星环科技 TDH 基于 Overlay 网络架构为数据安全保驾护航

近年来数据安全相关政策制度陆续推出，数据安全和隐私保护相关政策体系也在不断完善。保证数据安全下的数据开放与服务能力已然成为当前行业发展热点。在数据安全法正式通过后，保障数据安全合规使用成为当前企业用户的一大需求。本篇文章将为您讲述星环科技大数据基础平台 TDH 是如何基于 Overlay 网络架构为用户提供全链路的数据安全保护能力。

业务背景

传统的网络安全概念建立在边界安全的框架之上，需要找出网络的安全边界，并将网络划分为外网和内网等不同区域。但前提是网络内部是安全可信的，一旦攻击者突破防御进入内网，整个网络的安全防护就失去了功效。零信任理念的提出将公共和私人网络的边界消除，它认为整个网络是不可信的，不信任任何用户、设备终端和数据，在进入网络访问资源之前需要进行一定的身份认证和授权。但是，并非每个企业都拥有实施零信任网络的能力，企业必须拥有大量的预算、人力、资源和时间来开发，构建、维护零信任网络架构。伴随着互联网的高速发展，数据流量呈现爆发增长的趋势，不同类型的数据流量也具有不同的性能要求。并且，数据流也在增加控制器的负载，在高流量负载的情况下，可能会出现丢包或显著延迟。上述这些特性给目前网络架构带来效率低、可扩展性差、安全性较弱、维护困难等问题。

软件定义网络是一种新兴的网络架构，由应用层、控制层和基础设施层组成。它将网络设备的控制和数据转发层解耦，引入了一种更灵活的方式来管理具有高度可编程性的网络流量--Overlay 网络技术。Overlay 指的是在网络架构上叠加的虚拟化技术模式，该技术采用细粒度的软件定义流量控制来实现网络的安全性和可控性。通过使用 Overlay 技术，企业可以实现应用在网络上的承载并充分具备大规模扩展以及负载均衡的能力，不受物理网络设备的多种限制。比如，该技术可以做到在物理 IP 变更的情况下，不改变虚拟 IP，不影响对 IP 敏感的系统等等。基于 Overlay，企业可以实现容器跨主机通讯，数据传输等操作。然而，在 Overlay 网络上实现的多租户数据架构存在一定的安全隐患，比如共享数据服务器中的敏感数据存在暴露给恶意攻击者或竞争对手的风险。因此，网络安全管控至关重要。

TDH 基于 Overlay 网络架构全方位保护数据安全

Transwarp Data Hub（TDH）是星环科技自主研发的一站式多模型数据管理平台，采用了创新的多模型技术架构和统一的数据管理，可以构建服务于整个企业的统一数据资源库，彻底打破不同部门间的数据隔阂，使得部门间的数据灵活调用有了技术支撑，有效降低了用户的开发成本以及运维成本。

TCOS 是星环科技推出的一款结合大数据技术与容器技术的云原生操作系统，通过零信任技术构建安全基础能力来实现隐私计算安全区，支撑大数据服务进行联邦学习与可信计算时对计算安全、数据安全、网络安全的需求。基于 TCOS 容器层的身份认证与权限管控机制，星环科技大数据基础平台 TDH 采用 kubernetes Overlay 网络技术实现了网络层面的管控，保证了集群内部网络和外部网络安全可控的访问权限控制，该模型不仅降低了用户使用网络进行访问控制的难度，还提高了数据中心网络的可用性、安全性和可靠性。为了有效扼制安全隐患以及数据泄露风险，TDH 在数据生命周期的各个阶段进行全链路敏感数据动态感知与防护，包括备份和恢复方案，数据清理方案，数据销毁工作流程，介质的使用、转储、送修、销毁及对存储环境进行分级管理，全方位地实现数据安全管理的标准化、智能化。通过 TDH 统一的数据访问接口，用户无需再考虑底层数据库、平台的 SQL 语法、存储位置和拓扑，极大地提升产品易用性。

平台内的安全保护能力

采取存储加密、权限控制策略，确保数据安全可控

云计算可以根据用户的需要提供计算能力或数据存储等计算资源。其优势在于租户可以通过网络获取到无限的资源，且不受时间和空间的限制。因此，云计算可以提供一种灵活的方式在多个租户之间有效地共享数据。但是，敏感数据在公共云中存储和处理很容易带来数据安全隐患，而且多租户数据架构也存在数据暴露给商业竞争对手或恶意攻击者的风险。为了支持云计算环境中安全高效的数据共享，并确保数据存储与通信的安全，TDH 支持用户在数据写入存储介质前将数据进行加密，从而实现数据的存储加密，最大程度的确保数据的机密性与安全性。并且，TDH 通过采用安全传输协议提供了一个加密的通信流，对客户端和服务器进行加密和验证，确保数据发送到正确的客户端和服务器并防止数据传输中途被窃取或被篡改，维护了数据的完整性。

此外，为了保障集群的安全，更好的认证和授权服务成为刚需。TDH 提供统一的安全控制和资源管理的中央服务组件，实现了细粒度权限控制和租户管理功能，保障内网的安全性。通过严格的权限控制功能，平台对各方数据交换和运算过程进行保护，防止数据泄露和逆推。

具备可信计算能力，预防恶意软件、网络攻击、配置错误所引发的安全隐患

用户在使用云平台时，常常会遇到以下风险：

恶意软件：容器镜像运行时可能携带不受信任的软件，甚至是恶意软件；

网络攻击：容器引擎本身配置不当或被操纵，可能会引入漏洞；

配置错误：错误配置的程序，没有启用安全特性以及与安全相关的最佳配置来配置产品的运行参数，最终导致有安全漏洞

因此，TDH 平台基于可信计算能力验证容器引擎的完整性及其运行时的配置，以确保恶意用户无法利用容器引擎本身获取主机权限。其对主机操作系统本身也进行了验证，尽可能的限制恶意用户对软件以及不安全的配置对宿主机进行攻击。TDH 通过采用可信计算架构针对各种软件问题提供强大的保护，防止软硬件与数据因偶然或恶意的原因而遭受到破坏、更改、暴露。由此，用户可以安全地存储和操作敏感数据。

应用基于容器技术的隔离，预防容器逃逸风险

多个容器之间使用的是同一宿主机的操作系统内核，容器的隔离性很弱。缺乏与主机的隔离可能会增加被攻击的可能性，任何恶意代码都可能扩散到其他容器和底层操作系统。主机上存在隐患的容器也可能会危及其他容器的安全，从而危及整个系统。所以多个容器共享主机资源的多租户容器基于云的系统很容易受到信息泄漏等威胁。当攻击者通过应用层面漏洞进入容器内，如果不进行彻底的隔离，一旦发生容器逃逸问题，则宿主机的数据很容易被攻击获取。TDH 应用基于容器技术的隔离，防止产生容器逃逸等风险隐患，保护整个系统的机密性、保密性、完整性以及可用性。

提供丰富组件，全方位保护数据隐私

TDH 创建了安全、可控、有迹可循的软硬件数据访问环境，作为安全管理的核心基础，平衡了保密性与可用性，保障了网络信息安全。平台还对数据隐私采取了一系列的安全手段杜绝其泄露和被滥用的风险。

例如，大数据安全管理组件 Transwarp Guardian 为 TDH 提供集中的安全和资源管理服务。它支持 LDAP 和 Kerberos，可以保护集群免受恶意攻击和安全威胁，而且还可以对资源做细粒度的 ACL 控制以实现网络访问控制，保障内网的安全性。在 Guardian 的安全保护下，所有的应用服务都可以借助 Kerberos 实现数据加密，或者通过 LDAP 实现身份验证，增加企业级安全性并进行统一的数据权限管控。此外，Guardian 还实现了租户级别的资源管理，其通过图形化工具为用户提供权限配置以及资源配置接口，全方位提供安全保护。

下图列举了 TDH 在数据生命周期各阶段所采取的手段：

随着越来越多的终端设备加入网络，数据交互和资源访问也越来越频繁，网络安全逐渐成为热点话题。星环 TDH 具备基于零信任技术构建的安全基础能力，其在 kubernetes Overlay 网络上自定义安全数据访问模型，并提供基于用户和角色的权限访问控制功能，增加企业级安全性并进行统一的数据权限管控。TDH 配套的 Transwarp Aquila、Manager、Audit、Guardian 等工具组件也让系统的安装部署、扩容升级、安全防卫、风险告警、权限管理等工作变得更便捷，不仅能够减小运维人员的操作难度，也能让企业管理人员更轻松的管控数据访问权限，避免各类数据安全问题。