圖1 校園網(wǎng)存儲基礎設施示意圖

針對數(shù)據(jù)中心基礎設施的訪問安全，常用的訪問安全防護技術包括：

(1)控制管理權限?？刂乒芾頇嘞弈康脑谟诜乐构粽呒倜肮芾韱T身份或提升用戶身份和使用權限，來非法獲得數(shù)據(jù)閉。訪問控制防護技術的使用通常包括3個方面：一是合理設置管理員使用權限，不要把存儲系統(tǒng)所有控制權授權給一個用戶：二是將存儲系統(tǒng)的身份管理與第三方的認證系統(tǒng)相結合，可以使用基于角色的訪問控制(RBAC)策略分配不同的管理權限;三是使用審計系統(tǒng)來加強安全管理。

(2)保護管理網(wǎng)絡。防護方法主要有3種：一是加密管理數(shù)據(jù)流，采用安全的通信通道SSH或SSI/TLS來傳送管理數(shù)據(jù)流;二是通過存儲設備和交換機的配置。只允許某些特定的主機擁有管理權限，并且對主機能夠發(fā)出什么命令操作做出限制，將訪問控制措施制定到存儲陣列級別，明確哪臺主機擁有對那個陣列的管理權限;三是增強IP網(wǎng)絡的安全措施，針對特定設備的數(shù)據(jù)流以及管理性協(xié)議的數(shù)據(jù)流，使用IP路由器和交換機在IP網(wǎng)絡層進行限制，從而將未授權設備的威脅降到最低。

2應用程序訪問安全域

應用程序通常是通過文件系統(tǒng)或數(shù)據(jù)庫接口來訪問存儲陣列中的數(shù)據(jù)，通過應用程序訪問數(shù)據(jù)稱為應用程序訪問域。該域遇到的安全威脅主要包括2個方面：一是在訪問應用程序過程中偽造用戶身份或提升訪問權限來非法獲取數(shù)據(jù);二是未授權的主機偽造合法主機的身份，訪問應用程序篡改數(shù)據(jù)，窺探網(wǎng)絡或執(zhí)行DOS攻擊等。其常用的安全防護技術包括以下幾個方面。

2.1 控制用戶對數(shù)據(jù)的訪問

首先，進行主機認證。使用用戶身份認證授權系統(tǒng)實現(xiàn)應用程序的訪問控制，確保用戶身份不被假冒，也可以使用挑戰(zhàn)握手認證協(xié)議(challenge-handshake authentication protocol)、光纖通道安全協(xié)議(fibre channel security protocol)和IPsec來認證主機。其次。為數(shù)據(jù)資源指定安全控制措施。通過在交換機上將網(wǎng)絡劃分分區(qū)來控制存儲資源的訪問，分區(qū)可將網(wǎng)絡劃分為多個路徑，以便于在不同的路徑上傳輸不同的數(shù)據(jù)：也可以通過邏輯單元屏蔽決定哪些主機可以訪問哪些存儲設備。一些設備支持將一臺主機的WWN映射到一個特定的FC端口。從該端口連接到一個特定的邏輯單元，最安全的方法是將WWN和物理端口綁定。最后，通過在所有參與設備上記錄重要的日志來實現(xiàn)審計核查控制管理工作。

2.2保護存儲基礎設施

保護存儲基礎設備的安全控制措施要能夠應對以下威脅：一是對傳輸中的數(shù)據(jù)人為授權篡改。破壞數(shù)據(jù)完整性;二是對應用系統(tǒng)進行攻擊，實施降低可用性的拒絕服務;三是對網(wǎng)絡數(shù)據(jù)進行網(wǎng)絡窺探，造成數(shù)據(jù)保密性受損。

保護存儲網(wǎng)絡的安全控制分為網(wǎng)絡連接設施的完整性和存儲網(wǎng)絡加密性。網(wǎng)絡連接完整性通過認證系統(tǒng)，防止未經(jīng)過適當認證的主機添加到存儲區(qū)域網(wǎng)中;存儲網(wǎng)絡加密方法使用IPsec來保護基于IP的存儲網(wǎng)絡以及FC-SP來保護FC網(wǎng)絡。

首先，在定義數(shù)據(jù)中心職責時，可通過基于角色的訪問控制來賦予用戶使用權限，使他們能夠行使他們的角色。其次，存儲系統(tǒng)的管理網(wǎng)絡應當在邏輯上與其他網(wǎng)絡隔離，這樣降低了管理難度，增強了安全性。IP網(wǎng)絡分段可以通過路由器或防火墻的基于IP地址的包過濾功能、交換機的基于MAC地址的VLAN和端口級的安全措施來實現(xiàn)。最后，控制對設備的訪問和FC開關的布線，以保證存儲設施得到保護。如果一個設備被一個未授權的用戶進行了物理訪問。那么所有其他已制定的安全措施就會失效。

2.3數(shù)據(jù)加密

保護數(shù)據(jù)安全的最重要的一方面是保護存儲陣列中的數(shù)據(jù)，這方面的主要威脅是數(shù)據(jù)被篡改和存儲介質丟失。防范措施是加密存儲在存儲介質上的數(shù)據(jù)或加密即將傳送的數(shù)據(jù);在數(shù)據(jù)生命周期結束時將數(shù)據(jù)徹底從硬盤上清除，使其不能恢復。數(shù)據(jù)應當在生成時盡快加密，如果在主機上不能實施加密，可以在主機和存儲介質之間部署加密設備加密數(shù)據(jù)，這樣可以保護目標設備中靜態(tài)數(shù)據(jù)和傳輸中的數(shù)據(jù)。

3備份、恢復和存儲安全域

備份涉及到將數(shù)據(jù)從一個存儲陣列復制到備份介質，該安全域的威脅有假冒備份恢復站點的合法身份進行篡改數(shù)據(jù)、網(wǎng)絡窺探和DOS攻擊。防范方法主要是提高備份軟件安全性，制定好存儲備份環(huán)境的安全配置，嚴格控制遠程備份軟件的使用。

zhangcun