曾經(jīng)，數(shù)據(jù)中心被當作是數(shù)據(jù)的安全港灣，因此一些用戶認為安全與存儲“井水不犯河水”。而過去幾年多次數(shù)據(jù)磁帶丟失事件引發(fā)大家對安全的廣泛關(guān)注。隨著廠商對存儲安全的不斷投入，如今多領(lǐng)域、多層次的存儲安全解決方案已經(jīng)越發(fā)成熟。

過去幾年，曾有多篇關(guān)于大型公司丟失記載數(shù)百萬人私密信息磁帶的報道，引發(fā)公眾對于這些信息可能被暴露及濫用的擔憂。而經(jīng)歷這些事件的公司不得不面對為減輕對客戶和雇員的潛在危害所造成的經(jīng)濟損失。同時還可能承擔法律責任以及嚴重的聲譽損害之風險。

在回顧這些存儲安全事件時，安全專家們都會得出這樣的結(jié)論：盡管這些事件造成了巨大的問題，但總體而言，仍然是一件好事情。這些侵害事件及其在公共關(guān)系方面產(chǎn)生的不良后果迫使企業(yè)和政府正視并努力解決敏感數(shù)據(jù)的安全加密問題。數(shù)據(jù)保護現(xiàn)在已經(jīng)成為一個C級問題（CEO和CIO關(guān)注的問題）。幾乎每一位首席信息官都會受到來自首席執(zhí)行官/企業(yè)老板的壓力，要求他們解釋企業(yè)如何保護敏感數(shù)據(jù)。

保護數(shù)據(jù)的最佳方法是對其進行加密。因此，企業(yè)目前面臨的真正問題不是“我們是否應(yīng)當對自己的數(shù)據(jù)進行加密”，而是“對哪些數(shù)據(jù)進行加密?！?/p>

方案篇

加密成為系統(tǒng)工程

對企業(yè)而言，好消息是加密技術(shù)正變得越來越簡便。在過去，加密通常會意味著嚴重的性能延遲和高昂的管理及實施成本。然而在今天，各類存儲加密技術(shù)已變得更容易部署，價格低廉，而且對網(wǎng)絡(luò)造成的消極影響也變得更小。

這意味著，企業(yè)現(xiàn)在已經(jīng)完全可以在過去無法下手的地方對數(shù)據(jù)進行全面的加密。正如我們在前面所提到過的，由于一些企業(yè)曾經(jīng)出現(xiàn)過存儲磁帶丟失的事件，因此這些企業(yè)都急不可耐地實施了針對特定問題的解決方案。問題在于，這些解決方案只能應(yīng)付備份存儲中的特定物理威脅。如果有黑客闖入包含客戶主信息的服務(wù)器，或者有人丟失了一臺筆記本電腦，而其中存有員工社會保險編號的數(shù)據(jù)庫列表，那么結(jié)果會如何？這些都是真實存在的數(shù)據(jù)侵害事件，并對數(shù)以百萬計的敏感數(shù)據(jù)記錄造成的威脅。

以下是目前市面上比較流行的幾種存儲加密方法：

1、文件級加密
文件級加密可以在主機上實現(xiàn)，也可以在網(wǎng)絡(luò)附加存儲（NAS）這一層以嵌入式實現(xiàn)。對于某些應(yīng)用來講，這種加密方法也會引起性能問題；在執(zhí)行數(shù)據(jù)備份操作時，會帶來某些局限性，對數(shù)據(jù)庫進行備份時更是如此。特別是，文件級加密會導(dǎo)致密鑰管理相當困難，從而添加了另外一層管理：需要根據(jù)文件級目錄位置來識別相關(guān)密鑰，并進行關(guān)聯(lián)。

在文件層進行加密也有其不足的一面，因為企業(yè)所加密的數(shù)據(jù)仍然比企業(yè)可能需要使用的數(shù)據(jù)要多得多。如果企業(yè)關(guān)心的是無結(jié)構(gòu)數(shù)據(jù)，如法律文檔、工程文檔、報告文件或其他不屬于組織嚴密的應(yīng)用數(shù)據(jù)庫中的文件，那么文件層加密是一種理想的方法。如果數(shù)據(jù)在文件層被加密，當其寫回存儲介質(zhì)時，寫入的數(shù)據(jù)都是經(jīng)過加密的。任何獲得存儲介質(zhì)訪問權(quán)的人都不可能找到有用的信息。對這些數(shù)據(jù)進行解密的唯一方法就是使用文件層的加密/解密機制。

2、數(shù)據(jù)庫級加密
當數(shù)據(jù)存儲在數(shù)據(jù)庫里面時，數(shù)據(jù)庫級加密就能實現(xiàn)對數(shù)據(jù)字段進行加密。這種部署機制又叫列級加密，因為它是在數(shù)據(jù)庫表中的列這一級來進行加密的。對于敏感數(shù)據(jù)全部放在數(shù)據(jù)庫中一列或者可能兩列的公司而言，數(shù)據(jù)庫級加密比較經(jīng)濟。不過，因為加密和解密一般由軟件而不是硬件來執(zhí)行，所以這個過程會導(dǎo)致整個系統(tǒng)的性能出現(xiàn)讓人無法承受的下降。

由于數(shù)據(jù)庫中數(shù)據(jù)的結(jié)構(gòu)和組織都非常明確，因此對特定數(shù)據(jù)條目進行控制也就更加容易。用戶可以對一個具體的列進行加密，如國家識別符列或工資列，而且每個列都會有自己的密鑰。根據(jù)數(shù)據(jù)庫用戶的不同，企業(yè)可以有效地控制其密鑰，因而能夠控制誰有權(quán)對該數(shù)據(jù)條目進行解密。通過這種方式，企業(yè)只需要對關(guān)鍵數(shù)據(jù)進行加密即可。

這種加密方法所面臨的挑戰(zhàn)是，用戶希望加密的許多數(shù)據(jù)條目在應(yīng)用查詢中可能也具備同樣的值。因此系統(tǒng)設(shè)計師應(yīng)當確保加密數(shù)據(jù)不參加查詢，防止加密對數(shù)據(jù)庫的性能造成負面影響。例如，如果賬戶編號已經(jīng)加密，而用戶希望查找一系列的編號，那么應(yīng)用就必須讀取整個表，解密并對其中的值進行對比。如果不使用數(shù)據(jù)庫索引，這種原本只需要三秒鐘就可執(zhí)行完畢的任務(wù)可能會變成一個三小時的漫長查詢。但這種方法也有積極的方面，數(shù)據(jù)庫廠商已經(jīng)在其新版產(chǎn)品中加入了一些服務(wù)，能夠幫助企業(yè)解決這一問題。

3、介質(zhì)級加密
介質(zhì)級加密是一種新出現(xiàn)的方法，它涉及對存儲設(shè)備（包括硬盤和磁帶）上的靜態(tài)數(shù)據(jù)進行加密。雖然介質(zhì)級加密為用戶和應(yīng)用提供了很高的透明度，但提供的保護作用非常有限：數(shù)據(jù)在傳輸過程中沒有經(jīng)過加密。只有到達了存儲設(shè)備，數(shù)據(jù)才進行加密，所以介質(zhì)級加密只能防范有人竊取物理存儲介質(zhì)。另外，要是在異構(gòu)環(huán)境使用這項技術(shù)，可能需要使用多個密鑰管理應(yīng)用軟件，這就增加了密鑰管理過程的復(fù)雜性，從而加大了數(shù)據(jù)恢復(fù)面臨的風險。

4、嵌入式加密設(shè)備
嵌入式加密設(shè)備放在存儲區(qū)域網(wǎng)（SAN）中，介于存儲設(shè)備和請求加密數(shù)據(jù)的服務(wù)器之間。這種專用設(shè)備可以對通過上述這些設(shè)備、一路傳送到存儲設(shè)備的數(shù)據(jù)進行加密，可以保護靜態(tài)數(shù)據(jù)，然后對返回到應(yīng)用的數(shù)據(jù)進行解密。

嵌入式加密設(shè)備很容易安裝成點對點解決方案，但擴展起來難度大，或者成本高。如果部署在端口數(shù)量多的企業(yè)環(huán)境，或者多個站點需要加以保護，就會出現(xiàn)問題。這種情況下，跨分布式存儲環(huán)境安裝成批硬件設(shè)備所需的成本會高得驚人。此外，每個設(shè)備必須單獨或者分成小批進行配置及管理，這給管理添加了沉重負擔。

5、應(yīng)用加密
最后一種方法可能也是最安全的方法。將加密技術(shù)集成在商業(yè)應(yīng)用中是加密級別的最高境界，也是最接近“端對端”加密解決方案的方法。在這一層，企業(yè)能夠明確地知道誰是用戶，以及這些用戶的典型訪問范圍。企業(yè)可以將密鑰的訪問控制與應(yīng)用本身緊密地集成在一起。這樣就可以確保只有特定的用戶能夠通過特定的應(yīng)用訪問數(shù)據(jù)，從而獲得關(guān)鍵數(shù)據(jù)的訪問權(quán)。任何試圖在該點下游訪問數(shù)據(jù)的人都無法達到自己的目的。

在這一層，集成加密技術(shù)確實有助于避免數(shù)據(jù)庫層的性能受到影響，因為用戶可以改變查詢的類型。然而，雖然這種方法是最安全的，但許多數(shù)據(jù)條目需要通過被多種不同的應(yīng)用訪問，企業(yè)對這種應(yīng)用，甚至不同用戶群的變化要進行及時的管理。事實上，如果企業(yè)使用廠商提供的打包應(yīng)用，它們很可能根本無法實施這一層的解決方案，因為企業(yè)不可能獲得這些應(yīng)用的源代碼。

admin

收藏 海報分享