磁盤上的數(shù)據(jù)（在線存儲(chǔ)）

近來(lái)，數(shù)據(jù)中心機(jī)密客戶數(shù)據(jù)丟失事件屢見(jiàn)報(bào)端。現(xiàn)在的加密方法通常是利用一個(gè)密匙，以一種特殊的方法來(lái)轉(zhuǎn)換數(shù)據(jù)。在數(shù)據(jù)被加密后，必須破譯密匙，才能利用數(shù)據(jù)。目前業(yè)內(nèi)有多種數(shù)據(jù)加密運(yùn)算法則，比如數(shù)據(jù)加密標(biāo)準(zhǔn)（DataEncryptionStandard，DES)、三重DES（Triple-DES）、高級(jí)加密標(biāo)準(zhǔn)（AdvancedEncryptionStandard，AES）

 

加密很重要的一點(diǎn)是密碼的長(zhǎng)度。如果一個(gè)密碼很短，假如只有10位，那就只有1024種可能性。利用一臺(tái)PC機(jī)，可能只需要一秒鐘的時(shí)間就能將1024種可能的密碼全部試一遍，然后找到正確的密碼。這就是所謂的“破解”密碼。如果密碼很長(zhǎng)，比如說(shuō)有1000位，那就有2^1000可能性，那么，用現(xiàn)有所有的計(jì)算機(jī)算一百萬(wàn)年也無(wú)法都試一遍。

 

然而，以現(xiàn)在磁盤的I/O速度，用1000位的密碼加密是完全不切實(shí)際的。從實(shí)際出發(fā)，加密算法和密碼的長(zhǎng)度必須根據(jù)現(xiàn)有的高速加密/破譯VLSI設(shè)備來(lái)選擇。這就是說(shuō)，如果密碼太復(fù)雜，一旦某個(gè)專業(yè)政府組織確實(shí)想要“破譯”他們的磁盤上究竟有些什么東西，那沒(méi)有一家商業(yè)機(jī)構(gòu)可以破譯，更不用提黑客了。

 

目前密碼的長(zhǎng)度通常是100位至150位。密碼必須是隨機(jī)選擇的，如果密碼被猜到，那安全就受到威脅了。加密磁盤上的數(shù)據(jù)需要適當(dāng)?shù)孛艽a管理，這就是說(shuō)必須平衡更改密碼的困難（所有數(shù)據(jù)必須重寫）和丟失密碼的危險(xiǎn)。

 

保存多份密碼的副本意味著安全更有可能會(huì)受到威脅，只保留一份副本或幾份副本則意味著密碼更有可能因?yàn)橐粋�(gè)系統(tǒng)故障或人為錯(cuò)誤而被毀壞。目前市面上已經(jīng)有密碼管理軟件，但是管理加密數(shù)據(jù)是否成功更多地取決于人而不是技術(shù)。

 

磁帶，光盤，其他媒介（近線存儲(chǔ)）的數(shù)據(jù)

 

備份磁帶上的數(shù)據(jù)是很容易被竊取，不僅僅是從安全的數(shù)據(jù)中心，有些時(shí)候從不太安全的分支辦公室竊取。而且備份磁帶上的數(shù)據(jù)丟失相比磁盤更難被發(fā)現(xiàn)。這就需要為備份磁帶上的數(shù)據(jù)進(jìn)行加密。

 

目前，這樣的加密已經(jīng)可以實(shí)現(xiàn)，利用上文討論到的加密工具就可以了。鑰匙管理成為了一個(gè)極具挑戰(zhàn)性的問(wèn)題，因?yàn)槿绻�要獲取磁帶上的數(shù)據(jù)，就必須保留每個(gè)已知備份磁帶的鑰匙。

 

管理安全

存儲(chǔ)設(shè)備的基本管理安全遠(yuǎn)沒(méi)有加密技術(shù)這樣花哨，管理安全是現(xiàn)在必須重視的重要領(lǐng)域。這個(gè)領(lǐng)域目前處于過(guò)渡期。

 

以前，存儲(chǔ)只是屬于某個(gè)系統(tǒng)，存儲(chǔ)管理軟件運(yùn)行在那個(gè)系統(tǒng)上，唯一的存儲(chǔ)安全是（存儲(chǔ)管理安全）是由系統(tǒng)提供。

 

隨著存儲(chǔ)被多個(gè)系統(tǒng)共享，特別是一個(gè)管理實(shí)體被安裝在一個(gè)或多個(gè)系統(tǒng)上，存儲(chǔ)管理員就需要通過(guò)密碼來(lái)管理某一特別的陣列。這是當(dāng)前業(yè)界普遍采用的方法，而且在只有一個(gè)管理員管理適當(dāng)數(shù)量的存儲(chǔ)時(shí)，這個(gè)方法效果很好。

 

然而，在過(guò)去幾年中，存儲(chǔ)需求快速增加，需要多個(gè)管理員來(lái)管理存儲(chǔ)，關(guān)于允許哪個(gè)管理員在哪臺(tái)存儲(chǔ)設(shè)備上可以執(zhí)行怎樣的行動(dòng)有更加詳細(xì)的規(guī)定。

 

單一登陸可以通過(guò)RADIUS（遠(yuǎn)程身份驗(yàn)證撥入用戶服務(wù)）協(xié)議來(lái)實(shí)現(xiàn)，RADIUS發(fā)送給中央服務(wù)器一個(gè)確認(rèn)請(qǐng)求。微軟的ActiveDirectory要求在確認(rèn)用戶的標(biāo)識(shí)之后，才允許訪問(wèn)網(wǎng)絡(luò)，此過(guò)程稱為身份驗(yàn)證。用戶只需要提供對(duì)域（或受信任域）的單一登錄即可訪問(wèn)網(wǎng)絡(luò)。當(dāng)ActiveDirectory確認(rèn)用戶的身份之后，進(jìn)行身份驗(yàn)證的域控制器上的LSA將生成一個(gè)訪問(wèn)令牌，確定用戶可以對(duì)網(wǎng)絡(luò)資源進(jìn)行哪個(gè)級(jí)別的訪問(wèn)。

 

審計(jì)跟蹤和日志必須顯示哪位管理員執(zhí)行了操作。這對(duì)于基于每臺(tái)設(shè)備的管理員來(lái)說(shuō)是很難實(shí)現(xiàn)的，當(dāng)所有設(shè)備上這樣的數(shù)據(jù)可以看得見(jiàn)時(shí)，很多問(wèn)題（攻擊）才能顯現(xiàn)出來(lái)。在大規(guī)模的安裝中，展現(xiàn)日志全部?jī)?nèi)容并且可搜索內(nèi)容的工具是很需要的。

 

這幾年來(lái)，已經(jīng)有不少人開始在數(shù)據(jù)中心集中認(rèn)證和安全。存儲(chǔ)管理原來(lái)是利用能夠管理同一類型的多個(gè)設(shè)備的工具，現(xiàn)在開始利用單一登錄的一套工具，這些工具不僅能夠管理不同類型的存儲(chǔ)設(shè)備，甚至可以將多種服務(wù)器和存儲(chǔ)一起管理。

 

重要的是，要明白針對(duì)不同的產(chǎn)品有不同的變化，以避免中斷現(xiàn)有安裝和現(xiàn)有程序。安裝規(guī)模比較小的客戶仍然可以以傳統(tǒng)的方法來(lái)使用產(chǎn)品。

 

驗(yàn)證

從技術(shù)上看，SSO使用戶可以登錄到一個(gè)主域上，但可以訪問(wèn)其他次級(jí)域。例如，NovellNetWare網(wǎng)絡(luò)代表著一個(gè)域，WindowsNT代表著一個(gè)域，IBM也代表著一個(gè)域，如此等等。在多登錄環(huán)境中的正常環(huán)境下，用戶必須分別登錄到每個(gè)次級(jí)域。在使用SSO時(shí)，IT經(jīng)理指定特定平臺(tái)作為主認(rèn)證域來(lái)控制對(duì)所有域的訪問(wèn)。當(dāng)用戶登錄到這個(gè)SSO主域時(shí)，他提供在登錄到任何次級(jí)域時(shí)所需要的所有證明。然后主域負(fù)責(zé)為次級(jí)域完成對(duì)用戶的認(rèn)證。

 

集中驗(yàn)證服務(wù)有幾個(gè)優(yōu)點(diǎn)。單一登錄允許用戶只登錄到系統(tǒng)上一次，而后授權(quán)訪問(wèn)其他連接的系統(tǒng)，無(wú)需再進(jìn)行登錄。當(dāng)用戶只需要記憶一個(gè)口令時(shí)，管理和支持費(fèi)用將會(huì)大大減少，并且總體環(huán)境將會(huì)更安全。

 

授權(quán)

除了單一登錄，現(xiàn)有存儲(chǔ)管理方法與傳統(tǒng)方法的第二點(diǎn)不同是不再是一個(gè)管理員登錄來(lái)管理一個(gè)設(shè)備，而是所有管理員共享權(quán)力。

 

第三點(diǎn)，也可能是最重要的區(qū)別是管理員特權(quán)可以以一種特別精細(xì)的方式授權(quán)給管理員。舉個(gè)例子，某管理員可以看到某一特定存儲(chǔ)系統(tǒng)中的一切信息，但是沒(méi)有權(quán)力更改信息，但是更高級(jí)的管理員可以更改信息。此外，客戶仍然可以靈活地進(jìn)行服務(wù)器和存儲(chǔ)管理。一個(gè)小公司可以繼續(xù)讓一個(gè)管理員擁有所有的權(quán)利，而大公司可能繼續(xù)分為獨(dú)立的存儲(chǔ)、服務(wù)器、網(wǎng)絡(luò)管理部門，每個(gè)部門根據(jù)特殊個(gè)人的角色擁有不同的權(quán)力。

 

審計(jì)

所有配置上的改變和其他重大事件都應(yīng)該被記錄上，因此任何問(wèn)題都可以追蹤到原始狀態(tài)。知道是哪位管理員在什么時(shí)候做出錯(cuò)誤的配置改變，這樣，要找出并更改錯(cuò)誤就簡(jiǎn)單得多。

 

對(duì)數(shù)據(jù)中心中不同設(shè)備的審計(jì)跟蹤/日志有一個(gè)集中的了解是很重要的。在出現(xiàn)問(wèn)題時(shí)，要辨別問(wèn)題是由安全入侵引起的，還是管理員錯(cuò)誤或其它問(wèn)題，從日志的整體上考慮比從個(gè)別要素上考慮有效得多。還可以要求所有安全管理員根據(jù)日志定期提交詳細(xì)報(bào)告。

 

當(dāng)在設(shè)備之間自動(dòng)遷移數(shù)據(jù)的時(shí)候，執(zhí)行數(shù)據(jù)遷移的軟件必須得到授權(quán)，而且必須保留這樣的遷移記錄。這是一個(gè)新興的領(lǐng)域，當(dāng)前來(lái)說(shuō)，這更多的是一個(gè)目標(biāo)，而不是標(biāo)準(zhǔn)的執(zhí)行方式。

 

四、建議

存儲(chǔ)安全是數(shù)據(jù)中心安全和業(yè)務(wù)安全的一部分。因此，任何產(chǎn)品級(jí)的產(chǎn)品模式必須得到客戶業(yè)務(wù)策略和執(zhí)行的補(bǔ)充，包括網(wǎng)絡(luò)安全和系統(tǒng)安全。在未來(lái)幾年中，保護(hù)所有設(shè)備的管理接口的安全是最重要的。

首先，中止所有不用的交換機(jī)和其他設(shè)備中的管理端口。更改設(shè)備管理密碼，用更復(fù)雜的密碼，必須包含字母和數(shù)字。通常要避免使用常規(guī)的字典里的詞匯或其他術(shù)語(yǔ)，因?yàn)檫@樣很容易被入侵者猜到。必須要用至少一層防火墻將存儲(chǔ)設(shè)備上的LAN管理端口與廣為訪問(wèn)的網(wǎng)絡(luò)隔離開來(lái)。由于存儲(chǔ)設(shè)備以及可以在數(shù)據(jù)中心利用集中認(rèn)證，數(shù)據(jù)中心的存儲(chǔ)設(shè)備還可以進(jìn)行基于角色的授權(quán)，因此存儲(chǔ)安全計(jì)劃也應(yīng)該不斷完善，利用這些技術(shù)。

最重要的是，首先要制定一個(gè)完整而周詳?shù)拇鎯?chǔ)安全計(jì)劃，內(nèi)容包含具體實(shí)施人員，程序，設(shè)備。其次，這個(gè)存儲(chǔ)安全計(jì)劃還要符合整個(gè)數(shù)據(jù)中心和業(yè)務(wù)計(jì)劃。再次，在情況允許和技術(shù)允許的情況下，不斷修改完善計(jì)劃。最后，測(cè)試計(jì)劃。