大数据中的访问控制技术

1、大数据中的访问控制技术什么是大大数据？历史：“大数据据”这个个术语最最早期的的引用可可追溯到到apacheorg的开源项项目Nutch。当时，大数据据用来描描述为更更新网络络搜索索索引需要要同时进进行批量量处理或或分析的的大量数数据集。随着谷谷歌MapReduce和GoogleFileSystem（GFS）的发布布，大数数据不再再仅用来来描述大大量的数数据，还还涵盖了了处理数数据的速速度。大数据的的定义对于“大大数据”（Bigdata）研究机机构Gartner给出了这这样的定定义。“大数据据”是需需要新处处理模式式才能具具有更强强的决策策力、洞洞察发现现力和流流程优化化能力的的海量、高增长长率

2、和多多样化的的信息资资产。大数据的的意义大数据技技术的战战略意义义不在于于掌握庞庞大的数数据信息息，而在在于对这这些含有有意义的的数据进进行专业业化处理理。换言言之，如如果把大大数据比比作一种种产业，那么这这种产业业实现盈盈利的关关键，在在于提高高对数据据的“加加工能力力”，通通过“加加工”实实现数据据的“增增值”。大数据的的关键技技术大数据技技术，就就是从各各种类型型的数据据中快速速获得有有价值信信息的技技术。大大数据领领域已经经涌现出出了大量量新的技技术，它它们成为为大数据据采集、存储、处理和和呈现的的有力武武器。大数据处处理关键键技术一一般包括括：大数数据采集集、大数数据预处处理、大大数

3、据存存储及管管理、大大数据分分析及挖挖掘、大大数据展展现和应应用（大大数据检检索、大大数据可可视化、大数据据应用、大数据据安全等等）。访问控制制技术防止对任任何资源源进行未未授权的的访问，从而使使计算机机系统在在合法的的范围内内使用。意指，用户身身份及其其所归属属的某项项定义组组来限制制用户对对某些信信息项的的访问，或限制制对某些些控制功功能的使使用的一一种技术术，如UniNAC网络准入入控制系系统的原原理就是是基于此此技术之之上。访访问控制制通常用用于系统统管理员员控制用用户对服服务器、目录、文件等等网络资资源的访访问。大数据中中的访问问控制访问控制制模型自主访问问控制（DAC）强制访问问控

4、制（MAC）信息流模模型基于角色色的访问问控制模模型（RBAC）PDR扩展模型型大数据中中的访问问控制访问控制制策略基于身份份的安全全策略基于规则则的安全全策略访问控制制与授权权（权限限控制）访问控制制与审计计（操作作日志）访问控制制模型自主访问问控制（DAC）自主访问问控制（Discretionary AccessControl，DAC）是这样样的一种种控制方方式，由由客体的的属主对对自己的的客体进进行管理理，由属属主自己己决定是是否将自自己的客客体访问问权或部部分访问问权授予予其他主主体，这这种控制制方式是是自主的的。也就就是说，在自主主访问控控制下，用户可可以按自自己的意意愿，有有选择地

5、地与其他他用户共共享他的的文件。自主访问问控制是是保护系系统资源源不被非非法访问问的一种种有效手手段。但但是这种种控制是是自主的的，即它它是以保保护用户户的个人人资源的的安全为为目标并并以个人人的意志志为转移移的。自主访问问控制是是一种比比较宽松松的访问问控制,一个主题题的访问问权限具具有传递递性。计算机信信息系统统可信计计算基定定义和控控制系统统中命名名用户对对命名客客体的访访问。实施机制制（例如如：访问问控制表表）允许许命名用用户以用用户和（或）用用户组的的身份规规定并控控制客体体的共享享；阻止止非授权权用户读读取敏感感信息。并控制制访问权权限扩散散。自主访问问控制机机制根据据用户指指定方

6、式式或默认认方式，阻止非非授权用用户访问问客体。访问控控制的粒粒度是单单个用户户。没有有存取权权的用户户只允许许由授权权用户指指定对客客体的访访问权。阻止非非授权用用户读取取敏感信信息。自主访问问控制的的标准自主访问问控制有有两个至至关重要要的标准准：（1）文件和和数据的的所有权权：系统统中的每每个物体体都有所所有者。在大多多数DAC系统中，物体的的所有者者是产生生这个物物体的人人（或事事件，或或另一个个物体）。那么么次物体体的自主主访问控控制权限限由它的的产生着着决定；（2）访问权权限及获获批：物物体的所所有者拥拥有访问问权限，并且可可以批准准他人试试图访问问的请求求。自主访问问控制的的优缺

7、点点优点主体对授授权过程程具有极极大的灵灵活性缺点权限的授授予过程程存在链链式结构构，它能能控制主主体能否否直接获获得对客客体的访访问权限限但不能能控制主主体间接接获得对对客体的的访问权权限。其其安全性性能相对对较低在权限管管理方面面，系统统需要维维护不同同主体对对不同客客体的不不同访问问权限之之间的关关系，权权限管理理复杂性性较高访问控制制模型强制访问问控制（MAC）概念：在在自主访访问控制制的基础础上，增增加了对对资源的的属性（安全属属性）划划分，规规定不同同属性下下的访问问权限。特点：（1）将主体体和客体体分级，根据主主体和客客体的级级别标记记来决定定访问模模式。（2）其访问问控制关关系

8、分为为：上读读/下写，下下读/上写。（3）通过梯梯度安全全标签实实现单向向信息流流通模式式。安全属性性四个级级别的规规定TCSUT：绝密级级（TopSecret）C：机密级级（Confidential）S：秘密级级（Secret）U：无级别别级（Unclassified）四种强制制访问控控制策略略规定下读：用用户级别别大于文文件级别别的读操操作上写：用用户级别别低于文文件级别别的写操操作下写：用用户级别别大于文文件级别别的写操操作上读：用用户级别别低于文文件级别别的读操操作强制访问问控制的的优缺点点优点：权限授予予过程中中，不仅仅需要检检查主体体是否对对客体具具有操作作权限，还需要要检查主主、

9、客体体的安全全属性是是否符合合要求，使得授授权过程程更加安安全。强制访问问控制的的优缺点点缺点：权限管理理系统必必须按照照系统规规定为每每个主体体或客体体分配安安全属性性，并且且需要仔仔细定义义主、客客体安全全属性之之间的对对应关系系，从而而防止合合法用户户不能对对授权客客体进行行操作，以及非非法主体体能够对对未授权权的客体体进行操操作的现现象，其其权限管管理难度度较大。模型中可可信主体体不受特特性约束束访问权权限太大大，不符符合最小小特权原原则，难难于应付付访问权权限具有有很多微微小差别别的情况况，应对对可信主主体的操操作权限限和应用用范围进进一步细细化。信息流模模型从安全模模型所控控制的对

10、对象来看看，一般般有两种种不同的的方法来来建立安安全模型型：一种种是信息息流模型型，另一一种是访访问控制制模型。信息流模模型主要要着眼于于对客体体之间的的信息传传输过程程的控制制，通过过对信息息流向的的分析可可以发现现系统中中存在的的隐蔽通通道，并并设法予予以堵塞塞。信息息流是信信息根据据某种因因果关系系的流动动，信息息流总是是从旧状状态的变变量流向向新状态态的变量量。信息息流模型型的出发发点是彻彻底切断断系统中中信息流流的隐蔽蔽通道，防止对对信息的的窃取。隐蔽通通道就是是指系统统中非正正常使用用的、不不受强制制访问控控制正规规保护的的通信方方式。隐隐蔽通道道的存在在显然危危及系统统敏感信信息

11、的保保护。信息流模模型需要要遵守的的安全规规则是：在系统统状态转转换时，信息流流只能从从访问级级别低的的状态流流向访问问级别高高的状态态。信息息流模型型实现的的关键在在于对系系统的描描述，即即对模型型进行彻彻底的信信息流分分析，找找出所有有的信息息流，并并根据信信息流安安全规则则判断其其是否为为异常流流。若是是就反复复修改系系统的描描述或模模型，直直到所有有的信息息流都不不是异常常流为止止。信息息流模型型是一种种基于事事件或踪踪迹的模模型，其其焦点是是系统用用户可见见的行为为。现有有的信息息流模型型无法直直接指出出那种内内部信息息流是被被允许的的，哪种种是不被被允许的的，因此此在实际际系统中中

12、的实现现和验证证中没有有太多的的帮助和和指导。基于角色色的访问问控制模模型（RBAC）基本定义义角色：指指一个或或一组用用户在组组织内可可执行的的操作的的集合。角色就就充当着着主体（用户）和客体体之间的的关键桥桥梁。角色授权权：每个个角色与与一组有有关的操操作相互互关联，角色所所属的用用户有权权执行这这些操作作。角色与组组：-组：一组组用户的的集合。-角色：一一个用户户/一组用户户的集合合+一组操作作权限的的集合。基本思想想访问控制制的过程程与访问问者的身身份认证证密切相相关，通通过确定定该合法法访问者者的身份份来确定定访问者者在系统统中对哪哪类信息息有什么么样的访访问权限限。一个个访问者者可

13、以充充当多个个角色，一个角角色也可可以由多多个访问问者担任任。RBAC模型的的基本结结构模型中以以角色作作为访问问控制的的核心，用户以以什么样样的角色色对资源源进行访访问，决决定了用用户拥有有的权限限以及可可执行何何种操作作。采用用了角色色的授权权规定对对于用户户是一种种强制性性的规定定，用户户不能自自主的将将访问权权限传给给他人。RBAC模型基基本原理理图RBAC模型特特点基于用户户角色对对客体执执行访问问控制。权限同角角色关联联，角色色比用户户本身更更为稳定定。用户和适适当的角角色关联联：用户在系系统里表表现出一一定的活活动性质质，这种种活动性性质表明明用户充充当了一一定的角角色。用用户访

14、问问系统执执行相关关操作时时，系统统必须先先检查用用户的角角色，核核对该角角色是否否具有执执行相关关操作的的权限。一个用用户可以以充当多多个角色色，一个个角色也也可以由由多个用用户担任任。用户与角角色关联联的方式式，便于于授权管管理、根根据工作作需要分分级、赋赋予最小小特权、任务分分担以及及文件分分级管理理。用户、角角色、权权限三者者相互独独立的结结构保证证了授权权过程的的灵活性性。PDR扩扩展模型型示意图图访问控制制策略基于身份份的安全全策略（IDBACP）目的是过过滤对数数据或资资源的访访问，只只有能通通过认证证的那些些主体才才有可能能正常使使用客体体的资源源。-基于个人人的策略略-基于组的的策略基于个人人的策略略基于组的的策略访问控制制策略基于规则则的安全全策略（1）授权通通常依赖赖于敏感感性。在在一个安安全系统统中，数数据或资资源应该该标注安安全标记记，代表表用户进进行活动动的进程程可以得得到与其其原发者者相应的的安全标标记。（2）实现上上，由系系统通过过比较用用户的安安全级别别和客体体资源的的安全级级别来判判断是否否允许用用户进行行访问。访问控