Ochránci dat ucpávají díry ve storage systémech

Systémy pro ukládání dat nebyly (alespoň zpočátku) navrhovány s velkým zřetelem na bezpečnost. První storage řeš...


Systémy pro ukládání dat nebyly (alespoň zpočátku) navrhovány s velkým zřetelem
na bezpečnost. První storage řešení byla založena na koncepci přímého
připojení, takže jestliže byl dobře zabezpečen hostitel, byla v bezpečí i data.
To se však postupem času změnilo. Pozornost si tak dnes získávají řešení, která
pro zajištění bezpečnosti systémů pro ukládání dat využívají šifrování.
Je obvyklé používat různé metody šifrování pro ochranu dat při jejich pohybu v
prostředí firemní bezdrátové sítě. Při přenosu dat v rámci VPN je pro šifrování
použit protokol IP Security. A transakce prováděné prostřednictvím webových
stránek jsou zase chráněny prostřednictvím protokolu Secure Socket Layer. Jak
jsou však chráněna data, když jsou uložena ve storage systému? A co když jsou
přemísťována z jednoho média pro ukládání do druhého? Nebo když je přenášíte z
hlavní storage oblasti do vzdáleného zálohovacího systému?
Například sítě SAN (Storage Area Network) založené na technologii Fibre Channel
často používají několik přepínačů a IP gatewaí, aby umožnily přístup k datům z
velkého množství bodů. Jestliže pak systémový administrátor opomene některý ze
základních kroků, který je podmínkou bezpečnosti dat ve firmě, nebudou k ničemu
ani nejmodernější nástroje. A právě proto je stále více pozornosti věnováno
řešením, která pro zabezpečení dat používají šifrování.

Lidský faktor
"Špatná konfigurace zón pro hodnoty Logical Unit Number (LUN, čísla logických
jednotek, používají se pro identifikaci zařízení, která sdílejí SCSI sběrnici)
či nedbalá údržba přístupových seznamů do sítě patří k nejčastějším příčinám
neautorizovaných přístupů do storage sítí," říká Nancy Marroneová, analytička
firmy Enterprise Storage Group. "K běžným omylům správců patří kupodivu také
to, že opomenou změnit defaultní hesla," tvrdí Dennis Martin, analytik firmy
Evaluator Group.
Ovšem jsou zde samozřejmě i faktory sahající za hranice lidských omylů. Samotný
Fibre Channel, jehož prostřednictvím aplikační servery "vidí" každé zařízení v
síti SAN, nelze považovat za zcela bezpečný protokol. Pro omezení přístupu k
zařízením v SAN se obvykle používá zónování switchů a maskování LUN v poli
storage zařízení. Zónování odděluje síťový uzel buďto pevným propojením portů
switche nebo vytvořením přístupového seznamu na základě World Wide Names (WWN,
unikátní ID pro identifikaci ATA zařízení). Maskování skrývá dané zařízení pro
ukládání dat před aplikačním serverem, ať už pomocí kódu umístěného v tomto
zařízení nebo díky inteligentním storage řadičům, které umožňují, aby
hostitelský operační systém "viděl" pouze určité hodnoty LUN. Podle Marroneové
lze však řízení přístupů pomocí maskování LUN použít v rámci menších sítí SAN,
u těch rozsáhlejších je tento způsob těžkopádný, neboť vyžaduje rozsáhlou
konfiguraci a údržbu.
Jestliže zvážíme rizika lidských omylů a technologické nedostatky, není těžké
pochopit, proč někteří z uživatelů obracejí pozornost k nástrojům pro šifrování.

Šifrování pro bezpečí
Jestliže firewall přestavuje vnější hranici ochrany firmy, pak bezpečný systém
pro ukládání dat reprezentuje ochranu přímo v jádru podnikové infrastruktury a
zabezpečuje samotný cíl jakéhokoliv případného útoku. Několik výrobců proto v
poslední době představilo nové typy zařízení pro zabezpečení storage řešení,
které mají zajistit právě zmíněný úkol.
Ochrana na úrovni jádra přináší tu výhodu, že poskytuje zajištění jak proti
externím, tak proti interním útokům. Ty mohou mít nejrůznější příčiny od
nespokojenosti super-uživatelů, kteří se mohou dostat k firemním záznamům, přes
krádež zálohovacích pásek až po škodlivé procesy/útoky umožněné chybami v
softwaru, vedoucí k neautorizovanému přístupu k datům.
Faktorem, který správcům komplikuje život, je i to, že jsou pověřováni často
vzájemně protikladnými úkoly např. zajistit dostupnost dat odkudkoliv a přitom
omezit přístup k nim pouze pro autorizované uživatele.
Navíc v současné době se data v podnicích šíří v mnoha podobách. Mnohé z firem
používají rozsáhlé centralizované systémy typu SAN. Nebo mají několik menších
řešení SAN (typicky využívajících jako transportní mechanismus Fibre Channel
nebo iSCSI) distribuovaných v rámci podniku, a to často ve vzdálených
lokalitách. Některé firmy používají také zařízení NAS (Network-Attached
Storage) "izolované" od firemní sítě LAN. A mnohé z firem mají svá data stále
ještě uložena v přímo připojovaných storage zařízeních. Každopádně ať už je
topologie řešení pro ukládání dat jakákoliv, možnost, že k datům získá přístup
neautorizovaná osoba či proces, vždy představuje potenciální hrozbu.

Čtyři období dat
Data se mohou v průběhu svého životního cyklu nacházet v jednom z následujících
čtyř stavů:
Pasivní stav jsou "nečinně" uložena v některé části storage systému.
Přenos jsou přenášena v síti (WAN, LAN nebo SAN).
Použití jsou vyvolána uživatelem nebo procesem (např. databází).
Správa jsou zpracovávána aplikací pro správu či zajištění bezpečnosti.
Přitom je nezbytné, aby byla data chráněna v každé z těchto fází jestliže je
jen jediná z nich opomenuta, nedá se hovořit o zajištěné bezpečnosti. Nová
zařízení pro zabezpečení storage se přitom zaměřují na tři z těchto stavů,
které představují dosud opomínané riziko: jsou-li pasivní, při přenosu a správě.

Bezpečná storage
Velké softwarové společnosti, jako např. Computer Associates nebo IBM/Tivoli,
nabízely bezpečnostní aplikace po dlouhou dobu a mnohé z jejich produktů jsou
dnes provozovány především ve velkých podnicích. Typicky se jedná o velké
softwarové implementace (které jsou mnohdy součástí ještě rozsáhlejší sady
několika aplikací), jež mají za úkol střežit data proti útokům zvenčí a které
ať je to pravda nebo ne jsou často považovány za nákladná řešení vhodná právě
pro velké korporace, avšak nepoužitelná pro malé či střední firmy.
Důsledkem toho jsou systémy jako eTrust Encryption od CA či Tivoli
IntrusionManager, RiskManager a další často, ačkoliv nezřídka neprávem, mnoha
firmami ignorovány.
Podívejme se ale na novou generaci převážně rackových zařízení (např. firem
jako Decru, Kasten Chase, NeoScale a Vormetric), která mají za úkol zajistit
bezpečnost storage systémů. Ta nabízejí většinou podobně pracující funkce, mezi
něž patří:
Systémy pro šifrování dat s použitím 256bitového standardu pro datové šifry
známého jako Advanced Encryption Standard (AES). AES byl přijat pro zajištění
bezpečnosti "citlivého a netříděného materiálu" a jde de facto o standard pro
komerční aplikace.
Na webovém rozhraní založené konzole pro správu, které mají zajistit jednoduchý
management ty jsou samy o sobě zabezpečeny proti útoku zaměřenému na
administrační aplikaci, a poskytují tedy bezpečné spojení se samotným
bezpečnostním zařízením.
Plná rychlost připojení znamená, že podle dodavatelů tato zařízení
nepředstavují úzké hrdlo pro přenos dat při vykonávání bezpečnostních funkcí.
Některá řešení využívají softwarové agenty nasazené na serverech či samotných
storage zařízeních. Mnohým správcům se dnes myšlenka distribuce agentů nelíbí,
neboť jejich nasazení představuje určité časové nároky a navíc agenti zabírají
paměť na serverech. Ovšem agenti, které využívají tyto systémy, mají zpravidla
velmi malé nároky na paměť.

Bližší pohled
Uveďme si na několika příkladech principy práce takových systémů. Řešení
DataFort od start-upové firmy Decru je připojeno k přepínači sítě SAN
využívající Fibre Channel nebo (v případě storage systému využívajícího IP
kanálu, jako např. iSCSI nebo NAS) do sítě LAN mezi systém pro ukládání dat a
hostitele. Decru nabízí robustní architekturu a bezpečný clustering zajišťující
funkce pro failover i audit a vyžaduje použití smart karet pro přístup do
systému. Tento dodavatel nabízí také zařízení specificky zaměřené na bezpečnost
páskových systémů.
Firma Kasten Chase už zdaleka není v pozici start-upu a řešení pro zabezpečení
dat má ve své nabídce delší dobu. Systém Assurancy SecureData chrání data jak
přímo ve storage zařízeních, tak i poté, co překročí hranice sítě SAN. Data
jsou zašifrována ve storage systémech. Zařízení je připojeno k síti LAN a
zajišťuje autentizaci pro šíření dat mimo toto pásmo v rámci IP sítě. Agenti
pro autentizaci a služby pro výměnu klíčů jsou provozovány v přepínačích.
Škálovatelnost a load balancing jsou zajištěny prostřednictvím clusteringu.
Firma NeoScale, taktéž start-up, nabízí zařízení CryptoStor, bezpečnostní box
se zabezpečeným operačním systémem, který podporuje centralizovanou správu
veškerých bezpečnostních funkcí systému pro ukládání dat i management veškerých
vzdálených ukládacích zařízení z jediného bodu. Při zapojení v clusteru
zajišťuje failover jak kontinuitu operací, tak nepřetržitou dostupnost.
NeoScale poskytuje i další typy zařízení například pro zabezpečení sekundárních
systémů pro ukládání dat.
CoreGuard Core Security System společnosti Vormetric sestává ze samotného
zařízení zajišťujícího bezpečnostní funkce a z tenkých agentů nasazených na
každém serveru. Samotný systém řídí kontrolu přístupů mezi hostiteli a daty,
připojuje se k hostiteli prostřednictvím Ethernetu a může podporovat několik
hostitelských agentů. Tito agenti jsou umístěni nad kernelem a neměli by mít
žádný vliv na kritické funkce operačního systému (hostitelského serveru).
Protože je systém umístěn mezi serverem a samotnými daty, mělo by být zařízení
transparentní pro veškeré aplikace, sítě i topologii storage.
Dalším příkladem pak může být řešení firmy Brocade Communications Systems,
která nově uvedla operační systém Secure Fabric a novou verzi softwaru Fabric
Manager. Tyto produkty správcům umožňují vytvářet kontrolní přístupové seznamy
s použitím infrastruktury PKI (Public Key Infrastructure) a přístupové seznamy
k zařízením založené na WWN. Software zajišťuje také autentizaci i šifrování
řídicích informací a dat pro správu zařízení v SAN.
Výhodou těchto řešení je zpravidla jejich snadná instalace a nasazení, což je
nepochybně klíčový faktor. Webová rozhraní (k dispozici však bývají i rozhraní
s příkazovou řádkou) manažerských konzolí poskytují snadný přístup k funkcím
správy a zajišťují zmíněnou možnost centralizace správy více systémů, ať už
distribuovaných nebo clusterovaných. Dodavatelé také svorně tvrdí, že problémy
nepředstavuje ani potřeba škálování těchto systémů. A konečně je mezi výhody
třeba započítat fakt, že bezpečný clustering s funkcemi failoveru zajistí
současně také vysokou dostupnost.

Není všechno zlato...
Je třeba brát na vědomí také určitá rizika spojená s nasazením tohoto typu
řešení. Tím prvním je fakt, že málokterá firma zřejmě zůstane u nasazení
jediného takového zařízení, a to proto, že jestliže náhodou dojde k jeho
selhání, data jednoduše nebudou k dispozici. Pravděpodobně se tedy neobejdete
bez podpory failoveru, který zajistí nepřetržitý přístup a který je zajištěn
nasazením dalšího, tedy druhého zařízení. Jinými slovy, výdaje na zabezpečení
storage takto budou dvojnásobné.
Další faktor souvisí do jisté míry s tím, že tento typ zařízení bývá v
současnosti obvykle založen na proprietárních řešeních, takže při pořízení
určitého produktu bude zákazník vázán na jeho prodejce.
Zatřetí je třeba ověřit interoperabilitu konkrétního řešení se stávajícími
systémy pro ukládání dat. To je ještě možné považovat za samozřejmost, ovšem je
třeba zvážit i budoucí plány v tomto směru. Chcete např. investovat iSCSI
řešení? Pořídíte si nový typ switchů pro síť SAN? Vždy je vhodné konzultovat s
dodavateli, zda budou nová zařízení spolupracovat s bezpečnostním systémem, o
jehož nasazení uvažujete. Bezpečnostní řešení navíc musejí být transparentní a
nesmějí mít žádný vliv na výkon ostatních systémů a jejich správu (ať už
mluvíme o storage nebo serverové straně).
A konečně začtvrté je vhodné ověřit, zda bude možné bezpečnostní řešení
škálovat v rozsahu, s nímž do budoucna v rámci firmy počítáte. Je třeba mít na
paměti, že se jedná o relativně nové technologie, jež si teprve budují své
místo v oblasti infrastruktury pro ukládání dat.

Stojí to za to?
Vezměme v úvahu přenositelnost většiny dat. Informace týkající se firmy se
mohou dostat ven ať už nechtěně nebo naopak úmyslně např. na vyřazeném disku,
na staré pásce nebo ve ztraceném laptopu. Stejně tak je zde riziko hackerského
útoku. Bez ohledu na způsob případného odcizení představují nechráněná citlivá
data nebezpečí, že se stanou zdrojem informací pro neautorizovaného uživatele.
Rozhodně je třeba mít na paměti, že snaha, kterou vetřelec vyvine pro získání
dat, odpovídá hodnotě toho, co tím získá. Jestliže se nejedná o kritická data,
není třeba se trápit s jejich ochranou. Pokud však ano, nezapomeňte, že hackeři
jsou všude kolem.









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.