网络存储安全技术分析

牛　耕

[摘要]网络存储是存储系统的发展方向。分析网络存储系统所受到的安全威胁，研究在SAN和DAS利用网络安全和存储安全技术，构建网络存储系统安全体系的基本方法，并提出进一步的研究方向。

[关键词]网络存储 安全威胁 安全技术

中图分类号：TP3文献标识码：A文章编号：1671－7597（2009）0120068－01

随着数字信息的爆炸式增长和个人与组织对这些信息的依赖性不断增加，存储系统正逐渐成为整个信息系统的中心，数据成为最重要的资产。然而，存储系统由本地直连向着网络化和分布式的方向发展，使存储系统变得更易受到攻击，窃取、篡改或破坏重要数据的事件不断发生。因此安全问题是目前存储网研究中急需要解决的重要问题。

一、存储安全的服务

存储系统提供的存储安全服务主要包括认证和授权、可用性、机密性和完整性、密钥共享和密钥管理施、审计和人侵检测以及可使用性、可管理性和性能等方面。

1．认证和授权。认证和授权是一个存储系统应该提供的最基本的安全服务。认证是确定一个实体或信息源的身份，前者叫实体的认证或鉴别，后者叫信息认证存储服务器在允许数据的生产者、消费者和管理者访问读或写之前，应该认证他们的身份是否合法，如果合法，则给一定的访问权限，这个过程叫授权。认证是相互的，数据的生产者和消费者信认的关系。信息认证是实体对另一个实体发送的原始信息的认证。认证可使用口令、数字签名和信息认证码等技术。授权可通过访问控制列表的等或使用容器证书证书中列举了证书所有者的访问权限。

2．机密性和完整性。当数据在一个或多个远程存储服务器上产生、传输和存储时，面对未被授权入侵者的破坏、修改和重发攻击显得很脆弱。并且，一个恶意服务器能用旧版本文件替代当前版本的文件。当数据在传输或存储在媒体上时，保证其安全性是关键。通过加密可以保证对非认证用户的机密性，通过数字签名或信息认证码可以保证数据的完整性。给每一个会话设置时间戮或随机数可以阻止敌手重发攻击。使用安全套接层协议SSL和反协议Ipsec可以保证数据传输安全，但存储服务器要先解密数据，然后再存放磁盘上。

3．密钥共享和密钥管理。多用户网络文件共享是很普通的，共享一个文件的所有用户也必须共享这个文件的加密密钥。这些密钥的有效性和扩展管理是非常重要的，当从一个组中删除一个用户或合并两个组时，要求重新加密共享文件并且重新分布新的密钥。密钥管理的另一个重要方面是密钥恢复，即恢复丢失的密钥技术。一个密钥恢复系统是一个有备份解密容器的加密系统，这个解密容器允许在某些条件下被授权的用户在一个或多个信任实体提供信息的帮助下解密密文。这些信任实体有专用的数据恢复密钥，但这些密钥的存放、保存和删除是很重要的。

4．审计和入侵检测。存储系统必须维持重要活动的审计日志。审计日志对系统恢复、入侵检测等非常重要。入侵检测领域已有广泛的研究，入侵检测系统使用各种日志（如网络日志和数据访问日志）和网络流检测和报告攻击。

二、当前存储网系统安全研究

网络存储是网络时代最佳的存储解决方案。NAS(Network Attached Storage)和SAN(Storage Area Network)是常用的2种网络存储技术，不同于直接连接存储DAS(Direct Attached Storage)的是网络存储直接与网络连接，为整个网络提供集中、共享的存储服务。

网络连接存储，简称NAS是一种可以提供文件级服务的存储设备，其特点是可以直接挂到网络上向用户提供文件级服务。此外，它有自己简化的实时操作系统，并将硬件和软件有效地集合在一起，用以提供文件服务NAS存储系统的特点是通过基于IP网络的网络文件协议向多种客户端提供文件级I/O服务，客户端可以在NAS存储设备提供的目录或设备中进行文件级操作当用户或应用程序试图访问文件时，经过解释的I/O请求被重定向到网络传输路径这些经过解释的I/O请求经过IP网络传输到NAS服务器端，由NAS服务器端的网络文件协议接收，之后，进行解包，同时处理客户端和块设备的映射关系，最后，将正常的I/O操作请求交给服务器上的文件系统处理。

SAN是一种以数据存储为中心且面向网络的存储结构。SAN技术采用可扩展的网络拓扑结构连接存储设备和服务器，是一种面向服务器提供数据存储服务，并将数据的存储和管理集中在相对独立的专用网络中的存储技术。在SAN技术中，由于服务器和存储设备之间的多路可选择的数据交换，因此，以往存储结构中存在的可扩展性和数据共享方面的局限性被消除了，SAN中通过协议映射，存储设备的磁盘或磁带表现为服务器节点上的“网络磁盘”在服务器操作系统看来，网络盘与本地盘相同，服务器节点操作网络盘就像操作本地硬盘一样对其发送命令，命令通过相关协议的封装后，由服务器发送到SAN网络，并由存储设备接收并执行服务器节点可以对“网络磁盘”进行各种块操作和文件操作。

三、网络存储系统安全技术分析所需解决的问题

（一）SAN安全机制

SAN交换机、HBA(Host-Bus Adapters)和存储阵列等SAN设备层的配置都与其安全特性有关。SAN的安全机制包括交换机端口类型配置、分区和LUN(Logical Unit Number)屏蔽。WWN(World Wide Name)是光纤通道中用于标识节点和端口的64位惟一注册标识符。分区的作用类似于VLAN，基于WWN的软分区由于存在WWN的盗用，因此安全性较低。硬件分区根据交换机端口WWN的组合划分，分区的访问限制不能突破，因而具有更高的安全性，应是首选的分区方法。逻辑单元号LUN是一种对存储设备的划分。LUN屏蔽是一种比分区粒度更细的访问控制方法，它可以控制服务器对不同逻辑单元的访问。

（二）NAS文件系统安全机制

NAS使用CIFS和NFS来实现网络文件共享，其安全机制建立在CIFS和NFS的基础上。CIFS提供认证和授权这2种安全机制，其中认证又包括共享级认证和用户级认证。在共享级认证方式下，整个共享点只有一个单一的口令用于共享访问，提供的安全保障有限，只能用于对安全性要求不高的公共资源共享或临时资源共享等场合。用户级认证方式为不同用户提供不同的用户名，因此能提供高于共享级认证的安全性，但用户名和口令是以明文方式传送，因此也存在被监听的威胁。

四、总结

作为全新的网络存储技术，NAS和SAN尚处于成长期，其国际标准尚未形成因此，对于网络存储安全体系结构的研究，只能是根据目前的体系结构进行一些探讨，给出一个相对安全的对策方案，以保证能获得最高水平的数据与系统安全随着与的结合与广泛应用，关于加强网络存储的安全性研究有待进一步的改进和扩展。