SAN应用中的安全如何保障？（三）

应对欺骗与数据盗窃

　　通过访问控制列表控制访问只可以防止意外事故，但它不能防御那些假伪身份的攻击者。不幸的是，大多数网络盗贼能很容易地取得假冒身份。为了阻止诈骗者（盗用他人身份者）渗透网络，那些获得授权的个体也必须经过身份鉴定。

　　抗击欺骗的方法就是让窃取者提供一些只有被授权的用户才知晓的特殊信息。对于用户来说，需要知道和提供的只是一个密码。对于设备而言，Nx_端口或交换机的WWN是与这个机密信息相连的。管理话路也可以进行身份鉴别，确保入侵者不能管理光纤网络或设备。

　　对于每一点的身份鉴别，以下是四种可能的方法：用户身份鉴别、以太网CHAP实体身份鉴别、CT讯息鉴别以及光纤通道DH-CHAP实体身份鉴别。

　　当实体及用户的身份被鉴别后，传输就可以在授权设备之间安全地流动，但在连接中流动的数据仍然会受到数据盗窃的威胁。

　　防止数据盗窃的方法是加密(encryption)。“封装安全净载”（ESP）可以对光纤传输数据进行加密，以确保安全性。以太网传输能通过SSL或者类似的协议来加密。这些加密技术可以使用不同的加密程度使得被窃数据没有可乘之机。目前，已经有一些厂商提供在SAN中进行加密的方案。由于光纤通道SAN尤其关注高性能，因此加密方案应该尽量不影响SAN的性能，所以多数方案都是基于硬件的加密。

　　防范意识有待提高

　　在国外，有些大型存储用户对安全问题已经足够重视，特殊用户甚至投入了与SAN硬件成本相当的资金来解决安全问题。与之相比，国内的用户则落后很多，雷涛说，目前几乎还没有看到国内用户在安全方面提出任何要求。但是，随着SAN的发展与演进，尤其是IP存储的广泛应用，用户会遇到更多安全挑战，这些都要求用户在安全方法意识方面亟待提高。