阳光保险集团：大数据平台安全体系建设

  阳光保险集团根据大数据平台的部署架构，在资源、鉴权、认证、接入、网络五个层面进行安全体系的建设。平台采用租户形式的资源隔离、Kerberos身份认证、Sentry鉴权、接入层跳板机机制、IP白名单等方式建设大数据平台的安全体系。

  作为集团公司，充分的发挥了集团公司资源共享的优势，为各主体子公司提供资源支持与战略指引，在业务层提供战略方向的同时，在科技层面也需要赋能集团各主体子公司，提升公司整体科技能力，体现出集团服务各主体子公司的职能特点。

  集团公司搭建大数据平台安全体系，为各子公司提供良好的大数据资源和技术安全访问环境，大数据平台安全体系能稳步提升公司数据安全能力

  白名单规则，CDH集群端口分为数据交换类接口和管理类接口两种形式，为最大限度保障CDH集群的安全访问。数据交换类端口，只针对白名单用户开放，且根据安全部权限最小化原则，仅开放主机到数据端口的访问。管理类端口，不涉及业务数据交换的控制台仅提供只读用户权限用于查询平台相关信息。

  接入层跳板机机制，大数据平台和接入层跳板机皆采用双网卡形式链接，平台内部通过私网(万兆网卡)链接。外部无法直接访问私网，须通过接入层跳板机进行访问。

  Kerberos身份认证系统，是大数据集群普遍的认证方式，存在与用户与服，服务于服务之间，通过统一的KDC服务器，完成用户认证。

  租户的运营方式，产寿集团共享平台资源，通过资源池化、分组隔离和接入层等方式，解决大数据平台资源争抢的问题，再加上定期资源容量监控和需求征集，合理的安排集群扩容。

  大数据安全体系的建设，经过沟通讨论并通过4个月的建设和推广后成形，项目建设过程关键工作分为以下几个部分：

  根据大数据平台技术架构，调研同业或开源有关的资料，以资源、鉴权、认证、接入、网络五个层面作为安全体系的建设的切入点，详细分析各个层面的安全策略方案。

  针对性完成安全体系的建设。根据沟通讨论结果，协调相关资源进行安全体系的建设。例如：网络层增加白名单访问规则，用户增加认证、鉴权，各主体已租户形式资源隔离等。

  大数据平台集群规模达到近百台服务器，可提供计算资源CPU：3288C、内存，20229G；用于 IMPALA的共有内存 2768.8G；存储资源共有 1971.1T；共接入用户项目数89个，包括寿险再保系统、寿险vip 系统、寿险实名账号系统、产险非车系统、精算系统等。安全体系从系统入口就保障了大数据平台的数据安全。同时，大数据平台监控系统增加系统运行产生问题的透明程度，能及时有效地发现问题，优化平台，处理问题及未然。

  各使用部门均表示大数据平台安全体系的建设对公司科学技术创新贡献巨大，无论是数据安全还是技术创新，甚至系统运营监控手段等方面都有非常大的创新和变革，项目实施效果非常明显，得到公司上下各级领导的认可。

  大数据安全体系的建设，逐步提升了公司数据安全的能力，为阳光保险的数智化转型提供了有力支持。

  通过自主完成大数据平台安全体系建设，较通过采购防火墙、核心交换机等设备的方式实现安全体系能节约成本约284万。

  大数据平台极大的改善业务运营能力，但也因其分布式部署、组件种类众多等原因，存在一定的安全风险隐患。

  经过安全体系的建设，能更有效的保证大数据平台的数据安全。通过此次安全体系的建设，也将大数据平台从用户、网络、数据等各层面的技术组件进行了一次全面的分析和了解。通过各部门协作最终形成的一套完整的安全体系，弥补了大数据平台自身的安全隐患。