高校校园网网络存储的安全分析

2011-08-15康炜

科技传播 2011年3期

康炜

福建江夏学院，福建福州 350000

0 引言

随着各高校网络建设的迅速发展和信息化教学的普及，校园网存储系统也是飞速发展。数字图书馆、校园一卡通、各种信息管理系统、视频文件、教学课件等数字信息增加的非常迅速，用户数越来越多，存储系统在满足教学工作需求的同时，数据安全性问题也必须得以解决网络存储系统经历了直连存储（DAS）、网络附加存储（NAS），以及现在的存储区域网络（SAN）的发展过程。NAS（Network Attached Storage：网络附属存储）将存储设备连接到基于IP的网络中，有自己的操作系统，通过提高服务器安全性来增强存储安全；存储域网络（Storage Area Network）采用专用网络对数据进行存储，具有很高的可扩展性。目前大部分的高校都是采用SAN与NAS相融合的存储结构。

1 网络存储安全定义及特点

国际存储工业协会SNIA对网络存储安全的基本定义是:保证数据在存储网络中的传输和存储的机密性(Confidentiality)、完整性(In-tegrity)和可用性(Availability)。

1）机密性：用户必须得到授权才能使用数据，非授权用户无法访问数据；

2）完整性：必须确保数据的正确性；

3）可用性：在使用安全措施对存储系统进行保护的同时，不能影响对用户的服务。

网络存储安全性包括网络安全性和存储安全性，其中网络安全已经研究的很深入，协议及标准非常完备，各种防火墙等也在持续开发。后者的研究则起步不久，需要更加成熟的研究和解决方案。

2 高校网络存储系统面临的安全问题

随着存储技术的迅速发展以及存储结构的变化，校园网上越来越多使用大容量的存储系统，由此也带来了一系列安全问题：

1）高校人数众多，人员复杂，存储系统中的数据是校园网上最重要的资源，又由于其开放性和服务不间断性，很容易成为攻击对象，攻击者窃取、篡改或破坏数据，就可能造成不可估量的损失；

2）在校园内网上，高校教师以及工作人员频繁的使用移动硬盘，U盘等设备拷贝文件以及传输信息，很可能造成病毒的传播，现在很多办公室的电脑都带有病毒和木马。这些病毒和木马不断攻击网络存储系统，很可能影响存储系统的稳定性，对用户访问数据造成不便；

3）存储系统的硬件故障，会使存储数据丢失或破坏，这通常是由于硬件的老化或者自然灾害比如火灾地震雷击等引起的；

4）系统管理员的误操作或内部人员的蓄意破坏也是存储系统安全面临的威胁之一。如何解决这些安全隐患，是目前校园网存储系统建设面临的巨大挑战。

3 高校网络存储系统安全的解决方案

校园网存储系统需要建立一套完善的，多方位的安全保护方案，现在主要是利用数据备份恢复、访问控制、加密技术、入侵检测等来提供安全保证。

3.1 数据备份和数据恢复

集中备份与恢复解决在校园网存储安全解决方案中具有非常重要的地位。校园网上存储了许多重要的信息，一旦丢失会给科研，教学以及各部门的正常运作造成巨大损失。备份是保护这些信息的最有效方式。针对目前大部分高校的存储系统，常用的备份方式有LAN备份、LAN Free备份和SAN Server-Free备份几种。各种结构的存储系统都可以使用LAN备份，它采用中央备份服务器对LAN中各客户端进行集中备份的方案，易于管理，效率较高，缺点是需要备份的数据量大时容易发生网络堵塞；LAN Free备份和SAN Server-Free备份只能在SAN存储环境下使用，这两者通过SAN提供的高速光通道网络进行备份，对服务器资源占用小，数据备份量大，但要求的设备成本高。各高校可以根据各自的校园网规模及实际情况选择备份方式，做好容灾备份，在数据丢失或破坏后可以迅速恢复。

3.2 访问控制

在网络环境中，访问控制指的是控制某用户可以或不可以访问网络、资源、文件等。为了有效地保证校园网重要资源的安全，必须控制授予每个网络用户的访问级别，然后设置策略来保证只有合法用户才能获得资源的访问权。访问控制策略主要包括：强制访问控制（MAC）、自主访问控制（DAC）以及基于角色的访问控制（RBAC）。

1）强制访问控制：MAC是最严格的访问控制，强制访问主体服从访问控制政策。由管理人员或管理程序控制对数据、系统、资源的访问和修改权限。用户的程序无法改变自己的权限，从而系统可以防止木马的攻击。强制访问控制系统一般用于对安全要求高的网络环境；

2）自主访问控制：DAC不受管理员或操作系统策略的约束，它执行基于系统实体身份和它们的到系统资源的接入授权。这包括在文件，文件夹和共享资源中设置许可。如果用户创建了一个文件夹，则由此用户来决定谁将拥有对此文件夹的访问权；

3）基于角色的访问控制：RBAC在用户和访问许可权之间引入角色的概念，访问权是由用户在组织中所代表的角色决定的，用户与特定的一个或多个角色相联系，角色与一个或多个访问许可权相联系，角色可以根据实际的工作需要生成或取消，而用户可以根据自己的需要动态地激活自己拥有的角色，避免了用户无意中危害系统安全。

3.3 数据加密

文件系统是网络存储系统的核心组件，由于共享的需求，敏感数据会有多人访问，这也增大了泄漏的可能性，可以利用密钥管理来加强文件系统的安全性，保证存储安全。加密文件系统分为本地加密和网络加密。本地加密文件系统是提供端到端的安全，在客户端执行加密操作防止数据被文件服务器和其他未授权用户窃取或篡改。网络加密文件系统，一般是基于NFS客户/服务器模型，在系统中，数据以密文的方式保存在网络文件系统中，获得访问权限的用户通过客户机服务进程与网络文件服务器交互，网络文件服务器负责将用户请求的密文传递到客户机服务进程，由客户机服务进程进行解密再交给应用程序。在这个模型中，只要求客户机操作系统是可信的，而网络服务器由于不接触明文数据，不要求其可信。

CFS，TCFS，Crypt-FS，FSFS等加密文件系统都可以用来加强文件系统安全，但这些文件加密系统也有局限性。例如CFS和TCFS使用了DES算法来加密文件内容，难于使用、共享加密文件非常困难、用户无法选择加密算法、交换区或临时文件可能会泄漏明文以及性能较差等等，另外在存储系统中保证存储安全的密钥数量巨大、管理复杂、对系统性能有较大的影响。

3.4 采用RAID数据存储技术

RAID RAID：Redundant Array of Independent Disks，冗余磁盘阵列技术，是将N台硬盘通过RAID Controller结合成虚拟单台大容量的硬盘使用。磁盘阵列中针对不同的应用使用的不同技术，称为RAID level，可根据需要划分为不同的RAID级，RAID level 0-5，10，30，50 等。

使用RAID，可以同时让多个硬盘进行数据的操作，提高了整体速度。RAID系统可以使用两组硬盘同步完成镜像存储，大大加强了对于网络服务器的安全措施。RAID容错性也相当强，，冗余磁盘阵列中如果有单块硬盘出错，不会影响到整体工作的继续进行。在实际应用中，可根据实际情况自由选择。例如RAID 0是无差错控制的带区组，在所有的级别中，RAID 0的速度是最快的，但缺乏冗余功能。笔者所在学校采用RAID10磁盘做为用户文件服务器，RAID 10是先镜射再分区数据，将所有硬盘分为两组，然后将这两组各自视为RAID 1运作。RAID 10有着不错的读取速度，而且拥有比RAID 0更高的数据保护性，有效的提高了服务器的处理能力和数据的存取速度，同时保障了关键数据的安全性，结合千M的网络接口速度，可以保证大量的网络数据吞吐量。

3.5 反入侵技术

目前采用各种防火墙技术和入侵检测技术来保证数据的机密性和完整性。

使用防火墙可以有效避免校园网网络存储系统免受外部入侵，但是却无法防御网络内部的攻击，由于防火墙的缺陷，引发了近年来入侵检测系统的研发。入侵检测系统（Intrusion Detection System，简称IDS）是由硬件和软件组成的，用来检测系统或者网络以发现可能的入侵或攻击的系统。入侵检测系统通过分析网络数据流、主机日志、系统调用、以及能显示对计算机网络的攻击行为的其他方面信息，来定位入侵活动。IDS处理过程分为数据采集阶段、数据处理及过滤阶段、入侵分析及检测阶段、报告以及响应阶段等四个阶段。数据采集阶段是数据审核阶段。入侵检测系统收集内容包括系统、网络、数据及用户活动的状态和行为。由放置在不同网段的传感器或不同主机的代理来收集信息，包括系统和网络日志文件、网络流量、非正常的目录和文件改变、非正常的程序执行。分析及检测入侵阶段通过分析收集到的有关系统、网络、数据及用户活动的状态和行为等信息来判断是否发生入侵。根据系统是以检测异常使用为目的还是以检测利用系统的脆弱点或应用程序的BUG来进行入侵为目的，可以区分为异常行为和错误使用检测。报告及响应阶段按照告警产生预先定义的响应采取相应措施，可以是重新配置路由器或防火墙、终止进程、切断连接、改变文件属性，也可以只是简单的告警检测系统入侵检测系统主要有以下特点：

1）事先警告：入侵检测系统能够在入侵攻击对网络系统造成危害前，及时检测到入侵攻击的发生，并进行报警；

2）事中防护：入侵攻击发生时，入侵检测系统可以通过与防火墙联动、TCP Killer等方式进行报警及动态防护；

3）事后取证：被入侵攻击后，入侵检测系统可以提供详细的攻击信息，帮助管理员诊断网络中存在的安全弱点，利于其进行修补。