目前，企业普遍都要求能够随时随地访问数据。此外，数据访问已不再仅限于内部用户。通常，供应链合作伙伴、外包服务供应商和客户也希望能够按需访问数据。因此，直接连接的存储设备和专属于某个特定服务器（因此易于保证安全性）的存储设备逐渐被一种共享的网络存储拓扑所代替，这种拓扑带来了新的安全隐患。
SAN 迅速得到企业的认可，因为与管理几百个或几千个与单个服务器相连的磁盘子系统相比，管理由许多服务器共享的一个存储设备网络不但更简单，而且成本极低。但是， SAN 的低成本优势和易管理性也令其更易于遭受安全攻击。与传统的直接连接存储设备不同， SAN 通常供许多服务器访问，而且运行着不同的操作系统。这就意味着 SAN 很难依赖于任何一个主机的操作系统来实现安全性。此外， SAN 中还包含许多其它的设备，如存储阵列、交换机、导向器、主机总线适配器和管理控制器等。通常，访问网络上的共享资源的设备越多，遭到安全攻击的几率也会更高。
随着企业开始通过网关或 ISCSI 接口（一种基于 IP 的存储协议）将其光纤通道 SAN 与容易访问的 IP 网络集成，这种存储安全易损点将不断增加。例如，转移到 iSCSI 的 SAN 能够大幅度降低成本并简化 IT 和存储之间的交互。但是，这也会产生大量新的安全易损点。 IP 存储网络带来的最严重的安全威胁是它开放了大量新的接入点，将访问控制、存储资源的验证和授权状态完全暴露在存储安全威胁之下。
外部压力也使得安全保护变成一种必备功能，它甚至已成为股东、行政管理机构和审计官员核查的内容之一。安全受损导致的成本越来越高，而且是现在政府管理机构正在制定旨在保护保密消费者信息的新法律。除了为保护公司机密创建一个可靠的环境并保护知识产权之外，根据各种法规的要求，如 HIPPA 或 Gramm-Leach Bliley 法案，医疗和合并的金融与保险服务机构还必须受到法规部门的监察。
分布式存储网络中的安全挑战
真正的安全威胁源于无知或恶意，但针对外部攻击的光纤通道安全防御并不像消息传输网络的安全性那样成熟。但是，随着越来越多的人学会如何攻击存储网络，易损点将在互联网上公开，使其他的黑客很容易加以利用。
多数针对存储网络的外部黑客攻击可分为以下几类：拒绝服务攻击（ DoS ）、中间人、电子欺骗和拦截。 DOS 攻击可阻止授权用户访问他们的数据，可能包括以下活动：发出重复的登录请求、通过更改网络拓扑损毁或破坏网络路径、使资源图过载。黑客还会利用中间人攻击提交一个地址，令其冒充现有的合法交换机地址。一旦数据开始流向这一“交换机”，攻击者就可以读取、下载或更改传输的数据。然后他再将数据发送到真正的交换机。电子欺骗攻击是利用一个合法的登录程序向存储网络请求服务和数据。
黑客可以通过以前的未授权登录、自动的登录搜索功能或利用惯有的用户懒惰习气获取登录密码。甚至许多网络管理员都从不更改其登录密码并且还随意将其共享。拦截是电子欺骗的另外一个版本，指的是黑客操作并控制一个现有的真实会话进程。
据专家称，以上的攻击是当今 SAN 基础设施内在的缺陷和漏洞导致的；包括：
不安全的管理界面 －存储网络设备厂商正在为他们的网络构建更强大的验证技术，但是，通常软件管理工 具和控制台使用的界面并不能获得同等水平的保护。令问题更为复杂的是，许多存储网络管理工具允许通过 SAN 或 IP 连接，而不是隔离的 SAN 光纤通道连接访问 SAN 存储设备。
这将为存储网络带来最大的风险，因为这对于一个分区或整个 SAN 来说是致命的。管理界面攻击会中断网络连接、增加非法帐户、将数据复制到非法接收者，最糟糕的是会毁坏数据。除非已经安装了强大的验证程序，否则已接入 SAN 的攻击者会安装非法的管理界面。
在过去两年中， SANS 研究机构一直在开发通用的、向管理端口添加加密与验证程序的业界标准方法。思科系统公司在其 SAN 管理工具中内嵌了 SSL 加密或 Secure Shell 加密功能。最重要的是，思科还利用 56 位 DES 加密验证对其设备的管理接入，并仅将访问权给予特定的 IP 地址，同时利用集成的 RADIUS/TACACS+ 验证和 Secure Shell 服务保护控制台会话的安全。
但是，最近 SAN 安全管理领域最重要的进展之一是思科的虚拟 SAN （ VSAN ）技术已被认定为部署虚拟网络的业界标准。在 ANSI T-11 委员会（领先的存储安全标准机构）的批准下，虚拟网络将一个物理存储局域网（ SAN ）分成许多完全独立的逻辑 SAN ，每个都有自己隔离的安全策略和管理功能。（见“改进 VSAN 的网络分区”一文）。
存储中的易损数据 －虽然许多应用会在数据在网络中传输时对其进行加密与压缩，但保存在存储网络设备上的数据得不到加密，因此，一旦入侵者或内部员工获得对网络存储设备的未授权访问，他们通常就会为所欲为。但是，许多 SAN 基础设施专家和厂商也颇为担心加密会对 SAN 的性能产生不利影响，并最终使企业客户难以实施管理。
但这并未阻止一部分小型厂商（许多是新兴企业）进入市场并提供与光纤通道 SAN 交换机连接的设备或置于服务器和存储设备之间的 LAN 上的设备 ( 在 IP 存储中 ) 。这些设备有些共同的特点：它们通常在数据向网络存储设备传输的过程中捕获数据并利用 256 位数据高级加密标准（ AES ）或 192 位三重 DES 对其进行加密，使数据能够在保存在网络存储设备上时得到加密。
虽然并非很普遍，但专家预测存储加密将最终在某些行业得到采用，例如医疗、金融服务和其它一些需要长期为客户服务和保存患者病历的管制程度较高的行业。但是，目前的许多加密解决方案都是专有性的。除了将 IPSec 作为一种加密标准用于基于 iSCSI 的网络存储的 IETF 之外，与加密有关的用于光纤通道 SAN 标准的开发工作还刚刚开始。
验证不严格 －由于 SAN 机构通常由多种类型的设备组成，具有较高的灵活性（主机总线适配器，交换机，存储阵列等），因此，企业必须能够快速一致地验证各个存储要素。思科通过在其产品中集成强大的验证功能并通过集成基于标准的 AAA 以支持多种用途（从 IPsec VPN 到 iSCSI 主机验证）提高了安全性。（见白皮书“ Cisco MDS 9000 系列多协议服务模块）
总体来说，存储网络环境中的安全性是一个复杂的问题。多数企业使用各种不同的存储厂商提供的存储网络组件，而且每个厂商均为其设备提供了不同的技术支持选项。存储网络业界联盟预计存储容量将每年翻一番，这就意味着安全领域的现状在近期内不会改观。存储网络已经迫使许多公司开始审视其信息访问战略，以期在不牺牲性能的前提下提高安全性和连续性要求。
为了能够安全地提高资源利用率以及从磁盘阵列到应用的数据可访问性，企业必须解决已知的网络存储安全问题。令人乐观的是，现在已经出现了可提供通用跨平台存储安全工具的存储安全标准。我们的下一篇文章将介绍 SAN 管理员面对最紧迫的问题时可以采用的一些基本策略。
阅读(579) | 评论(0) | 转发(0) |
