امن سازی ذخیره ساز (Storage) ها

امن سازی بستر ذخیره سازی

امن سازی ذخیره ساز : همانطور که می دانید امروزه تهدیدات و مخاطرات زیادی دارایی ها و سرمایه های سازمانی را تهدید می کند. در واقع امن سازی با ارائه راه کارها و ابزارهای مهم از سیستم کامپیوتری در برار تهدیدات محافظت می کند.

این حافظت در لایه های مختلف ارائه می شود، منظور از حفاظت در لایه های مختلف، حفاظت در سطح میزبان، سطح برنامه کاربردی، سطح سیستم عامل، سطح کاربر، سطح فیزیکی و تمامی سطوح پایینی آن می باشد و هر یک از سطح های نام برده شده نیازمند روش منحصر به فرد و یکتایی از امن سازی می باشد.

شرکت های مطرحی که ذخیره ساز ارائه می دهند موارد زیر می باشند:

Hitachi

HPE

Dell EMC

ذخیره اطلاعات به روش  NAS

بر اساس ساختارهای شبکه ای، زیرساخت های سخت افزاری، سیستم عامل، نرم افزارهای موردنیاز و کاربردی از ابزارهای متفاوتی برای ذخیره سازی در شبکه استفاده می شود. یکی از انواع روش های ذخیره سازی شبکه Network Attached Storage یا NAS (استوریج متصل به شبکه) می باشد.

Network Attached Storage به روشی گفته می شود که تمامی هاردها بر روی سخت افزار Storage قرارگرفته و اقدام به اشتراک گذاری اطلاعات بر بستر شبکه می گردد. در واقع استفاده از این روش، به شرط اتصال آن به شبکه است برای این کار از طریق پروتکل IP/TCP به Storage متصل شده و از آن سرویس می گیریم.

این استوریج ها به سادگی، فضایی مرکزی، محلی و بسیار در دسترس را برای ذخیره سازی فایل ها و فولدرهای حیاتی سازمانی را فراهم می کنند که نسبتاً دارای سرعت انتقال بالا و مطلوبی هستند. استفاده از این روش به سازمان هایی توصیه می‌شود که هزینه نصب و راه اندازی مقرون به صرفه برایشان در اولویت است.

Storage Area Network یا SAN

Storage Area Network یا SAN (استوریج شبکه منطقه‌ای) بر پایه FC ، FCOE  و… می باشد و برای سازمان هایی که دارای چندین مرکز داده می باشند و نیاز به ذخیره سازی بلوک با کارایی بالایی دارند طراحی می شود. این ماشین که مجموعه ای از دیسک های ذخیره سازی اطالاعات است به کمک HBA و بهره گیری از Switch SAN با دیگر سرورها ارتباط برقرار می کند و اطالاعات را به صورت بلوکی Access Level-Block در اختیار  اجزا شبکه قرار می دهد که می توان اطلاعات را به صورت مشترک در بین تمامی اجزای شبکه ذخیره کرد. هر سرور در شبکه می تواند به حافظه اشتراکی دسترسی داشته باشد.

دلایل امن سازی ذخیره ساز

یکی از دارایی های مهم سازمان، اطلاعات و داده های آن سازمان می باشد. با امن سازی بستر Storage خطراتی که داده ها و اطلاعات سازمان را تهدید می کند از بین رفته و دسترسی پذیری و حفاظت اطلاعات برای سازمان فراهم می شود.

از مزایای امن سازی ذخیره ساز می توان به موارد زیر اشاره کرد:

از اطلاعات در برابر نفوذ و حمله های خارج از سازمان محافظت می کند.

از اطلاعات در برابر رخنه های امنیتی داخلی و خارجی محافظت می کند.

محتوای اطلاعات را در برابر ایجاد تغییرات محافظت می کند.

لایه های بستر ذخیره ساز و خطرات احتمالی

لایه های سخت افزاری به 2 دسته SAN و NAS تقسیم می گردد که هر دوی این موارد برای ارائه سرویس های خود از 4 لایه به صورت مشترک استفاده می کنند:

1- تجهیزات موجود در شبکه

2- دسترسی به اطلاعات

3- ارتباطات

4- مدیریت

حال به بررسی هریک ازاین لایه ها به صورت جداگانه در هر ذخیره ساز می پردازیم.

بررسی لایه های NAS و مخاطرات آن

لایه شماره 1، تجهیزات موجود در شبکه:

1- ذخیره ساز NAS به دلیل ارایه سرویس ها بر اساس اشتراک گذاری اطلاعات در TCP/IP با مخاطرات زیادی مواجه است که به دو مورد آن اشاره می کنیم:

2- یکی از دلایل رخنه های امنیتی، دسترسی ناخواسته به دلیل وجود گذرواژه های ضعیف و یا استفاده از گذرواژ های پیش فرض ذخیره ساز می باشد، از طرفی دیگر صرف اینکه به واسطه کلمه کاربری و گذرواژه امنیت در ذخیره ساز به طور کامل برقرار می شود نیز یکی از دلایل حفره های امنیتی می باشد.

لایه شماره 2، دسترسی به اطلاعات:

برای ذخیره اطلاعات در ذخیره ساز NAS ازتکنولوژی های CIFS، SMB، NFS استفاده می شود که امکان دسترسی و رخنه امنیتی به آن ها از راه های زیر صورت پذیر می باشد:

1- از کلمات کاربری یکسان و گذرواژه های ساده برای دسترسی به اطلاعات اشتراک گذاری استفاده شود.

2- دسترسی به محتوای CIFS با استفاده از روش غیر امن LanMan

3- ایجاد اشتراک برای سرویس های NFS به صورت یکپارچه و عمومی

4- تبادل در NFS بر پایه Text Clear که بستری برای  Sniff تبادل اطلاعات را ایجاد می کند.

5- از بین رفتن یکپارچگی اطلاعات به دلیل وجود بدافزارها، ویروس ها، Worm ها و حملات DDOS

لایه شماره 3، ارتباطات

همانطور که قبلا به آن اشاره کردیم ، سرویس های NAS بر پایه IP می باشند وتهدیداتی مانند حملات DOS ،  Hijacking Session و spoofing-IP برای این گونه سرویس های ذخیره سازی وجود دارد.

لایه شماره 4، مدیریت

مدیریت شامل نظارت و پیکر بندی تجهیزات ، ایجاد سرویس و اختصاص آنها به کاربران می باشد.

1-  به دلیل برقراری ارتباط بر پایه Text مانند HTTP و Telnet احتمال Sniff  کردن گذرواژه ها به وجود می آید و این امر موجب رخنه های امنیتی می شود.

2- استفاده از گذرواژه های ضعیف و یا پیش فرض و ایجاد رخنه های امنیتی

3- ایجاد دسترسی های موقت و یا در اختیار قرار دادن دسترسی های Admin به کاربران

بررسی لایه های SAN و مخاطرات آن

لایه شماره 1 ، تجهیزات موجود در شبکه

به دلیل اینکه تمای سرورهای موجود در ذخیره ساز SAN به اطلاعات دسترسی دارند ممکن است خطرات زیر پیش بیاید:

1- به واسطه استفاده از گذرواژه ها ی سست و غیر امن در سیستم عامل های موجود در شبکه، دسترسی های ناخواسته ایجاد شود.

2- بر اساس سرویس ها و نرم افزار های Publish شده بر روی سرور های موجود در شبکه SAN که شامل سرویس های DNS ،  Gateway و نرم افزار هایی مانند Oracle ، Exchange و SAP  و … می باشد باعث ایجاده رخنه و حفره های امنیتی می شوند.

لایه شماره 2، دسترسی به اطلاعات

در Storage های SAN ، اطلاعات به صورت مستقیم و بلاک نگهداری می شوند. به همین دلیل  سرور ها ، سرویس ها و نرم افزار ها به صورت مستقیم بر روی فضای ایجاد شده بر روی ذخیره ساز قابلیت فعالیت دارند که این عمل موجب بروز رخنه امنیتی می شود که شامل موارد زیر می باشد:

1- به دلیل استفاده از گذرواژه ها ی سست و غیر استاندارد دسترسی ناخواسته به وجود می آید.

2- به دلیل عدم رعایت امنیت اطلاعات دسترسی ناخواسته به اطلاعات ایجاد می شود.

3- به دلیل ویروس ها ، Worm  ها و حملات اطلاعات از بین می رود.

4- واسطه دسترسی به سرور های موجود در شبکه SAN سرقت اطلاعات به وجود می آید.

لایه شماره 3، ارتباطات

همانطور که قبلا اشاره کردیم ارتباطات در ذخیره ساز های SAN به کمک HBA  و بهره گیری از Switch SAN با دیگر سرورها ارتباط برقرار می کند در این روش برای انتقال اطلاعات از فیبر نوری استفاده می شود. استفاده از این روش معمولا امن تر از روش های دیگر است ولی برای اینکه بتوان به بالاترین میزان امنیت دست پیدا کرد، پیشنهاد می شود از راهکارهای مختلف استفاده کرد.

1-همه تجهیزات جهت برقراری ارتباط با یکدیگر در بستر SANاز Name Wide World   (NWW) استفاده می کنند، یکی از راه های دستیابی به اطلاعات در این زیر ساخت ،  Spoof یا جعلکردن WWN می باشد، بنابراین این مساله یکی دیگر از راه های رخنه در اطلاعات سازمان می باشد.

2-  Switch SAN ها به طور مناسبی پیکربندی نشوند.

3- دسترسی به اطلاعات به وسیله Middle The in Man و سرقت اطلاعات

4- از پیکربندی های پیش فرض در ذخیره ساز استفاده شود.

لایه شماره 4، مدیریت

1- به دلیل ارتباطات بر پایه Text همانند  HTTP و Telnet رخنه های امنیتی به دلیل Sniff کردن گذر واژه ها به وجود می آید.

2- به دلیل استفاده از گذرواژه ها ی ضعیف و یا پیش فرض رخنه های امنیتی به وجود می آید.

3-  ایجاد دسترسی های موقت و یا در اختیار قرار دادن دسترسی های Admin به کاربران باعث رخنه امنیتی می شود.

حال که 4 لایه ی هر کدام از ذخیره سازها و تهدیدات موجود را بررسی کردیم به بررسی امن سازی در لایه های هر ذخیره ساز می پردازیم:

امن سازی NAS

جهت امن سازی ذخیره ساز های NAS اقدامات زیر صورت می گیرد:

لایه شماره 1، تجهیزات

1- جهت مدیریت دسترسی از Two-Factor Authentication مانند SSL، ، Biometric ها ،Tokenها استفاده شود.

2- جهت ایجاد دسترسی های مختلف ازList Control Access  استفاده شود

3- گذرواژه ها ی قوی و با حداکثر کاراکتر استفاده شده و به صورت دوره ای تعویض شود.

4- گذرواژه ها ی پیش فرض عوض شود.

5- سیستم عامل ها و سرویس های آنها نظارت شود.

6- بر پیغام های خطای ذخیره ساز نظارت شود.

7- از بروز رسانی ها و بسته های امنیتی مربوط به ذخیره ساز استفاده شود.

8- از ابزارهای Scanner مانند Nessus ،  SAINT استفاده شود.

9- سیستم عامل های موجود ایمن سازی شود.

لایه شماره 2، دسترسی به اطلاعات

1- اطلاعات بر اساس سیاست های سازمان دسته بندی شود.

2- بر اساس دسته بندی های انجام شده، دسترسی های مختلف ایجاد شود.

3- با استفاده از ابزارهای موجود، رمزنگاری اطلاعات صورت پذیرد.

4- با استفاده از الیسنس های مربوطه، رمزنگاری ذخیره ساز انجام گیرد.

5- جهت ایجاد دسترسی به کاربران، از NTLMv2 CIFS استفاده شود.

6- جهت اختصاص فضای موجود بر روی ذخیره ساز NAS از Address IP مربوط به سرویس گیرندگان استفاده شود.

7- با استفاده از ابزارهای ضدویروس و Malicious از اطلاعات محافظت شود.

لایه شماره 3، ارتباطات

امن سازی در بستر NAS ، همانند امن سازی بستر شبکه می باشد که به تعدادی از آنها می پردازیم:

1 -تجهیزات Firewall در شبکه NAS استفاده شود.

2- جهت جداسازی ترافیک NAS  از  VLANاستفاده شود.

3- بر ترافیک موجود نظارت شود.

لایه شماره 4، مدیریت

Telnet و HTTP غیر فعال شود.

2-  SSH و HTTPS فعال شود.

3- کاربری مختلف با سطوح دسترسی مختلف ایجاد گردد.

4- جهت اعتبار سنجی کاربران از مکانیزم قوی همانند Factor-Two ، Token و Biometric  استفاده شود.

5- از گذرواژه ها ی مستحکم استفاده شود و گذرواژه های پیش فرض تغییر کند.

6- گذرواژه ها به صورت زمان بندی شده تغییر کند.

7- برای ایجاد سطوح مختلف کاربری از  List Control Access استفاده شود.

8- برای سرور ها و سرویس گیرندگان مختلف، سطوح مختلف دسترسی ایجاد شود.

امن سازی SAN

اقدامات زیر جهت امن سازی ذخیره ساز های SAN انجام می گیرد:

لایه شماره 1، تجهیزات

1- از کلیدهای عمومی و خصوصی در سیستم عامل های موجود در شبکه استفاده شود.

2- از Two-Factor Authentication SSL،  Biometric ها ،Tokenها برای اعتبارسنجی کاربران استفاده شود.

3- از Access Control List استفاده شود.

4- از گذرواژه ها ی قوی استفاده شده و گذرواژه ها ی پیش فرض تغییر کند.

5- گذرواژه ها به صورت زمان بندی شده تغییر کند.

6- با استفاده از ابزارهای مربوطه بر سیستم عامل ها نظارت شود.

7- از به روز رسانی ها و بسته های امنیتی ارائه شده توسط شرکت سازنده استفاده شود.

8- از Scanner های موجود مانند Nessus ، SAINT و …. استفاده شود.

9- سرویس های غیر ضروری بر روی سیستم عامل های موجود غیرفعال شود.

10- برای افزایش امنیت سرور ها از ابزارهایی مانند Tripwire استفاده شود.

لایه شماره 2، دسترسی به اطلاعات

1- بر اساس سیاست های سازمان اطلاعات دسترسی شود.

2- بر اساس دسته بندی اطلاعات کاربری جدید ودسترسی مختلف ایجاد شود.

3- برای سرور ها و سیستم عامل های مختلف از ابزار رمزنگاری استفاده شود.

4- با استفاده از لایسنس های موجود هارد دیسک های ذخیره ساز، رمزنگاری شود.

5- برای ایجاد دسترسی های مختلف، از NTLMv2 CIFS استفاده شود.

6- ایجاد امنیت به واسطه استفاده از Masking LUN و Number Unit Logical

7- بر اساس WWN و Number Unit Logical فضای مورد نیاز اختصاص داده شود.

8- بر سرور ها و نرم افزارهای آن ها نظارت شود.

9- از آنتی ویروس بر روی سیستم عامل های موجود استفاده شود.

3- لایه شماره 3، ارتباطات

1- برای جداسازی و مدیریت ارتباطات میان ذخیره ساز SAN و سرور ها، Zoning ایجاد شود.

2- برای ایجاد Zoning جهت بالا بردن امنیت، از روش Port و WWN استفاده شود.

3-  برای جلوگیری از Spoof شدن WWN ها، Binding Port  استفاده شود.

4- از روش های توصیه شده شرکت سازنده، استفاده شود.

5- شبکه مدیریتی موجود از شبکه اصلی سازمان جدا شود.

6- جهت امنیت شبکه SAN از Firewall و IDS  استفاده شود.

7- ترافیک موجود بر روی شبکه نظارت شود.

لایه شماره 4، مدیریت

1-  Telnet و HTTP غیرفعال شود.

2-  SSH و HTTPS فعال شود.

3- کاربران مختلف با سطوح دسترسی مختلف ایجاد شود.

4- از Two-Factor Authentication SSL ،  Biometric ها ،Tokenها برای اعتبارسنجی کاربران استفاده شود.

5- از گذرواژه ها ی قوی استفاده شود و به صورت دوره ای عوض شود.

6- گذرواژه ها ی پیش فرض تغییر داده شد.

7- ذخیره ساز ها بر روی یک میزبان به صورت متمرکز مدیریت شود.

منبع: افتا

هیواشبکه

خدمات ما در مجموعه هیواشبکه شامل :

شرکت فنی و مهندسی هیوانوآوران داده گستر  مجری طراحی ، پیاده سازی ، پشتیبانی پروژه های شبکه و امنیت در استان گیلان – رشت و شهرها و استانهای همجوار

آموزشگاه تخصصی هیواشبکه : برگزار کننده دوره های تخصصی شبکه و امنیت ، پیکربندی سرور HP ، مجازی سازی ، MCSA 2016 ، نتورک و … به صورت حضوری با مجوز از سازمان فنی و حرفه ای و آموزش کارکنان دولت در رشت ، استان گیلان و به صورت مجازی در سراسر کشور در خدمت شما عزیزان هستیم.