Storage-Sicherheit – Interne wie externe Gründe zwingen Unternehmen zur Verbesserung der IT-Sicherheit. Dabei geraten die Speichersysteme immer mehr in den Mittelpunkt.

Als die ersten LANs mit TCP/IP ihren kommerziellen Siegeszug antraten, wurde zunächst wenig Rücksicht auf die Sicherheit genommen. Doch mittlerweile stehen der Schutz vor Hackerangriffen, Viren, Trojanern, Würmern, Denial-of-Service-Attacken auf der Tagesordnung einer jeden IT-Abteilung. Die Kosten durch Netzzusammenbrüche und Virenverseuchungen gehen mittlerweile in die Milliarden. Entsprechend gilt es, alle relevanten Unternehmensdaten zu sichern und dabei vor allem auch die Speicherumgebung vor Attacken effektiv zu schützen.

Den Trend zu immer sichereren Netzen verfolgen Unternehmen nicht nur aus Eigeninteresse: Eine Reihe von gesetzlichen und regulativen Verordnungen haben daran ebenso einen maßgeblichen Anteil. So stammt beispielsweise die Richtlinie Basel II aus der Finanzwelt und betrifft bei der Kreditbeschaffung nahezu alle Unternehmen. Diese müssen nämlich zur Erzielung eines guten Ratings und für die Erlangung günstigerer Kredite gegenüber den Banken nachweisen, dass sie unter anderem ein funktionierendes operatives Risikomanagement besitzen.

Dazu gehört neben der schnellen Wiederherstellung der IT im Katastrophenfall auch die Robustheit gegen Sicherheitsverletzungen von innen und außen sowie die Sicherung und Sicherheit von Unternehmensdaten. Entsprechend hoch ist für Unternehmen die Bedeutung von Storage-Sicherheit einzuschätzen.

Unlängst wurde auch der Speichermarkt von einem Siegeszug bezüglich der Vernetzung erfasst. Network-Attached-Storage und Storage-Area-Network lösen mit einer Reihe von Vorteilen – die unter anderem auch die Storage-Sicherheit betreffen – die traditionell direkt am Server angeschlossenen Speichersysteme ab. Im SAN-Bereich dominiert derzeit das Fibre-Channel-Protokoll, doch das Übertragungsverfahren iSCSI findet verstärkt Beachtung und ist besonders für kleinere Unternehmen attraktiv. Als Trägerprotokoll für Speicherdaten über Weitverkehrsverbindungen gewinnt TCP/IP ebenso an Bedeutung. Mit Technologien wie Fibre-Channel-over-IP (FCIP) oder Internet-Fibre-Channel-Protocol (iFCP) stehen heute sinnvolle Möglichkeiten zur Verfügung, Server und Speichersysteme für den optimalen Schutz über große Entfernungen miteinander zu verbinden. Durch die verstärkte Akzeptanz der Speichervernetzung steht einem »Storage-Internet« bald nichts mehr im Wege. Doch auf der anderen Seite besteht dadurch auch die Gefahr, dass die in den Datenspeichern liegenden Unternehmensinformationen leichter angezapft, zerstört, manipuliert oder missbräuchlich verwendet werden.

Zoning und LUN-Security in SANs

SANs werden mit Hilfe von Fibre-Channel-Switches aufgebaut, die als intelligente Schalteinheiten Server und Speicher miteinander verbinden. Angelehnt an die virtuellen LANs (VLANs) im LAN-Switch findet sich im Fibre-Channel-Switch eine ähnliche Funktionalität, genannt Zoning. Zoning definiert voneinander abgrenzte Teilnehmergruppen, die auf Grund von physikalischen Portnummern (Hard-Zoning) oder auf Grund der Adressinformationen im Datenfeld (Soft-Zoning) gebildet werden.

Server einer Zone können normalerweise nicht auf Speichersysteme einer anderen Zone zugreifen – eine wichtige Sicherheitsmaßnahme gegen Attacken. Unterstützt wird Zoning oftmals noch durch die LUN-Security der Disk-Arrays. Eine LUN ist eine logische Platteneinheit in einem intelligenten Disk-Array. Unter LUN-Security fallen die Begriffe LUN-Binding und LUN-Masking. Sie sollen verhindern, dass unberechtigte Teilnehmer im SAN Zugriff auf die LUNs erhalten. LUN-Binding erlaubt die Adressierung der LUNs nur über bestimmte Netzeingänge des Plattensystems. LUN-Masking definiert darüber hinaus noch Zugriffstabellen, in denen die World-Wide-Name-Adressen der zugriffsberechtigten Server hinterlegt sein müssen.

Komplexe Verwaltung

So wichtig diese Funktionen für eine funktionierende SAN-Infrastruktur und für ein Grundmaß an Sicherheit auch sind, sie erhöhen die Komplexität, wenn es beispielsweise um die dynamische Speicherprovisionierung (Storage-on-Demand) im SAN geht. Liegen freie Plattenkapazitäten eines Speicherpools nämlich in einer anderen Zone, so muss zuerst der FC-Switch umkonfiguriert werden. Weiterhin sind die LUN-Zugriffstabellen anzupassen, sonst kann ein Server die neuen Speicherbereiche nicht nutzen.

Sicheres SAN-Management

Sämtliche Verwaltungsfunktionen im SAN dürfen nur von unbedingt vertrauenswürdigen Instanzen durchgeführt werden. Entsprechend hoch ist der Aufwand bei der Sicherung der zahlreichen Zugangspunkte für das Management der Speicher- und Netzkomponenten. Sind diese nur unzureichend abgesichert, hat man potentiellen Angreifern von innen und außen Tür und Tor geöffnet.

Bei den Kontrollpfaden für das SAN-Management unterscheidet man zwei verschiedene Technologien: Das Out-of-Band-Verfahren mittels SNMP über LAN-Verbindungen und das

In-Band-Verfahren über das operative Fibre-Channel-Netz selbst. Grundsätzlich wird das Out-of-Band-Verfahren als wesentlich unsicherer angesehen, da potentiell mehr Nutzer über IP-Wissen verfügen und somit über die teilweise noch sehr unsicheren SNMP-Protokolle Zutritt erlangen. Eine weitere Schwachstelle liegt im größeren Konfigurationsaufwand und der Gefahr von unbeabsichtigten Fehlern, die Angreifer ausnutzen könnten.

Kontinuierliche Datensicherung

Durch den Einsatz von SANs wird es zudem möglich, Daten kontinuierlich in Echtzeit auf verschiedene Server in unterschiedlichen Brandschutzabschnitten oder Niederlassungen zu spiegeln. Die digitalen Informationen werden durch entsprechende Softwarelösungen wie Symantecs Backupexec 10d automatisch nicht mehr zu fest vorgegebenen Zeiten vollständig oder teilweise gesichert, sondern laufend und automatisch nach jeder Änderung in einer Datei. Das Risiko eines Datenverlustes durch die kontinuierliche Datensicherung, die Continous-Data-Protection (CDP), in Echtzeit wird deutlich verringert.

Im Fall eines Angriffs durch Schadprogramme auf die IT-Systeme – wie eines Virus oder Trojaners – kann es trotz optimaler Sicherheitsvorkehrungen durchaus eine gewisse Zeit dauern, bis die Infizierung überhaupt registriert wird. Dank der kontinuierlichen Sicherung der Daten sowie deren Rücksicherung durch regelmäßige Snapshots ist es möglich, die zuletzt gespeicherte, »saubere« Version der angegriffenen Datei wiederherzustellen.

Das Storage-Security-Framework

Sicherheit im SAN unterscheidet sich nicht grundsätzlich von den Sicherheitstechnologien in anderen Netzen. Jahrzehntelange Erfahrungen aus dem LAN- und WAN-Bereich konnten hier einfließen und so setzt die Speicherindustrie zunehmend auf die gleichen Sicherheitsprotokolle wie IPsec (IP-Layer-Security), SSL (Secure-Sockets-Layer), TLS (Transport-Layer-Security), SSH (Secure-Shell) und PKI (Public-Key-Infrastructure) – um nur einige zu nennen. Ergänzt werden diese Standards noch durch das Fibre-Channel-spezifische Security-Protokoll (FC-SP) welches von dem ANSI/T11.3-Standardisierungsgremium im Juni 2004 verabschiedet wurde.

Es ist jedoch ein Trugschluss zu glauben, Sicherheit ließe sich alleine durch den Einsatz von Technologie erkaufen. Die Storage Networking Industrie Association (SNIA) gibt an, dass ein funktionierendes Sicherheitskonzept zu mindestens 80 Prozent auf einer sauberen Organisation und einer konsequenten Betriebsführung beruht. Die eigentliche Sicherheitstechnologie macht demzufolge nur 20 Prozent des Security-Konzeptes aus. Hierbei definiert die SNIA fünf essentielle Bestandteile eines Security-Frameworks: Authentifizierung, Autorisierung (Zugriffskontrolle), Accounting/Auditing, Datenintegrität und Vertraulichkeit.

Die Authentifizierung prüft, ob es sich um einen bekannten und zugelassenen Administrator oder Anwender handelt. Hier greifen Technologien wie Passwortschutz, Zertifikate oder biometrische Überprüfungen. Autorisierung geht noch einen Schritt weiter. Neben der Überprüfung der gültigen Berechtigung werden auf Objektebene verschiedene Rechte vergeben. So darf etwa ein Administrator die Zonen des Switches umkonfigurieren, während ein anderer nur bestimmte Performance-Reports drucken kann.

Accounting und Auditing zeichnen alle Management-Aktivitäten historisch auf und werten sie aus. Dies dient vor allem dem lückenlosen Nachweis aller Zugriffe auf die Speicherkomponenten im SAN und ist in vielen Industriezweigen heute zu einer wichtigen Sicherheits- und Compliance-Anforderung geworden.

Datenintegrität bedeutet den Nachweis, dass Daten unverfälscht übertragen und abgespeichert werden. Dies hat relativ wenig mit dem stets identischen CRC-Prüfverfahren auf Netzebene zu tun, welches lediglich die fehlerfreie Datenkommunikation sicherstellt. Hier dagegen wird die Sicherheit mittels eines sicheren Hash-Algorithmus wie MD5 nach dem Austausch von privaten und öffentlichen Sicherheitsschlüsseln gewährleistet.

Vertraulichkeit wird durch diverse Verschlüsselungsverfahren wie DES, Triple-DES, AES oder Blowfish garantiert. Nur Sender und Empfänger, die im Besitz der Private- und Public-Keys sind, können die übertragenen Daten entschlüsseln und verstehen.

Herausforderung verteilte IT-Infrastruktur

Das Thema IT-Sicherheit stellt insbesondere für verteilte Infrastrukturen von Unternehmen eine ganz besondere Herausforderung dar. Immer häufiger werden mehr Daten in Außenstellen als in den Rechenzentren der Unternehmenszentralen gespeichert. Oftmals jedoch sind die Daten in den Niederlassungen sehr viel schlechter geschützt.

Viele Unternehmen können Datensicherheitsrichtlinien, die sowohl die Haupt-Rechenzentren als auch die externen IT-Systeme umfassen, aus technischen Gründen meist nur eingeschränkt umsetzen. IT-Abteilungen sind dabei meist nicht in der Lage, die vielfältigen Backup-Prozesse und Techniken in den Außenstellen wirklich zu kontrollieren, was schnell zu unzuverlässigen oder unvollständigen Datensicherungen und entsprechend eingeschränkter Datenwiederherstellung führen kann.

Softwarelösungen wie Netbackup-Puredisk können jedoch die IT-Systeme einzelner Standorte zu einem einzigen Sicherungsnetz verbinden, so dass Backup-Richtlinien von der IT-Zentrale aus eingeführt und leicht umgesetzt werden können. Eine solche Lösung verschlüsselt und komprimiert alle zu übertragenen Backup-Daten vom ersten Moment an: Ob am Remote-Rechner, während der Übertragung oder auf der Festplatte in der Filiale oder im Rechenzentrum, nur durch die kontinuierliche Verschlüsselung ist eine sichere Lösung für die Datensicherung an entfernten Standorten möglich. Zudem verfügt die Software über ein integriertes System, das jedes Datensegment mit einem spezifischen Schlüssel chiffriert, so dass nur der Administrator und der Nutzer mit den entsprechenden Rechten Zugriff auf die Daten haben.

Enterprise-Messaging-Management

Ein weiteres wichtiges Element in der »IT-Compliance-Kette« ist die Sicherheit und Verfügbarkeit von E-Mails und Instant-Messaging-Nachrichten, da insbesondere erstere innerhalb weniger Jahre zu geschäftskritischen Anwendungen avanciert sind. Um diese zu schützen und zu sichern umfasst ein Enterprise-Messaging-Management eine ganze Reihe entsprechender Komponenten: Spam-Filter reduzieren das Datenaufkommen schon vor der Erreichung des Firmennetzes. Threat-Management am Gateway stoppt Viren, Spam oder Phishing-Attacken bevor die Enterprise-Messaging-Infrastruktur erreicht wird. Monitoring und Kontrolle aller internen und ausgehenden Messaging-Informationen sorgen für internen Schutz. Zudem verlangen Compliance und geschäftliche Vorgaben die Langzeitaufbewahrung geschäftskritischer Daten. Entsprechend wichtig ist eine Archivierung, die auch die Suche, Analyse und das schnelle Wiederauffinden archivierter Inhalte für etwaige Audits, Revisionen oder gar Gerichtsverfahren ermöglicht.

Storage-Sicherheit und SNIA

Die Bedeutung der Storage-Sicherheit hat auch die SNIA längst erkannt. Schon im Juli 2002 wurde mit dem SNIA »Storage Security Industry Forum« (SSIF) ein kundenorientiertes Konsortium gegründet, welches Empfehlungen für den Aufbau und Betrieb von sicheren SANs erstellt. Ein weiterer Schwerpunkt dieser Arbeitsgruppe ist die Definition und Förderung von einheitlichen Sicherheitslösungen.

In der »SNIA Storage Management Initiative« (SMI) zur Standardisierung des Speichermanagements nimmt Sicherheit ebenfalls eine immer größere Bedeutung ein. Die Standards sollen helfen, dass ein definierter Funktionsumfang hersteller- und produktübergreifend zur Verfügung steht und den Aufwand und die Kosten für die Implementierung eines sicheren SANs drastisch reduziert.

Frank Bunn, Senior Solutions Marketing Manager EMEA, Symantec