数据存储与容灾 教学课件 ppt 作者 武春岭课件 模块七安全存储域.ppt

《数据存储与容灾 教学课件 ppt 作者 武春岭课件 模块七安全存储域.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、存储安全与管理1本模块主要内容：信息安全框架安全存储域SAN、NAS和IPSAN中的安全实施方案虚拟化环境和云环境的安全性2保护存储基础架构的安全保护存储基础架构的安全本课程将讲述如下内容：构建信息安全框架风险三要素安全要素安全控制第1课：信息安全框架3安全存储在存储网络技术领域应用信息安全原则和做法的过程安全存储的重点是通过实施保护或控制措施来确保能够安全访问信息安全存储从构建“信息安全框架”开始存储安全性网络信息4信息安全框架定义安全要求的系统方法框架应涵盖：预期的安全攻击影响信息安全的行为安全措施旨在

2、防范这些安全攻击的控制措施构建安全框架是为了实现以下四个安全目标：机密性完整性可用性可说明性保护基础架构从了解风险开始5风险三要素从威胁、资产和漏洞三方面定义风险6风险威胁漏洞资产风险三要素试图滥用和/或可能损害威胁代理威胁漏洞资产风险所有者产生利用导致影响对策强制实施降低值资产“信息”–任何组织最重要的资产其他资产包括硬件、软件和网络基础架构保护资产是主要任务安全注意事项经授权用户必须能够轻松访问资产资产保护成本应该只占资产价值的一小部分使潜在攻击者难以访问和破坏资产应使潜在攻击者耗费大量资金、精力和时间

3、7威胁可在IT基础架构上进行的潜在攻击攻击可分为被动攻击和主动攻击被动攻击尝试在未经授权的情况下访问系统尝试威胁信息机密性主动攻击尝试发起数据修改、拒绝服务(DoS)和否认攻击尝试威胁数据完整性、可用性和可说明性8漏洞提供信息访问权限的路径容易受到潜在攻击需要实施“纵深防御”评估环境的易受攻击程度时要考虑的因素：攻击面攻击媒介攻击难度管理漏洞尽可能减小攻击面和加大攻击难度制定控制措施（或对策）9漏洞10提供信息访问权限的路径容易受到潜在攻击需要实施“纵深防御”评估环境的易受攻击程度时要考虑的因素：攻击面攻击

4、媒介攻击难度管理漏洞尽可能减小攻击面和加大攻击难度制定控制措施（或对策）安全控制措施降低漏洞的影响任何控制措施都应涉及基础架构的所有三个方面人员、流程和技术控制措施可以是技术性也可以是非技术性的技术性控制措施：防病毒、防火墙和入侵检测系统非技术性控制措施：管理策略和物理控制控制措施分为：预防性控制纠正性控制检测性控制11安全控制措施12降低漏洞的影响任何控制措施都应涉及基础架构的所有三个方面人员、流程和技术控制措施可以是技术性也可以是非技术性的技术性控制措施：防病毒、防火墙和入侵检测系统非技术性控制措施：管

5、理策略和物理控制控制措施分为：预防性控制纠正性控制检测性控制本课程将讲述下列主题：安全存储域各域中的安全威胁应用控制措施以减少各域中的风险第2课：安全存储域13保护存储基础架构的安全安全存储域辅助存储备份、复制和归档应用程序访问数据存储管理访问存储网络14保护应用程序访问域保护数据和数据访问权常见威胁可用控制措施示例假冒用户或主机身份权限提升篡改正在传输的数据和静态数据网络嗅探拒绝服务盗取介质强用户和主机验证和授权对存储对象进行访问控制数据加密存储网络加密多元身份验证RBAC、DH-CHAP分区、LUN

6、掩蔽存储加密IP-Sec、FC安全协议防病毒控制对数据中心的物理访问15保护应用程序访问域保护数据和数据访问权16常见威胁可用控制措施示例假冒用户或主机身份权限提升篡改正在传输的数据和静态数据网络嗅探拒绝服务盗取介质强用户和主机验证和授权对存储对象进行访问控制数据加密存储网络加密多元身份验证RBAC、DH-CHAP分区、LUN掩蔽存储加密IP-Sec、FC安全协议防病毒控制对数据中心的物理访问保护管理访问域包括保护管理访问权限和管理基础架构常见威胁假冒管理员的身份提升管理权限网络嗅探和DoS可用控制措施身份

7、验证、授权和管理访问控制专用管理网络禁用不必要的网络服务加密管理通信17保护管理访问域包括保护管理访问权限和管理基础架构常见威胁假冒管理员的身份提升管理权限网络嗅探和DoS可用控制措施身份验证、授权和管理访问控制专用管理网络禁用不必要的网络服务加密管理通信18保护备份、复制和归档域包括保护备份、复制和归档基础架构常见威胁假冒DR站点身份篡改正在传输的数据和静态数据网络嗅探可用控制措施访问控制–主存储到辅助存储备份加密复制网络加密19本课程将讲述下列主题：SAN安全实施方案NAS安全实施方案IPSAN安全实施

8、方案存储网络安全实施方案20保护存储基础架构的安全SAN中的安全实施方案常见SAN安全机制包括：LUN掩蔽和分区保护FC交换机端口交换机范围和结构范围的访问控制对结构进行逻辑分区：VSAN21保护FC交换机端口端口绑定限制可连接至特定交换机端口的设备仅允许相应交换机端口连接到节点进行结构访问端口锁定和端口停用限制交换机端口的初始化类型永久禁用端口阻止启用交换机端口，即使在交换机重新启动后也一样22交换机范围内和结