基于纵深防御体系的存储区域网络安全与防护.docVIP

基于纵深防御体系的存储区域网络安全与防护 李崴 （中国科学院国家科学图书馆武汉分馆，武汉 430072） 摘 要: 存储区域网络SAN 技术的定义和物理结构，分析了存储系统中现存的安全隐患， 从纵深防御体系角度，分层次对存储网络面临的各方面的安全问题提出相应解决办法， 对数字图书馆 SAN 的安全进行探究。 关键词: 存储区域网络；纵深防御体系；SAN；数字图书馆； 存储区域网络在各大信息机构，尤其是数字图书馆中得到了广泛的应用。但随着技术的发展和应用的增加，存储网络也面临了越来越多的安全问题。本文分析了数字图书馆存储系统中现存的安全隐患，提出依照纵深防御体系，分层次对存储网络面临的各方面安全问题给出相应解决办法。 概述 长期以来SAN存储区域网络被看作是一个相对封闭的网络，在多数情况下，它在物理上就是一个独立的网络。因此，许多用户都不太在意SAN中的安全问题。但随着存储行业的急剧变革和应用的迅速扩展，存储网络已经突破了LAN的范围，扩展到了WAN之中。存储网络化程度越高，数据存储系统也就面临越多的威胁和挑战。存储技术和网络安全也因此被紧密联系在一起，并已成为当前存储技术领域研究的热点。 数字图书馆是互联网中海量信息存储、信息挖掘与加工和信息资源分发的基础服务平台。作为数字图书馆的核心，存储区域网络中存放着大量重要数据，基于存储网络的各种应用也日趋复杂，一旦存储安全受到威胁，将对数字图书馆造成无法估量的损失。本文将对当前流行的SAN存储系统中的存在的安全问题加以讨论并给出基于纵深防御体系的解决方案。 存储区域网络面临的威胁 由于数据资源的重要性及集中性，图书馆存储网络成了黑客热衷攻击的目标之一。与IP网络一样，存储网络也容易受到已公布的各类安全威胁的攻击，如系统漏洞、欺骗、拒绝服务、未授权访问、内部攻击、数据失窃和破坏等。 下图显示了图书馆对读者提供信息服务过程中，存储网络的各个层面可能受到攻击威胁的切入点，每一个攻击点都有可能成为后续攻击的垫脚石。为了保证数据服务的安全和顺畅，SAN系统管理员必须在用户和数据之间设置多个监测点。认识各个攻击点将有助制定相应的抗击对策。 图表说明： 7个攻击的入侵点。其中一个最重要的是带外以太网与交换机或其它设备的连接。限制这个连接的访问权限是保证安全的重要环节。 建立纵深防御安全体系 针对存储网络面临的种种安全威胁，数字图书馆存储区域网络的安全防护应围绕“纵深防御模式”来展开。 纵深防御（Defense in Depth）是一种多层次的安全模式，各层次的安全性以互补的方式相互依存。传统安全防御方案主要精力往往集中在外部防御上，内部缺乏安全保护，一旦外部防线某一点被突破，整个安全防御体系就会溃败。而在纵深防御模式中，存储网络内部每一层都具有一定的防御能力，攻击者将某一点攻破后还会面对后方多道安全防线，其入侵被控制在了有限的范围之内，并不会轻易影响到整个存储网络的安全。 在这种分层次的安全模式下，必须对体系中各个关键层的安全性都加以重视，避免将安全策略集中依赖于某一两个特定区域。例如，仅仅将安全防护局限在操作系统层面，即使操作系统安全性再高，黑客也可通过交换机的物理接口绕开操作系统，直接入侵后方的存储系统。 基于纵深防御体系的安全策略 依照纵深防御安全模式，构建安全的图书馆存储网络系统需要从以下多个层面加以考虑：从图书馆实际应用的角度来说，可通过启用认证与授权、分区和LUN管理、加强服务与工具的管理、操作系统和存储交换机安全策略等多种安全手段来对关键数据的存储加以保护，消除所有的单一失败点。 4.1认证与授权 首先应加强整个光纤网络系统中用户名、口令和IP认证的安全性。强而有力的口令将是保障存储系统安全的第一道安全屏障。 其次，通过加密手段来实现口令及传输数据、静态数据的安全。 通常使用的安全认证、授权访问和加密机制包括轻量级的路径访问协议Light weight Directory Access Protocol (LDAP)、远程认证拨入用户服务(RADIUS), 增强的终端访问控制器访问控制系统(TACACS+)、Kerberos、 Triple DES、高级加密标准(AES)、安全套接层 (SSL)和安全Shell(SSH)。 存储管理员还应对认证用户的权限进行限定，根据用户的工作性质来给予不同级别的访问授权。例如，备份管理员只能从事其规定职责范围内的操作（备份操作），而不应该拥有全部系统管理权限。 4.2分区、WWN与LUN管理 4.2.1 WWN管理 全局名称（World Wide Name, WWN）用于在存储系统中识别HBA，也可用于存储交换机配置中软分区的划分。与以太网的MAC地址一样，WWN具有惟一性，而且事先被厂商刻写到HBA里面。但如同MAC地址一样，如果仅仅基于WWN来