康 煒

福建江夏學(xué)院，福建 福州 350000

0 引言

隨著各高校網(wǎng)絡(luò)建設(shè)的迅速發(fā)展和信息化教學(xué)的普及，校園網(wǎng)存儲系統(tǒng)也是飛速發(fā)展。數(shù)字圖書館、校園一卡通、各種信息管理系統(tǒng)、視頻文件、教學(xué)課件等數(shù)字信息增加的非常迅速，用戶數(shù)越來越多，存儲系統(tǒng)在滿足教學(xué)工作需求的同時，數(shù)據(jù)安全性問題也必須得以解決網(wǎng)絡(luò)存儲系統(tǒng)經(jīng)歷了直連存儲（DAS）、網(wǎng)絡(luò)附加存儲（NAS），以及現(xiàn)在的存儲區(qū)域網(wǎng)絡(luò)（SAN）的發(fā)展過程。NAS（Network Attached Storage：網(wǎng)絡(luò)附屬存儲）將存儲設(shè)備連接到基于IP的網(wǎng)絡(luò)中，有自己的操作系統(tǒng)，通過提高服務(wù)器安全性來增強存儲安全；存儲域網(wǎng)絡(luò)（Storage Area Network）采用專用網(wǎng)絡(luò)對數(shù)據(jù)進行存儲，具有很高的可擴展性。目前大部分的高校都是采用SAN與NAS相融合的存儲結(jié)構(gòu)。

1 網(wǎng)絡(luò)存儲安全定義及特點

國際存儲工業(yè)協(xié)會SNIA對網(wǎng)絡(luò)存儲安全的基本定義是:保證數(shù)據(jù)在存儲網(wǎng)絡(luò)中的傳輸和存儲的機密性(Confidentiality)、完整性(In-tegrity)和可用性(Availability)。

1）機密性：用戶必須得到授權(quán)才能使用數(shù)據(jù)，非授權(quán)用戶無法訪問數(shù)據(jù)；

2）完整性：必須確保數(shù)據(jù)的正確性；

3）可用性：在使用安全措施對存儲系統(tǒng)進行保護的同時，不能影響對用戶的服務(wù)。

網(wǎng)絡(luò)存儲安全性包括網(wǎng)絡(luò)安全性和存儲安全性，其中網(wǎng)絡(luò)安全已經(jīng)研究的很深入，協(xié)議及標(biāo)準(zhǔn)非常完備，各種防火墻等也在持續(xù)開發(fā)。后者的研究則起步不久，需要更加成熟的研究和解決方案。

2 高校網(wǎng)絡(luò)存儲系統(tǒng)面臨的安全問題

隨著存儲技術(shù)的迅速發(fā)展以及存儲結(jié)構(gòu)的變化，校園網(wǎng)上越來越多使用大容量的存儲系統(tǒng)，由此也帶來了一系列安全問題：

1）高校人數(shù)眾多，人員復(fù)雜，存儲系統(tǒng)中的數(shù)據(jù)是校園網(wǎng)上最重要的資源，又由于其開放性和服務(wù)不間斷性，很容易成為攻擊對象，攻擊者竊取、篡改或破壞數(shù)據(jù)，就可能造成不可估量的損失；

2）在校園內(nèi)網(wǎng)上，高校教師以及工作人員頻繁的使用移動硬盤，U盤等設(shè)備拷貝文件以及傳輸信息，很可能造成病毒的傳播，現(xiàn)在很多辦公室的電腦都帶有病毒和木馬。這些病毒和木馬不斷攻擊網(wǎng)絡(luò)存儲系統(tǒng)，很可能影響存儲系統(tǒng)的穩(wěn)定性，對用戶訪問數(shù)據(jù)造成不便；

3）存儲系統(tǒng)的硬件故障，會使存儲數(shù)據(jù)丟失或破壞，這通常是由于硬件的老化或者自然災(zāi)害比如火災(zāi)地震雷擊等引起的；

4）系統(tǒng)管理員的誤操作或內(nèi)部人員的蓄意破壞也是存儲系統(tǒng)安全面臨的威脅之一。如何解決這些安全隱患，是目前校園網(wǎng)存儲系統(tǒng)建設(shè)面臨的巨大挑戰(zhàn)。

3 高校網(wǎng)絡(luò)存儲系統(tǒng)安全的解決方案

校園網(wǎng)存儲系統(tǒng)需要建立一套完善的，多方位的安全保護方案，現(xiàn)在主要是利用數(shù)據(jù)備份恢復(fù)、訪問控制、加密技術(shù)、入侵檢測等來提供安全保證。

3.1 數(shù)據(jù)備份和數(shù)據(jù)恢復(fù)

集中備份與恢復(fù)解決在校園網(wǎng)存儲安全解決方案中具有非常重要的地位。校園網(wǎng)上存儲了許多重要的信息，一旦丟失會給科研，教學(xué)以及各部門的正常運作造成巨大損失。備份是保護這些信息的最有效方式。針對目前大部分高校的存儲系統(tǒng)，常用的備份方式有LAN備份、LAN Free備份和SAN Server-Free備份幾種。各種結(jié)構(gòu)的存儲系統(tǒng)都可以使用LAN備份，它采用中央備份服務(wù)器對LAN中各客戶端進行集中備份的方案，易于管理，效率較高，缺點是需要備份的數(shù)據(jù)量大時容易發(fā)生網(wǎng)絡(luò)堵塞；LAN Free備份和SAN Server-Free備份只能在SAN存儲環(huán)境下使用，這兩者通過SAN提供的高速光通道網(wǎng)絡(luò)進行備份，對服務(wù)器資源占用小，數(shù)據(jù)備份量大，但要求的設(shè)備成本高。各高?？梢愿鶕?jù)各自的校園網(wǎng)規(guī)模及實際情況選擇備份方式，做好容災(zāi)備份，在數(shù)據(jù)丟失或破壞后可以迅速恢復(fù)。

3.2 訪問控制

在網(wǎng)絡(luò)環(huán)境中，訪問控制指的是控制某用戶可以或不可以訪問網(wǎng)絡(luò)、資源、文件等。為了有效地保證校園網(wǎng)重要資源的安全，必須控制授予每個網(wǎng)絡(luò)用戶的訪問級別，然后設(shè)置策略來保證只有合法用戶才能獲得資源的訪問權(quán)。訪問控制策略主要包括：強制訪問控制（MAC）、自主訪問控制（DAC）以及基于角色的訪問控制（RBAC）。

1）強制訪問控制：MAC是最嚴(yán)格的訪問控制，強制訪問主體服從訪問控制政策。由管理人員或管理程序控制對數(shù)據(jù)、系統(tǒng)、資源的訪問和修改權(quán)限。用戶的程序無法改變自己的權(quán)限，從而系統(tǒng)可以防止木馬的攻擊。強制訪問控制系統(tǒng)一般用于對安全要求高的網(wǎng)絡(luò)環(huán)境；

2）自主訪問控制：DAC不受管理員或操作系統(tǒng)策略的約束，它執(zhí)行基于系統(tǒng)實體身份和它們的到系統(tǒng)資源的接入授權(quán)。這包括在文件，文件夾和共享資源中設(shè)置許可。如果用戶創(chuàng)建了一個文件夾，則由此用戶來決定誰將擁有對此文件夾的訪問權(quán)；

3）基于角色的訪問控制：RBAC在用戶和訪問許可權(quán)之間引入角色的概念，訪問權(quán)是由用戶在組織中所代表的角色決定的，用戶與特定的一個或多個角色相聯(lián)系，角色與一個或多個訪問許可權(quán)相聯(lián)系，角色可以根據(jù)實際的工作需要生成或取消，而用戶可以根據(jù)自己的需要動態(tài)地激活自己擁有的角色，避免了用戶無意中危害系統(tǒng)安全。

3.3 數(shù)據(jù)加密

文件系統(tǒng)是網(wǎng)絡(luò)存儲系統(tǒng)的核心組件，由于共享的需求，敏感數(shù)據(jù)會有多人訪問，這也增大了泄漏的可能性，可以利用密鑰管理來加強文件系統(tǒng)的安全性，保證存儲安全。加密文件系統(tǒng)分為本地加密和網(wǎng)絡(luò)加密。本地加密文件系統(tǒng)是提供端到端的安全，在客戶端執(zhí)行加密操作防止數(shù)據(jù)被文件服務(wù)器和其他未授權(quán)用戶竊取或篡改。網(wǎng)絡(luò)加密文件系統(tǒng)，一般是基于NFS客戶/服務(wù)器模型，在系統(tǒng)中，數(shù)據(jù)以密文的方式保存在網(wǎng)絡(luò)文件系統(tǒng)中，獲得訪問權(quán)限的用戶通過客戶機服務(wù)進程與網(wǎng)絡(luò)文件服務(wù)器交互，網(wǎng)絡(luò)文件服務(wù)器負責(zé)將用戶請求的密文傳遞到客戶機服務(wù)進程，由客戶機服務(wù)進程進行解密再交給應(yīng)用程序。在這個模型中，只要求客戶機操作系統(tǒng)是可信的，而網(wǎng)絡(luò)服務(wù)器由于不接觸明文數(shù)據(jù)，不要求其可信。

CFS，TCFS，Crypt-FS，F(xiàn)SFS等加密文件系統(tǒng)都可以用來加強文件系統(tǒng)安全，但這些文件加密系統(tǒng)也有局限性。例如CFS和TCFS使用了DES算法來加密文件內(nèi)容，難于使用、共享加密文件非常困難、用戶無法選擇加密算法、交換區(qū)或臨時文件可能會泄漏明文以及性能較差等等，另外在存儲系統(tǒng)中保證存儲安全的密鑰數(shù)量巨大、管理復(fù)雜、對系統(tǒng)性能有較大的影響。

3.4 采用RAID數(shù)據(jù)存儲技術(shù)

RAID RAID：Redundant Array of Independent Disks，冗余磁盤陣列技術(shù)，是將N臺硬盤通過RAID Controller結(jié)合成虛擬單臺大容量的硬盤使用。磁盤陣列中針對不同的應(yīng)用使用的不同技術(shù)，稱為RAID level，可根據(jù)需要劃分為不同的RAID級，RAID level 0-5，10，30，50 等。

使用RAID，可以同時讓多個硬盤進行數(shù)據(jù)的操作，提高了整體速度。RAID系統(tǒng)可以使用兩組硬盤同步完成鏡像存儲，大大加強了對于網(wǎng)絡(luò)服務(wù)器的安全措施。RAID容錯性也相當(dāng)強，，冗余磁盤陣列中如果有單塊硬盤出錯，不會影響到整體工作的繼續(xù)進行。在實際應(yīng)用中，可根據(jù)實際情況自由選擇。例如RAID 0是無差錯控制的帶區(qū)組，在所有的級別中，RAID 0的速度是最快的，但缺乏冗余功能。筆者所在學(xué)校采用RAID10磁盤做為用戶文件服務(wù)器，RAID 10是先鏡射再分區(qū)數(shù)據(jù)，將所有硬盤分為兩組，然后將這兩組各自視為RAID 1運作。RAID 10有著不錯的讀取速度，而且擁有比RAID 0更高的數(shù)據(jù)保護性，有效的提高了服務(wù)器的處理能力和數(shù)據(jù)的存取速度，同時保障了關(guān)鍵數(shù)據(jù)的安全性，結(jié)合千M的網(wǎng)絡(luò)接口速度，可以保證大量的網(wǎng)絡(luò)數(shù)據(jù)吞吐量。

3.5 反入侵技術(shù)

目前采用各種防火墻技術(shù)和入侵檢測技術(shù)來保證數(shù)據(jù)的機密性和完整性。

使用防火墻可以有效避免校園網(wǎng)網(wǎng)絡(luò)存儲系統(tǒng)免受外部入侵，但是卻無法防御網(wǎng)絡(luò)內(nèi)部的攻擊，由于防火墻的缺陷，引發(fā)了近年來入侵檢測系統(tǒng)的研發(fā)。入侵檢測系統(tǒng)（Intrusion Detection System，簡稱IDS）是由硬件和軟件組成的，用來檢測系統(tǒng)或者網(wǎng)絡(luò)以發(fā)現(xiàn)可能的入侵或攻擊的系統(tǒng)。入侵檢測系統(tǒng)通過分析網(wǎng)絡(luò)數(shù)據(jù)流、主機日志、系統(tǒng)調(diào)用、以及能顯示對計算機網(wǎng)絡(luò)的攻擊行為的其他方面信息，來定位入侵活動。IDS處理過程分為數(shù)據(jù)采集階段、數(shù)據(jù)處理及過濾階段、入侵分析及檢測階段、報告以及響應(yīng)階段等四個階段。數(shù)據(jù)采集階段是數(shù)據(jù)審核階段。入侵檢測系統(tǒng)收集內(nèi)容包括系統(tǒng)、網(wǎng)絡(luò)、數(shù)據(jù)及用戶活動的狀態(tài)和行為。由放置在不同網(wǎng)段的傳感器或不同主機的代理來收集信息，包括系統(tǒng)和網(wǎng)絡(luò)日志文件、網(wǎng)絡(luò)流量、非正常的目錄和文件改變、非正常的程序執(zhí)行。分析及檢測入侵階段通過分析收集到的有關(guān)系統(tǒng)、網(wǎng)絡(luò)、數(shù)據(jù)及用戶活動的狀態(tài)和行為等信息來判斷是否發(fā)生入侵。根據(jù)系統(tǒng)是以檢測異常使用為目的還是以檢測利用系統(tǒng)的脆弱點或應(yīng)用程序的BUG來進行入侵為目的，可以區(qū)分為異常行為和錯誤使用檢測。報告及響應(yīng)階段按照告警產(chǎn)生預(yù)先定義的響應(yīng)采取相應(yīng)措施，可以是重新配置路由器或防火墻、終止進程、切斷連接、改變文件屬性，也可以只是簡單的告警檢測系統(tǒng)入侵檢測系統(tǒng)主要有以下特點：

1）事先警告：入侵檢測系統(tǒng)能夠在入侵攻擊對網(wǎng)絡(luò)系統(tǒng)造成危害前，及時檢測到入侵攻擊的發(fā)生，并進行報警；

2）事中防護：入侵攻擊發(fā)生時，入侵檢測系統(tǒng)可以通過與防火墻聯(lián)動、TCP Killer等方式進行報警及動態(tài)防護；

3）事后取證：被入侵攻擊后，入侵檢測系統(tǒng)可以提供詳細的攻擊信息，幫助管理員診斷網(wǎng)絡(luò)中存在的安全弱點，利于其進行修補。

4 結(jié)論

高校校園網(wǎng)的存儲安全建設(shè)包括了網(wǎng)絡(luò)安全和存儲安全的各個方面，是一個長期的過程，。在校園網(wǎng)這個特定的網(wǎng)絡(luò)環(huán)境下，一是要不斷應(yīng)用新的安全技術(shù)，二是要加強安全管理，技術(shù)與管理相結(jié)合，綜合考慮安全機制和安全策略，才能保障網(wǎng)絡(luò)存儲系統(tǒng)的機密性、完整性和可用性。

[1]舒繼武.網(wǎng)絡(luò)存儲安全[J].中國教育網(wǎng)絡(luò)，2007(10)：64.

[2]趙俊杰，詹永照，蔡濤.網(wǎng)絡(luò)存儲安全系統(tǒng)研究綜述[J].計算機應(yīng)用與軟件，2008，2.

[3]李文紅.網(wǎng)絡(luò)存儲安全技術(shù)研究[J].武漢理工大學(xué)學(xué)報：信息與管理工程版，2006，8.

[4]董龍.基于SAN的容災(zāi)方案的研究與設(shè)計[D].西安電子科技大學(xué)，2006.