2014年，雖然大數據應用還沒有深入普及，但是已經有越來越多的行業用戶嘗試引入大數據相關技術解決如何管理、利用日益增長的各類數據，而往往隨之的安全問題也日益受到關注，為了確保防止黑客盜竊數據信息的風險，企業應該在轉移到充分利用大數據的優勢的同時，也相當有必要采取相關的安全措施來保護他們數據資產的完整性。國外著名的SSH通信安全專家Matthew bring日前撰文分析當前存在安全問題現狀，指出無視M2M身份驗證的風險是非常可怕的，而這些授權的管理不善可能導致嚴重的數據泄露，Matthew bring還給出一定的解決方案，最后呼吁增強身份管理，保證大數據安全。

以下為原文：

大數據不再是白日夢。各行業組織機構正在以越來越快的速度篩選從網絡數據中得出的可行性結論。90%的全球數據都是在過去的兩年中產生的，數據背后隱藏的是對用戶行為和市場趨勢的洞察，這些洞察可能永遠都無法通過其他渠道獲得，就連白宮甚至都已參與進來，他們近期在大數據研究項目上投資了2億美元。

隨著大數據變得更加容易使用，人們對安全訪問敏感數據集和其他領域的網絡等也更加關注。如果企業希望不冒著數據泄漏的風險從大數據中獲利，這些問題就必須得到有效解決。

確保M2M身份安全

要進行大數據分析，需要把大型數據集劃分成更易于管理的單個部分，然后分別通過Hadoop集群處理，最后將它們重新組合以產生所需分析。該過程高度自動化，涉及大量跨集群的機器對機器(M2M)交互。

在Hadoop的基礎設施會發生幾個層次的授權，具體包括：

訪問Hadoop集群

簇間通信

集群訪問數據源

這些授權往往是基于SSH(Secure Shell)密鑰的，其對于使用Hadoop是理想的，因其安全級別支持自動化的M2M通信。

許多基于流行的基于云計算的Hadoop服務也使用SSH作為訪問Hadoop集群的認證方法。確保了授予訪問大數據環境中的身份應該是一個高優先級的，但其也具有挑戰性。這對于那些想要像使用Hadoop一樣使用大數據分析的公司來說是一個很大的挑戰。有些問題直截了當：

誰來建立運行大數據分析的授權?

一旦建立授權的人離職，會出現什么問題?

授權提供的訪問級別是否基于“須知”安全準則?

誰可以訪問授權?

如何管理這些授權?

大數據并不是需要考慮這些問題的唯一技術。當越來越多的業務流程自動化，這些問題將遍布數據中心。自動化的M2M交易占到了數據中心所有通信的 80%，然而大部分管理員則把焦點集中在員工帳戶相關聯的20%的通信流量。大數據將成為下一個殺手級應用，全面管理以機器為主的身份變得迫在眉睫。

風險

眾所周知的數據泄漏包括濫用以機器為主的證書，這體現了忽視M2M身份驗證的現實風險。當企業在管理終端用戶身份上取得很大進步時，卻忽視了應以同樣標準處理機器為主的身份驗證的需求。其結果就是使整個IT環境遍布風險。

然而，對于想要將集中的身份和存取管理(盡可能的)應用到數百萬基于機器的身份來說，改變運行中的系統是一個很大的挑戰。不中斷系統遷移環境是一項復雜的工作，所以企業一直在猶豫也不足為奇。

密鑰管理的不良狀況

密鑰管理的現狀一直很糟糕。為了管理用于保護M2M通信的認證密鑰，許多系統管理員使用電子表格或自編腳本來控制分配、監控和清點密鑰。這種做法漏掉了許多密鑰。想來他們也沒有設置常規掃描，于是未被授權的非法途徑便在不知不覺中添加進來。

缺少對密鑰的集中控制嚴重影響法規遵從。以金融行業為例，規定要求必須嚴格控制誰可以訪問敏感數據，比如最近強化了的PCI標準要求任何接受支付卡的地方——銀行、零售商、餐館和醫院等——均需依照同樣標準執行，無一例外。由于這些行業目前正在迅速果斷的執行大數據戰略，來分得用戶驅動數據大潮的一杯羹，他們越來越容易違背法規并面臨監管制裁。

安全步驟

組織機構必須承認并應對這些風險。這些步驟是行動開始的最佳做法：

很少有IT人員知道身份的存儲位置、訪問權限，以及其支持的業務流程。因此，第一步是被動非侵入的發現。

環境監測是必須的，這樣才能確定哪些身份是活躍的，哪些不是。幸運的是，在許多企業中，未使用的——因此也是不需要的——身份往往占絕大多數。一旦這些未使用的身份被定位并移除，整體工作量便會大大降低。

下一步是集中控制添加、更改和刪除機器身份。這樣一來，政策便可以控制身份如何使用，確保沒有非托管的身份添加，并提供法規遵從的有效證明。

隨著可見性和管理控制的確定，必要但在違反政策的身份可以在不中斷業務流程的情況下進行校正。集中管理可對該身份的權限級別進行修正。

安全策略

大數據的興起伴隨著數據存取控制的新型風險。M2M身份管理必不可少，但是傳統的人工IAM做法效率低且風險高。盤點所有密鑰，使用最優方法可以節省時間和金錢，同時提高安全性和法規遵從。由于大數據增加了訪問敏感信息的認證門檻，組織機構必須采取積極措施，推出全面一致的身份和存取管理策略。