被企业忽略的存储数据安全 暗藏更大风险

　　长期以来，人们对IT安全的关注就一直放在网络以及网络中流动的数据上。然而，存储数据的安全，尤其是备份数据的安全，却鲜少受到关注。大家都相信SAN的安全性，因为它使用的是Fibre Channel，而不是TCP/IP。但是真的是安全的吗?离线存储的数据将会面临怎样的安全威胁呢?在本文中，我们将一一探讨这些问题以及企业需要更加关注数据存储安全策略的原因。

　　保护存储数据的重要性

　　现在的企业会存储其网络中所有类型的重要业务信息(以电子格式形式)，这种信息大部分是关于业务本身的，有些是关于员工、客户以及合伙人的个人信息，还有的是通过研究调查得出的总信息。根据几个因素判断，有些信息是属于政府或者行业法规控制范围的;还有些是能够影响国家安全的信息级别。所以说保护这些数据的完整性和保密性是必须的，如果没能很好保护这些数据，将会让公司受到处罚甚至需要承担法律责任。

　　那么，为什么企业总是无法适当的保护数据呢?通常情况下，那些负责人根本没有意识到数据处于威胁之中，另外，保护数据的高昂成本让他们望而却步。并不是所有数据都是十分重要的，我们需要根据数据的重要性来对数据进行分类和访问限制，合理地保护数据。有些重要数据必须得到强有力的保护，例如以下数据：

　　• 商业机密，一旦泄漏，将会让公司丧失竞争力

　　• 企业财务信息细节

　　• 个人信息，包括员工或者客户的地址、电话号码、社会安全号码、出生日期、工资等(除非是法律要求公开)。

　　• 客户/顾客信息，这些如果被竞争对手获取，将会对企业造成影响

　　• 与诉讼、合同、购买协议和其他法律问题相关的细节信息

　　这些只是几个例子，企业可能还有其他的数据类型需要加以保护，防止它们被盗窃、窜改、未经允许的泄漏以及其他威胁，或者需要符合法规要求。

　　风险评估和数据分类

　　进行风险评估要求你确定所要保护的数据可能面临哪些威胁，哪种威胁是最可能发生的?以下是几个威胁例子：

　　• 来自网络外部的故意未经批准访问

　　• 来自网络内部的故意未经批准访问

　　• 由批准访问的用户造成的无意修改、破坏或者数据泄漏

　　• 由内部或者外部人员造成的恶意数据窜改或者破坏

　　• 物理媒介(磁带、驱动、服务器或者其他存储设备)的盗窃或者丢失

　　• 由于硬件/软件失效、媒介的物理破坏(自然灾害、火灾等)造成的数据丢失

　　矩阵常常被用于分类数据，主要是根据需要考虑的保护级别，数据泄漏发生的可能性以及可能发生的数据泄漏对企业的影响等进行分类的。

　　图1:风险矩阵

　　对公司造成的经济损失(Impact)计算，不仅仅包括直接的金钱损失，还包括丧失的员工生产力、顾客信誉和企业名誉等，这些都会受到数据泄漏带来的影响。Probability是指泄漏发生的可能性。

　　正如图1所示，不是所有的风险都是相等的。如果花费大量金钱、时间或者精力来保护那些low impact和低可能性的数据资产，将会是资金浪费。有时候政府或者行业法规会要求保护某种类型的数据，但是这种数据却是低影响力低泄漏率。在这种情况下，不遵守合规的费用(即使没有发生数据泄漏)也需要考虑进来。

　　数据存储技术

　　数据存储世界正在逐渐变得复杂化和变化多端，从将数据保存在文件服务器的小型企业到运行数据仓库的大型企业等，都采用不同的存储技术。常见的存储技术包括：

　　• Direct Attached Storage (DAS，直接附加存储)：最传统的存储方式，一个或者多个盘直接附加在服务器上，包括数组(RAID)等。

　　• Network Attached Storage (NAS，网络附加存储)：与网络连接的独立式专门的数据存储系统，运行一个精简的操作系统来支持存储和文件系统，并使用基于文件的协议(如NFS或者SMB/CIFS)。

　　• Storage Area Network (SAN，村粗区域网络)：将远程存储设备附加到服务器，允许设备作为本地存储，使用协议包括SCSI/iSCSI、Fibre Channel Protocol (FCP)、Fibre Channel over Ethernet、ATA over Ethernet。

　　• Network Unified Storage (NUS，网络统一存储)： 将基于文件和基于块的访问存储在一个存储平台，结合了SAN和NAS模块。

　　从使用的存储技术来看，安全问题和保护技术是独立的。分布的数据存储使安全问题进一步复杂化。例如，EMC的FAST(全自动存储分层)能够自动将数据在安全层内进行定位。这意味着你不一定需要知道特殊文件的未知，另一方面，它也能够增加入侵者攻击某种文件的难度。

　　虚拟化从很多方面改变了计算世界。“存储虚拟化”是一个新的IT词汇，这个词让行业内外的人们多少感觉有些迷惑。全球网络存储工业协会(SNIA)把存储虚拟化定义为“从应用程序、主机计算机或者一半网络资源提取、隐藏或者隔离存储子系统或者服务的内部功能”。虚拟化可以使基于主机或者基于网络的。SAN虚拟化解决方案集合所有的或者部分的物理盘到池，并重新分布必须的资源到应用程序服务器。问题是，访问控制机制是针对具体传输的(如IP SAN或者FC SAN)，标准(如FC-SP等)只能保护通过网络传输的数据，而不能保护存储的数据。

　　让事情变得更复杂的是，有些公司现在开始转向云计算(公共或者私有)来存储他们的数据，这样确实能够节省开支，因为你不需要花费设备开支，只需要支付一部分资金。但是将你的数据交付给外部的云供应商，例如Amazon的Simplye Storage Service(S3)，也会对数据带来一定的威胁，因为数据已经不受企业掌控了。

　　数据保护技术

　　政府和行业规则通常没有规定需要使用特定的技术来保护数据，这是很有道理的，因为技术总是在变化，而政府部门通常跟不上技术变化的步伐。另外，法律和法规通常是为了实现某种目的：如保护客户的个人信息不被泄漏给第三方等，而采用怎样的技术实现这个目的就取决于你自己了。

　　存储数据需要采用与保护网络中传输的数据使用的保护技术所不同的技术，包括存储数据的技术可以分为以下几个类别：

　　• 访问控制技术

　　• 数据加密技术

　　• 审计/监控技术

　　• 保护数据免受破坏技术

　　• 备份和灾难恢复技术

　　保护技术可以是物理性的(如锁在服务器房间内来预防物理偷窃或者数据破坏)、硬件的或者软件的。基于软件的保护技术可以安装在操作系统中(如Windows Server ACL、EFS加密和BitLocker等)或者通过第三方解决方案。

　　最佳实践

　　要想有效保护数据，保护必须是多层次的。你需要阻止外部入侵者攻入网络。但是如果这层保护失效的话，或者入侵者可能导致数据泄漏，你就需要部署其他保护来防止入侵者访问数据。

　　除了需要采取一般网络常用安全最佳解决方案外，另外还需要部署一些专为保护存储数据的最佳做法：

　　• 隔离不同类型的流量和系统：使用VLAN或者Fiber Channel分区来创建存储流量和其他网络流量间的分离。

　　• 物理分离存储设备与其他服务器硬件(如将存储设备放在单独的房间，并且只有可信赖的人员才可以进入)

　　• 物理化限制对纤维接线板和开关的进入

　　• 物理保护部署的驱动

　　• 使用入侵检测系统和文件访问审计/监控来阻止未批准或者异常的数据访问

　　• 定期备份数据，离线存储备份数据并确保备份媒介进行了物理保护

　　• 加密数据(包括备份数据)以及单独存储加密密钥