看上去存儲(chǔ)區(qū)域網(wǎng)（SAN）所處的是一個(gè)安全的環(huán)境，用戶往往沒有對(duì)其安全性問(wèn)題投入太多精力。然而，種種跡象都表明SAN的安全問(wèn)題越來(lái)越突出，用戶需要采取更多的有效措施。毫無(wú)疑問(wèn)，SAN是一個(gè)相對(duì)封閉的存儲(chǔ)網(wǎng)絡(luò)，在多數(shù)情況下，它在物理上就是一個(gè)獨(dú)立的網(wǎng)絡(luò)。因此，許多用戶都不太在意SAN中的安全問(wèn)題。
但是，當(dāng)我們仔細(xì)探討SAN中的安全問(wèn)題時(shí)就會(huì)發(fā)現(xiàn)，其實(shí)在SAN中仍然存在許多的安全隱患：由于默認(rèn)光纖通道協(xié)議的使用環(huán)境是安全的，因此該協(xié)議設(shè)計(jì)之初在安全方面并沒有進(jìn)行太多考慮；在存儲(chǔ)區(qū)域網(wǎng)中進(jìn)行的訪問(wèn)控制也幾乎沒有；在SAN中發(fā)生的一些人為操作錯(cuò)誤會(huì)給關(guān)鍵業(yè)務(wù)應(yīng)用帶來(lái)極大危害。
McDATA中國(guó)區(qū)技術(shù)經(jīng)理雷濤在談到SAN安全話題時(shí)介紹說(shuō)，隨著存儲(chǔ)區(qū)域網(wǎng)的日益普及，SAN的安全問(wèn)題日益受到人們的關(guān)注，為了保證SAN的高度安全性，企業(yè)必需對(duì)SAN的常見風(fēng)險(xiǎn)和攻擊有通盤的了解，然后才能對(duì)癥下藥，最大程度抵御這些威脅，盡可能避免系統(tǒng)停頓及經(jīng)濟(jì)損失。
SAN的安全威脅
SAN中最典型的安全威脅有未經(jīng)授權(quán)的訪問(wèn)、欺騙(Spoofing)和數(shù)據(jù)盜竊(Sniffing)。
未經(jīng)授權(quán)的訪問(wèn)是最為常見的安全威脅，它的成因可以是簡(jiǎn)單地接上了錯(cuò)誤的連接線，也可以是將一臺(tái)已被入侵的服務(wù)器連接到光纖網(wǎng)絡(luò)上。未被授權(quán)的訪問(wèn)將導(dǎo)致其他形式的攻擊。
欺騙是與未經(jīng)授權(quán)訪問(wèn)有關(guān)的一種威脅。欺騙有多種形式和名稱：仿冒、身份竊取、搶劫、偽裝和WWN（全球名字）欺騙。其中一種形式是假冒用戶，而另一種是偽裝成一個(gè)已被授權(quán)的WWN。
數(shù)據(jù)會(huì)通過(guò)很多種途徑被竊取，其中一種途徑就是在數(shù)據(jù)還在傳輸?shù)倪^(guò)程中進(jìn)行盜竊，它對(duì)數(shù)據(jù)線進(jìn)行窺探，例如“光纖通道分析器”就是一種可以完全監(jiān)控?cái)?shù)據(jù)傳輸?shù)臄?shù)據(jù)盜竊方法。如果數(shù)據(jù)盜竊做得巧妙，不會(huì)影響設(shè)備的操作。
嚴(yán)格的訪問(wèn)控制
示意圖顯示了攻擊威脅對(duì)存儲(chǔ)網(wǎng)絡(luò)的各個(gè)可能切入點(diǎn)，每一個(gè)攻擊點(diǎn)都有可能成為后續(xù)攻擊的墊腳石。為了保證高度的安全保護(hù)，SAN系統(tǒng)管理員必須在入侵者和數(shù)據(jù)之間設(shè)置多個(gè)監(jiān)測(cè)點(diǎn)。認(rèn)識(shí)各個(gè)攻擊點(diǎn)有助制定相應(yīng)的防護(hù)對(duì)策。系統(tǒng)管理員可在下列攻擊點(diǎn)控制未經(jīng)授權(quán)訪問(wèn)的入侵。
1. 帶外管理應(yīng)用程序：交換機(jī)有非光纖通道端口，例如以太網(wǎng)端口和串行端口，以滿足管理工作的需要。通過(guò)建立一個(gè)獨(dú)立于公司內(nèi)部網(wǎng)的專用網(wǎng)絡(luò)來(lái)管理SAN，便可以限制對(duì)以太網(wǎng)端口的訪問(wèn)。如果交換機(jī)是與企業(yè)內(nèi)部網(wǎng)絡(luò)連接的，可以使用防火墻和VPN限制對(duì)以太網(wǎng)端口的訪問(wèn)。通過(guò)控制物理訪問(wèn)和對(duì)使用者授權(quán)以鑒別，可以限制對(duì)串行端口(RS 232)的訪問(wèn)。物理訪問(wèn)連接以太網(wǎng)端口后，交換機(jī)還可以根據(jù)訪問(wèn)控制列表，限制訪問(wèn)交換機(jī)的程序，交換機(jī)也可以限制通過(guò)3號(hào)攻擊點(diǎn)進(jìn)行訪問(wèn)的程序或個(gè)別用戶。
2. 帶內(nèi)管理應(yīng)用程序：未經(jīng)授權(quán)訪問(wèn)也可通過(guò)帶內(nèi)管理應(yīng)用程序入侵交換機(jī)。帶內(nèi)管理程序?qū)⒃L問(wèn)諸如命名服務(wù)器和光纖網(wǎng)絡(luò)配置服務(wù)器等光纖網(wǎng)絡(luò)服務(wù)。管理訪問(wèn)控制列表（MACL）控制對(duì)光纖網(wǎng)絡(luò)的訪問(wèn)。
3. 用戶到應(yīng)用程序：一旦用戶獲得一個(gè)管理程序的物理訪問(wèn)權(quán)，他們需要登錄到這個(gè)應(yīng)用程序上。管理應(yīng)用程序是根據(jù)用戶的工作性質(zhì)來(lái)給予不同級(jí)別的訪問(wèn)授權(quán)。管理應(yīng)用程序需要支持訪問(wèn)控制列表和每個(gè)用戶的角色。
4. 設(shè)備到設(shè)備：當(dāng)兩個(gè)Nx_端口在光纖網(wǎng)絡(luò)登錄之后，一個(gè)Nx_端口可以端口登錄到另一個(gè)Nx_端口，分區(qū)及邏輯單元屏蔽可以在這個(gè)環(huán)節(jié)限制設(shè)備的訪問(wèn)。每一個(gè)交換機(jī)上的活動(dòng)區(qū)域設(shè)置會(huì)在光纖網(wǎng)絡(luò)上執(zhí)行分區(qū)限制。存儲(chǔ)設(shè)備將維持有關(guān)邏輯單元屏蔽的信息。
5. 設(shè)備對(duì)光纖網(wǎng)絡(luò)：當(dāng)一個(gè)設(shè)備（Nx_端口）連接到光纖網(wǎng)絡(luò)（Fx_端口），設(shè)備將發(fā)送一個(gè)F端口登錄指令，這一指令包括了各種端口全球名字的參數(shù)。交換機(jī)可以批準(zhǔn)端口在光纖網(wǎng)絡(luò)登錄或拒絕F端口登錄并中止連接。交換機(jī)需要維持一個(gè)準(zhǔn)許連接WWN的訪問(wèn)控制列表。真正的數(shù)據(jù)威脅發(fā)生在設(shè)備登錄至光纖網(wǎng)絡(luò)和進(jìn)入攻擊點(diǎn)4或5之后。
6. 交換機(jī)對(duì)交換機(jī)：當(dāng)兩臺(tái)交換機(jī)連接時(shí)，交換鏈接參數(shù)（ELP）和內(nèi)部鏈接服務(wù)（ILS）將發(fā)送類似交換機(jī)WWN的相關(guān)信息。一臺(tái)交換機(jī)可以批準(zhǔn)其他交換機(jī)組成一個(gè)更大的光纖網(wǎng)絡(luò)，如果另一臺(tái)交換機(jī)不被允許加入的話，則可以隔離鏈接。每個(gè)交換機(jī)都需維持一個(gè)授權(quán)交換機(jī)的訪問(wèn)控制列表。
7. 存儲(chǔ)數(shù)據(jù)：存儲(chǔ)的數(shù)據(jù)易于受到內(nèi)部攻擊、來(lái)自光纖網(wǎng)絡(luò)的未經(jīng)授權(quán)訪問(wèn)的攻擊和基于主機(jī)的攻擊。例如存儲(chǔ)協(xié)議全都是明文，因此存儲(chǔ)、備份及主機(jī)管理員能在沒有訪問(wèn)限制及登錄的情況下訪問(wèn)未經(jīng)處理的原始存儲(chǔ)數(shù)據(jù)。存儲(chǔ)加密碼設(shè)備為存儲(chǔ)數(shù)據(jù)提供一層保護(hù)，在有些情況下提供附加的應(yīng)用層身份鑒別和訪問(wèn)控制。
應(yīng)對(duì)欺騙與數(shù)據(jù)盜竊
通過(guò)訪問(wèn)控制列表控制訪問(wèn)只可以防止意外事故，但它不能防御那些假偽身份的攻擊者。不幸的是，大多數(shù)網(wǎng)絡(luò)盜賊能很容易地取得假冒身份。為了阻止詐騙者（盜用他人身份者）滲透網(wǎng)絡(luò)，那些獲得授權(quán)的個(gè)體也必須經(jīng)過(guò)身份鑒定。
抗擊欺騙的方法就是讓竊取者提供一些只有被授權(quán)的用戶才知曉的特殊信息。對(duì)于用戶來(lái)說(shuō)，需要知道和提供的只是一個(gè)密碼。對(duì)于設(shè)備而言，Nx_端口或交換機(jī)的WWN是與這個(gè)機(jī)密信息相連的。管理話路也可以進(jìn)行身份鑒別，確保入侵者不能管理光纖網(wǎng)絡(luò)或設(shè)備。
對(duì)于每一點(diǎn)的身份鑒別，以下是四種可能的方法：用戶身份鑒別、以太網(wǎng)CHAP實(shí)體身份鑒別、CT訊息鑒別以及光纖通道DH-CHAP實(shí)體身份鑒別。
當(dāng)實(shí)體及用戶的身份被鑒別后，傳輸就可以在授權(quán)設(shè)備之間安全地流動(dòng)，但在連接中流動(dòng)的數(shù)據(jù)仍然會(huì)受到數(shù)據(jù)盜竊的威脅。
防止數(shù)據(jù)盜竊的方法是加密(encryption)。“封裝安全凈載”（ESP）可以對(duì)光纖傳輸數(shù)據(jù)進(jìn)行加密，以確保安全性。以太網(wǎng)傳輸能通過(guò)SSL或者類似的協(xié)議來(lái)加密。這些加密技術(shù)可以使用不同的加密程度使得被竊數(shù)據(jù)沒有可乘之機(jī)。目前，已經(jīng)有一些廠商提供在SAN中進(jìn)行加密的方案。由于光纖通道SAN尤其關(guān)注高性能，因此加密方案應(yīng)該盡量不影響SAN的性能，所以多數(shù)方案都是基于硬件的加密。
防范意識(shí)有待提高
在國(guó)外，有些大型存儲(chǔ)用戶對(duì)安全問(wèn)題已經(jīng)足夠重視，特殊用戶甚至投入了與SAN硬件成本相當(dāng)?shù)馁Y金來(lái)解決安全問(wèn)題。與之相比，國(guó)內(nèi)的用戶則落后很多，雷濤說(shuō)，目前幾乎還沒有看到國(guó)內(nèi)用戶在安全方面提出任何要求。但是，隨著SAN的發(fā)展與演進(jìn)，尤其是IP存儲(chǔ)的廣泛應(yīng)用，用戶會(huì)遇到更多安全挑戰(zhàn)，這些都要求用戶在安全方法意識(shí)方面亟待提高。
沈陽(yáng)數(shù)據(jù)恢復(fù) 
