存儲域網(wǎng)(SAN)的安全策略解析

??? 對于網(wǎng)絡(luò)存儲，存在著太多可能的威脅，包括數(shù)據(jù)更改、破壞、竊取、拒絕服務(wù)攻擊、惡意軟件、硬件竊取，以及未授權(quán)訪問等。
?
??? 要保證SAN（存儲域網(wǎng)）的安全，必須逐個殲滅這些可能威脅。
?
??? 近年來，對于網(wǎng)絡(luò)存儲安全，存在著太多威脅，包括數(shù)據(jù)更改、破壞、竊取、拒絕服務(wù)攻擊、惡意軟件、硬件竊取，以及未授權(quán)訪問等。要保證SAN（存儲域網(wǎng)）的安全，必須逐個殲滅這些可能威脅。值得慶幸的是，許多用于解決傳統(tǒng)網(wǎng)絡(luò)漏洞的安全策略和協(xié)議也可以幫助保證存儲網(wǎng)絡(luò)的可用性。
?
??? 不可否認，當今有不少網(wǎng)絡(luò)仍舊缺乏高效的安全機制。本文主要講述基本的安全概念和原理、支撐這些概念的協(xié)議，以及它們組織成一套整體的SAN安全策略方式。事實上，無論什么樣的安全策略，底層都包括基本的安全概念，包括驗證性、授權(quán)性、機密性、完整性、確認性以及訪問控制。?

??
??? 訪問控制
?
??? 在設(shè)計安全網(wǎng)絡(luò)環(huán)境時，訪問控制是一個基礎(chǔ)性概念，指的是控制某用戶可以或不可以訪問網(wǎng)絡(luò)、資源、文件等。
?
??? 為了有效地保證這些資源的安全，必須認真考慮并控制授予每個網(wǎng)絡(luò)用戶的訪問級別，然后設(shè)置策略來保證只有合法用戶才能真正獲得資源的訪問權(quán)。這是強健安全網(wǎng)絡(luò)環(huán)境的基礎(chǔ)。
?
??? 訪問控制策略主要包括：強制訪問控制（MAC）、自主訪問控制（DAC）和基于角色的訪問控制（RBAC）。
?
??? MAC是最嚴格的訪問控制。這種策略中，不允許任何信息的制作者控制對數(shù)據(jù)的訪問和修改權(quán)。相反，由管理人員或管理程序控制對數(shù)據(jù)、系統(tǒng)、資源的訪問和修改權(quán)限。強制訪問控制系統(tǒng)通常用于對安全要求非常高的網(wǎng)絡(luò)環(huán)境，比如軍事部署、財政系統(tǒng)、醫(yī)療系統(tǒng)等。
?
??? 自主訪問控制不受管理員或操作系統(tǒng)策略的約束。相反，由被訪問對象的所有者控制訪問權(quán)。在DAC模型中，如果用戶創(chuàng)建了一個文件夾，則由此用戶來決定誰將擁有對此文件夾的訪問權(quán)。
?
??? DAC要用到訪問控制列表（ACL）。ACL管理用戶對像文件、目錄、網(wǎng)絡(luò)資源等特定系統(tǒng)對象的訪問權(quán)信息。每個對象都有一個安全屬性來標識訪問控制列表，列表對于擁有相關(guān)訪問權(quán)的每位系統(tǒng)用戶都有一個入口。最普通的訪問權(quán)包括讀、寫、執(zhí)行文件。
?
??? 在一個基于角色的訪問控制的配置中，訪問權(quán)是由用戶在組織中所代表的角色決定的。網(wǎng)絡(luò)用戶被賦予特定的角色，比如銷售員、經(jīng)理、秘書等。同類角色的用戶自成一組，通過這些用戶在網(wǎng)絡(luò)上的角色決定訪問控制權(quán)。基于角色的訪問需要對組織的運作方式、用戶的數(shù)目以及他們在組織中的職責有全面的了解。
?
??? 當某個用戶和角色聯(lián)系起來時，應該給該用戶只授予做本職工作需要的權(quán)限。這條安全規(guī)則是最基本的，稱為“最少權(quán)限”，用于所有的訪問控制方法。在一個基于角色的情景中，當組織機構(gòu)雇用了新員工，首先要清晰定義其角色：教師、秘書、銷售員、經(jīng)理等。為該用戶創(chuàng)建一個新賬號，將其放入該組織中有相同角色的組里。不必設(shè)置個人許可，因為訪問控制的級別從組里繼承就可獲得。實際上，基于角色的訪問控制是MAC的一種形式，因為控制是由管理員決定的，且訪問級別的標準也不掌握在對象所有者手中。
?
??? 用戶驗證策略
?
??? 用戶驗證策略包括：驗證性、授權(quán)性、確認性。弱的用戶驗證性及授權(quán)性是常見的網(wǎng)絡(luò)缺陷，存儲域網(wǎng)絡(luò)也不例外。
?
??? 驗證性指的是檢驗核實某人確實是他所聲稱的那個人。通常情況下，包括一個用戶名、密碼對，也可以包括其它表明身份的方法，比如智能卡、語音識別、指紋識別等。從網(wǎng)絡(luò)和系統(tǒng)的安全角度來講，驗證性是實施安全訪問控制的一個重要組成部分。
?
??? 授權(quán)性是指確定已被識別和驗證的用戶是否可以訪問某特定資源的過程。通常是通過檢驗該用戶是否屬于某一擁有訪問權(quán)的組來決定的。
?
??? 確認性指在系統(tǒng)上記錄事件的跟蹤機制，這里常用到審計。審計是監(jiān)測事件的發(fā)生并為之做日志的過程。至于哪類事件應該跟蹤，哪類事件無需跟蹤，基本上是由管理員決定的。通過在系統(tǒng)上跟蹤事件，期望能夠記錄下嘗試訪問網(wǎng)絡(luò)或其它試圖破壞數(shù)據(jù)的行為，并采取相應的防御措施。
?
??? 反入侵策略
?
??? 在任一安全策略中，都需要對入侵者有所防范，制定響應的反入侵策略，在反入侵策略中，關(guān)鍵是保證數(shù)據(jù)的機密性來保護數(shù)據(jù)不被入侵者獲取和判斷數(shù)據(jù)在傳輸過程中是否已被篡改的完整性。
?
??? 為防止入侵者獲得數(shù)據(jù)，采用了加密機制。把原始數(shù)據(jù)加密后，如果沒有密鑰，則密文不可讀，即使被竊也毫無意義，被竊的數(shù)據(jù)仍然保持機密性。例如，在IPSec中，ESP協(xié)議可以加密將要通過光纖通道連接傳輸?shù)臄?shù)據(jù)。普通的以太網(wǎng)通信也可以使用IPSec或其它加密協(xié)議，比如SSL等。所有的加密協(xié)議都是為了使被竊數(shù)據(jù)不可讀，從而保證機密性的。完整性指的是檢驗數(shù)據(jù)，以確保未被篡改。舉例來講，在IPSec密鑰交換過程中，最初的交互使用MD5或SHA完整性驗證方法，來保證在此過程中數(shù)據(jù)未被篡改。