网络存储安全及相关概念

　随着数字信息的爆炸式增长和个人与组织对这些信息的依赖性不断增加，存储系统正逐渐成为整个信息系统的中心，数据成为最重要的资产，而存储系统作为数据的储藏地，是数据保护的最后一道防线；另外存储系统由本地直连向着网络化和分布式的方向发展，并被网络上的众多计算机共享，从而使存储系统变得更易受到攻击，相对静态的存储系统往往成为攻击者的首选目标，达到窃取、篡改或破坏数据的目的，因此数据保护的重要性增大。

　　另外，随之而来的人们对存储的关注中心发生了变化，人们在关心存储的容量、性能、可靠性和可扩展性的问题的同时，更关心存储的数据不被泄漏、篡改或删除，并在需要时候可以即时访问。

　　另一方面，存储数据中的敏感信息不断增加，这些数据在它们的生命周期中会经过多个用户、网络和存储设备，因此存在多个可能的攻击点，保证这些数据在传输和存储过程中的安全性变得至关重要。

　　当今世界各国都高度重视信息安全，各国尤其是发达国家都纷纷投入巨资建设本国的信息安全保障体系。2005年，国家网络与信息安全协调小组会议第四次会议审议通过了《国家信息安全战略报告》、《国家“十一五”信息安全专项规划》和《国家“十一五”信息安全科技发展规划》，这些报告分析了国际信息安全发展态势、国家信息安全战略需求和发展现状，提出了我国信息安全的发展战略和总体发展规划，并确定了2010年以前信息安全工作的重点是：加强信息安全基础性工作，逐步完善基础设施，强化互联网安全管理，大力发展信息安全技术和产业，保障基础网络和重要信息系统的安全。

　　国家中长期发展规划和科技部“十一五”规划也将信息安全列入优先发展方向。而存储安全是信息安全中的重要一环，也是下一代信息安全基础设施的关键组成部分，也正日益受到重视。

　　网络存储安全性涉及网络安全性和存储安全性，前者得到很完备的研究，出现了许多协议、标准和产品，如IPSec、防火墙等；而后者尚处于初步研究阶段。存储安全和网络安全既有一定的关系，又有其特殊的要求。

　　首先他们保护对象不同，存储安全既要保护不可信的网络中的安全传输，又要保护存储设备上的存取过程；其次，他们侧重点不同，存储安全除了身份验证、信任管理等外，对密钥管理、访问控制、数据分布、数据的访问模式等有不同的要求，当然在存储安全中也借鉴了网络安全领域中已有技术，如身份验证、数据加密、数字签名等。本文将主要就存储安全的相关内容进行叙述。

　　相关概念

　　网络存储安全的定义
　　国际存储工业协会SNIA（Storage Network Industrial Association）给出了存储安全的一个基本定义：保证数据在存储网络中的传输和存储的机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）。这里：机密性就是对抗对手的被动攻击，保证信息不泄漏给未经授权的人，或者即便数据被截获，其所表达的信息也不被非授权者所理解。完整性就是对抗对手主动攻击，防止信息被未经授权的篡改。可用性就是确保信息及信息系统能够为授权使用者所正常使用。

　　目前在保护数据存储安全方便主要包括线上数据安全（存储网络安全）和磁盘数据安全（存储数据安全）。存储安全的目标和一般的信息安全的目标是一致的，即保证数据在存储网络中传输和存储过程中的机密性、完整性和可用性。

　　网络存储安全与法规遵从
　　在信息安全的发展中，法规遵从（Regulatory Compliance）应运而生。其主要内容就是，企业和组织在业务运作中，不仅要遵守企业自身的各项规章，还要遵守政府和行业制定的各项法律、法规及规章，同时又能证明自己确实做到了相关的要求。

　　在法规遵从的过程中，有三个基本要求：第一，确保信息的完整性，即不可以对法规要求的信息进行修改；第二，维护信息的保密性，即未经授权许可的人不能访问；第三，保证信息的可用性，即信息能够在适当的时间以适当的方式被方便、安全、高效地访问和利用。完整性、保密性和可用性这三项贯穿全部管理法规要求，实际上体现了法规对信息安全性的强调。

　　网络存储安全系统的评价
　　目前有许多存储安全系统，但如何评价一个存储系统的安全机制？国际上有几个典型的评价方法。伊利诺斯大学香槟分校（UIUC）的Paul Stanton以机密性、完整性、可用性和性能等四个指标为基础建立了一套评价系统安全机制的标准，并以此标准对多个现有系统进行了评价和比较。

　　Paul Stanton则提出了评价存储安全系统的四个评价标准：机密性、完整性、可用性和性能。

　　2002年Erik Riedel从五个角度提出了评价存储安全的框架结构：用户、攻击、安全目标、保护粒度、用户开销。

　　2005年Vishal Kher提出的存储安全主要方面：认证和授权（Authentication and Authorization）、可用性（Availability）、机密性和完整性（Confidentiality and Integrity）、密钥共享和管理（Key Sharing and Key Management）、审计和入侵检测（Auditing and Intrusion Detection）、可用性、可管理性和性能（Usability, Manageability and Performance）。

　　另外，关于存储安全模型研究，卡内基梅隆大学（CMU）的Goodson等人定义了存储服务器和客户端的几类失效模型，包括宕机、拜占庭失效、信息泄露等，并在此基础上设计了一个读写协议族。尽管目前在存储安全模型研究上取得了一些进展，但模型仍显得比较粗略。

　　安全存储系统的典型分类
　　现有的安全存储系统大致可以分为四类：安全网络文件系统、加密文件系统、可生存存储系统和基于存储的入侵检测。它们分别从四个不同的层次提供存储系统的机密性、完整性和可用性。