200610e McData SAN-Security im WAN
|
|
|
»manage
it«
als
|
Über Sicherheit in Weitverkehrs-Speichernetzen SAN-Security im Blickpunkt Wie lassen sich SAN-Daten in verteilten Umgebungen vor unbefugten Zugriffen schützen und was ist beim Einsatz dieser Schutzmechanismen zu beachten?
peichernetze haben unbestritten viele Vorteile. So helfen sie Unternehmen beispielsweise dabei, die vorhandenen Storage-Ressourcen effektiv zu nutzen und versetzen Administratoren zudem in die Lage, ihren Speicher schnell und unkompliziert den Anwendungen und Systemen zuzuweisen, die ihn am nötigsten brauchen. Gleichzeitig bringen Storage Area Networks (SANs) auch positive Aspekte für die Datenverfügbarkeit mit sich, da sich der von ihnen gebildete zentrale Speicherpool einfacher und effizienter sichern lässt, als viele voneinander unabhängige Speichereinheiten, die über ein Unternehmen und seine Zweigstellen verteilt sind. Leider werfen Speichernetze über WAN/MAN im Zusammenhang mit der Datensicherheit vor unbefugten Zugriffen aber auch einige Fragen auf, die die Verantwortlichen klären müssen, bevor sie guten Gewissens auf SANs setzen können, denn zentral vorgehaltene Daten sind im Zweifelsfall nicht nur für die Benutzer und Applikationen im Unternehmen leichter zugänglich als verteilte Datenspeicher, sondern auch für interne und externe Angreifer. Insbesondere in verteilten Netzen gilt es, das SAN über WAN/MAN nicht nur gegen typische Angriffspunkte durch Authentifizierungsprobleme, Sniffing, Spoofing und menschliche Fehler abzusichern, sondern vor allem auch gegen Bedrohungen, die durch die Anbindung von Außenstellen an zentrale Speicherinfrastrukturen entstehen. Dieser Beitrag zeigt, welche Optionen existieren, um SAN-Daten in verteilten Umgebungen vor unbefugten Zugriffen zu schützen und was beim Einsatz dieser Schutzmechanismen zu beachten ist. Allgemeine Bedrohungen für Speichernetze Wie bereits angesprochen, bieten Speichernetze Angreifern vor allem Angriffsmöglichkeiten durch unautorisierte Zugriffe sowie Spoofing und Sniffing im WAN/MAN. Die unautorisierten Zugriffe kommen am häufigsten und in vielen unterschiedlichen Ausprägungen vor. Solche Zugriffe können nämlich sowohl durch einfache Fehler wie das Einstecken eines Kabels an der falschen Stelle, als auch durch komplizierte Maßnahmen wie das Einschmuggeln eines kompromittierten Servers ins Netz entstehen. SAN-Daten lassen sich durch Access Control Lists (ACLs) vor diesen Bedrohungen schützen. Diese ACLs unterbinden jeden nicht autorisierten Zugriff, sind allerdings nicht dazu in der Lage, Angreifer zu stoppen, die sich als zugelassene Benutzer ausgeben. Die Abwehr dieser Angriffsmethode – auch Spoofing genannt – setzt einen weiteren Schutzmechanismus voraus, nämlich die Identifizierung der an der Kommunikation beteiligten Geräte und Personen durch spezielle Informationen wie beispielsweise Passwörter. Damit sorgen die Verantwortlichen dafür, dass nur autorisierte Teilnehmer am SAN-Verkehr partizipieren. Bei einem Speichernetz, das mit ACLs und Passwörtern abgesichert wurde, können Angreifer die über WAN/MAN übertragenen Daten aber immer noch durch einen Sniffer mitlesen und so unbefugten Personen zugänglich machen. Gegen Sniffing hilft nur die Verschlüsselung der Daten. Implementiert ein Unternehmen die genannten Gegenmaßnahmen gegen alle drei Angriffspunkte, so sind seine Daten vor lokalen Angriffen relativ sicher. Speichernetze, die über mehrere Standorte verteilt arbeiten, stellen in diesem Zusammenhang allerdings einen Sonderfall dar, da die Weitverkehrsverbindungen, über die die SAN-Übertragungen laufen, einen zusätzlichen Angriffspunkt bieten, der Gefahren mit sich bringt, die die Unternehmen gesondert absichern müssen. Bedrohungen für SAN-Strecken über weite Entfernungen Die erste Gefahr beim Einrichten von Speichernetzen, die neben der Unternehmenszentrale auch die Außenstellen mit einbinden, entsteht nicht durch Angriffe, sondern ergibt sich aus dem Zwang, die Daten ständig verfügbar zu halten. Beim Übertragen von SAN-Daten über WAN-Strecken müssen die Verantwortlichen folglich von vornherein dafür sorgen, dass die Weitverkehrsverbindung keinen Single-Point-of-Failure (SPoF) im Gesamtsystem erzeugen. Redundant ausgelegte Übertragungspfade sind in diesem Bereich ein Muss, um System-Downtime und die damit verbundenen Umsatzverluste zu vermeiden. Darüber hinaus ist der Zwang zur Absicherung der Datenintegrität durch Verschlüsselungsmechanismen, die zusätzlich zu Identifizierungs- und Authentifizierungsfunktionen zum Einsatz kommen, noch größer als in lokalen SANs, da es nicht nur darum geht, die Daten vor Angriffen auf die eigene Infrastruktur zu schützen, sondern auch darum, zu verhindern, dass der Dienstleister, der die WAN-Verbindungen bereitstellt, eine Möglichkeit erhält, die Bits und Bytes des Kunden einzusehen. Gleichzeitig dürfen die Sicherheitsmechanismen keine negativen Auswirkungen auf die Übertragungsleistung der SAN-Infrastruktur haben, da sonst die Akzeptanz vonseiten der Anwender minimal wäre. Lösungsansätze Zum Absichern der SAN-Daten in Weitverkehrsverbindungen spielt demzufolge die Datenverschlüsselung eine ganz besonders wichtige Rolle. An erster Stelle bietet sich hier die Übertragung der Daten über Virtual Private Networks (VPNs) an. Mit diesen Lösungen sind die Unternehmen dazu in der Lage, einen verschlüsselten »Tunnel« einzurichten, der auf beiden Seiten durch den jeweiligen Internet-Gateway der Zentrale beziehungsweise der Außenstelle begrenzt wird. Sämtliche Daten, die das Unternehmensnetz verlassen, werden von einem solchen System vorher verschlüsselt und auf der anderen Seite wieder entschlüsselt, sodass Dritte – sei es der Provider oder ein sonstiger Angreifer – keine Möglichkeit haben, auf ungeschützte Unternehmensdaten zuzugreifen. Falls die Übertragung der Daten über ein VPN nicht möglich sein sollte – etwa weil sich in bestimmten Umgebungen keine Umsetzung des SAN-Datenverkehrs auf WAN-Protokolle (wie beispielsweise TCP/IP) realisieren lässt, können die Verantwortlichen ihre Daten trotzdem absichern. In solchen Szenarien kommen spezielle Verschlüsselungsboxen zum Einsatz. Diese Appliances verwenden hardwarebasierte Verschlüsselungs- und Schlüsselverwaltungsmethoden, arbeiten hochperformant und lassen sich nahtlos in die Sicherheitsinfrastruktur eines Unternehmens integrieren. Signalüberwachung als Schutz vor physikalischen Angriffen In großen Umgebungen und in Netzwerken mit besonders kritischen Daten ist noch ein weiterer Sicherheitsmechanismus denkbar: Wenn ein Unternehmen bei einem Provider »Dark Fiber«, also einen Lichtwellenleiter ohne jede Infrastruktur anmietet, den es selbst mit Routern und Switches versehen kann, dann hat es die Möglichkeit, Multiplexer mit Regelüberwachung einzusetzen, die aufgrund von Veränderungen in der Signalstärke Anzapfversuche durch Dritte feststellen und Alarm schlagen können. Diese Systeme überwachen das optische Übertragungsmedium in der Regel mit hochempfindlichen Messmethoden und stellen die dabei gewonnen Informationen in grafischer Form mit Hilfe des Benutzer-Interfaces dar. Wenn sich in diesen Grafiken kurzfristige Fluktuationen der Übertragungsleistung finden, so ist das ein Indiz dafür, dass ein Angreifer am Werk sein könnte. Die Überwachungsergebnisse umfassen abgesehen davon noch andere Informationen, die zwar nicht direkt mit der Datensicherheit zu tun haben, aber trotzdem dabei helfen, die Datenverfügbarkeit sicher zu stellen. So zeigen sie beispielsweise nicht nur sofort an, wenn das Kabel irgendwo unterbrochen wurde, sondern geben auch Aufschluss über die Auswirkungen thermischer und mechanischer Effekte auf die Qualität der Leitung. Darüber hinaus helfen sie den Administratoren dabei, den Alterungsprozess der Fiber im Auge zu behalten. Resümee Anwender von SAN-Verbindungen über große Entfernungen müssen viel stärker als »normale« Nutzer von Speichernetzen auf die Absicherung ihrer Datenübertragungen achten. Es stehen allerdings ausgereifte und leistungsfähige Technologien zur Verfügung, die auch in solchen Szenarien für ein ausreichendes Datensicherheitsniveau sorgen. Entscheidet sich ein Unternehmen beispielsweise für den Einsatz leistungsfähiger Multiplexer, so kann es nicht nur eine umfassende Datensicherheit garantieren, sondern auch thermische und mechanische Leitungsprobleme im Auge behalten und auf diese Weise Übertragungsausfällen vorbeugen. Alexander Steger ___________________________________________________________ Alexander Steger, Senior Solution Consultant bei McData
Bei der Leistungsüberwachung einer Fibre-Verbindung lassen sich viele unterschiedliche Angriffs- und Störversuche feststellen. Eine schnelle Fluktuation kann beispielsweise auf einen Lauschversuch hindeuten, während ein langsamer Abfall oft mit dem Alter der Leitung, mechanischer Belastung oder thermischen Effekten zusammenhängt. Bricht die Übertragung ganz ab, so wurde die Leitung höchstwahrscheinlich unterbrochen.
|
|
