大数据平台对数据进行加密存储,实现无明文存储,避免明文带来的数据泄露等安全风险。

实现数据的透明加解密,在集群中数据写入时自动对数据进行加密、数据读取时自动对数据进行解密,数据离开集群环境后是密文,没有秘钥的情况下不能解密。一方面在集群环境中对应用程序实现透明加解密方便上层应用的开发,减少上层应用处理加解密带来的额外负担和安全风险;另一方面对数据起到保护作用,数据一旦离开集群环境就不能访问到秘钥因此无法解密出明文。

对于高密级的数据,可以设置多次加密和解密授权。通过不同的秘钥和加密算法对数据进行多次加密,可以进一步提高数据安全性,增加破解成本。只有通过解密授权的用户和程序才能访问数据对应的秘钥进行解密,而且解密授权和访问控制授权是两套不通的授权体系,因此即使通过攻击访问授权体系拿到数据的访问权限,在没有同时攻破解密授权体系的情况下,也只能看到加密后的密文数据,无法解密得到明文数据。

目前支持 AES-256 加密算法,且对 AES-256 加解密利用 Intel 指令集优化进行深度性能加速,单核加解密速度分别从 50MB/s 提升到 1.2GB/s 和1.5GB/s。加密算法可以通过配置和插件化机制进行替换,可以定制支持符合国家标准的加密算法如 SM2、SM3。

大数据信息系统中的数据加密、数据完整性和可用性保护
CA

1. 数据完整性保护

根据大数据平台可用性要求,应保证数据能够在生命周期期间能正常的被生成、使用和销毁,应保证对误操作有一定的容错性,并且应保证数据有足够的备份措施。

为了保证数据的可靠性,防止数据丢失、损坏,采取以下策略:

  1. 集群中数据默认三副本存储,对于重要数据设置更多副本存储提高可靠性,系统会自动检测发现副本不足并调度分布式副本拷贝进行恢复。
  2. 敏感数据和系统数据,采用防删除机制,避免误删除和人为破坏。
  3. 数据删除时将首先被移入到回收站,并临时保存 24 小时(根据需求可以设置更长时间),以避免数据误删除导致的数据不可恢复。
  4. 定期对重要数据做同城和异地灾备。
  5. 集群节点需要经过统一认证体系进行认证,防止恶意节点试图接入集群进行针对大数据平台的特定攻击和破坏,如数据分布到恶意节点后节点下线造成数据不完整。

2. 数据可用性保护

任何系统的资源和服务能力都是有限的,如果大数据平台出现资源恶意占用甚至服务攻击,会导致大数据平台的访问质量下降甚至失败,引发大数据平台和应用不稳定等问题,即时数据没有丢失、没有失窃也会造成严重影响。

大数据平台进行一些列保护措施,保障大数据平台的资源和服务的可用性:

  1. 大数据平台各个组件的主节点、从节点均采用高可用架构,某个节点出现软硬件故障时其他节点自动接替工作,从平台架构上避免单点失效造成服务不可用。
  2. 对每个用户和组的资源进行管理和限制,包括存储资源、计算资源、网络资源等,防止用户因为疏忽或者恶意占用平台资源造成平台不稳定。
  3. 对热点数据采用分级存储、多份存储的策略,使用高性能存储介质如 SSD 甚至内存存储或缓存热点数据防止其成为瓶颈,利用分布式系统的特性将热点数据的副本从默认 3副本自动升高到更多副本,通过更多服务器同时提供高并发高吞吐服务。
  4. 对大数据平台提供的服务如存储读写、计算任务执行、数据检索等,进行服务可用性健康检查和性能监控,及时发现服务中断、可用性降低、性能降低等异常情况并发出告警通知进行处理。

相关文章

  • 视频防泄密安全防护解决方案

    视频防泄密安全防护解决方案

    视频防泄密,即类似于视频网闸的功能,以下方案文档基于金盾,若有需要请联系相关厂商。本例提供综合化安全防护方案,前端防护层面,对网络内接入的各类设备进行识别、过滤、阻断,确保接入视频监控网络设备的合法性和安全性,对运行中的设备进行实时监控,利用独有的感知发现技术,及时发现网络中伪冒、入侵、异常的设备。数据防护层面是基于视频数据的整个生命周期,从对视频数据存储的访问安全控制、使用管控到事后的溯源追责,为用户提供整套的视频数据安全防护解决方案。 1. 前端接入层防护 1.1 准入控制 新一代准入控制技…

  • 数据安全、网络安全应急演练报告模板

    数据安全、网络安全应急演练报告模板

    这里分享一个我们用过的数据安全、网络安全应急演练报告模板,报告内容详实、简练,适合 XXX 会议做报告使用,具体的内容、漏洞等已抹去,全文共 7 页,包含以下几个部分: 根据相关文件精神,为妥善应对和处置重要数据突发安全事件,确保重要信息系统安全、稳定、持续运行,防止造成重大损失和影响,进一步提高数据安全应急保障能力,特制定本演练方案: 一、指导思想 按照“预防为主,积极处置”的原则,进一步完善数据安全应急处置机制,提高突发事件的应急处置能力。 二、组织机构 (一)应急演练指挥部 职责:负责数据…

  • 账号口令和权限管理制度,密码管理条例

    账号口令和权限管理制度,密码管理条例

    为加强重庆XX中学信息系统账号和口令管理,通过控制用户口令、权限,实现控制访问权限分配,防止对重庆XX中学网络的非授权访问,特制订本管理办法。 第一章 目的 第一条 为加强重庆XX中学信息系统账号和口令管理,通过控制用户口令、权限,实现控制访问权限分配,防止对重庆XX中学网络的非授权访问,特制订本管理办法。 第二章 范围 第二条 所有使用重庆XX中学网络信息系统的人员。 第三章 职责 第三条 重庆XX中学所有使用信息系统的人员均需遵守本管理办法规定,网络安全办公室负责建立账号和口令管理的规范并推…

  • PKI/CA 身份认证系统具备哪些功能

    PKI/CA 身份认证系统具备哪些功能

    PKI/CA 身份认证平台通过发放和维护数字证书来建立一套信任网络,在同一信任网络中的用户通过申请到的数字证书来完成身份认证和安全处理。PKI 从技术上解决了网络通信安全的种种障碍,CA 从运营、管理、规范、法律、人员等多个角度来解决了网络信任问题。 数据中心 PKI/CA 身份认证平台功能如下: 1. CA 系统 1、证书管理:包括证书申请、证书下载、证书更新、证书注销、证书冻结、证书解冻、证书查询、证书归档; 2、模板管理:包括通用证书模板、签名证书模板、加密证书模板、设备证书模板、SSL …

  • GB/T 22240-2020《信息系统安全等级保护定级指南》PDF 下载

    GB/T 22240-2020《信息系统安全等级保护定级指南》PDF 下载

    随着信息技术的迅猛发展和广泛应用,信息系统的安全问题日益凸显。为了指导和规范信息系统安全等级保护工作,提高我国信息安全保障能力和水平,《信息安全技术 信息系统安全等级保护定级指南》(GB/T 22240-2020)应运而生。该标准为信息系统的运营、使用单位提供了一套科学合理的安全等级划分方法,旨在根据信息系统的实际重要性和面临的安全威胁,确定适当的安全保护等级,并采取相应的安全措施。 本标准主要针对非涉密信息系统,明确了信息系统安全等级保护的基本概念、定级要素、定级流程以及不同安全保护等级的具体…

  • 信息系统建设的安全机制建设

    信息系统建设的安全机制建设

    本XXX方案需要充分考虑长远发展需求,统一规划、统一布局、统一设计、规范标准,并根据实际需要及投资金额,突出重点、分步实施,保证系统建设的完整性和投资的有效性。在方案设计和项目建设中应当遵循以下的原则: 1、合规性和规范化原则 安全规划和建设应严格遵循国家信息安全等级保护或分级保护标准和行业有关法律法规和技术规范的要求,同时兼顾参考国际上较为成熟的ISO27000、CSA的成熟范例,从技术、运行管理等方面对项目的整体建设和实施进行设计,充分体现标准化和规范化。 2、国产自主化原则 大数据中心信息…

- 联 系 我 们 -

+86 186-2315-0440

在线咨询:点击这里给我发消息

电子邮箱:i@zzptech.com

工作时间:9:00~18:30,工作日

微信客服