Die heutige Unternehmensumgebung ist zunehmend unbeständig. Dies zum einen aufgrund von Veränderungen durch Geschäftsziele, und zum anderen durch Gefahren, die von immer raffinierteren Angriffen ausgehen. Darüber hinaus erhöhen
gesetzliche Bestimmungen über Geschäftspraktiken und den Schutz der Privatsphäre die Verantwortung der Unternehmen. Diese Anforderungen verlangen einen Wechsel der Taktik in bezug auf die IT-Sicherheit – einen Wechsel von der herkömmlichen reaktiven Methode hin zu einer neuen proaktiven.
Eine sichere proaktive IT-Umgebung muss in der Lage sein, auf die Veränderung von Gefahren sowie von Geschäftszielen zu reagieren. Gleichzeitig muss sie auch den festgelegten Sicherheitsstufen und -risiken entsprechen. In einer solchen Umgebung bildet Storage Security einen der Hauptbestandteile.
Im Prinzip ist Storage Security recht einfach. In der Praxis aber erfordert die Implementierung spezielle Fachkenntnisse, Augenmerk auf das Detail sowie ständige Kontrolle. Nur so kann sichergestellt werden, dass die Speicherlösungen stets den sich verändernden Anforderungen einer Organisation entsprechen. Vor allem aber ist Sicherheit ihrem Wesen nach ein Ausgleich zwischen den Kosten der getroffenen Sicherheitsvorkehrungen, den Auswirkungen eines Angriffs und dem Level der Ressourcen, die ein bestimmter Eindringling benötigt, um die Sicherheitseinrichtungen zu umgehen.
Ein Storage-Security-Konzept stellt eine wesentliche Komponente des Gesamtsicherheitsplanes für ein Datenzentrum und ein Unternehmen dar. Demzufolge muss jedes Sicherheitsmodell für Hardware und Software – einschliesslich Netzwerken und Systemsicherheit – an die Geschäftspolitik und -verfahren angepasst werden.
Storage-Systeme haben sich zu Ressourcen entwickelt, die sich viele Komponenten (beispielsweise Applikations-, Datenbank- oder File-Server) eines Netzwerkes teilen. In vielen Fällen reicht es nicht mehr aus, nur ein System zu sichern, mit dem ein Storage-Subsystem verbunden ist, denn diese Storage-Subsysteme sind wiederum mit vielen anderen IT-Komponenten verbunden. Um vor einer Vielzahl von Gefahren zu schützen (von denen nicht alle vorhersehbar sind), muss die Storage-Security-Strategie auf die unterschiedlichen Sicherheitsanforderun- gen einer Vielzahl von Datenbanken und Anwendungen ausgerichtet sein.
Storage Security muss zum Beispiel wichtige Daten vor unberechtigtem Zugriff, Veränderung oder Vernichtung durch ein anderes System schützen, aber auch das Storage-Subsystem selbst vor unberechtigten Konfigurationsänderungen sowie dem Protokollieren aller Änderungen sichern. Es ist nicht sinnvoll, Storage-Subsysteme alleine zu schützen und dann den Zugang der restlichen Infrastruktur zum Internet weit offen zu lassen. Speichersicherheit muss ein Teil des Gesamtsicherheitsplanes sein, sowohl für ein einzelnes Datenzentrum als auch für die Organisation
als Ganzes. Zur Storage Security zählen auch eine Reihe von Verfahren, die Zugriffsrechte für Daten
und die Berechtigung für Managementeinrichtungen festlegen, und
sie definiert die zweckmässige Reaktion, wenn Sicherheitsprobleme auftreten.
Speichersicherheit ist keine Box, die einem SAN hinzugefügt wird wie eine Firewall einem Netzwerk. Sicherheit muss ein Merkmal jedes Systems, jedes Switch und jedes Gerätes des SAN sein und so den Datenschutz, die Datenintegrität und den Schutz vor Datenvernichtung oder -verlust sicherstellen.
Es gibt viele Möglichkeiten, unberechtigten Zugang zu Daten zu erlangen und diese abzurufen, zu verändern oder zu vernichten. Die Risiken, die begrenzt werden müssen, umfassen:
•
den Diebstahl von Festplatten und Backup-Bändern;
•
das Kopieren von Festplatten;
•
der Zugang eines nicht berechtigten Systems zu einem Disk-Array oder einer Tape Library;
•
das Anzapfen eines Kabels (Wiretapping) innerhalb eines Datenzentrums und zwischen Datenzentren;
•
die Vornahme von unberechtigten Änderungen an Berechtigungen innerhalb des Disk-Array oder im Switch;
•
die Systemmanipulation und die Initialisierung eines Volumens, das es infolge eines Softwarefehlers nicht besitzt;
•
Operatorfehler oder fehlerhafte Kommunikation;
Für die Begrenzung dieser Risi-
ken gibt es verschiedene Techniken aus den Bereichen Identifizierung, Authentifizierung, Berechtigung, Prüfung und Verschlüsselung
(siehe Kasten). Künftig darf dabei
vor allem im Verschlüsselungs-bereich Bewegung erwartet
werden.
Datenzugriff und Managementmassnahmen
Neuere und schnellere Verschlüsselungs-Technologien werden mit der Zeit mehr und mehr genutzt werden, da immer mehr Daten auch über grössere Distanzen – auch ausserhalb der firmeneigenen Datenzentren – transportiert werden wollen. Das Ver- und Entschlüsseln von Daten mit Hunderten von Megabytes pro Sekunde (Storage System Speed) ist erheblich schwieriger als das Verschlüsseln von einigen Tausend Bytes mittels Software auf einem PC. Im Storage-Security-Bereich sind die zwischen Datenzentren kopierten Daten nicht mehr durch die physische Sicherheit der Datenzentren vor dem Anzapfen geschützt. Das physische Sicherheitsrisiko an Kabeln ausserhalb des Datenzentrums kann begrenzt werden, indem der Datenverkehr durch ein dezidiertes Verschlüsselungssystem geleitet wird, bevor er das versendende Datenzentrum verlässt.
Dezidierte Verschlüsselungssysteme sind für Fibre-Channel- und IP-Netzwerke verfügbar, letztere sind unter dem Namen Internet Protocol Security (IPsec) Gateways bekannt. Aufgrund der Kosten und der Komplexität sind solche Installationen heute jedoch noch nicht sehr verbreitet. Was iSCSI betrifft, kann man damit rechnen, dass IPsec in künftige Schnittstellen integriert wird, was die Verschlüsselung kostengünstiger und standardmässiger machen wird, als dies derzeit mit IPsec-Gateways der Fall ist.
Managements von Ports und Schnittstellen an Elementen wie Switches und Arrays. Dies geschieht durch das Benutzen stabiler Passwörter und das Ändern von Standardpasswörtern, aber auch durch das Annullieren nicht benutzter Managementports von Geräten und das korrekte Firewall-Management, um den breiten Zugriff von LAN-Schnittstellen zu verhindern.
Weitere Storage-Security-Schlüsselprioritäten bilden LUN-Security (Logical Unit Number) – zum Beispiel selektive Storage-Presentation und LUN-Masking – sowie auch Encryption-Technologien für besonders sensitive Daten.
Ein Plan für die Storage Security muss die Mitarbeiter sowie die Verfahren und Geräte berücksichtigen. Er muss auf das gesamte Datenzentrum und die Geschäftspläne abgestimmt sein. Das bedeutet, den Plan entsprechend der Situation und der vorhandenen Technologie zu entwickeln, die Nutzer zu schulen und ihn letztlich auch einzuhalten und zu testen.
Storage spielt eine entscheidende Rolle bei den Sicherheitsoperationen eines Unternehmens. In einem Datenzentrum befindet sich der Grossteil der Daten eines Unternehmens; viele Geschäftsvorgänge sind betroffen, wenn diese Systeme nicht mehr verfügbar oder beeinträchtigt sind. Das sichere Speichern von Daten sowie die Storage-Security-Strategie müssen sich direkt auf die Geschäftsvorgänge, die IT-Infrastruktur und das Gesamtsicherheitsmodell der Organisation beziehen. Storage Security betrifft nicht nur die Sicherheitsstruktur der Organisation und deren Einstellung in bezug auf Risiken, welche vom Business-Level her gesteuert wird, sondern auch ihre Identität (Authentifizierung) und Berechtigungsservices sowie ihre Managementfähigkeiten im Umgang mit Gefahren.
Darüber hinaus muss zur Begrenzung der Sicherheitsrisiken durch eine unabhängige Identifizierung, Berechtigung, Prüfung und durch Verschlüsselungstechniken, die mit der Speicherung von Daten verbunden sind, ein Plan für die Infrastruktursicherheit vorhanden sein. Er muss sich auf Storage, Netzwerke und Hosts erstrecken, denn ein potentieller Eindringling wird nach Schwachstellen in diesen drei Bereichen suchen. Das Schützen von Storage-Systemen und -Daten mittels Standardnetzwerken hängt davon ab, wie wirksam das Netzwerk geschützt ist, sowie von der Sicherheit der Storage-Systeme selbst. Dies gilt insbesondere, wenn über das Backbone-Netzwerk der Organisation anstatt über ein isoliertes Storage-Netzwerk auf den Speicher zugegriffen wird.
HP beispielsweise konzentriert sich darauf, gemeinsam mit dem Kunden eine proaktive IT-Sicherheitsumgebung zu implementieren. Dabei wird angestrebt, dass Produkte, Dienstleistungen und Lösungen während des gesamten Lebenszyklus sicher sind. Durch den Fokus auf die Schlüsselbereiche Identity Management, proaktives Sicherheitsmanagement und Trusted Infrastructure und unter strenger Beachtung gesetzlicher Vorschriften wird eine stabile Struktur für die proaktive Unternehmenssicherheit entwickelt. Mit dieser Struktur bietet HP eine sichere IT-Umgebung für ihre Kunden – eine Umgebung, die auf Veränderungen der Gefahren und Geschäftsziele reagiert und gleichzeitig den festgelegten Sicherheitsstufen und -risiken entspricht.
Heute zählt man drei zu berücksichtigende Hauptarten von Storage sowie eine sich entwickelnde Technologie:
• Direct Attached Storage (DAS): Anbindung direkt mit einem einzelnen System, ähnlich der Festplatte eines PCs
• Network Attached Storage (NAS): Anbindung via Ethernet-LAN
• Storage Area Network (SAN): Anbindung über ein Storage-Netzwerk, das heute typischerweise
der Fibre-Channel-Architektur entspricht und den Systemen laufwerkähnliche Speicher zur Verfügung stellt
• Internet SCSI (iSCSI): Storage-Netzwerke via IP-Netzwerke,
wird jedoch noch nicht verbreitet genutzt (iSCSI ist eine wichtige
Ergänzung zur SAN-Technologie, denn es ermöglicht einem SAN,
in einem LAN, WAN oder MAN (lokales-, Weitverkehrsnetzwerk oder Netzwerk bis zu Stadtgebietsgrösse) eingesetzt zu
werden.)
Am 21. und 22. September geht in der Eventhalle 550 in Zürich-Oerlikon die Security-Zone 05 unter dem Patronat der Europäischen Union über die Bühne. Rund 40 Aussteller rund ums Thema IT-Sicherheit werden auf rund 2500 Quadratmetern Ausstellungsfläche die Besucher erwarten, zudem wird der Anlass von einem Kongress begleitet, der mit 25 Sessions und 60 Referenten aus aller Herren Länder – von den Bermudas über Kanada bis Israel – aufwarten kann.
Die einzelnen Referats-Themen sollen aus verschiedenen Perspektiven beleuchtet werden. Beispielsweise wird es einen Track zum Thema PKI (Public Key Infrastructure) geben, mit je einem Experten für die Hersteller-, die Berater- und die Anwendersicht. Generell lege man Wert darauf, dass sowohl die Anwender- wie auch die Lieferantenseite an der Security-Zone präsent sind, erklärt Organisator Rafael Cruz das Konzept. «Der Kongress wird dabei alle brennenden Themen der nächsten acht bis zehn Monate aus dem Bereich IT-Sicherheit abdecken.»
Für die Ausstellung konnte man leider nicht alle wichtigen Hersteller gewinnen, wie Cruz eingesteht. Beispielsweise fehlen Cisco oder CheckPoint Software. Dafür legt man als Veranstalter Wert darauf, dass die Besucher an den Ständen Fachleute antreffen, die sich ihrer annehmen. «Die Standmitarbeiter sind sicher kompetenter als an einer Publikumsmesse. Die Security-Zone soll eine Fachmesse für das Fachpublikum sein», so Cruz. «Bei der ersten Durchführung konnten wir beobachten, dass die Sicherheitsverantwortlichen von grösseren und grossen Firmen die Security-Zone mehrheitlich wegen des Kongresses besuchten, währenddem sich die Security-Beauftragten von KMU eher für die Messestände interessierten.» Zudem sei das Networking immer ein wichtiger Faktor, schliesslich soll der Event auch eine Plattform sein, an der sich Security-Interessierte treffen und Ideen austauschen können.
Zur selben Zeit und am selben Ort wie die Security-Zone 05 findet auch die Business-Software-Messe Topsoft statt. Als Grund für die Zusammenlegung der beiden Events wird die thematische Verknüpfung von Business-Software und Security angegeben.
Die Eintritts-Tickets für die Messe wie auch für die Referate sind kostenlos. Jedoch muss man sich entweder auf der Site der Security-Zone oder auf derjenigen eines Ausstellers registrieren. Ausserdem empfiehlt Cruz die Vorregistrierung für gewisse Referate, sofern man eine Session keinesfalls verpassen will. Eine Anmeldung vor Ort ist nur dann möglich, wenn sich noch freie Plätze finden. Einen Überblick über die verschiedenen Referate sowie die Aussteller findet sich auf der Security-Zone-Website unter www.security-zone.info.
Risiken im Storage-Bereich können mittels verschiedener Techniken aus den Bereichen Identifizierung, Authentifizierung, Berechtigung, Prüfung und Verschlüsselung eingedämmt werden.
Identifizierung und Authentifizierung
•
Nutzer-Logon-Identifizierung und
-Authentifizierung mittels Sicherheitsmechanismen wie Nutzernamen- und Passwortschutz zur Berechtigung von administrativen Massnahmen;
•
Protokoll-Dateien, um festzustellen, was getan und von wem es getan wurde (Das schreckt vor einem vorsätzlichen Missbrauch einer Berechtigung ab und hilft, unzulässige Vorgänge wieder zu korrigieren).
•
rechtzeitiger Widerruf der Berechtigung einer Person oder Änderung, wenn sich die Zuständigkeiten ändern oder ein Mitarbeiter das Unternehmen verlässt;
•
Geräteidentifizierung oder
-authentifizierung mittels neuer Technologien, die sicherstellen, dass ein Gerät für das Storage-Netzwerk zugelassen ist (Diese Technologien können auch ein «betrügerisches» Gerät entdecken, das vorgibt, ein anderes Gerät oder System zu sein.)
Berechtigung
•
die Berechtigung einer Person, nur bestimmte Geräte zu bedienen, oder den Zugang zu vielen Geräten einzuschränken;
•
Überprüfung durch das Storage Device, dass ein Administrator, der einen Befehl ausgegeben hat, dazu berechtigt ist, bevor die verlangte Aktion ausgeführt wird;
•
Überprüfung durch das Disk-Array, dass das jeweilige System, das einen Lese- oder Schreibbefehl ausgegeben hat, für diese Logical Unit Number (LUN) dazu berechtigt ist, bevor der Input/Output (I/O)-Vorgang ausgeführt wird (Mittels neuer Technologien, ein Tape Library Controller kann ebenfalls die I/O-Berechtigungen zu einer Tape Library prüfen.)
Prüfung
•
Protokollieren aller administrativer Vorgänge (Änderungen) und relevanter Ereignisse (Diese werden individuell von den Geräten protokolliert, eine Protokollsoftware zählt zu den bevorzugten Methoden, weil sie eine einzige Darstellung bietet und Abfragen ermöglicht).
•
Erweiterung der Prüfmechanismen auf das gesamte Storage-Netzwerk, so dass die mit jedem Element verbundenen Vorgänge rückverfolgt werden können.
Verschlüsselungstechniken
•
Verschlüsselung (Encryption) der Daten auf Medien wie einer Disk oder einem Tape;
•
«In-Flight»-Verschlüsselung der Daten zwischen Datenzentren (und potentiell innerhalb eines Datenzentrums) zum Schutz vor Anzapfversuchen (Wiretapping).
Robert Wigger ist Business Unit Manager bei Hewlett Packards StorageWorks Division.
