какие системы хранят безопасность
Самые безопасные облачные хранилища 2021 года
Большинство обладателей компьютеров и мобильных устройств уже не один год пользуются облачными хранилищами данных. Это могут быть Google Drive, Microsoft OneDrive, Dropbox. Это лишь несколько из множества популярных сервисов облачного хранения данных. Среди них есть немало разнообразных и недорогих вариантов. Когда вы сделали выбор, у вас появляется возможность получать доступ к своим файлам из любого места и возможность сохранять их на тот случай, если с компьютером или мобильным устройством что-то случится. Тогда вы сможете скачать эти файлы из облака.
Кто-то выбирает облачные хранилища по тому, сколько дискового пространства предлагается там бесплатно. Кому-то важна совместимость с установленными у них программами и сервисами. Для кого-то важнее всего конфиденциальность и такие люди ищут наиболее надёжные сервисы.
Зачем пользоваться облачным хранилищем?
Многие популярные облачные хранилища довольно удобные, но у них есть критический недостаток для тех, кто ценит свою конфиденциальность. Это вероятность того, что посторонние смогут получить доступ к вашим файлам.
Это утверждение может показаться странным. Во всех сервисах применяются надёжные алгоритмы шифрования данных. При передаче данные тоже шифруются. В чём же может быть опасность?
Шифрование данных защищает их от посторонних. Если хакер перехватит ваш трафик, он не сможет расшифровать данные. В отличие от самого сервиса облачного хранения.
Большинство этих сервисов шифруют пользовательские данные сами. Это значит, что у них есть ключи шифрования и они могут как зашифровать данные, так и расшифровать их. Пользователям остаётся только надеяться, что сервисы не будут заглядывать в их файлы. Также придётся доверить сервисам хранение ключей шифрования, чтобы их не украли злоумышленники. Ещё надо надеяться, что ваши данные не будут расшифрованы и вручены властям, если последует такой запрос.
Единственный способ сохранить свои данные в облачном хранилище заключается в правильном выборе сервиса.
По каким параметрам можно признать облачные хранилища безопасными?
Секрет надёжности облачных хранилищ заключается в шифровании. В первую очередь в том, кто контролирует ключи шифрования и дешифрования данных.
В приведённых в этой статье примерах провайдер облачного хранения отвечает за шифрование и дешифрование ваших данных. Поэтому именно он хранит у себя ключи шифрования.
Сервисы облачного хранения данных используют разные методы защиты. Данные могут сохраняться в безопасных помещениях с вооружённой охраной и биометрическими замками, словно в фильмах про Джеймса Бонда. Они могут быть зашифрованы последними алгоритмами, с которыми не справятся даже суперкомпьютеры.
Вопросы и ответы о безопасных облачных хранилищах
При выборе лучшего сервиса облачного хранения данных, когда вам нужна защита и конфиденциальность, могут возникнуть некоторые вопросы. В этой статье приведены ответы на них.
Важно ли, в какой стране работает сервис?
Страна расположения сервиса может играть большую роль. В разных странах разные законы, которые касаются передачи и хранения данных в интернете. Законы в некоторых странах уважают конфиденциальность пользователей больше, чем законы других стран. Страны вроде Швейцарии обладают законами, которые строго защищают персональные данные. У стран вроде США или Великобритании репутация в плане защиты конфиденциальности хуже.
Для облачных хранилищ страна размещения не так важна, как для других сервисов. Причина в том, что сервис облачного хранения не всегда может расшифровать ваши данные. Если ключи шифрования у вас, то данные защищены. Даже если сервис получает указания передать ваши данные полиции или если хакеры взломают хранилище, они не смогут прочитать ваши данные.
Это не всегда означает, что сервис ничего не знает о тех данных, которые вы храните в нём. В зависимости от принципов работы защищённого облачного хранилища сервис может иметь доступ к следующей информации:
Пользователю необходимо продумать защиту от угроз, чтобы данные не попали в чужие руки. Нужно принимать во внимание, как страна расположения сервиса влияет на эти угрозы, и только потом выбирать сервис.
Играет ли роль страна, где непосредственно хранятся данные.
Сервис может быть зарегистрирован в одной стране, а физически данные располагаются в другой. Например, для Sync.com в обоих случаях это Канада. MEGA располагается в Новой Зеландии и там же может хранить данные. Или же хранит их в неуказанных европейских странах, где якобы есть адекватный уровень защиты в соответствии со статьёй 45 GDPR. Решение о том, где именно будут храниться данные, принимается на основе вашего местонахождения.
Почему важно, в какой стране хранятся данные? Местные законы регулируют работу серверов, которые находятся на территории страны. Представьте, что какой-то сервис облачного хранения данных имеет штаб-квартиру в Швейцарии, но хранит данные в Китае. Китай считается одной из наиболее опасных стран в плане конфиденциальности. Местные законы будут регулировать деятельность серверов с вашими данными и компания должна будет подчиняться им, а не безопасным швейцарским законам.
Как лучше всего защитить данные в надёжном облачном хранилище?
Существуют разные подходы к защите данных в облачных хранилищах. Нужно принимать во внимание три фактора: данные в процессе передачи, данные при хранении в облаке и данные на вашем устройстве. В процессе передачи данные отправляются с вашего компьютера, смартфона или ноутбука на сервер и в обратном направлении. В остальных случаях данные хранятся на сервере или на вашем устройстве.
Данные в процессе передачи
Чтобы система считалась надёжной, данные в процессе передачи должны быть защищены одним из протоколов, чтобы никто не мог при перехвате прочитать их. При передаче данных в интернете обычно используется шифрование TLS/SSL. Оно применяется, прежде чем данные отправляются в интернет, и снимается, когда данные пришли в облачное хранилище. Это же происходит при передаче данных в обратном направлении.
Шифрование TLS/SSL обеспечивает достаточно безопасную передачу данных, но оно не работает, когда данные прибыли в пункт назначения. Если отправляемые вами в облачное хранилище данные не были зашифрованы до того, как к ним применяется шифрование TLS/SSL, после прибытия данные не зашифрованы и их можно прочитать.
Примечание: данные могут передаваться в двух окружениях. Это могут быть публичные сети вроде интернета и частные сети вроде локальной сети у вас дома или на работе. Обычно частные сети являются более защищёнными по сравнению с общедоступными. Некоторые защищённые сервисы облачного хранения данных позволяют хранить ваши файлы на собственном оборудовании внутри частной сети, что может усилить их безопасность.
Данные при хранении
Когда информация не передаётся, она где-то хранится. Когда вы храните свои файлы в облачном хранилище, они находятся на находящихся где-то серверах. Чтобы данные были защищены, к ним должен быть закрыт неавторизованный доступ. Защита может быть физической и процедурной. Серверы должны находиться в безопасном месте и у посторонних не должно быть доступа к ним. Многие сервисы облачного хранения данных обеспечивают такую защиту.
У такого типа безопасности проблема заключается в том, что необходимо доверять защиту ваших данных сервису. Если их процедуры безопасности не сработают или кто-то проникнет в место хранения файлов, ваши данные могут попасть в чужие руки.
Более безопасным вариантом хранения данных является их шифрование перед отправкой на серверы. Прочитать такие данные сможет только тот, кто сумеет их расшифровать. Обычно применяется алгоритм шифрования AES-256.
Используйте шифрование TLS/SSL при передаче данных и AES-256 или похожий современный и надёжный алгоритм шифрования данных при хранении. Это будет почти максимально возможная защита.
Кто хранит ключи от ваших данных?
Зашифровать и расшифровать данные может только тот, у кого есть ключи шифрования. Во многих случаях ключи шифрования находятся в сервисе облачного хранения. Сервис использует протоколы TLS/SSL для передачи данных, затем применяет ключ шифрования и сохраняет данные на своих серверах. Это удобно, но вы должны доверять этому сервису защиту ваших данных.
Более безопасным подходом является самостоятельное хранение ключей шифрования. Самые надёжные системы не знают ключей шифрования. Приложение на вашем устройстве использует ключи для шифрования данных перед их отправкой на сервер и для дешифрования при получении данных с сервера. На самом сервере ключей нет.
Так вы не обязаны доверять кому-то хранение ваших ключей шифрования. Нужно только доверять приложению сервиса, что оно не отправит ключи шифрования на сервис. Если это приложение с открытым исходным кодом и достаточно популярное, можно быть почти уверенным, что никаких подвохов не будет. Разбирающиеся в программировании энтузиасты проверяют исходный код таких приложений и анализируют все их возможности.
Также нужно подумать о безопасности хранения данных на устройстве. Большинство сервисов облачного хранения данных, даже самые надёжные, защищают данные только тогда, когда они покинули ваше устройство. Если кто-то получит доступ к устройству, он получит и доступ к вашим данным, если они не зашифрованы.
В NordLocker находящиеся в облачном хранилище данные зашифрованы и на пользовательских устройствах. Для их расшифровки нужно выполнить вход в учётную запись NordLocker. Шифрование данных на устройстве пользователя обеспечивает дополнительный уровень защиты.
Такие системы, где только пользователь может шифровать и дешифровать свои данные, называются сквозным шифрованием. Если вы не используете сервис, где данные сохраняются в собственной защищённой частной сети, для обеспечения максимальной надёжности требуется некоторая форма сквозного шифрования.
Зачем платить, если существуют бесплатные облачные хранилища?
Если у вас нет лишних денег, использование бесплатного тарифного плана облачного хранилища кажется лучшим вариантом. Несмотря на привлекательность, есть несколько причин купить платную подписку вместо использования бесплатного тарифа.
Всегда рекомендуется сначала попробовать бесплатный тариф сервиса, прежде чем принимать решение о покупке. Если же у вас достаточно важные данные, которые необходимо защищать как можно лучше, стоит приобрести платный тариф.
Следует ли использовать VPN при работе с облачным хранилищем?
Безопасные облачные хранилища призваны защищать пользовательские данные, но это не означает, что они не собирают никакой информации о пользователях. Многие ведут записи относительно пользовательской активности в сервисе. Могут записываться дата и время входа в учётную запись, как долго вы там находились, IP-адрес и т.д.
Безопасность в системах хранения данных
Современные решения NAS и SAW позволяют консолидировать большой объем данных в масштабируемых системах хранения. Вместе с тем, высокая степень консолидации оборачивается опасностью несанкционированного доступа по открытым каналам, так как все узлы находятся в единой сети. Взлом одного или нескольких узлов в корпоративной сети хранения данных может привести к катастрофическим последствиям для бизнеса.
Сначала 90-х прошлого века в развитии вычислительных систем наметилась тенденция к децентрализации ресурсов в целях перенесения прикладных задач с больших машин (мэйнфремов) на отдельные серверы. В архитектурных решениях на передний план стали выдвигаться разработки па базе операционных систем (ОС) Windows, NetWare, а также различных клонов ОС UNIX. Интересно отметить, что именно тогда началось обратное движение по переносу разрозненных корпоративных данных с различных носителей (бумажные документы, магнитные диски и т. п.) в централизованные хранилища, которое сегодня нашло воплощение в таких решениях, как Network Attached Storage (NAS) и Storage Area Network (SAN). Это стало возможным прежде всего благодаря тому, что разработчики программного обеспечения смогли предложить конечному пользователю больше различных инструментов для обработки информации непосредственно на рабочих станциях.
Со временем (второй этап) необходимость удовлетворения разнообразных требований бизнеса и связанный с этим поиск оптимальных решений заставили компании перейти на архитектуру с распределенными ресурсами, в которой рабочая станция превращалась в небольшой вычислительный комплекс, а сервер обеспечивал лишь функции арбитра. Объем хранимых данных на серверах и рабочих станциях был невелик, и встроенных дисков вполне хватало. Частично это объяснялось тем, что немалая часть информации продолжала оставаться на бумажных носителях.
Особенности систем хранения
Архитектурное решение с непосредственным подключением устройств хранения (Direct Attached Storage, DAS) уходит корнями в десятилетнее прошлое, когда стали появляться первые стандартизованные предложения по подключению большого количества дисковых хранилищ к серверу по единой шине. Сегодня можно с уверенностью сказать, что шина SCSI заняла лидирующее положение в подобных решениях. При этом протокол SCSI в силу популярности как среди производителей, так и потребителей был положен в основу новых стандартов для решении следующих поколений. Максимальная длина шины или кабеля SCSI достигает 25 м, поэтому устройства хранения данных или дисковые массивы вынужденно размещаются в одном помещении серверной.
Для преодоления ограничений по длине кабеля все чаще находит применение архитектура SAN, благодаря которой возможны масштабируемые решения при сохранении высокой надежности и скорости передачи данных. Она может быть реализована на базе оптических и медных линий, а также сетей на базе протоколов Ethernet, TCP/IP и Fibre Channel. Специфика передачи блоков данных по последовательным линиям стала причиной того, что стандарт на протокол iSCSI для организации сетей хранения поверх IP появился относительно недавно.
Среди возможных угроз в отношении сетей хранения данных можно выделить следующие:
Источники угроз могут быть как внешние, так и внутренние. Да и сама по себе угроза является следствием наличия уязвимостей в конкретных узлах сети хранения. Возможные уязвимости определяют составляющие элементы и свойства архитектурных решений сетей хранения, а именно:
Ограниченность рамок статьи вынуждает остановиться лишь на наиболее типичных уязвимостях решений NAS и SAN. В интересах целостного понимания проблемы рассмотрение будет вестись по уровням предоставления необходимых служб. Всего выделим четыре уровня:
На Рисунке 2 качественно отображена степень угрозы для каждого из них в рамках задействованных служб применительно к архитектуре сети хранения данных. Следует помнить, что рассматриваемая инфраструктура ограничивается лишь самой сетью хранения: системами хранения, коммутаторами, серверами и рабочими станциями. Как видно из рисунка, использование уязвимостей на уровне управления и контроля может представлять максимальную угрозу для хранимой информации в силу того, что при несанкционированном доступе злоумышленник получает контроль над всем окружением сети хранения, включая системы хранения данных, коммутирующие устройства, а в ряде случаев серверы приложений и рабочие станции клиентов сети. Последствия от получения подобного доступа могут быть самыми катастрофичными: от компрометации и уничтожения информации до полного разрушения архитектурных взаимосвязей между конечными узлами и системами хранения данных.
Очевидно, что в случае несанкционированного доступа на уровне конечных устройств степень угрозы минимальна, поскольку затрагивается лишь часть всего окружения. Степень опасности на данном уровне будет определяться тем, насколько грамотно были продуманы архитектура, размещение устройств и самих хранимых данных.
Анализ угроз и организации защиты в архитектуре SAN
Как было отмечено ранее, архитектура SAN предназначена для переноса блоков данных между системами хранения и конечными узлами, в роли которых могут выступать серверы приложений и рабочие станции.
Уровень устройств
В первую очередь угроза несанкционированного доступа к устройству может возникнуть вследствие слабой парольной защиты и непродуманной схемы авторизации пользователей. В этом случае несанкционированный доступ с полными правами дает абсолютный контроль над данным узлом (коммутатором или шлюзом), в результате чего возникает реальная угроза нарушения целостности архитектуры и хранимых данных.
Другая опасность может возникнуть вследствие наличия уязвимости на уровне встроенного программного обеспечения (firmware) устройства, где хранятся данные, или из-за отсутствия внимания к вопросам безопасности в отношении используемого микрокода. В этом случае злоумышленник получает возможность использовать данное устройство для удаленной атаки на другие узлы сети хранения данных (серверы, рабочие станции, шлюзы, коммутаторы).
Какие же способы защиты можно предложить? Прежде всего, использование защищенных протоколов доступа, а также контроль минимального количества символов в паролях. Для авторизации пользователей следует задействовать схему авторизации с применением списков контроля доступа (Access Control List, ACL). В ряде случаев необходимо ограничить доступ к устройству посредством многофакторной идентификации. Современные технологии позволяют идентифицировать пользователя как минимум по двум факторам: по имени и паролю, во-первых, и при помощи смарт-карты, токенов и средств биометрического контроля доступа, во-вторых.
Для обеспечения надежной работы устройств, задействованных в SAN, необходимо постоянно отслеживать выход новых обновлений и «заплат» для встроенного ПО, для чего потребуется периодически отключать устройства для проведения профилактических работ. В обязательном контроле нуждаются внутренние настройки оборудования: активированные, но неиспользуемые сервисные службы следует остановить с последующим выяснением причин их запуска. В качестве дополнительных средств определения вероятных уязвимостей могут быть использованы сетевые сканеры. В этом случае администратор получает возможность осуществлять независимый контроль за работой служб на конкретных устройствах. Ведение системных журналов на каждом устройстве должно стать правилом. Наличие информации обо всех событиях, включая и потенциальные попытки вторжения, позволит быстро провести расследование и в большинстве случаев предупредить неавторизованное обращение к ресурсам.
Уровень данных
В архитектуре SAN при неавторизованном доступе с административными правами пользователь получает полный или частичный контроль над данными, в связи с чем возникает опасность блокирования доступа, искажения или модификации, а также уничтожения данных. Кроме того, велик риск установления контроля доступа к блокам данных на уровне самих серверов. Несмотря на то что для архитектуры SAN характерен блочный доступ к хранимым данным, сами вычислительные узлы в случае активизации соответствующих служб могут выступить в роли серверов NAS с предоставлением доступа по протоколам CIFS/ SMB, а также NFS. Архитектура SAN предусматривает подключение серверов и рабочих станций с единой зоной доступа к устройствам хранения. Поэтому требование безопасности при доступе к данным должно применяться в равной степени как к серверам, так и к рабочим станциям. Тем самым исключается выполнение серверами приложений не свойственной им роли узлов NAS, через которые злоумышленник мог бы получить несанкционированный доступ к конфиденциальной информации.
Одной из мер защиты является постоянный учет пользователей, наделенных правами доступа. Корпоративные данные следует ранжировать по важности и ограничить их доступность, разделив пользователей на соответствующие группы, при этом полезно использовать правило «кто, куда, зачем». В качестве дополнительного средства укрепления защиты можно рекомендовать технологию маскирования LUN с разнесением данных по разделам устройств хранения.
Как известно, сетевые протоколы доступа к файлам CIFS/SMB и NFS в ряде случаев не обеспечивают необходимого уровня защиты, поэтому контроль за службами, отвечающими за доступ к файлам по сети, позволит исключить угрозы неавторизованного подключения. Сегодня все актуальнее становится проблема нарушения доступности и целостности хранимых данных в результате внешних атак DoS, вирусов и «червей». Как правило, основная цель таких атак направлена на блокирование доступа и ухудшение имиджа компании и ее финансового положения на рынке. Последствия окажутся еще плачевнее, если в результате атаки взломщикам удастся получить доступ к данным.
В качестве необходимых мер защиты от внешних атак целесообразно ввести контроль за серверами, коммутаторами и рабочими станциями на предмет необычно высокой активности, в полной мере использовать антивирусную защиту на серверах и рабочих станциях, следить за всеми обновлениями для имеющихся операционных систем, встроенного и прикладного программного обеспечения в окружении SAN.
Исторически сложилось так, что архитектура SAN развивалась благодаря внедрению оптических каналов с использованием протокола передачи данных Fibre Channel. Основным их достоинством были (и остаются) высокая скорость передачи, отсутствие взаимных помех между проложенными кабелями и низкая задержка сигнала. Решение вопросов безопасности в отношении передаваемой по каналам информации не было приоритетным. И только в настоящее время вопросам слабой защищенности каналов стали уделять больше внимания.
С точки зрения безопасности на уровне сетевого взаимодействия следует отметить наличие угрозы несанкционированного подключения к каналам с подменой адресов, что в равной степени относится к оборудованию и каналам как в самих центрах обработки данных, так и в филиалах. В силу открытости архитектуры и взаимной удаленности коммутирующего и конвертирующего оборудования устройства могут стать объектами атаки с последующей утерей контроля над каналами и получением злоумышленником неавторизованного доступа к передаваемым данным. Неверно сконфигурированные конечные устройства сети хранения также становятся привлекательной мишенью для сетевой атаки.
В этой связи особо следует остановиться па способах защиты. В тех случаях, когда архитектурой сети предусматривается удаленный доступ к данным, должны задействоваться межсетевые экраны и системы IDS для организации фильтрации трафика как за пределами, так и внутри сети хранения. В качестве дополнительной меры защиты необходимо предусмотреть устройства для контроля трафика в сетевом сегменте в целях выявления атак DoS.
На этапе проработки архитектуры SAN важно максимально использовать разнесение устройств между изолированными участками с помощью аппаратного зонирования (Hard Zoning), при этом программное зонирование (Soft Zoning) или маскирование LUN оказывается полезно как средство дополнительной защиты. Обычно производители коммутационного оборудования предусматривают собственные встроенные средства и протоколы передачи данных, например Cisco Fibre Channel Security Protocol (FC-SP) или Brocade Secure Fabric OS, использование которых позволяет повысить степень защищенности.
Обязательным правилом должна стать организация выделенного сетевого сегмента для контроля и управления устройствами в сети SAN.
Чтобы обеспечить безопасность на уровне устройств хранения, там, где это возможно, необходимо заблокировать доступ к узлам по протоколу Telnet и заменить его на более защищенные SSH и HTTPS.
Парольную защиту следует усилить путем контроля минимальной длины слова и введением принудительной периодической смены паролей. Более того, доступ к узлам SAN необходимо разграничить посредством задания соответствующей политики, где учитывались бы роль каждого пользователя и степень конфиденциальности хранящихся данных. С этой целью можно использовать и списки контроля доступа ACL.
Как отмечалось ранее, необходимо вести постоянный контроль административного доступа к устройствам на рассматриваемом уровне сети хранения. При этом существуют и дополнительные возможности, в частности ограничение доступа к ключевым коммутирующим и конвертирующим устройствам SAN за счет организации выделенных узлов и сетевых сегментов. Периодический контроль за системными журналами должен быть взят за основное правило.
Анализ угроз и организации защиты в архитектуре NAS
В отличие от архитектуры SAN доступ к данным на узлах NAS осуществляется на уровне файлов, для чего используются протоколы CIFS/SMB и NFS. При этом сам узел функционирует в качестве файлового сервера или сетевой приставки, а потребность в его конфигурации и настройкам минимальна. Зачастую производители серверов NAS (в силу достаточно узкой специализации) большую часть настроек выполняют до поставки сервера к заказчику, и впоследствии по умолчанию используются именно они. Это обстоятельство необходимо учитывать при интеграции серверов NAS как в локальную сеть, так и в сеть хранения данных.
Уровень устройств
На этом уровне серверы NAS работают как файловые серверы. Однако помимо традиционных каналов для доступа к устройствам хранения, в том числе к внешним по отношению к самому серверу NAS, могут задействоваться элементы архитектуры SAN. Как правило, это жесткие диски, подключенные к серверу по оптическим линиям с использованием протоколов Fibre Channel или FC-AL. В таком случае на данный сегмент должны распространяться требования, аналогичные тем, что выдвигаются к архитектуре SAN (см. выше).
Какие же уязвимости присущи данному уровню? Наличие настроек по умолчанию, а также ограниченность функций по администрированию приводит к повышению вероятности использования слабостей схемы авторизации при недостаточной парольной защите. В силу закрытости операционной системы и включенных фабричных настроек существует угроза возможных атак на незадействованные службы, DNS, Telnet и т. д.
До того как устройство NAS будет включено в сеть хранения данных, необходимо провести анализ настроек но умолчанию и отказаться от незадействованных служб. Впоследствии следует регулярно проверять состояние активированных служб и выяснять причины их запуска. Применение сильной парольной защиты с контролем длины слова и периодичность его замены позволит исключить несанкционированный доступ на уровне устройств. Регулярное обновление операционной системы не даст воспользоваться имеющимися в ней ранее уязвимыми местами для проведения возможных атак.
Уровень данных
Учитывая, что доступ к данным на серверах NAS осуществляется по протоколам CIFS/SMB и NFS, именно они будут рассматриваться с точки зрения возможных угроз. Упомянутые протоколы предусматривают лишь слабую защиту передаваемых паролей, в особенности это касается NFS. В тех случаях, когда это возможно, от использования NFS необходимо отказаться, отключив соответствующую службу. Когда к конфиденциальности передаваемых данных предъявляются высокие требования, во избежание компрометации паролей должны быть предусмотрены дополнительные меры по авторизации пользователей с применением необходимых программно-аппаратных средств.
Уже на этапе проработки архитектурного решения следует ввести жесткую классификацию хранимых данных по степени их важности и конфиденциальности, причем не стоит забывать о других эффективных средствах безопасности, в частности об организации выделенных узлов криптозащиты.
Некоторые службы могут стать объектами атаки со стороны программных сетевых вирусов и «червей», а также действий с использованием атак Denial of Services (DoS). Для защиты от них на узлах NAS необходимо установить специализированное программное обеспечение. Там, где можно, следует полностью отказаться от схемы именования узлов и перейти на адресацию средствами IP.
Сетевой уровень
Поскольку сетевой уровень серверов NAS в большинстве случаев организован па базе протокола TCP/IP, основная угроза исходит от возможных атак через сеть: DoS, перехват сеансов, подмена адресов и т. д.
В силу открытости архитектур, устройства NAS могут быть подключены как внутри корпоративного сетевого сегмента, так и за его пределами. Последнее происходит довольно часто при наличии большого количества филиалов внутри одной компании. Если трафик выходит за пределы контролируемого сетевого сегмента, обязательно должны быть установлены межсетевые экраны (Firewall), а также система IDS.
Для повышения степени безопасности можно задействовать виртуальные локальные сети (Virtual Local Area Network, VLAN), чем обеспечивается независимость трафика внутри каждого из созданных сегментов и исключается риск его прослушивания и получения несанкционированного контроля над ним.
Аналогично требованиям к сетевому уровню для устройств SAN, в случае NAS также имеет смысл организовать выделенный сегмент для управления устройствами, что позволит получить независимый административный доступ к ним. В особенности это относится к тем ситуациям, когда сеть хранения данных строится на базе Ethernet.
Комбинация выделенного сегмента и дополнительных программно-аппаратных средств позволит администратору вести непрерывный контроль за активностью в сегментах сети хранения данных и своевременно реагировать на необычно высокий уровень трафика в любое время суток, выявляя наличие атак.
Не секрет, что для выполнения административных задач (настройка, резервирование данных и т. д.) несколько пользователей нередко регистрируются на сервере как один с максимальными административными правами. Последствия подобной «демократии» могут быть плачевными. Перечислять их все не имеет смысла. Для нас важно отметить, что отследить по системным журналам действия пользователя (кто и что делал) при этом уже не удастся. Поэтому на этапе ввода в эксплуатацию надо ввести правила разграничения пользователей по группам и закрепленным за ними задачам. Как и на всех рассмотренных ранее уровнях, важно осуществлять строгий контроль за системными журналами.
Анализ угроз и организации защиты в архитектуре DAS
Исторически сложилось так, что архитектура DAS в той или иной степени лежит в основе затронутых выше решений SAN и NAS, поскольку и тот и другой ведут свое происхождение от протокола и одноименной шины SCSI. Применительно к тематике нашей статьи можно отметить то, что все, что было сказано выше, в полной мере относится и к DAS. Исключение может составить лишь сетевой уровень: длина шипы SCSI не превышает 25 м, поэтому ее защищенность внутри контролируемой зоны серверной комнаты достаточно высока.
В качестве заключения
Сегодняшние реалии в области систем хранения данных таковы, что отсутствие должного внимания к ним в решении вопросов защиты информации может привести к непредсказуемым последствиям. До сих пор в обеспечении защиты данных основное внимание уделялось надежности их хранения. При этом значительная часть средств вкладывалась в развитие инфраструктуры резервирования и архивирования информации на альтернативные носители, организации каналов для тиражирования данных на альтернативные площадки и т. д.
По мере того как архитектура приобретает все большую открытость, ее элементы (серверы, коммутаторы и т. и.) в силу возможных уязвимостей становятся целями для различного рода атак, что чревато нарушением целостности хранимой информации, ее утерей и компрометацией. Мы надеемся, что затронутые в статье проблемы заставят по-новому взглянуть на задачи, которые необходимо решать на этапе проработки архитектурных решений при организации сетей хранения данных.
Предыдущая новость:
Римский форум Открытых Технологий Следующая новость:
Каждая новая услуга банка оборачивается затратами на ИТ