網(wǎng)絡(luò)存儲安全技術(shù)分析

?！「?/p>

[摘要]網(wǎng)絡(luò)存儲是存儲系統(tǒng)的發(fā)展方向。分析網(wǎng)絡(luò)存儲系統(tǒng)所受到的安全威脅，研究在SAN和DAS利用網(wǎng)絡(luò)安全和存儲安全技術(shù)，構(gòu)建網(wǎng)絡(luò)存儲系統(tǒng)安全體系的基本方法，并提出進一步的研究方向。

[關(guān)鍵詞]網(wǎng)絡(luò)存儲 安全威脅 安全技術(shù)

中圖分類號：TP3文獻標(biāo)識碼：A文章編號：1671－7597（2009）0120068－01

隨著數(shù)字信息的爆炸式增長和個人與組織對這些信息的依賴性不斷增加，存儲系統(tǒng)正逐漸成為整個信息系統(tǒng)的中心，數(shù)據(jù)成為最重要的資產(chǎn)。然而，存儲系統(tǒng)由本地直連向著網(wǎng)絡(luò)化和分布式的方向發(fā)展，使存儲系統(tǒng)變得更易受到攻擊，竊取、篡改或破壞重要數(shù)據(jù)的事件不斷發(fā)生。因此安全問題是目前存儲網(wǎng)研究中急需要解決的重要問題。

一、存儲安全的服務(wù)

存儲系統(tǒng)提供的存儲安全服務(wù)主要包括認證和授權(quán)、可用性、機密性和完整性、密鑰共享和密鑰管理施、審計和人侵檢測以及可使用性、可管理性和性能等方面。

1．認證和授權(quán)。認證和授權(quán)是一個存儲系統(tǒng)應(yīng)該提供的最基本的安全服務(wù)。認證是確定一個實體或信息源的身份，前者叫實體的認證或鑒別，后者叫信息認證存儲服務(wù)器在允許數(shù)據(jù)的生產(chǎn)者、消費者和管理者訪問讀或?qū)懼埃瑧?yīng)該認證他們的身份是否合法，如果合法，則給一定的訪問權(quán)限，這個過程叫授權(quán)。認證是相互的，數(shù)據(jù)的生產(chǎn)者和消費者信認的關(guān)系。信息認證是實體對另一個實體發(fā)送的原始信息的認證。認證可使用口令、數(shù)字簽名和信息認證碼等技術(shù)。授權(quán)可通過訪問控制列表的等或使用容器證書證書中列舉了證書所有者的訪問權(quán)限。

2．機密性和完整性。當(dāng)數(shù)據(jù)在一個或多個遠程存儲服務(wù)器上產(chǎn)生、傳輸和存儲時，面對未被授權(quán)入侵者的破壞、修改和重發(fā)攻擊顯得很脆弱。并且，一個惡意服務(wù)器能用舊版本文件替代當(dāng)前版本的文件。當(dāng)數(shù)據(jù)在傳輸或存儲在媒體上時，保證其安全性是關(guān)鍵。通過加密可以保證對非認證用戶的機密性，通過數(shù)字簽名或信息認證碼可以保證數(shù)據(jù)的完整性。給每一個會話設(shè)置時間戮或隨機數(shù)可以阻止敵手重發(fā)攻擊。使用安全套接層協(xié)議SSL和反協(xié)議Ipsec可以保證數(shù)據(jù)傳輸安全，但存儲服務(wù)器要先解密數(shù)據(jù)，然后再存放磁盤上。

3．密鑰共享和密鑰管理。多用戶網(wǎng)絡(luò)文件共享是很普通的，共享一個文件的所有用戶也必須共享這個文件的加密密鑰。這些密鑰的有效性和擴展管理是非常重要的，當(dāng)從一個組中刪除一個用戶或合并兩個組時，要求重新加密共享文件并且重新分布新的密鑰。密鑰管理的另一個重要方面是密鑰恢復(fù)，即恢復(fù)丟失的密鑰技術(shù)。一個密鑰恢復(fù)系統(tǒng)是一個有備份解密容器的加密系統(tǒng)，這個解密容器允許在某些條件下被授權(quán)的用戶在一個或多個信任實體提供信息的幫助下解密密文。這些信任實體有專用的數(shù)據(jù)恢復(fù)密鑰，但這些密鑰的存放、保存和刪除是很重要的。

4．審計和入侵檢測。存儲系統(tǒng)必須維持重要活動的審計日志。審計日志對系統(tǒng)恢復(fù)、入侵檢測等非常重要。入侵檢測領(lǐng)域已有廣泛的研究，入侵檢測系統(tǒng)使用各種日志（如網(wǎng)絡(luò)日志和數(shù)據(jù)訪問日志）和網(wǎng)絡(luò)流檢測和報告攻擊。

二、當(dāng)前存儲網(wǎng)系統(tǒng)安全研究

網(wǎng)絡(luò)存儲是網(wǎng)絡(luò)時代最佳的存儲解決方案。NAS(Network Attached Storage)和SAN(Storage Area Network)是常用的2種網(wǎng)絡(luò)存儲技術(shù)，不同于直接連接存儲DAS(Direct Attached Storage)的是網(wǎng)絡(luò)存儲直接與網(wǎng)絡(luò)連接，為整個網(wǎng)絡(luò)提供集中、共享的存儲服務(wù)。

網(wǎng)絡(luò)連接存儲，簡稱NAS是一種可以提供文件級服務(wù)的存儲設(shè)備，其特點是可以直接掛到網(wǎng)絡(luò)上向用戶提供文件級服務(wù)。此外，它有自己簡化的實時操作系統(tǒng)，并將硬件和軟件有效地集合在一起，用以提供文件服務(wù)NAS存儲系統(tǒng)的特點是通過基于IP網(wǎng)絡(luò)的網(wǎng)絡(luò)文件協(xié)議向多種客戶端提供文件級I/O服務(wù)，客戶端可以在NAS存儲設(shè)備提供的目錄或設(shè)備中進行文件級操作當(dāng)用戶或應(yīng)用程序試圖訪問文件時，經(jīng)過解釋的I/O請求被重定向到網(wǎng)絡(luò)傳輸路徑這些經(jīng)過解釋的I/O請求經(jīng)過IP網(wǎng)絡(luò)傳輸?shù)絅AS服務(wù)器端，由NAS服務(wù)器端的網(wǎng)絡(luò)文件協(xié)議接收，之后，進行解包，同時處理客戶端和塊設(shè)備的映射關(guān)系，最后，將正常的I/O操作請求交給服務(wù)器上的文件系統(tǒng)處理。

SAN是一種以數(shù)據(jù)存儲為中心且面向網(wǎng)絡(luò)的存儲結(jié)構(gòu)。SAN技術(shù)采用可擴展的網(wǎng)絡(luò)拓撲結(jié)構(gòu)連接存儲設(shè)備和服務(wù)器，是一種面向服務(wù)器提供數(shù)據(jù)存儲服務(wù)，并將數(shù)據(jù)的存儲和管理集中在相對獨立的專用網(wǎng)絡(luò)中的存儲技術(shù)。在SAN技術(shù)中，由于服務(wù)器和存儲設(shè)備之間的多路可選擇的數(shù)據(jù)交換，因此，以往存儲結(jié)構(gòu)中存在的可擴展性和數(shù)據(jù)共享方面的局限性被消除了，SAN中通過協(xié)議映射，存儲設(shè)備的磁盤或磁帶表現(xiàn)為服務(wù)器節(jié)點上的“網(wǎng)絡(luò)磁盤”在服務(wù)器操作系統(tǒng)看來，網(wǎng)絡(luò)盤與本地盤相同，服務(wù)器節(jié)點操作網(wǎng)絡(luò)盤就像操作本地硬盤一樣對其發(fā)送命令，命令通過相關(guān)協(xié)議的封裝后，由服務(wù)器發(fā)送到SAN網(wǎng)絡(luò)，并由存儲設(shè)備接收并執(zhí)行服務(wù)器節(jié)點可以對“網(wǎng)絡(luò)磁盤”進行各種塊操作和文件操作。

三、網(wǎng)絡(luò)存儲系統(tǒng)安全技術(shù)分析所需解決的問題

（一）SAN安全機制

SAN交換機、HBA(Host-Bus Adapters)和存儲陣列等SAN設(shè)備層的配置都與其安全特性有關(guān)。SAN的安全機制包括交換機端口類型配置、分區(qū)和LUN(Logical Unit Number)屏蔽。WWN(World Wide Name)是光纖通道中用于標(biāo)識節(jié)點和端口的64位惟一注冊標(biāo)識符。分區(qū)的作用類似于VLAN，基于WWN的軟分區(qū)由于存在WWN的盜用，因此安全性較低。硬件分區(qū)根據(jù)交換機端口WWN的組合劃分，分區(qū)的訪問限制不能突破，因而具有更高的安全性，應(yīng)是首選的分區(qū)方法。邏輯單元號LUN是一種對存儲設(shè)備的劃分。LUN屏蔽是一種比分區(qū)粒度更細的訪問控制方法，它可以控制服務(wù)器對不同邏輯單元的訪問。

（二）NAS文件系統(tǒng)安全機制

NAS使用CIFS和NFS來實現(xiàn)網(wǎng)絡(luò)文件共享，其安全機制建立在CIFS和NFS的基礎(chǔ)上。CIFS提供認證和授權(quán)這2種安全機制，其中認證又包括共享級認證和用戶級認證。在共享級認證方式下，整個共享點只有一個單一的口令用于共享訪問，提供的安全保障有限，只能用于對安全性要求不高的公共資源共享或臨時資源共享等場合。用戶級認證方式為不同用戶提供不同的用戶名，因此能提供高于共享級認證的安全性，但用戶名和口令是以明文方式傳送，因此也存在被監(jiān)聽的威脅。

四、總結(jié)

作為全新的網(wǎng)絡(luò)存儲技術(shù)，NAS和SAN尚處于成長期，其國際標(biāo)準(zhǔn)尚未形成因此，對于網(wǎng)絡(luò)存儲安全體系結(jié)構(gòu)的研究，只能是根據(jù)目前的體系結(jié)構(gòu)進行一些探討，給出一個相對安全的對策方案，以保證能獲得最高水平的數(shù)據(jù)與系統(tǒng)安全隨著與的結(jié)合與廣泛應(yīng)用，關(guān)于加強網(wǎng)絡(luò)存儲的安全性研究有待進一步的改進和擴展。