一種Hive平臺(tái)的用戶安全管理系統(tǒng)及應(yīng)用
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及一種面向用戶數(shù)據(jù)存儲(chǔ)的技術(shù)和方法，特別是一種面向Hive平臺(tái)的用戶安全管理系統(tǒng)及方法。
【背景技術(shù)】
[0002]現(xiàn)如今，大規(guī)模數(shù)據(jù)的存儲(chǔ)已經(jīng)成為一個(gè)重要的安全問題，主要的安全威脅表現(xiàn)在:(I)存儲(chǔ)設(shè)備被偷導(dǎo)致存儲(chǔ)設(shè)備上的數(shù)據(jù)泄露；(2)內(nèi)部人員竊取公司內(nèi)部數(shù)據(jù)；(3)外部人員入侵公司存儲(chǔ)系統(tǒng)獲得隱私數(shù)據(jù)；(4)員工的粗心導(dǎo)致數(shù)據(jù)的泄露。近年來，隨著互聯(lián)網(wǎng)的重心逐步向著移動(dòng)互聯(lián)網(wǎng)轉(zhuǎn)移，各種新型智能移動(dòng)設(shè)備的迅速普及，海量數(shù)據(jù)爆發(fā)，大規(guī)模移動(dòng)客戶端信令數(shù)據(jù)的數(shù)據(jù)安全存儲(chǔ)問題受到了信令數(shù)據(jù)產(chǎn)生方、存儲(chǔ)方、以及信息安全研究人員等多方面的密切關(guān)注。其中，由于傳輸設(shè)備被偷所導(dǎo)致的數(shù)據(jù)泄露可以通過加強(qiáng)存儲(chǔ)設(shè)備存放點(diǎn)的安全、對(duì)存儲(chǔ)設(shè)備上的信息進(jìn)行加密等方式進(jìn)行有效防止。而對(duì)于其它三種安全威脅，通過訪問控制防止用戶對(duì)大規(guī)模數(shù)據(jù)存儲(chǔ)系統(tǒng)的越權(quán)訪問是簡單、高效的方式。
[0003]專利申請(qǐng)?zhí)?CN201310056349.2公開了一種具有一體化安全管控功能的信息安全管理方法，它提供了一種具有強(qiáng)大的一體化安全管控功能的信息安全管理方法，包括資產(chǎn)管理、網(wǎng)絡(luò)拓?fù)涔芾?、性能監(jiān)控、安全事件管理、流量行為監(jiān)視、流量異常檢測(cè)、脆弱性管理、風(fēng)險(xiǎn)評(píng)估、安全態(tài)勢(shì)分析、安全管理關(guān)鍵指標(biāo)分析、告警管理、工單管理、報(bào)表管理、知識(shí)管理、級(jí)聯(lián)管理、用戶管理和系統(tǒng)管理。該發(fā)明主要為不同層級(jí)的用戶提供了多視角、多層次的管理視圖；支持對(duì)大部分主流IT軟硬件資產(chǎn)的監(jiān)控;對(duì)于各種監(jiān)控對(duì)象都能進(jìn)行全方位細(xì)粒度的監(jiān)控，但在數(shù)據(jù)存儲(chǔ)的安全性方面略有不足，沒有針對(duì)數(shù)據(jù)存儲(chǔ)的安全管理方法。
[0004]專利申請(qǐng)?zhí)?CN201220458504.4公開了一種基于云桌面的內(nèi)網(wǎng)信息安全管理系統(tǒng)，該系統(tǒng)包括數(shù)據(jù)來源服務(wù)器、核心網(wǎng)絡(luò)設(shè)備、安全網(wǎng)關(guān)服務(wù)器、上網(wǎng)行為管理服務(wù)器、數(shù)據(jù)存儲(chǔ)中心和云桌面系統(tǒng)，云桌面系統(tǒng)包括控制端和若干桌面虛擬客戶端，其中數(shù)據(jù)來源服務(wù)器通過所述核心網(wǎng)絡(luò)設(shè)備連接安全網(wǎng)關(guān)服務(wù)器，云桌面系統(tǒng)的控制端通過所述核心網(wǎng)絡(luò)設(shè)備控制其連接的若干桌面虛擬客戶端，核心網(wǎng)絡(luò)設(shè)備連接所述上網(wǎng)行為管理服務(wù)器，上網(wǎng)行為管理服務(wù)器還連接所述數(shù)據(jù)存儲(chǔ)中心，上網(wǎng)行為管理服務(wù)器通過所述路由器連接外網(wǎng)。該發(fā)明以云桌面為技術(shù)支撐，以身份認(rèn)證為基礎(chǔ)，以數(shù)據(jù)安全為核心實(shí)現(xiàn)對(duì)內(nèi)網(wǎng)中用戶、計(jì)算機(jī)和信息的安全管理，屬于一個(gè)局域網(wǎng)的安全管理系統(tǒng)，并非不能對(duì)大吞吐量的數(shù)據(jù)存儲(chǔ)進(jìn)行安全管理。
[0005]現(xiàn)有的安全專利和Hive系統(tǒng)實(shí)現(xiàn)的安全管理功能在用戶認(rèn)證和訪問控制方面，大多依賴傳統(tǒng)的身份認(rèn)證比如Kerberos和訪問控制如ACL訪問控制列表的技術(shù)，特別在訪問控制方面，除去ACL訪問控制機(jī)制過于簡單外，只簡單的綁定了用戶和訪問對(duì)象固定的訪問關(guān)系，沒有考慮用戶本身的行為特性。

【發(fā)明內(nèi)容】

[0006]針對(duì)上述存在問題或不足，本發(fā)明提供了一種Hive平臺(tái)的用戶安全管理系統(tǒng)及方法。
[0007]Hive平臺(tái)的用戶安全管理系統(tǒng)，它包括訪問控制與安全審計(jì)單元、數(shù)據(jù)查詢單元以及身份認(rèn)證單元；
[0008]所述的訪問控制與安全審計(jì)單元包括安全審計(jì)服務(wù)器和訪問控制服務(wù)器；
[0009]所述的數(shù)據(jù)查詢單元包括HDFS服務(wù)器、NameNode服務(wù)器和Hive服務(wù)器；
[0010]所述的身份認(rèn)證單元包括LDAP服務(wù)器和票據(jù)管理服務(wù)器；
[0011]用戶安全管理系統(tǒng)由五個(gè)路由器連接各單元，第一路由器分別與防火墻、安全審計(jì)服務(wù)器和第二路由器連接，用戶終端經(jīng)過防火墻訪問系統(tǒng)；第二路由器分別與身份認(rèn)證服務(wù)器及第三路由器連接;第三路由器分別與訪問控制服務(wù)器及第四路由器連接;第四路由器分別與Hi ve服務(wù)器及第五路由器連接;第五路由器分別與HDFS服務(wù)器及NameNode服務(wù)器連接；
[0012]所述的訪問控制與安全審計(jì)單元用于維護(hù)信息、訪問控制策略及審計(jì)跟蹤策略；接收來自數(shù)據(jù)查詢單元的查詢?cè)S可確認(rèn)請(qǐng)求，查詢本地?cái)?shù)據(jù)庫對(duì)查詢進(jìn)行基于角色和動(dòng)態(tài)權(quán)限結(jié)合的許可確認(rèn)，并將確認(rèn)結(jié)果返回給數(shù)據(jù)查詢單元;動(dòng)態(tài)權(quán)限基于用戶行為，從登陸時(shí)間間隔、查詢時(shí)間間隔、查詢數(shù)量計(jì)數(shù)等方面進(jìn)行訪問控制檢查，并根據(jù)檢查結(jié)果試試動(dòng)態(tài)更新控制規(guī)則;提供審計(jì)跟蹤功能，建立系統(tǒng)日志記錄;所述的訪問控制與安全審計(jì)單元還包括有權(quán)限生成模塊；
[0013]所述數(shù)據(jù)查詢單元，接收來自用戶終端的數(shù)據(jù)查詢請(qǐng)求，調(diào)用訪問控制與安全審計(jì)單元確認(rèn)用戶的訪問權(quán)限；查詢請(qǐng)求合法即在Hadoop平臺(tái)進(jìn)行數(shù)據(jù)查詢，并將查詢結(jié)果返回給用戶終端，反之則拒絕執(zhí)行用戶查詢，并通知用戶查詢權(quán)限不合法;Hive服務(wù)器將結(jié)構(gòu)化的數(shù)據(jù)文件映射為一張數(shù)據(jù)庫表，能存儲(chǔ)、查詢和分析存儲(chǔ)的大規(guī)模數(shù)據(jù)，并提供簡單的SQL查詢功能;HDFS服務(wù)器提供高吞吐量的數(shù)據(jù)訪問，能實(shí)現(xiàn)流的形式訪問文件系統(tǒng)中的數(shù)據(jù);NameNode服務(wù)器用于各節(jié)點(diǎn)的數(shù)據(jù)轉(zhuǎn)移和數(shù)據(jù)調(diào)度；
[0014]所述身份認(rèn)證單元中，LDAP服務(wù)器對(duì)用戶身份及其查詢請(qǐng)求進(jìn)行認(rèn)證，為用戶查詢和相關(guān)服務(wù)的申請(qǐng)產(chǎn)生相應(yīng)的票據(jù)，并維持與用戶信息相關(guān)的數(shù)據(jù)管理;該服務(wù)作為可卸載插件式服務(wù)，當(dāng)用戶對(duì)其性能不滿意或者有更好的替代服務(wù)時(shí)，可以將此服務(wù)替代，將其他認(rèn)證服務(wù)掛載上去完成身份認(rèn)證服務(wù)。
[0015]上述Hive平臺(tái)的用戶安全管理系統(tǒng)的應(yīng)用，它包括有以下步驟:
[0016]S1:用戶注冊(cè)，用戶將用戶注冊(cè)名和用戶密碼等相關(guān)信息填寫好提交LDAP服務(wù)器，LDAP服務(wù)器驗(yàn)證用戶名合法后，將用戶名和密碼寫入數(shù)據(jù)庫，將用戶ID返回給用戶終端，并通知管理員用戶，管理員用戶通過為用戶分配角色進(jìn)行用戶權(quán)限分配；
[0017]S2:用戶登錄，用戶將用戶名和用戶密碼等相關(guān)信息填寫好提交服務(wù)器，服務(wù)器接收到后傳遞給LDAP服務(wù)器對(duì)用戶進(jìn)行身份認(rèn)證后，通知權(quán)限模塊加載權(quán)限，并通過票據(jù)生成單元生成用戶票據(jù)和票據(jù)維護(hù)信息，將票據(jù)返回客戶端，同時(shí)返回客戶端登陸結(jié)果信息；用戶提供的用戶名和密碼信息不合法，則拒絕用戶登錄并通知客戶端登錄出錯(cuò)信息；
[0018]S3:用戶查詢，用戶向服務(wù)器發(fā)送查詢請(qǐng)求，查詢請(qǐng)求附帶票據(jù)，Hive服務(wù)器接收到查詢請(qǐng)求后解析并驗(yàn)證票據(jù)有效性，票據(jù)有效時(shí)再對(duì)查詢請(qǐng)求進(jìn)行解析，調(diào)用接口提交解析后信息給訪問控制服務(wù)器，進(jìn)行訪問控制，通過訪問控制后，將查詢請(qǐng)求傳遞給Hive，由Hive訪問HDFS獲取數(shù)據(jù)；用戶提出的查詢請(qǐng)求是越權(quán)行為或者用戶票據(jù)無效，則拒絕執(zhí)行用戶查詢，并通知用戶查詢權(quán)限不合法；
[0019]S4:審計(jì)存儲(chǔ)，整個(gè)過程安全審計(jì)服務(wù)器對(duì)用戶所有請(qǐng)求進(jìn)行審計(jì)存儲(chǔ)和日志管理，管理員用戶通過檢查審計(jì)日志監(jiān)控用戶對(duì)數(shù)據(jù)存儲(chǔ)系統(tǒng)的使用情況，和數(shù)據(jù)存儲(chǔ)系統(tǒng)遭受非法使用的相關(guān)信息。
[0020]本發(fā)明專利基于輕量級(jí)的身份認(rèn)證，基于角色的訪問控制和動(dòng)態(tài)權(quán)限相結(jié)合，實(shí)現(xiàn)了一套認(rèn)證，防控和審計(jì)一體化的安全管理系統(tǒng)，符合大數(shù)據(jù)應(yīng)用的企業(yè)安全需求，并且創(chuàng)新性的提出了面向用戶行為的動(dòng)態(tài)權(quán)限和訪控機(jī)制，使得系統(tǒng)獲得更加靈活的安全特性。同時(shí)，我們創(chuàng)新性的使用多級(jí)路由架構(gòu)，使得各個(gè)模塊根據(jù)邏輯要求分級(jí)獨(dú)立處理，可以靈活拆卸更新，同時(shí)不同路由下的不同服務(wù)器執(zhí)行各自的功能，更加適用于Hive大數(shù)據(jù)場(chǎng)景，避免了單機(jī)功能交錯(cuò)復(fù)雜，業(yè)務(wù)效率降低等缺點(diǎn)。
[0021]本發(fā)明的有益效果是:提供了強(qiáng)大的高吞吐量的存儲(chǔ)系統(tǒng)，并設(shè)計(jì)為多級(jí)路由的安全管理系統(tǒng)，使得安全模塊可卸載，更新升級(jí)以及更替新的安全模塊十分方便;具有身份認(rèn)證和票據(jù)管理策略，防止匿名用戶和非法用戶訪問系統(tǒng)；具有訪問控制策略和審計(jì)跟蹤策略，防止用戶對(duì)大規(guī)模存儲(chǔ)系統(tǒng)的越權(quán)訪問行為，能安全有效的防止數(shù)據(jù)存儲(chǔ)設(shè)備被偷竊導(dǎo)致數(shù)據(jù)泄露，防止外部人員入侵存儲(chǔ)系統(tǒng)獲得隱私數(shù)據(jù)，同時(shí)提供給管理員用戶有效的用戶行為審計(jì)監(jiān)控能力。
【附圖說明】
[0022]圖1為本發(fā)明的系統(tǒng)模塊結(jié)構(gòu)示意圖；
[0023]圖2為本發(fā)明的系統(tǒng)部署結(jié)構(gòu)示意圖；
[0024]圖3為本發(fā)明的安全管理方法的流程圖。
【具體實(shí)施方式】
[0025]下面結(jié)合附圖進(jìn)一步詳細(xì)描述本發(fā)明的技術(shù)方案，但本發(fā)明的保護(hù)范圍不局限于以下所述。
[0026]如圖1、圖2所示，一種Hive平臺(tái)的用戶安全管理系統(tǒng)，它包括訪問控制與安全審計(jì)單元、數(shù)據(jù)查詢