如何保护存储区域网系统的安全

当灾难备份被作为应对信息安全事件的主要手段时，存储技术变得日趋重要。由于企业数据的重要性及集中性，网络存储资源成了黑客主要的攻击目标之一。与IP网络一样，存储设备也容易受到已公布的各类安全威胁的攻击。对于存储区域网系统(SAN)，如何保护它的安全?一般认为，存储区域网在系统与连接、存储结构、子系统与介质方面都存在被攻击的危险。

对系统与连接的安全威胁来自计算机系统与存储基础设施相连的网关设备。网关设备往往用于远程备份、复制及灾难恢复等情况。这些网关设备通过专用的、共享的或公用的网络把远程的SAN互相连接起来。由于网关设备通常与TCP／IP网络连接，当发生对系统设备的访问时，存储网络就面临着TCP／IP网络上的安全风险，如未授权的数据访问和拒绝服务攻击等。造成这种危险的原因是由于系统访问权往往是通过简单的系统配置或默认配置得到的。封堵这方面系统漏洞的防御措施有应用/设备访问控制、配置策略评估及系统/设备监控。成本较低的解决方案通常基于信元、帧中继、分组交换或路由实现，但通过ping扫描和端口扫描往往可以发现它们有很多漏洞。访问配置不当与管理控制简单化，常常导致漏洞发生。例如设备的默认设置或开放式端口管理很容易为黑客的攻击所利用。由于缺少支持经过验证的存储访问设备功能协议，攻击者还可能通过新的光纤通道接入系统。由于基于光纤协议的纯数据传输并不支持本地隧道与VPN服务，用这类光纤传输数据和路由信息将很容易暴露数据。建议采用VPN服务，结合可以把光纤协议转换成IP协议的存储路由器，保护基于IP的SAN网关之间的数据和路由信息。

存储结构通常与光纤通道连在一起，网络集线器、路由器、交换机和应用系统通过存储阵列连接和管理系统数据，并不考虑采用的是什么传输协议。多数存储设备厂商都部署了安全访问功能，以减小设备或应用被劫持的危险。这些功能包括：在Telnet服务中用SSH或在Web服务中用SSL实现连接，结合双因素验证技术进行保护等。这些防御措施同样可以用于SAN管理。然而，由于这些设备和应用大多支持远程管理，使得物理安全措施无法防御远程边界之外的攻击。一旦交换机或管理设备被黑客攻破，就会严重威胁存储网络的安全。

一些未授权的网络设备也会对存储结构造成严重的安全威胁。如果有人利用被劫持的网站，把配有光纤主机总线卡的服务器连接到存储结构中，由于它与交换机之间没有验证协议，光纤通道的这个漏洞是敞开的。一旦配有网卡的服务器骗过了验证过的IP地址，就能够连接到存储隔离网中，带来数据失窃、破坏及拒绝服务等危险。为尽量降低这类危险，网络管理员可采取分区措施，让特定的通信流量通过隔离的交换机端口，尽可能减小与存储结构漏洞有关的安全风险。

来自存储子系统和介质的风险常常高于数据传输中的风险。通常，存储子系统和便携式介质在管理上是开放的。管理及支持这些子系统的系统管理员和产品供应商能够访问有关数据。一旦这种访问权被滥用，就会出现未授权访问、偷窃信息和破坏数据等严重的危险。就连系统出现故障，也会被用做数据被窃的机会。在许多情况下，攻击者除了采用直接手段获取数据外，采用间接手段也能访问到存储数据，如暂存的磁带，利用磁带轮换及保管磁带等，因而需要更严格的介质管理。    为了确保存储区域网的安全，应该认真制定应对策略和实施步骤。可操作性存储策略应该根据存储功能和业务的必要性，对安全风险进行评估。为了确保安全，可以采用多层防御策略，内容包括系统和设备配置、测试、审查和监控、访问验证、LUN屏蔽、端口分区、物理访问控制，以及传输期间的存储数据保护。采用存储安全设备同样非常重要。存储安全设备具有高性能、集中管理及操作透明的优点，只要为专用的网络设备赋予加密功能，就可以将服务器或应用系统解脱出来。这类设备能够分析存储流量、动态地对数据进行合理加密、并把流量重新转发到线路上。存储安全设备在部署上非常灵活、经济，可以部署在存储结构里面、网关连接端前后，以及存储子系统前面。

标签： ssl 安全 服务器 漏洞 企业 通信 网络 网站 信息安全

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点！
本站所提供的图片等素材，版权归原作者所有，如需使用，请与原作者联系。