數據的風險分類

數據風險有兩個關鍵領域，而這些都關系到如何將數據提交給客戶。第一個風險涉及數據可被非授權的系統進行訪問。第二個風險是非授權的人員訪問數據。

非授權系統的訪問

非授權的系統訪問受保護的數據的可能性乍一看似乎不太可能。但是，當你考慮到所有可能產生的系統管理員的錯誤或故意非法訪問，數據被入侵的潛在問題便開始增加。那么，非授權系統如何獲取對另一個系統的數據的訪問呢?

在這種情況下，該數據很可能將通過一個LUN的形式提交。此LUN可以通過任何一個光纖通道連接或互聯網小型計算機系統接口(iSCSI)連接來提供。這兩種連接類型呈現了相同級別的風險。攻擊LUN將需要使用欺騙，使用一臺電腦的主機總線適配器(HBA)來改變它呈現給目標系統的WWN。

這個目標不太容易完成，因為光纖通道端口一般不使用端口鏡像，而攻擊者試圖攔截(嗅探)流量以了解WWNs在網絡上傳輸數據的方法。攻擊者想要欺騙WWN需要關于他們應該針對哪臺主機WWNs的內部信息。然而，這在理論上是可能的。

盡管有困難，利用主機欺騙WWN的能力是潛在的風險——而一旦該WWN被欺騙，許多存儲環境中的保護措施將被暴露。理論上，WWN欺騙將不得不通過分區定義訪問——如果WWN分區被使用，而這是經常發生的情況——同時存儲陣列提供的LUN掩碼通常基于WWNs進行配置。繞過這兩個關鍵的安全方法，入侵的主機可以訪問這些LUN上的所有數據。

思考在單個磁盤的環境中。假設你已經從一臺服務器刪除了一個磁盤，并把它放在另一臺服務器上——原有的系統對文件保護的措施將發生什么情況?磁盤現在由新的操作系統所擁有，作為這個流氓系統的管理員或root身份，你現在可以更改數據訪問的權限。只要攻擊者從卷讀取和避免寫入數據，原來的主機可能永遠不會察覺已經發生過什么異常。

防止WWN欺騙和嗅探的另一個最佳實踐是交換機專用，連接存儲設備只為服務器和存儲提供服務，這樣終端用戶設備和其他系統則不允許共享交換機硬件。這種方法依賴于交換機的物理安全性來限制你的風險。

數據暴露于一個非授權系統的風險的另一種途徑是存儲管理員故意或疏忽的配置。存儲管理員可以故意或錯誤地分配LUN到錯誤的服務器，或者可能為特定服務器選擇了錯誤的LUN。在這兩種情況下，沒有什么會妨礙管理員這樣做，因為分區存在，服務器將被正確連接且分區到陣列。因為服務器會被正確注冊到陣列中， LUN屏蔽也不會阻止它的。你可能想知道為什么存儲陣列允許這樣做。由于遷移的目的，存儲供應商提供服務器之間的LUN共享能力，以支持服務器集群。虛擬集群的普及是常見的。為了從一臺主機移動虛擬服務器到另一臺主機，LUN必須在主機之間共享。

當決定如何保護你的存儲時，識別關于LUNs對服務器造成的風險是非常重要的。

非授權人員的訪問

服務器上靜止數據的另一個風險是通過內置服務器中的數據訪問機制攻擊服務器本身。當服務器被攻陷從而將數據暴露給攻擊者時，服務器控制的所有數據將遭受系統本身授權機制的風險。

一旦服務器在攻擊者的控制下，攻擊者就有改變文件系統權限的能力，這樣新的操作系統所有者可以允許訪問所有數據。為了收集信息，入侵系統的攻擊者并不一定需要開始更改文件系統。也許是攻擊者只關心截獲的內容或從存儲器讀取的數據。正如有些工具可以嗅探有線和無線網絡的網絡流量，有些工具可以嗅探光纖通道網絡上的流量。使用入侵系統，或者惡意軟件，入侵者可以執行一個嗅探工具并收集系統數據。此外，通過訪問這個入侵的系統，攻擊者可以發動多次對存儲基礎架構攻擊以獲得其他服務器數據的訪問。

數據風險管控最佳實踐

對于存儲基礎設施和位于其上數據的風險，可以采取什么措施來設計一個健壯的體系架構抵御攻擊呢?以下做法提供了最佳可行的緩解實踐。

· 分區

基于端口的分區，通過主機和存儲陣列之間的連接的控制提高了安全性。分區這種方法提供了對一個WWN欺騙攻擊的保護。通過端口分區，即使主機系統被引入到一個偽造的WWN的環境中，主機也需要交換機定義的端口中，以便它的訪問流量可以傳輸到存儲陣列，因為區域基于端口進行配置的。通過分區的方式，交換機提供了路徑，從服務器的HBA到陣列的HBA 。沒有那個分區， WWN欺詐就沒有路徑到陣列。

· 陣列

陣列已經發展很長時間提供LUN掩碼作為保護LUN不會被非授權服務器訪問的一種形式。 LUN被非授權系統訪問的最可能的原因是存儲管理員偶然的或故意的錯誤配置。針對這一點，最好的防御是確保存儲管理員是可信的，勝任的，以及控制和限制只有少數訓練有素，可靠的管理員進行存儲陣列的管理。

· 服務器

為了充分保證存儲環境，你必須確保對服務器環境本身進行控制和監視。確保存儲基礎架構本身是不夠的。對任何服務器的訪問都可以顯著將服務器和存儲環境暴露給有害的活動。重要的是，服務器被安全地配置，并且該設備位于有訪問控制和監控的安全設施中。變更管理和實時監控，跟蹤更改系統和管理員在服務器上的活動，應與存儲環境的安全一起實施。不僅在承載數據的服務器，也可用于管理陣列和交換機的管理服務器上采取這些步驟。

· 員工

當雇用個人來管理安全存儲環境時，必要的技能應包括扎實的存儲安全實踐知識。計算機安全方法的背景和培訓應該被視為一個重要的要求。當然，管理存儲陣列的培訓和經驗也很重要，最好是關于在你的組織中使用的產品，而不是委任其他一些平臺管理存儲基礎架構的管理員。此外，由于SAN是存儲和網絡融合的結果，具有網絡背景可以是非常有價值的。

· 異地數據存儲

異地存儲數據(安全地)是任何組織業務連續性流程的一個重要方面。許多廠商會拿起備份磁帶并將其移到一個安全的設施。應該對這些設施進行定期審計，以確保向異地發送的所有數據可問責。為了保護數據，不管在磁盤或磁帶上都應該被加密。任何形式的在線數據備份應該采用端到端的加密方法。