa học CNTT và bộ phận dữ liệu doanh nghiệp của bạn đang chạy các thuật toán phân tích dự đoán, trực quan hóa dữ liệu và sử dụng một kho kỹ thuật phân tích dữ liệu khác trên Dữ liệu lớn bạn đã thu thập, doanh nghiệp của bạn cần đảm bảo không có rò rỉ hoặc điểm yếu trong hồ chứa.

Cuối cùng, Liên minh Bảo mật Đám mây (CSA) gần đây đã phát hành Sổ tay Bảo mật và Bảo mật Dữ liệu Lớn: 100 Thực tiễn Tốt nhất về Bảo mật và Bảo mật Dữ liệu Lớn. Danh sách dài các thực tiễn tốt nhất được trải rộng trên 10 danh mục, vì vậy chúng tôi đã đưa ra các thực tiễn tốt nhất xuống còn 10 mẹo để giúp bộ phận CNTT của bạn khóa dữ liệu kinh doanh chính của bạn. Những lời khuyên này sử dụng một kho lưu trữ dữ liệu, mã hóa, quản trị, giám sát và kỹ thuật bảo mật.

1. Bảo vệ khung lập trình phân tán

Các khung lập trình phân tán như Hadoop chiếm một phần rất lớn trong các bản phân phối Dữ liệu lớn hiện đại, nhưng chúng có nguy cơ rò rỉ dữ liệu nghiêm trọng. Chúng cũng đi kèm với những gì được gọi là "người lập bản đồ không tin cậy" hoặc dữ liệu từ nhiều nguồn có thể tạo ra kết quả tổng hợp có lỗi.

CSA khuyến nghị rằng các tổ chức trước tiên phải thiết lập lòng tin bằng cách sử dụng các phương pháp như Xác thực Kerberos trong khi đảm bảo tuân thủ các chính sách bảo mật được xác định trước. Sau đó, bạn "hủy nhận dạng" dữ liệu bằng cách tách tất cả thông tin nhận dạng cá nhân (PII) khỏi dữ liệu để đảm bảo quyền riêng tư cá nhân không bị xâm phạm. Từ đó, bạn cho phép truy cập vào các tệp có chính sách bảo mật được xác định trước và sau đó đảm bảo rằng mã không tin cậy không rò rỉ thông tin qua tài nguyên hệ thống bằng cách sử dụng kiểm soát truy cập bắt buộc (MAC) như công cụ Sentry trong Apache HBase. Sau đó, phần khó khăn đã kết thúc vì tất cả những gì còn lại phải làm là bảo vệ chống rò rỉ dữ liệu với việc bảo trì thường xuyên. Bộ phận CNTT nên kiểm tra các nút nhân viên và người lập bản đồ trong môi trường đám mây hoặc ảo của bạn và để mắt đến các nút giả và các bản sao dữ liệu bị thay đổi.

2. Bảo mật dữ liệu không liên quan của bạn

Các cơ sở dữ liệu không liên quan như NoQuery là phổ biến nhưng chúng dễ bị tấn công như tiêm NoQuery; CSA liệt kê một loạt các biện pháp đối phó để bảo vệ chống lại điều này. Bắt đầu bằng cách mã hóa hoặc băm mật khẩu và đảm bảo đảm bảo mã hóa đầu cuối bằng cách mã hóa dữ liệu ở phần còn lại bằng các thuật toán như tiêu chuẩn mã hóa nâng cao (AES), RSA và Thuật toán băm bảo mật 2 (SHA-256). Bảo mật lớp vận chuyển (TLS) và mã hóa lớp ổ cắm an toàn (SSL) cũng hữu ích.

Ngoài các biện pháp cốt lõi đó, cộng với các lớp như gắn thẻ dữ liệu và bảo mật cấp đối tượng, bạn cũng có thể bảo mật dữ liệu không liên quan bằng cách sử dụng mô đun xác thực có thể cắm (PAM); đây là một phương pháp linh hoạt để xác thực người dùng trong khi đảm bảo ghi nhật ký giao dịch bằng cách sử dụng một công cụ như nhật ký NIST. Cuối cùng, có cái gọi là phương thức làm mờ, trong đó phơi bày kịch bản chéo trang web và tiêm các lỗ hổng giữa NoQuery và giao thức HTTP bằng cách sử dụng dữ liệu đầu vào tự động ở giao thức, nút dữ liệu và cấp độ ứng dụng của phân phối.

3. Lưu trữ dữ liệu an toàn và nhật ký giao dịch

Quản lý lưu trữ là một phần quan trọng của phương trình bảo mật Dữ liệu lớn. CSA khuyến nghị sử dụng các thông báo đã ký để cung cấp số nhận dạng kỹ thuật số cho từng tệp hoặc tài liệu kỹ thuật số và sử dụng một kỹ thuật gọi là kho lưu trữ dữ liệu không tin cậy (SUNDR) để phát hiện sửa đổi tệp trái phép bởi các tác nhân máy chủ độc hại.

Cuốn cẩm nang liệt kê một số kỹ thuật khác, bao gồm thu hồi lười biếng và xoay khóa, phát sóng và các chương trình mã hóa dựa trên chính sách và quản lý quyền kỹ thuật số (DRM). Tuy nhiên, không có sự thay thế nào cho việc xây dựng bộ lưu trữ đám mây an toàn của riêng bạn trên cơ sở hạ tầng hiện có.

4. Lọc và xác nhận điểm cuối

Bảo mật điểm cuối là tối quan trọng và tổ chức của bạn có thể bắt đầu bằng cách sử dụng chứng chỉ tin cậy, kiểm tra tài nguyên và chỉ kết nối các thiết bị đáng tin cậy với mạng của bạn bằng cách sử dụng giải pháp quản lý thiết bị di động (MDM) (bên trên phần mềm chống vi-rút và phần mềm độc hại). Từ đó, bạn có thể sử dụng các kỹ thuật phát hiện tương tự thống kê và các kỹ thuật phát hiện ngoại lệ để lọc các đầu vào độc hại, đồng thời bảo vệ chống lại các cuộc tấn công Sybil (nghĩa là một thực thể giả dạng thành nhiều danh tính) và các cuộc tấn công giả mạo ID.

5. Giám sát tuân thủ và bảo mật theo thời gian thực

Tuân thủ luôn là vấn đề đau đầu của các doanh nghiệp và thậm chí còn hơn thế khi bạn phải đối phó với tình trạng mất dữ liệu liên tục. Tốt nhất là giải quyết vấn đề trực tiếp bằng các phân tích và bảo mật thời gian thực ở mọi cấp độ của ngăn xếp. CSA khuyến nghị rằng các tổ chức nên áp dụng phân tích Dữ liệu lớn bằng cách sử dụng các công cụ như Kerberos, vỏ bảo mật (SSH) và bảo mật giao thức internet (IPsec) để xử lý dữ liệu thời gian thực.

Khi bạn đang làm điều đó, bạn có thể khai thác các sự kiện ghi nhật ký, triển khai các hệ thống bảo mật mặt trước như bộ định tuyến và tường lửa cấp ứng dụng và bắt đầu thực hiện các kiểm soát bảo mật trong toàn bộ ngăn xếp ở cấp độ đám mây, cụm và ứng dụng. CSA cũng cảnh báo các doanh nghiệp cảnh giác với các cuộc tấn công trốn tránh cố gắng phá vỡ cơ sở hạ tầng Dữ liệu lớn của bạn và các cuộc tấn công gọi là "đầu độc dữ liệu" (tức là dữ liệu giả mạo đánh lừa hệ thống giám sát của bạn).

6. Bảo mật dữ liệu

Duy trì sự riêng tư dữ liệu trong các bộ ngày càng phát triển thực sự khó khăn. CSA cho biết chìa khóa này là "có thể mở rộng và có thể kết hợp" bằng cách thực hiện các kỹ thuật như bảo mật khác biệt tối đa hóa độ chính xác của truy vấn trong khi tối thiểu hóa nhận dạng hồ sơ và mã hóa đồng cấu để lưu trữ và xử lý thông tin được mã hóa trong đám mây. Ngoài ra, đừng bỏ qua các yếu tố chính: CSA khuyên bạn nên kết hợp đào tạo nâng cao nhận thức của nhân viên tập trung vào các quy định bảo mật hiện hành và đảm bảo duy trì cơ sở hạ tầng phần mềm bằng cách sử dụng các cơ chế ủy quyền. Cuối cùng, các thực tiễn tốt nhất khuyến khích thực hiện cái gọi là "thành phần dữ liệu bảo mật quyền riêng tư", kiểm soát rò rỉ dữ liệu từ nhiều cơ sở dữ liệu bằng cách xem xét và giám sát cơ sở hạ tầng liên kết các cơ sở dữ liệu với nhau.

7. Mật mã dữ liệu lớn

Mật mã học toán học đã không còn hợp thời; Trên thực tế, nó đã tiến bộ hơn nhiều. Bằng cách xây dựng một hệ thống để tìm kiếm và lọc dữ liệu được mã hóa, chẳng hạn như giao thức mã hóa đối xứng (SSE) có thể tìm kiếm, các doanh nghiệp thực sự có thể chạy các truy vấn Boolean trên dữ liệu được mã hóa. Sau khi được cài đặt, CSA đề xuất một loạt các kỹ thuật mã hóa.

Mã hóa quan hệ cho phép bạn so sánh dữ liệu được mã hóa mà không chia sẻ khóa mã hóa bằng cách khớp các mã định danh và giá trị thuộc tính. Mã hóa dựa trên danh tính (IBE) giúp quản lý khóa dễ dàng hơn trong các hệ thống khóa công khai bằng cách cho phép mã hóa được mã hóa cho một danh tính nhất định. Mã hóa dựa trên thuộc tính (ABE) có thể tích hợp các điều khiển truy cập vào sơ đồ mã hóa. Cuối cùng, đã có mã hóa hội tụ, sử dụng các khóa mã hóa để giúp các nhà cung cấp đám mây xác định dữ liệu trùng lặp.

8. Kiểm soát truy cập dạng hạt

Kiểm soát truy cập là về hai điều cốt lõi theo CSA: hạn chế quyền truy cập của người dùng và cấp quyền truy cập của người dùng. Bí quyết là xây dựng và thực hiện chính sách chọn đúng chính sách trong bất kỳ kịch bản cụ thể nào. Để thiết lập các điều khiển truy cập chi tiết, CSA có một loạt các mẹo truy cập nhanh:

Bình thường hóa các yếu tố có thể thay đổi và không chuẩn hóa các yếu tố bất biến,

Theo dõi các yêu cầu bí mật và đảm bảo thực hiện đúng,

Duy trì nhãn truy cập,

Theo dõi dữ liệu quản trị viên,

Sử dụng đăng nhập một lần (SSO) và

Sử dụng sơ đồ ghi nhãn để duy trì liên kết dữ liệu phù hợp.

9. Kiểm toán, Kiểm toán, Kiểm toán

Kiểm toán chi tiết là điều bắt buộc trong bảo mật Dữ liệu lớn, đặc biệt sau một cuộc tấn công vào hệ thống của bạn. CSA khuyến nghị rằng các tổ chức nên tạo một quan điểm kiểm toán gắn kết sau bất kỳ cuộc tấn công nào và đảm bảo cung cấp một bản kiểm toán đầy đủ trong khi đảm bảo có quyền truy cập dễ dàng vào dữ liệu đó để giảm thời gian phản hồi sự cố.

Kiểm toán thông tin toàn vẹn và bảo mật cũng rất cần thiết. Thông tin kiểm toán cần được lưu trữ riêng biệt và được bảo vệ bằng các điều khiển truy cập người dùng chi tiết và giám sát thường xuyên. Đảm bảo tách riêng Dữ liệu lớn và dữ liệu kiểm toán của bạn và cho phép tất cả ghi nhật ký được yêu cầu khi bạn thiết lập kiểm toán (để thu thập và xử lý thông tin chi tiết nhất có thể). Một lớp kiểm toán nguồn mở hoặc công cụ điều phối truy vấn như ElasticSearch có thể làm cho tất cả những điều này dễ thực hiện hơn.

10. Chứng minh dữ liệu

Xuất xứ dữ liệu có thể có nghĩa là một số điều khác nhau tùy thuộc vào người bạn yêu cầu. Nhưng những gì CSA đang đề cập đến là siêu dữ liệu xuất xứ được tạo bởi các ứng dụng Dữ liệu lớn. Đây là một loại dữ liệu hoàn toàn khác cần được bảo vệ đáng kể. CSA khuyến nghị trước tiên nên phát triển giao thức xác thực cơ sở hạ tầng để kiểm soát truy cập, đồng thời thiết lập cập nhật trạng thái định kỳ và liên tục xác minh tính toàn vẹn dữ liệu bằng cách sử dụng các cơ chế như tổng kiểm tra.

Trên hết, phần còn lại của các thực tiễn tốt nhất của CSA về xuất xứ dữ liệu lặp lại phần còn lại của danh sách của chúng tôi: triển khai các điều khiển truy cập chi tiết động và có thể mở rộng và thực hiện các phương thức mã hóa. Không có một mẹo bí mật nào để đảm bảo bảo mật Dữ liệu lớn trên toàn tổ chức của bạn và mọi cấp độ của cơ sở hạ tầng và ứng dụng của bạn. Khi giao dịch trong các lô dữ liệu rộng lớn này, chỉ có chương trình bảo mật CNTT toàn diện và mua vào toàn bộ doanh nghiệp sẽ mang lại cho tổ chức của bạn cơ hội tốt nhất để giữ an toàn và bảo mật 0 và 1 cuối cùng.