Page 112 - 大数据背景下计算机信息安全及防护

大数据背景下计算机信息安全及防护
Computer Information Security and Protection in the Context of Big Data

（四）数据访问授权与鉴权技术
大部分的系统都采用基于用户角色的授权模型。作为各种系统的权限控制部
分的架构，用于控制用户权限。而权限即是用于限制行为主体与行为之间的关系。
基于角色的授权模型中定义了 3 个对象和 2 个关系，3 个对象分别是用户、角色、

资源，2 个关系指用户到角色的关系和角色到资源的关系。一个用户可以属于多
个角色，而一个角色下面也可以有多个用户。同样，角色和权限之间也是这种多
对多的关系，即用户和角色是多对多，角色和资源是多对多。授权操作需要通过
审批后方可予以实施。用户尝试访问高于自己权限要求的数据时，将被系统权限

系统拦截，此时可以根据需要进行权限申请审批流程。值得注意的是，一种典型
的情况是用户根据元数据系统记录的信息找到相应的表或者字段后，进行统一的
权限申请。经过对应的上层管理者、企业管理者审核后，交由权限管理者或者由
集成后的授权 API 自动调用完成授权。鉴权（authentication）是指验证用户是否

拥有访问系统的权利。传统的鉴权是通过密码来验证的。这种方式的前提是每个
获得密码的用户都已经被授权。这种方式下，密码就显得尤为重要，一旦密码泄
漏，必须重新修改密码，修改之前还需进行身份认证。为了解决这一方式的不足，
可以通过认证授权来验证数字签名是否正确。

（五）数据审计与溯源技术
数据安全审计可通过系统平台中资产管理和安全保障、异常和审计事件、安
全性变化从源头杜绝数据泄露。安全审计基于风险识别的结果。中台系统应该在
使用过程中详细记录数据访问的日志，包括项目、表名、表备注、列名、列备注、

查询时间、风险识别规则、SQL 详情。通过风险规则的配置和应用，安全系统应
该从海量的访问记录中标记出风险行为，方便人工进行复查和审计。一套完善的
审计机制能够为数据安全带来两个价值：①事中告警。数据的访问、使用、共享、
流转、使用过程中一旦出现可能导致数据外泄、恶意攻击行为时，审计机制可以

在第一时间发现并同时发出威胁预警，通知管理人员或者运营人员。相关人员在
第一时间获取信息后，可以针对该行为进行阻断，从而避免后续进一步的损失或
损失的扩大化。所以，审计机制可以通过短信、监控页面报警等方式发出告警通
知。事中告警应该严格控制范围，只应用到需要的数据上，防止安全团队因忙于

应付不重要的安全问题而忽略了部分重要的安全风险。②事后溯源。数据的访问、
使用过程出现信息安全事件之后，可以通过审计机制对该事件进行追踪溯源，确

·102·