Безопасность в сетях хранения данных
Евгений Патий, "Экспресс-Электроника"
Современные корпорации накапливают терабайты данных и для их хранения используют системы NAS и SAN. Однако в силу своей конструкции данное оборудование не предусматривает встроенных средств разграничения доступа к данным между отдельными пользователями или их группами. Информация при этом сконцентрирована в одном месте, и потенциальная степень ее уязвимости весьма высока.
Высокая степень консолидации оборачивается опасностью несанкционированного доступа по открытым каналам, так как все узлы находятся в единой сети. Взлом одного или нескольких узлов в корпоративной сети хранения данных может привести к катастрофическим последствиям для бизнеса.
В связи с тем, что 50–80% атак начинаются внутри сети, большинство организаций признают, что их наиболее критичная информация "по умолчанию" находится под угрозой. Такие решения, как межсетевые экраны или виртуальные частные сети обеспечивают общую защиту периметра корпоративной сети, а центральные хранилища данных остаются уязвимыми для внутренних и внешних атак.
Как уже отмечалось, низкая степень защищенности NAS и SAN заложена в самой их природе, поэтому стоит сказать несколько слов об их архитектуре. NAS-решения представляют собой выделенный файл-сервер. Подключаются к локальным сетям и осуществляют доступ независимо от операционной системы и платформы. Их достаточно легко администрировать, однако они не решают проблему транзита данных до сервера приложений. Проблема загрузки локальной сети решается с помощью NAS-решений частично. Доступ к данным осуществляется только через выделенный NAS. Если другим узлам необходимо обратиться к серверу, данные должны передаваться по локальной сети, что существенно нагружает трафик. Системы NAS позволяют разбивать хранилище данных на сегменты. Клиенты сети, также разделенные по группам, получают доступ только к определенному сегменту хранилища, доступ к другим им запрещен.
Другой серьезный недостаток NAS в том, что они не могут совместно использовать жесткие диски разных устройств, подключенных к локальной сети.
Иногда недостатком считается и доступ к данным на уровне целых файлов, а не блоков (например при обработке структурированных и ресурсоемких приложений СУБД). Помимо этого, средой передачи для NAS-серверов являются сети Ethernet, в результате общая производительность работы системы не очень высокая. К тому же NAS, как правило, не допускают наращивания, в отличие от SAN.
С учетом низкой масштабируемости хранилища, ограничений пропускной способности локальной сети и протокола передачи данных, NAS обычно используются в малобюджетных решениях.
Вплоть до недавнего времени шли дискуссии, чему отдать предпочтение: SAN или NAS? Сегодня же специалисты все чаще приходят к мнению, что оба подхода должны сосуществовать.
Теперь о SAN. Она представляет собой обособленную сеть, отделенную от локальной, с возможностью хранения огромных объемов информации, которые можно наращивать практически бесконечно. Типичная SAN включает ряд дисковых массивов, подключенных к коммутатору, который, в свою очередь, соединен с серверами, служащими для организации доступа к хранимым данным. Техническую основу сети хранения данных составляют волоконно-оптические соединения, адаптеры шины узла FC HBA и FC-коммутаторы, в настоящее время обеспечивающие скорость передачи 200 Мбайт/с и удаленность между соединяемыми объектами до 10 км (до 120 км с помощью специальных решений). SAN позволяет любому серверу получить доступ к любому накопителю, не загружая при этом ни другие серверы, ни локальную сеть компании. Кроме того, возможен обмен данными между системами хранения без участия серверов.
Существенным недостатком SAN является высокая цена. Стоимость оборудования и проекта по внедрению сети может составлять до нескольких сотен тысяч долларов. Однако опыт показывает, что такие суммы тратятся не напрасно, ведь сетевое хранение данных позволяет создавать информационные системы высокой готовности и безотказности в работе.
Благодаря использованию в SAN Fibre Channel удалось добиться максимальной защиты информации.
Набор встроенных в SAN инструментов включает аутентификацию хостов путем процедур Fabric Login и Process Login, управление доступом хостов к целям с помощью разбиения на зоны и списков доступа, и, что не менее важно, технологию VSAN. Последняя делит SAN на множество виртуальных коммутирующих структур.
Наиболее очевидное преимущество SAN — уменьшение нагрузки на локальную сеть. В сети хранения можно запустить процедуру полного резервного копирования, при этом не опасаться негативного воздействия на трафик приложений. Как известно, резервное копирование заметно замедляет работу других приложений, а поскольку сеть хранения использует очень быстрый сетевой протокол, то это значительно сокращает время для создания резервной копии. Более того, емкость SAN относительно легко увеличить, добавляя новые дисковые массивы.
В последнее время в SAN стали применять технологии виртуализации памяти. По сути, с помощью виртуализации серверы могут использовать несколько жестких дисков (или их определенную емкость) как один логический том. Безопасность в SAN реализуется на уровне сервера SAN, в то время как в NAS применяется безопасность на уровне доступа к файлам. И в том и другом случае дополнительные средства управления данными обеспечивают репликацию данных, моментальные снимки данных, высокоскоростное архивирование и восстановление.
Среди возможных угроз в отношении сетей хранения данных можно выделить следующие:
- физическое уничтожение;
- хищение;
- несанкционированное искажение данных;
- нарушение подлинности данных;
- подмена данных;
- блокирование доступа к массиву данных.
- элементы архитектуры;
- протоколы обмена;
- интерфейсы;
- аппаратные платформы;
- системное программное обеспечение;
- условия эксплуатации;
- территориальное размещение узлов сети хранения.
- уровень устройств;
- уровень данных;
- уровень сетевого взаимодействия;
- уровень управления и контроля.
Источники угроз могут быть как внешними, так и внутренними. Сама по себе угроза — следствие уязвимостей в конкретных узлах сети хранения. Возможные уязвимости определяют составляющие элементы и свойства архитектурных решений сетей хранения, а именно:
Рассмотрим проблему по уровням предоставления необходимых служб. Целесообразно выделить четыре рассматриваемых уровня, относительно которых мы попытаемся изложить основные аспекты безопасности для NAS и SAN: