北京2020年12月28日 /美通社/ -- 隨著數據價值不斷提升，數據逐步成為企業內最重要的數字資產，存儲系統成為整個信息系統的重中之重。使用技術手段識別網絡上的文件、數據庫、帳戶信息等各類數據集的相對重要性、敏感性、合規性，并采取適當的安全控制措施對其實施保護顯得越來越重要。然而，隨著標準化、開放化、分布式和智能化的發展，存儲系統逐漸變得易受到攻擊，數據遭受的安全威脅日益增多，竊取、篡改或破壞重要數據的事件也不斷發生。2020年(nian)上半年(nian)，某醫(yi)院數(shu)千(qian)人(ren)名(ming)(ming)單泄露(lu)(lu)，泄露(lu)(lu)的內容(rong)包(bao)括(kuo)姓名(ming)(ming)、電話、身份證號(hao)碼、個(ge)人(ren)詳細居住地(di)(di)址、就(jiu)診類(lei)型。同期(qi)，某連(lian)鎖酒(jiu)店也(ye)受到數(shu)據(ju)泄露(lu)(lu)的打擊，暴(bao)露(lu)(lu)了上(shang)百萬名(ming)(ming)客戶的個(ge)人(ren)詳細信(xin)息(xi)，包(bao)括(kuo)姓名(ming)(ming)、地(di)(di)址、出(chu)生日期(qi)、性別、電子郵件(jian)地(di)(di)址和電話號(hao)碼……

根據近年來發(fa)生的(de)數據安全(quan)問題可以發(fa)現，如果(guo)存儲系統(tong)沒有安全(quan)保障措(cuo)施，一旦攻(gong)擊者成功滲透到(dao)數據中，其產生的(de)負面影響將是無法估量的(de)。

為(wei)滿足(zu)用戶數(shu)(shu)據保(bao)護的需求(qiu)，并提供多層次的數(shu)(shu)據保(bao)護方案(an)。浪潮(chao)在(zai)分布(bu)式(shi)存(cun)儲(chu)開發設計中(zhong)，遵從保(bao)密性(xing)、完整性(xing)和可用性(xing)三大安全(quan)(quan)原則，結合特定的存(cun)儲(chu)系統架構(gou)，綜合考慮(lv)IO機制和安全(quan)(quan)策略，推出(chu)超大規模數(shu)(shu)據中(zhong)心級分布(bu)式(shi)存(cun)儲(chu)平臺(tai)AS13000G5，實現數(shu)(shu)據安全(quan)(quan)、系統安全(quan)(quan)、通信安全(quan)(quan)和應用安全(quan)(quan)。

硬件架構安全性設計的“三板斧”

浪潮(chao)存(cun)儲(chu)通過(guo)存(cun)儲(chu)節點架構、各硬件單元自身及(ji)單元交互通信設施三個方面的安(an)全性設計(ji)，保障了硬件架構的安(an)全。

首先，在(zai)存儲(chu)節點架構(gou)(gou)的安全性設(she)計方面(mian)，浪潮存儲(chu)采(cai)用X86體系架構(gou)(gou)，并設(she)計開(kai)發了(le)硬(ying)件(jian)系統，確(que)保(bao)在(zai)使(shi)用過(guo)程中(zhong)能(neng)夠抵御(yu)非授權行為篡改；其中(zhong)，在(zai)物理硬(ying)件(jian)、固件(jian)、部(bu)件(jian)等(deng)方面(mian)采(cai)取完整性檢測或校驗等(deng)機制(zhi)，保(bao)證了(le)各功能(neng)模塊的安全。

其次，在各硬件單元的安(an)全方面，浪潮存儲產品在主(zhu)板設計中(zhong)實現(xian)了(le)固件加(jia)密或數字(zi)簽名(ming)，防(fang)止(zhi)不明固件的非法(fa)寫入，確(que)保無外部(bu)入侵漏洞；其中(zhong)管理芯片負責解(jie)析(xi)(xi)硬盤在位、警示(shi)信息，將解(jie)析(xi)(xi)信息與其它存儲單元隔離，解(jie)除了(le)泄(xie)露隱(yin)患。

最后，在各硬件單元交互通信設施的安全性設計方面，浪潮存儲對所有物理接口均有明確定義，未預留任何不明確的接口。對外可見接口具備“接入控制/訪問(wen)控(kong)制(zhi)”機制(zhi)，可以(yi)防止非(fei)法(fa)人員通過該接口(kou)進行(xing)非(fei)法(fa)操作。

如何保障數據“存”和“取”安全

浪潮(chao)存(cun)(cun)(cun)(cun)儲(chu)為數(shu)據(ju)(ju)(ju)(ju)的(de)(de)(de)(de)(de)存(cun)(cun)(cun)(cun)儲(chu)和(he)(he)調用(yong)(yong)提供了安(an)(an)全(quan)性(xing)保障(zhang)。在“存(cun)(cun)(cun)(cun)”的(de)(de)(de)(de)(de)方面，浪潮(chao)存(cun)(cun)(cun)(cun)儲(chu)支持多副本、糾刪冗(rong)余(yu)策略，確(que)保數(shu)據(ju)(ju)(ju)(ju)冗(rong)余(yu)。支持數(shu)據(ju)(ju)(ju)(ju)復(fu)制(zhi)功能，通過遠程復(fu)制(zhi)實現數(shu)據(ju)(ju)(ju)(ju)的(de)(de)(de)(de)(de)遠端(duan)備份和(he)(he)恢(hui)復(fu)、持續的(de)(de)(de)(de)(de)業務數(shu)據(ju)(ju)(ju)(ju)支撐、數(shu)據(ju)(ju)(ju)(ju)的(de)(de)(de)(de)(de)容災恢(hui)復(fu)，保證(zheng)數(shu)據(ju)(ju)(ju)(ju)存(cun)(cun)(cun)(cun)取的(de)(de)(de)(de)(de)持續性(xing)、可(ke)恢(hui)復(fu)性(xing)、高可(ke)用(yong)(yong)性(xing)和(he)(he)安(an)(an)全(quan)性(xing)。通過定期的(de)(de)(de)(de)(de)數(shu)據(ju)(ju)(ju)(ju)完整性(xing)校(xiao)驗機制(zhi)，以底層最小的(de)(de)(de)(de)(de)數(shu)據(ju)(ju)(ju)(ju)組織(zhi)為單(dan)位遍歷所(suo)有的(de)(de)(de)(de)(de)數(shu)據(ju)(ju)(ju)(ju)，以保證(zheng)沒有數(shu)據(ju)(ju)(ju)(ju)丟失或(huo)(huo)不匹配問題。在“用(yong)(yong)”的(de)(de)(de)(de)(de)方面，浪潮(chao)存(cun)(cun)(cun)(cun)儲(chu)對API接(jie)口(kou)、內(nei)部(bu)固件數(shu)據(ju)(ju)(ju)(ju)訪(fang)問、物(wu)理(li)訪(fang)問接(jie)口(kou)、維(wei)護(hu)接(jie)口(kou)設置訪(fang)問控(kong)制(zhi)策略，未預(yu)留不明(ming)確(que)的(de)(de)(de)(de)(de)數(shu)據(ju)(ju)(ju)(ju)調用(yong)(yong)接(jie)口(kou)，敏感數(shu)據(ju)(ju)(ju)(ju)的(de)(de)(de)(de)(de)訪(fang)問具有認(ren)證(zheng)、授權或(huo)(huo)加(jia)密機制(zhi)；對于認(ren)證(zheng)憑據(ju)(ju)(ju)(ju)的(de)(de)(de)(de)(de)安(an)(an)全(quan)存(cun)(cun)(cun)(cun)儲(chu)，在不需要還原明(ming)文的(de)(de)(de)(de)(de)場景下，使(shi)用(yong)(yong)不可(ke)逆算法加(jia)密。

系統軟件安全 如何保障

浪潮(chao)存(cun)儲(chu)采用(yong)全(quan)對(dui)稱、分布式存(cun)儲(chu)架構，支持跨節點、機柜(ju)、數據中心的(de)數據冗余保護，支持存(cun)儲(chu)服務(wu)(wu)的(de)在線切換，保證業務(wu)(wu)連續性和(he)數據安全(quan)性。在存(cun)儲(chu)服務(wu)(wu)協(xie)議方(fang)面(mian)，浪潮(chao)存(cun)儲(chu)默(mo)認使(shi)用(yong)具(ju)有加密和(he)認證功能的(de)安全(quan)版(ban)本協(xie)議，對(dui)存(cun)儲(chu)系統中API接口和(he)管(guan)理(li)接口均(jun)提(ti)供安全(quan)認證機制，以(yi)防注入漏(lou)洞，或(huo)防止相關信息或(huo)內(nei)容被(bei)泄(xie)露。

同時(shi)在(zai)數(shu)(shu)(shu)據(ju)安(an)全方面，浪潮(chao)存儲(chu)采用(yong)(yong)強一致性數(shu)(shu)(shu)據(ju)完整性保護機制(zhi)，實現數(shu)(shu)(shu)據(ju)的落盤一致性、完整性校驗和保護；根據(ju)應用(yong)(yong)場景，用(yong)(yong)戶可靈活(huo)的定義(yi)數(shu)(shu)(shu)據(ju)的冗余(yu)策略(lve)，支持硬盤、節點、機柜、機房等多級(ji)容災(zai)隔(ge)離(li)。同時(shi)，浪潮(chao)存儲(chu)在(zai)應用(yong)(yong)層提供快(kuai)照、克隆、回收(shou)站(zhan)、WORM、ACL、快(kuai)速故障切換等多種(zhong)數(shu)(shu)(shu)據(ju)保護功(gong)能。

面向系統管理 進行安全性設計

浪潮存儲(chu)從(cong)管(guan)理(li)(li)功能、管(guan)理(li)(li)調用、用戶權限(xian)三方面入手進行了系統(tong)管(guan)理(li)(li)的(de)安全性設(she)計。

在管理和維護(hu)的功(gong)能安全設(she)計方面，浪(lang)(lang)潮存儲提供(gong)GUI和CLI等多種管理方式(shi)，可(ke)查詢(xun)監(jian)控系統狀態(tai)、容(rong)量、資源使用率(lv)、告警等信息(xi)，也可(ke)以(yi)(yi)完成系統常用配(pei)置和操作(zuo)。浪(lang)(lang)潮存儲還可(ke)以(yi)(yi)自動查詢(xun)和收集(ji)設(she)備的工作(zuo)狀態(tai)，當(dang)監(jian)測(ce)數值(zhi)超過預先設(she)定的故障閾值(zhi)時，提供(gong)郵件、短信、SNMP等報警方式(shi)。

在監控管理(li)(li)調用(yong)的(de)(de)安全性(xing)保障方面，浪(lang)潮存儲通(tong)過管理(li)(li)審計日(ri)(ri)志，能(neng)查看管理(li)(li)界面登陸用(yong)戶界面操作，詳細(xi)記錄(lu)用(yong)戶對系統進行(xing)的(de)(de)配置(zhi)和(he)使用(yong)；并通(tong)過數據審計日(ri)(ri)志，記錄(lu)客戶端讀寫行(xing)為，分析用(yong)戶數據傳輸情(qing)況(kuang)，從而(er)實現(xian)對系統各服務的(de)(de)運(yun)行(xing)或(huo)故障狀態、切換(huan)情(qing)況(kuang)等進行(xing)記錄(lu)及告警。

最(zui)后(hou)在用(yong)(yong)戶(hu)權(quan)(quan)限方面，浪潮(chao)存儲基于鑒權(quan)(quan)及訪問控制，在用(yong)(yong)戶(hu)名和密碼認(ren)證通過后(hou)，更換會話(hua)標(biao)識(shi)，以防止會話(hua)固(gu)定漏洞。對于每一個(ge)需要授權(quan)(quan)訪問的頁面都核(he)實用(yong)(yong)戶(hu)的會話(hua)標(biao)識(shi)是(shi)(shi)否(fou)合(he)法(fa)、用(yong)(yong)戶(hu)是(shi)(shi)否(fou)被授權(quan)(quan)執行此操作。

浪(lang)潮分布式存儲AS13000G5，通過以上四大安(an)(an)全性(xing)設(she)計(ji)，保障用(yong)戶(hu)數據(ju)信息的完整、不受損壞、不被竊取以及安(an)(an)全管理，在保障存儲系統可(ke)靠性(xing)、可(ke)用(yong)性(xing)的基(ji)礎上實現存儲系統的極致安(an)(an)全。

作者：浪潮存儲葉毓睿、李(li)錚鋆