集中存储安全风险大 网络存储也不安全

    人们又开始关注集中存储了，但集中存储并没有降低安全风险。

许多具有中等规模网络的公司也可使用网络附加式存储（NAS）或利用存储空间网络（SAN）构建智能网络文件系统。它的安全性比集中存储要差很多，但存储器经销商并不一定就改进它们的安全特性，这是个大问题。

    SAN/NAS的安全前景还不太明确。现在，已经出台了一份由互联网工程任务组（IETF）发布的约定标准以及一些相关产品，它们还在继续改进。这给IT经理制作存储器预算带来了麻烦。如果不能完整详细的说明安全问题，那么相应成本开支也同样会产生疑问。加大投入，并认为技术成熟的时候消费者就会接受它，这只是一厢情愿的想法。

    幸运的是，情况还没有失控。一方面，人们可以从Decru和Neoscale这样的公司购买到应用型的SAN安全产品，它们的存储体系具有分层线速（wire-speed）加密功能。另一方面，人们还可以从Iron Mountain这类管理电子和纸张文档安全的公司得到服务。最后，工业标准实体如IETF的国际互联网工程指导委员会(IESG)也致力于这方面的工作。

    去年秋天IESG发布公告，要求未来的的IP存储器和相关网络部件都要支持IPSec鉴定和加密以符合标准。基本上任何存储产品，控制器，主机总线适配器，以及相关软件都需要实现IPSec安全标准。

    听起来这么做好像很安全。但如果我们使用Cisco的NAS设备，Decru的安全设备，从Compaq或HP那购买相关的网卡和主机总线适配器会发生什么情况呢？我们可以匹配加密同一品牌基于同样标准认证的产品，但如果我们使用多个品牌呢？这种情况下它们如何协调工作？我可以想象得出这对于存储管理员来说是多么可怕的混乱状况，希望这种事情永远都不要发生在数据存储中心这类关键环节中。

    自然，混乱状况会影响性能。“线速安全”听起来不错，但实现起来却需要大笔资金。如果在用户负荷稳定的条件下进行网络资源分层加密，就需要频繁监控和管理资源以维持服务质量水平。

    带宽问题是亟待解决的问题之一。另一个问题是管理密钥在SAN主机设备和不断改变的用户环境中的转换问题。还有，如何度量iSCSI和InfiniBand这类硬件提供的安全水平呢？最后，IPSec验证、访问控制和相关日志记录检查都需要综合到现有基于域或基于目录的验证体系下。但不管使用什么目录/操作系统，要实现这些都十分困难。

    无论是使用SAN安全产品还是使用基于标准的解决方案，确保集中网络存储的安全仍然是一个复杂的问题。现在，实际工作重于理论研究。现有产品，需要人们站在宏观上进行思考，还需要大量人力时间来维护和监控，这不是我想要的产品。如果SAN的供应商希望我们购买集中存储，那么他们一定要解决安全问题。最后，他们需要获得权威鉴定以保证用户投资的价值。

未经允许不得转载：DOIT » 集中存储安全风险大 网络存储也不安全