Wie sicher sind Storage Networks?

02.11.2004
Von Dieter Fiegert
Mit den Veränderungen in der Speicherlandschaft hat die Frage nach der IT-Sicherheit eine neue Facette erhalten. In dem Maße, wie Unternehmen die Datenspeicher vernetzen, nimmt die Notwendigkeit zu, Speichernetze gegen Missbrauch zu schützen.

Die Diskussion um Bedrohungspotenziale in der IT fordert häufig Widerspruch heraus. Kommentare wie "sehr unwahrscheinlich" oder "unrealistisch" und "für uns stellen sich solche Probleme nicht" sind nicht selten. Insbesondere bei der Frage der Storage Security ist das Problembewusstsein heute gering. Mit immer mehr vernetzten Datenspeichern steigt aber die Notwendigkeit, auch diese Netze zu schützen. Die Frage ist nur wie?

Problematisch erscheint hier die Lücke zwischen dem allgemeinen IT-Wissen und den "best practices" im Bereich Storage und Security und den geeigneten Technologien, die hierfür zur Anwendung kommen könnten. Ein Großteil dieser Wissenslücke ist historisch begründet: Die meisten IT-Manager gehen davon aus, dass ihr Speichernetz dediziert geschlossen und damit sicher ist. Dies ist jedoch ein Trugschluss. Ausgangssituation

Heutige Speichernetze auf Basis von Fibre Channel (FC) und iSCSI verfügen lediglich über unvollständige Sicherheitsmechanismen und entsprechen nur selten der unternehmensweiten IT-Security-Policy. In FC-SANs werden Verfahren wie das Zoning und LUN (Logical Unit Number)-Masking eingesetzt, um funktionale und sicherheitsrelevante Anforderungen zu erfüllen. Für iSCSI-SANs kommt das bekannte IPsec zur Anwendung. Es beinhaltet unter anderem die Authentifizierung der Originalverbindungen und die Verschlüsselung von Daten während der Übertragung. Obwohl alle diese Mechanismen in die richtige Richtung gehen, stellen sie nur eine Grundlage dar, auf der erweiterte Sicherheitsmechanismen aufgesetzt werden müssen, um den heutigen Anforderungen an die IT-Security zu entsprechen.

Zum besseren Verständnis sollen die genannten Verfahren für Fibre Channel nachfolgend kurz erläutert werden:

Zoning zählt im Wesentlichen zum Konfigurations-Management, das eine Segmentierung von Elementen im Netz, etwa Speichersysteme, Switches und Host Bus Adapter (HBA), erlaubt. Zoning kann auf zwei unterschiedlichen Wegen betrieben werden. Bei Hard Zoning (auch Port Zoning genannt) erfolgt die Identifikation auf physikalischer Ebene. Diese Form ist sehr sicher, da sie die Kommunikationsbeziehungen zwischen Systemen auf der Hardwareebene festlegt. Aus Sicht des Konfigurations- und Change-Managements ist dieses Verfahren jedoch sehr inflexibel. Deshalb wird oft Soft Zoning - auch World Wide Name (WWN) Zoning genannt - verwendet. Dabei erfolgt die Identifikation auf logischer Ebene durch die WWN. Diese Form ist nicht so sicher wie das Hard Zoning, da die Kommunikationsbeziehungen über den Name-Server der Switches kontrolliert werden und die WWN relativ einfach zu manipulieren ist (WWN Spoofing).