基于风险的大数据访问控制研究综述

卢宁

虽然大数据被广泛使用，但数据安全已经引起了很多关注。其中，访问控制作为确保数据安全的一种方式也得到了学术界的广泛关注。本文简要回顾了近年来大数据风险访问控制的研究现状，展望了大数据访问控制的未来发展方向。

大数据

隐私保护 风险 访问控制

前言

随着移动设备、智能终端、传感器等网络和通信技术的高速发展，人类社会的数据种类和规模正在以前所未有的速度增长，人们已经步人了大数据（BigData）时代。但是大数据在广泛应用的同时也存在着安全隐患。如果对大数据的访问权限管理存在漏洞，则可能会存在用户隐私数据泄露的风险。例如2018年3月中旬《纽约时报》等媒体揭露称数据分析公司Camhridge Analytica违规使用Facehook数千万用户的数据。还有“棱镜门”和“查开房记录”等事件表明数据安全关乎国家、组织和个人的切身利益。因此，如何保护大数据的隐私已成为学术界的热门话题。

访问控制并不是解决大数据隐私保护问题的唯一方法，但它被公认为确保数据安全共享的重要手段之一。在大数据时代，为了更好地从数据中提取价值，与有偿或无偿地共享数据是不可避免的趋势。访问控制技术作为确保数据共享安全的重要手段仍将发挥其作用。

对访问控制模型的创新

杨宏宇提出了一个动态风险访问控制模型，其中使用了适应性风险评估权重指标。弥补了传统的ABAC模型改进方法复杂和风险评估指标权重固定的不足。高志敏根據授权是否可行的判断，扩大了风险的访问控制“安全”和“不安全”的二元性。但是没有考虑到实际情况中多组用户，任务和角色间的授权分配和风险计算。李甲帅根据用户的历史行为记录构造信息熵风险值计算函数，计算风险值及其波动来动态调整Hadoop平台下的用户访问权限。郑琪将风险引入基于XACML的多属性访问控制模型，并扩展了XACML框架。谢文冲在基于风险的XACML框架的基础上增加了一种基于访问目的的控制方法以提高模型的安全性。并在框架中使用信息汇总的方法以提高安全风险评估的准确性。

风险值量化的不同方法

杨宏宇构建了带有自适应权重分配的风险值量化公式，实现了对风险值的动态计算。石秀金将模糊理论，人工神经网络，小波分析和量子粒子群算法有机地结合起来，提出了一种模糊小波神经网络风险量化方法。通过模糊综合评判方法，对主体和客体的属性信息进行评估和量化。小波神经网络训练算法进行了改进和优化。赵斌提出了一种基于最小风险贝叶斯理论的基于风险最小化授权映射的方法，实现了访问控制中的准确授权操作。苑博林采用基于BP神经网络的方法计算风险值，并在用户与角色授予之间增加信任值计算。在角色和权限之间添加了风险控制策略，以使模型更可靠。但是没有对训练样本的数据有很好的把控，可能会导致错误结果的输出。惠榛等人运用信息熵和EM算法量化了两种医生侵犯病人隐私的风险值，对Wang的模型做出了改进。但是其对医生访问行为的熵值和配额消耗平均值均采用正态分布的假设有失偏颇。

小结

本文从基于风险的访问控制角度出发，回顾了当前大数据访问控制的关键技术和方法。但总体而言，目前国内外对大数据访问控制的研究还不够充分。只有通过技术手段和相关政策法规的结合，才能更好地解决大数据安全和隐私保护问题。

[1]吴小同.大数据环境下隐私保护及其关键技术研究[D].南京：南京大学，2017.

[2]http： //tech.qq.com/a/20180320/032157.htm[EB/OL].

[3]冯登国，张敏，李昊.大数据安全与隐私保护.计算机学报[J]，2014，37 （1）：246-258.

[4]杨宏宇，宁宇光.一种云平台动态风险访问控制模型.西安电子科技大学学报[J].2018. 45，（5）.

[5]高忐民，王声远.基于风险分析的应用系统访问控制模型[J].北京交通大学学报，2011.35（5）.

[6]李甲帅，彭长根等.面向Hadoop的风险访问控制模型[J].网络与信息安全学报2016.2（1）.

[7]郑琪.基于XACML的量化风险自适应的访问控制研究与实现[D].上海：复旦大学，2011.

[8]解文冲.基于风险的访问控制框架及相关技术研究[D].郑州：解放军信息工程大学，2013.

[9]杨宏宇，宁宇光.云平台访问控制自适应风险评估指标权重分配方法[J].计算机应用，2018.doi：10.117 72/j.is sn.1001-9081.2017122940.

[10]石秀金，于维华.基于模糊神经网络的访问控制风险量化方法[J].智能计算机与应用，2018.8（1）：31-35.

[11]赵斌，何泾沙.基于贝叶斯决策理论的风险最小化的授权映射方法[J].通信学报，2015.36（Zl）：157-161.

[12]苑博林.基于信任及风险的访问控制模型研究与系统的实现[D].沈阳：东北大学，2014.

[13]惠榛，李吴等.面向医疗大数据的风险自适应的访问控制模型[J].通信学报，2015.36（12）：190-199.

[14]WANG Q， JrN H.Quantifiedrisk-adaptive access control forpatlent prlvacy protection in healthinformation systems [A] .Proceedings of the 6th ACMSymposium on Information ，Computer and CommunicationsSecurity[C].ACM， 2011.406-410.