IT-Security: Storage Area Networks und Fibre Channel Technologie

IT-Security: Storage Area Networks und Fibre Channel Technologie. Die Arbeitsplätze Ihres Unternehmens haben den aktuellsten Stand der Virenschutzsoftware. Die modernste Firewall schützt Ihre Firma gegen Angriffe von Hakern. Außendienstmitarbeiter kommunizieren nur über hochsichere VPN-Tunnel mit den zentralen Recheneinheiten. Passwörter regeln die Berechtigung der Mitarbeiter im Hausnetz. Das Rechenzentrum ist durch ausgeklügelte Zutrittskontrollen gesichert. Die USB-Schnittstellen der Mitarbeiter-PCs sind gesperrt. CD- und DVD-Brenner stehen nur überprüften Mitarbeitern zur Verfügung. Das E-Mail System überwacht die ausgehenden Daten auf unerlaubte Inhalte. Sind Ihre Datenbestände damit sicher?

Ein kurzer Exkurs in die Geschichte der Speicher-Technologie

Das Protokoll zur Kommunikation zwischen Server und Speicher ist seit den frühen PC-Festplatten SCSI (small computer system interface). Es wurde konzipiert als Schnittstelle zwischen Betriebssystem und dem physikalischen Speicher in ein und demselben Gerät. Der Ausdruck "Small Computer System" war zur Bezeichnung von Rechnern im Gegensatz zum Mainframe gewählt, der damals als einzige ernst zu nehmende Maschine zur Verarbeitung von Unternehmens-relevanten Daten galt. Vor diesem Hintergrund ist verständlich, dass für SCSI nie wirkliche Sicherungsmechanismen im Sinne von IT-Security entwickelt wurden. Wodurch sollten die überschaubaren Datenwege in einem kleinen Rechner auch gefährdet sein?

Mittlerweile haben seit langem Windows- und Unix-Server geschäftskritische Aufgaben vom Mainframe übernommen. Die internen Festplatten sind in vielen Fällen durch mächtige SANs (Storage Area Networks) ersetzt worden, die sich dank Fibre Channel Technologie über viele Kilometer erstrecken können. Der Datentransfer zwischen Kontinenten ist auch im Open-Systems Umfeld schon seit vielen Jahren gebräuchlich. Das genutzte Protokoll (wenn auch in Fibre Channel, TCP-IP oder iSCSI eingebunden) ist immer noch SCSI – ein Protokoll, das für Geräte-interne Kommunikation entwickelt wurde.

Schutz vor missbräuchlichem Zugriff auf Server

Aber auch für die Ende der 80er Jahre entwickelten Fibre Channel SANs wurde lange Zeit keine Gedanken über Security verschwendet. Die spezialisierten Speicher-Netzwerke befanden sich physikalisch in den meisten Fällen im Rechenzentrum und logisch gesehen liegen sie auch heute noch hinter den Servern. Die Server aber sind schon durch vielfältige Security Mechanismen gegen missbräuchlichen Zugriff geschützt. Das Rechenzentrum selbst darf nur von dazu berechtigten Mitarbeitern betreten werden. Das bedeutet, dass ausschließlich ausgewähltes Personal direkten Zugang sowohl logisch als auch physikalisch zu den Speichergeräten hat. Der physikalische Speicher barg also zu Beginn der Fibre Channel SANs relativ wenig Angriffs-Fläche für direkten missbräuchlichen Zugriff.

Die sog. Sicherheits-Features im Fibre Channel SAN wurden zu völlig anderen Zwecken benötigt. Zoning (logisches Abgrenzen von Geräte- Gruppen), LUN-Masking (Verstecken von Speichergebieten) und Partitioning (logisches Aufteilen von Speichergeräten) wurden dringend gebraucht, um die SCSI-verwirrten Betriebssysteme und Anwendungen der Server daran zu hindern, den scheinbar direkt angeschlossenen Speicher (siehe SCSI Erklärung oben) jeweils vollständig und exklusiv für sich alleine zu beanspruchen.

Selbst die Anfang dieses Jahrtausends entwickelten SAN-Firewalls (heute als Multi-Protokoll-Router bekannt) haben kaum etwas mit den aus der IT-Security bekannten Firewalls gemein. Einer ihrer größten Vorteile liegt darin, Verbindungen zwischen Ressourcen aus zwei verschiedenen SANs herstellen zu können, ohne die betroffenen SANs selbst zu einer Einheit zu verschmelzen.

Erst Anfang dieses Jahrtausends wurde das Sicherheitsbedürfnis bezüglich der eigentlichen Datenträger im Rechenzentrum thematisiert. Wahrscheinlich gab es schon früher Vorfälle, dass Datenträger physikalisch verloren oder gestohlen wurden. Aus verständlichen ökonomischen Gründen wurden und werden diese Begebenheiten aber in den seltensten Fällen publiziert.

In 80 % der Fälle sind Mitarbeiter schuld am Datendiebstahl

Wie können nun die Datenbestände in den scheinbar sicheren Umgebungen von Speichernetzwerken (Data-at-rest) zusätzlich geschützt werden? Scheinbar sicher deshalb, weil Untersuchungen ergaben, dass in über 80 % der Fälle Mitarbeiter die Schuldigen bei Datendiebstahl waren. Die größten Datenbestände weltweit werden heutzutage auf Magnetbändern gelagert. Dieses Medium verspricht lange Datenintegrität und Mobilität bei hoher Speicherdichte. Genutzt werden Magnetbänder sowohl zum Disaster Recovery (Backup/Restore) als auch zur Langzeitarchivierung.

Auf ein einziges Band können personenbezogene Daten von mehreren Zehntausend Menschen gespeichert werden. Und Bänder können einfach von einem Standort zum anderen transportiert werden, ohne Datenverlust (auf dem Medium) zu riskieren. Sie werden in spezielle Tresore verbracht, um sie ordnungsgemäß zu lagern und vor Diebstahl zu schützen. Oder man verschickt sie in andere Standorte, um die Daten dort zur Verfügung stellen zu können. Dieser Vorzug der Mobilität führt allerdings auch dazu, dass ab und zu, insbesondere beim Transport, Bänder abhanden kommen. Besonders peinlich, wenn es sich – wie schon geschehen – um Datenträger einer Bank handelt. Aber auch für ein mittelständisches Unternehmen kann es zur wirtschaftlichen Katastrophe kommen, wenn das richtige Band in falsche Hände gerät.

Denn wenn in solch einem Fall das Band nicht durch zusätzliche Verschlüsselung gesichert ist, können die Daten von Spezialisten mit verhältnismäßig geringem Aufwand lesbar gemacht werden. Je nach Umfeld und Budget sind verschiedene Arten von Verschlüsselung auf Magnetband möglich. In sog. Enterprise-Umgebungen werden spezielle Laufwerke benutzt, die die Informationen direkt verschlüsselt auf das Band schreiben. Des Weiteren erlauben spezielle vorgeschaltete Geräte oder diverse Software-Tools die Verschlüsselung der auf Band gespeicherten Daten.

In jedem Fall sollte aber eine durchdachte Strategie Grundlage der einzuführenden Verschlüsselung sein. Die Beratung und Betreuung durch Spezialisten kann verhindern, dass Bänder zu gut verschlüsselt werden. Nicht selten kann nämlich eine Veränderung in der Speicherumgebung dazu führen, dass die benötigten Daten insbesondere nach längerer Zeit nicht mehr lesbar gemacht werden können, weil der Schlüssel nicht mehr zur Verfügung steht oder durch Upgrades oder andere Eingriffe in die Infrastruktur unbrauchbar gemacht wurde.

Die Sicherung von Festplattenspeichern

Etwas anders scheint die Situation bezüglich Festplattenspeichern zu sein. Zum einen bleiben die physikalischen Speicher meistens während ihrer gesamten Nutzungsdauer am selben Platz – nämlich im Rechenzentrum. Zu anderen schreiben RAID-Mechanismen die Daten nicht sequentiell (hintereinander) auf einen physikalischen Datenträger, wie beim Magnetband, sondern verteilen Sie nach einem ausgeklügelten Verfahren auf mehrere Festplatten. Dadurch können auf einer einzelnen Festplatte maximal Einzelinformationen ausgelesen werden. Je nach Ausrichtung des Unternehmens dürfen aber auch diese wenigen Informationen die Firma nicht verlassen.

Das Risiko ist im Fall Plattenspeichersystem nicht ganz so offensichtlich, wie beim Magnetband. Selbst wenn das Speichersystem je nach Investitions-Zyklus für drei oder gar fünf Jahre an seinem Standort verbleibt und die Mitarbeiter, die zu den Geräten Zutritt haben, natürlich zu den 20 % der Zuverlässigen gehören, verlässt doch in dieser Zeit eine nicht unerhebliche Anzahl von einzelnen Festplatten aus dem Speichersystem das Unternehmen. Schließlich werden per Wartungsvertrag alle nicht funktionstüchtigen Platten während der Betriebszeit ausgetauscht. Was danach wirklich mit diesen Platten geschieht, liegt nicht mehr im Einflussbereich des Unternehmens.

Und was geschieht mit den Speichersystemen nach der Nutzungsdauer? Wie sicher sind die Daten auf den Platten gelöscht? Oder ersteigert doch wieder ein Glücklicher auf ebay ein Speichersystem mit allen Daten des Vorbesitzers? Abhilfe für diese Risiken schaffen externe Geräte, die die Daten vor Lagerung auf den Speichersystemen verschlüsseln. Ohne dieses Gerät und den entsprechenden Schlüssel kann kein Unbefugter Informationen von den Festplatten mehr auslesen.

Alle Risiken für "Data-at-rest" können jedoch mit Verschlüsselung allein nicht ausgeräumt werden. Wie weiter oben erwähnt geht man im SCSI- und Fibre Channel Umfeld davon aus, dass man sich in einem weitestgehend sicheren Bereich befindet. Die Verschlüsselungsgeräte verschlüsseln und entschlüsseln jede bei ihnen ankommende Anfrage. Gelingt es einem Unbefugten, über den Server hinaus in das Speichernetzwerk einzudringen, oder sich mittels eines zusätzlichen Fibre Channel Switch in das SAN einzubinden, so stehen ihm erst einmal alle Türen offen. Gegen diese Eingriffe kann man sich z. B. durch rigide Zuweisungen von Komponenten im SAN (WWN-zu-Port-Zuordnung) und Secure-OS (Authentifizierungs- Mechanismus im Fibre Channel SAN) weiter absichern.

Data-in-fly

Zuletzt noch eine Betrachtung von "Data-in-fly". Wie eingangs erwähnt, können sich Speichernetzwerke über extrem große Distanzen erstrecken. Die dazu auf den Weitstrecken (WAN-Wide Aera Network) genutzten IP-Netzwerke können durch traditionelle Sicherheitsmechanismen ausreichend gut geschützt werden. Auf den Schutz von Fibre Channel Verbindungen über öffentlichen Grund wird erst seit kurzer Zeit nachgedacht. Zu unwahrscheinlich schien es, eine Faser in einem Glasfaserbündel zu lokalisieren und den Informationsfluss mit zu schneiden.

Dass diese Verbindungen ein offensichtliches Sicherheitsrisiko darstellen, zeigt die Gesetzeslage in der Schweiz. Kreditinstitute sind dort gezwungen auch über Fibre Channel Verbindungen nur verschlüsselt zu übertragen. Möglich macht das eine Technologie, die die Daten am Ausgang zum Transfer verschlüsselt und am Wiedereintritt in das Firmennetz am anderen Ende entschlüsselt. Egal, ob Sie nach dem Lesen dieses Artikels in Zukunft Daten auf Band, Platte oder auf der Strecke verschlüsseln wollen, holen Sie auf jeden Fall Rat bei Spezialisten zu diesem Thema ein. Sie riskieren anderenfalls, dass Sie sich selbst ausschließen.

 

KONTAKT

Angelika Stiehl
Controlware GmbH, Dietzenbach
Tel.: 06074/858-0
Fax: 06074/858-220
info@controlware.de
www.controlware.de