Ж у р н а л   о   к о м п ь ю т е р н ы х   с е т я х   и   т е л е к о м м у н и к а ц и о н н ы х   т е х н о л о г и я х
СЕТИ И СИСТЕМЫ СВЯЗИ on-line
  ПОИСК: ПОДПИСКА НА НОВОСТИ: НОМЕР:
    ДОМОЙ • Архив: Новостей | Конференций | НомеровПодписка
 
   
 
   
    
РЕДАКЦИЯ
 
Все о журнале
Подписка
Как проехать
Где купить
Отдел рекламы
График выхода журнала
Адреса в Интернет

РУБРИКАТОР
   
• Инфраструктура
• Информационные
   системы

• Сети связи
• Защита данных
• Кабельные системы
• Бизнес
• Колонка редактора
• Электронная
   коммерция

• Только на сервере
• Системы
   учрежденческой
   связи

• Новые продукты


Rambler's Top100

  

Как защитить хранящиеся данные

Дон Маквитти

Информационная безопасность систем хранения данных становится все более важной для предприятий. Нормативные акты (в США) требуют, чтобы организации предпринимали разумные меры по защите своих данных. Таковыми являются аутентификация пользовате-лей, контроль их доступа к информации и/или шифрование последней.

Если до сих пор вы не позаботились о безопасности данных вашего предприятия, займитесь этим без промедления. Те функции и средства, которые используются для защиты информации, хранящейся в базах данных, сети SAN или просто на дисках, могут оказаться последним рубежом обороны против атак злоумышленников, пытающихся, например, получить доступ к конфиденциальным сведениям о клиентах вашей компании и угрожающих ее репутации.

Наши читатели относятся к этой проблеме очень серьезно. Недавний опрос, проведенный журналом Network Computing, показал, что для 70% респондентов защита хранящихся данных совершенно необходима, и лишь 4% заявили о том, что в ближайшие 12 месяцев бюджет, выделяемый в их организации на обеспечение безопасности систем хранения данных, будет сокращен. Плохо то, что подавляющее большинство инженеров по сетям SAN, сетевых аналитиков и администраторов баз данных не являются экспертами в области информационной безопасности. И хотя в массе своей они знакомы с ее основами, а многие из них вполне способны реализовать защищенную сетевую среду, все-таки это, как говорится, не их “хлеб”.

Полную версию данной статьи смотрите в 10-ом номере журнала за 2005 год.

Сложилась противоречивая ситуация. Согласно постановлениям органов власти США и лучшим образчикам корпоративных стратегий безопасности, средства и функции контроля доступа к данным должны быть переданы в руки специалистов по безопасности, а инженерам по сетям SAN и администраторам баз данных не следует заниматься ею.

Это же касается и сетевых инженеров, ведь IP-системы хранения данных получают все более широкое распространение. Таким образом, надежность работы сетей SAN и баз данных становится зависимой от квалификации специалистов, не относящихся к подразделениям, которые обслуживают эти сети и базы. Поэтому неудивительно, что когда мы попросили респондентов назвать основные препятствия на пути к обеспечению надежной защиты хранящихся данных, то половина их указали на отсутствие взаимодействия между специалистами по безопасности и персоналом, обслуживающим сеть SAN.

Первые, как правило, плохо знакомы с технологиями сетей SAN и баз данных, которые они призваны защищать. Они, разумеется, знают, что Fibre Channel — это не новый телеканал о здоровой пище, но вряд ли понимают, что данные, передаваемые по каналам Fibre Channel, столь же уязвимы, как и данные, пересылаемые по IP-сети.

Важные вопросы

Дальновидные специалисты по системам хранения данных преодолевают вышеназванное препятствие налаживая взаимодействие со службой безопасности своего предприятия с целью создания системы защиты хранящихся данных, обеспечивающей минимальные простои сети.

Первым шагом к гарантии безопасности критически важных данных является определение типа их защиты, который лучше всего будет соответствовать специфике деятельности вашей организации. Хранящаяся информация уязвима на уровнях приложений, хостов, коммутаторов, логических устройств (LUN) и блоков данных. К счастью, имеется множество продуктов, защищающих данные на этих уровнях. С помощью решений, предлагаемых такими фирмами, как Ingrian и Protegrity, вы можете зашифровать выбранные столбцы баз данных. Производители коммутаторов для сетей SAN реализуют функции контроля доступа к этим сетям. Кроме того, компании Cisco Systems, Decru, Kasten Chase и NeoScale и другие предлагают средства, которые шифруют трафик, передаваемый по сетям SAN, и опять же контролируют доступ к ним. Некоторые продукты ограничивают доступ в сеть в зависимости от используемого приложения.

Не существует единого решения всех проблем с информационной безопасностью. Данные, как правило, поступают на хост незашифрованными. Даже продукты, которые шифруют и дешифруют данные прямо на хосте (или сервере базы данных), должны хранить их в памяти в незашифрованном виде. Контроль же доступа на уровне хостов, приложений, баз данных и устройств SAN может разве что уменьшить риск получения данных злоумышленниками, но он не гарантирует их безопасность.

Итак, какой же должна быть хорошая система защиты хранящихся данных? Ужесточение требований к сохранности данных происходит во всех отраслях, но если ваша организация работает с федеральными властями США, является финансовым учреждением, больницей или организацией, выдающей кредитные карты, то ее деятельность находится под особым контролем. Например, от вас могут потребовать протоколы о том, какие и когда права доступа были изменены и кто это сделал. Если все же произойдет утечка конфиденциальной информации, то вам наверняка придется доказывать контролирующим органам, что вы предприняли все возможное, чтобы ограничить доступ к ней.

Постарайтесь найти ответы на приведенные ниже вопросы. Это позволит вам сформулировать требования к своей системе безопасности, которая должна обеспечивать оптимальный для вашего предприятия уровень защиты данных. Вы узнаете, какие данные требуют защиты и в каких точках сети это следует делать.

Нужно ли вам шифрование данных или достаточно обеспечить только контроль доступа к сети? Если необходимо шифровать данные в SAN, то делать ли это по всей сети? Если шифрование будет осуществляться не на хосте, то справится ли ваша сеть с дополнительной нагрузкой на нее? Хотите ли вы, чтобы данные шифровались на хостах (ведь для этого каждый сервер, работающий с зашифрованными данными, потребуется оснастить либо специальным ПО, либо платой акселератора дешифрования)?

Разные продукты дешифруют данные в разных частях сети, причем большинство передают их от коммутатора к хосту незашифрованными. Только 11% опрошенных читателей не используют средства и функции шифрования, полагая, что не стоит дополнительно расходовать (на работу с защищенным трафиком) полосу пропускания сети; 32% респондентов предпочитают шифровать данные на хостах. Шифрование сильно загружает их центральные процессоры, если только каждый ваш хост не оснащен платой с процессором шифрования. При шифровании данных в сети SAN, выполняемом на коммутаторе или с помощью специального устройства, незашифрованные данные все же передаются по сети SAN — на устройство шифрования или от него (потребителям информации).

Если вы шифруете столбцы базы данных, то где следует дешифровать их и где хранить ключи? Можно ли хранить ключи в зашифрованном виде в самой базе данных? Нам не нравится идея хранения ключей вместе с защищенными с их помощью данными, но если ключи шифрования сами зашифрованы, то, по мнению многих профессионалов, это вполне приемлемо. Если шифрование и дешифрование выполняются в базе данных с хранимыми процедурами, то позаботьтесь о контроле доступа к последним. Если ключи, средства шифрования и данные находятся на одном и том же компьютере, то эти данные не будут потеряны при выходе из строя сети в ходе выполнения транзакции.

Если вы хотите предоставлять доступ к логическим устройствам лишь с определенных хостов, то нужна ли вам защита от имитации (spoofing) имен WWN (World Wide Names)? (WWN-имя хоста с правом доступа может быть скопировано на хост без такого права, что позволит злоумышленнику осуществить доступ к данным с якобы заслуживающей доверия машины.) Нужно ли протоколировать попытки осуществления доступа с неавторизованных хостов? Нужна ли “привязка” портов сети SANк WWN-именам устройств? Хотите ли вы поддерживать эту ассоциацию постоянно и по всей сети SAN? “Привязка” портов к конкретным WWN-именам — это хороший способ защитить сеть от имитации этих имен, но администрирование ее при этом усложняется, поскольку приходится определять и поддерживать ассоциативные связи WWN-имен с портами.

Нужен ли вам контроль доступа пользователей к сети на основе выполняемых ими обязанностей (role-based)? По данным нашего опроса, контроль доступа к данным, хранящимся в сети SAN, реализован у 61% респондентов, а аутентификация и контроль доступа к средствам управления сетью — у 58 и 55% соответственно. Реализация основанного на выполняемых обязанностях контроля доступа существенно облегчает управление правами пользователей.

Нужна ли вам гарантия того, что злоумышленник, завладевший вашими дисками и магнитными лентами, не сможет прочитать их? Информационные носители вполне могут попасть в руки злоумышленников. Так, в феврале Bank of America объявил о потере своих магнитных лент во время транспортировки их в резервный центр обработки данных. На этих лентах содержалась незашифрованная информация о клиентах банка (1,2 млн федеральных служащих, включая и некоторых сенаторов) и их счетах. Однако хранение данных на лентах в зашифрованном виде связано с определенными трудностями. Дело в том, что необходимо позаботиться о наличии (доступности) ключа для дешифрования в любой момент, как только вам понадобится восстановить хранящиеся на лентах данные. Хранение же ключей на самих лентах небезопасно.

Болевые точки

В ответ на наш вопрос, какие элементы системы безопасности хранящихся данных они хотят усилить в первую очередь, 73% респондентов назвали средства защиты хостов. Именно эти средства наряду с приложениями, работающими на хостах и IP-шлюзах, считаются самыми слабыми звеньями в общей системе защиты сети SAN.

Почти все сети SAN предприятий работают на основе волоконно-оптических инфраструктур Fibre Channel, которые предназначены для быстрой передачи больших объемов данных. При подготовке этой статьи мы проанализировали процесс передачи данных между дисковыми подсистемами (целевыми устройствами) и хостами через коммутатор Fibre Channel, работающий примерно так же, как IP-коммутатор.

С технологией Fibre Channel конкурирует протокол iSCSI, который инкапсулирует команды SCSI и ответную информацию в IP-пакеты. Из-за накладных расходов, связанных с работой протокола IP и различий в логике функционирования протоколов IP и SCSI, системы iSCSI работают медленнее средств Fibre Channel. Впрочем, применение технологии 10-Gigabit Ethernet сравняет их производительность, что сделает решения iSCSI более востребованными.

Ниже описаны другие уязвимые компоненты (помимо хостов и приложений) в инфраструктурах хранения данных, основанных на технологиях Fibre Channel и iSCSI (см. примеры сетей на рисунках).

Сети Fibre Channel

Коммутаторы Fibre Channel. Эти устройства, являющиеся сетевыми коммутаторами, имеют все те же уязвимости, которые присущи другим коммутаторам. Злоумышленники могут имитировать имена WWN, физически заменять установленные в сети коммутаторы и взламывать защиту их управляющих средств, подключаемых посредством управляющего порта к IP-сетям. Получение административного доступа к коммутатору через его управляющий порт открывает дорогу для вторжения во всю сеть SAN.

Управляющий хост сети Fibre Channel. С появлением средств управления на базе Web-технологий выделенные управляющие хосты стали использовать значительно реже. Однако и Web-системы администрирования могут подвергнуться тысячам атак, осуществляемых хакерами в сетях TCP/IP. Получив административный доступ к управляющему хосту или интерфейсу, злоумышленник сможет отключить все средства защиты вашей сети SAN.

Дисковые массивы Fibre Channel. Устройства хранения данных можно атаковать несколькими разными способами. Поскольку в большинстве случаев маскирование логических устройств и виртуальную маршрутизацию данных выполняет коммутатор, то замена его откроет доступ к дискам массива. Кроме того, злоумышленник способен просто вынести дисковый массив из здания вашей компании.

Ленточные библиотеки. Как уже говорилось, магнитные ленты могут быть утрачены, поскольку их выносят из здания компании, чтобы хранить за его пределами.

Сети iSCSI

Коммутаторы iSCSI. Их атакуют самыми разными способами, которые хакеры применяют против любых других устройств IP-сетей. Например, осущест-вив административный доступ к коммутатору, злоумышленник отключает его функции обеспечения информационной безопасности и средства поддержки виртуальных ЛВС. Для

iSCSI-сетей SAN проблемы с обеспечением информационной безопасностью стоят острее, чем для инфраструктур Fibre Channel, поскольку в этих сетях используются обычные IP-коммутаторы, не имеющие специальных функций защиты хранящихся данных.

Дисковые массивы iSCSI. Вероятность атаки на такой массив гораздо выше, чем на дисковую систему Fibre Channel, поскольку его могут “видеть” все машины IP-сети. Если существует маршрут передачи данных между каким-либо хостом и IP-системой хранения данных, значит, последняя может быть атакована по этому маршруту. Подобно системе хранения Fibre Channel дисковый массив iSCSI также может быть украден злоумышленником.

Главное — защитить хосты

Как мы уже говорили, многие респонденты обеспокоены безопасностью своих хостов и работающих на них приложений. Дело в том, что, взяв под контроль хост в сети SAN, основанной на технологии Fibre Channel или iSCSI, злоумышленник получает доступ ко всем данным, которые “видны” этому хосту. К счастью, существуют продукты, ограничивающие доступ (с хоста) к логическим устройствам по их номерам. Применение средств шифрования содержимого базы данных обеспечивает дополнительную защиту информации, поскольку в этом случае доступ к ней могут осуществлять не все пользователи сети, а лишь те, кто работает с определенными сетевыми приложениями.

Конечно, вышеупомянутые продукты и средства не являются панацеей от всех бед, но они помешают атаковавшему хост злоумышленнику получить доступ к хранящейся в сети информации. Компания Decru предлагает дополнительное приложение, позволяющее администратору определять, какие приложения можно запускать на хосте и какие средства хранения информации доступны им. Благодаря использованию этого продукта злоумышленник не сможет задействовать такое приложение, как SQL*Net, для получения доступа к информации в вашей базе данных, даже если он раскрыл аутентифицирующую информацию пользователя этой базы.

Недавние негативные отзывы в прессе об алгоритме хеширования SHA-1 наверняка (несмотря на то, что нацеленные на него атаки разрабатывались по большей части для ситуаций, при которых ключи или данные соответствовали определенным критериям) приведут к тому, что вы начнете пользоваться одним из новых стандартов хеширования. Убедитесь, что выбранный вами защитный продукт расширяем, ведь в деле обеспечения информационной безопасности единственное, что остается неизменным — это постоянные перемены.

Дорого, но это того стоит

Нет ничего удивительного в том, что с защитой данных связаны определенные издержки. Расплатой за шифрование данных являются рост потребления сетевой полосы пропускания и увеличение задержки передачи данных, однако это происходит не в такой большой степени, как вы, возможно, предполагаете. Чтобы осуществлять контроль доступа пользователей, придется тратить время на создание и поддержание списков контроля доступа, но, применив описания групп пользователей, вы сумеете сэкономить временные затраты. Если у вас большая сеть, имеет смысл купить защитную систему, конфигурируемую с помощью сервера RADIUS, что упростит и удешевит ее применение.

Вообще говоря, отсутствие защиты хранящихся данных может стать причиной куда больших издержек для вашей компании, чем затраты на покупку необходимого числа дорогостоящих криптографических устройств. К концу следующего года в США отсутствие шифрования номеров кредитных карт, хранящихся в базах данных, станут расценивать как преступную халатность при слушании дел (в суде), связанных с неавторизованным доступом к этой информации.

Акционеры компании ChoicePoint возбудили против нее иск после сильного падения стоимости ее акций, связанного с кражей личных данных клиентов компании. По данным Федеральной торговой комиссии США, хищение конфиденциальных данных оборачивается для компаний США и их клиентов убытками в размере 50—60 млрд долл. в год. Можно ожидать роста числа исков, возбужденных клиентами против компаний, допустивших кражу данных о них. Более того, принятый в шт. Калифорния закон California Database Security Breach Act, который должна исполнять любая компания, имеющая клиентов в этом штате, требует огласки несанкционированного доступа к их личным данным, даже при малейших подозрениях, что такой доступ имел место. Одна только мысль об ухудшении имиджа компании, которое может последовать за таким анонсом, должна стать стимулом к немедленным действиям по защите хранящихся данных..





  
10 '2005
СОДЕРЖАНИЕ

бизнес

• «Бережливое» производство в Эспоо

инфраструктура

• Самое дорогое в ИБП

• Устранение радиопомех в БЛВС

информационные системы

• Родео с настольными ПК

• Тестируем продукты управления настольными системами

сети связи

• IP-коммуникации: время пришло

• Why MAX?

кабельные системы

• Системы видеонаблюдения на базе UTP-кабеля

• UTP-разъемы для сетей 10-Gigabit Ethernet

• Перспективные решения для ИТ-инфраструктур

защита данных

• Защищаемся от XML-атак

• Как защитить хранящиеся данные

• Храните ваши данные в безопасности

новые продукты

• NAS-серверы компании R-Style Computers; Пылевлагозащищенная кросс-муфта для ВОЛС; Новые ИБП Power-Vision 3F; Консольные серверы от Aten International; Linux-cерверы OpenPower


• Калейдоскоп



 Copyright © 1997-2007 ООО "Сети и Системы Связи". Тел. (495) 234-53-21. Факс (495) 974-7110. вверх