论文部分内容阅读
国家质量监督检验检疫总局和中国国家认证认可监督管理委员会联合发布的《关于部分信息安全产品实施强制性认证的公告》中明确指出：自2009年5月1日起，凡列入本强制性认证目录内的信息安全产品，未获得强制性产品认证证书和未加施中国强制性认证标志的，不得出厂、销售、进口或在其他经营活动中使用。在《第一批信息安全产品强制性认证目录》中列举了8大类13小类产品，数据备份与恢复产品也是其中之一。由此可见，存储与安全的融合已是大势所趋，它并不是厂商或用户的一厢情愿，而是得到了政府有关部门的充分肯定。
堵住备份软件的安全漏洞
使用过备份软件的用户都十分清楚，许多备份软件根本没有设置用户名或密码，开机即可用，这相当于将备份数据向各种用户完全敞开，备份数据毫无安全可言。备份数据是关系到企业运营的关键数据，其安全性是第一位的，但现在的情况是，很多备份软件供应商都没有对其备份软件产品进行安全功能的设置。此外，备份软件虽然关系到数据的安全，但其销售并不像某些安全产品一样必须经过有关部门的认证和许可，几乎处于失控状态。
根据《关于部分信息安全产品实施强制性认证的公告》规定，数据备份与恢复产品增加相应的安全功能是必需的。这里说的数据备份与恢复产品是指实现和管理信息系统数据备份和恢复过程的软件。适用的产品是独立的数据备份与恢复管理软件产品，但不包括数据复制产品和持续数据保护产品。数据备份软件的安全功能包括许多内容，人们经常用到的可能有以下几项：第一，在系统登录时进行安全保护，比如设置用户名和密码；第二，如果有人超长时间使用备份系统，系统要具备自动锁定功能；第三，建立完善的日志系统。
“数据备份软件有时甚至不如个人软件安全。”北京亚细亚智业科技有限公司市场总监郭竞远介绍说，“从目前情况看，许多数据备份软件厂商都没有在备份软件上采取足够的安全措施。数据备份软件与主机、操作系统密切相关。许多人认为，备份系统中有独立的备份服务器，而且在操作系统中已经采取了很多安全措施，这些就足以保护备份系统的安全。其实，只有这些保护是远远不够的，一旦操作系统被攻破，数据备份系统就相当于完全开放，备份数据就可以‘任人宰割’。”记者曾就数据备份软件必须通过强制性认证的问题询问过一些备份软件厂商和用户，相当多的人还不知道有这样的规定。据了解，如果要满足强制认证的规定，现有的数据备份软件必须做出一定程度的修改，有的可能还要修改备份软件的核心。
网络安全不等于数据安全
人们经常谈论的网络安全其实是指LAN上的安全，而安全存储指的是数据安全，是在存储区域网（SAN）内的安全，是从主机层往下到存储层的安全。网络安全只是保证瞬间传输的数据安全，而数据安全则是要更长时间地保护存储数据的安全，因此对安全性、可靠性和可管理性的要求更高。有人可能会把加密与数据安全划等号。其实，加密只是数据安全所使用的一种具体手段，并不能代表数据安全的全部。数据安全是包括硬件和软件在内的一整套解决方案，既有加密设备，也有对密钥进行管理的软件等。
存储加密市场蕴藏着无限商机，市场总额以数亿美元计算。Gartner的报告指出，到2007年底，财富1000强企业中已有80%对静态数据进行了加密。
CipherMax公司副总裁张英伟介绍说：“数据加密有各种分类方法，按照实现手段可以分为三层：主机软件层、中间连接层、存儲层。主机软件加密已经推出很多年，但是它的复杂性和性能局限使得很多人宁愿去承受数据被盗的风险，也不愿意选择软件加密。基于软件的加密在针对表格、文件或者光盘时是可行的。但是，面对企业级的数据加密，特别是面对TB级别的数据容量，主机层的加密产品通常性能比较差，而且会占用大量CPU的资源。”
基于存储层的存储设备本身的加密方式，其问题在于无法实现用户原有环境中存储的加密，无法对原有的数据和设备做保护，也不利于投资保护。此外，各厂商都有自己的密钥管理软件，因此无法实现对所有加密设备的统一管理。
张英伟介绍说：“从目前情况看，在中间层实现存储安全是最高效的。CipherMax推出的下一代智能交换机，可由16口扩展到256口，连接在存储设备和主机之间，不必改变原有的IT结构，在实现光纤交换机所有功能的同时，还具有强大的加密功能，可以对磁带、磁盘和虚拟磁带库进行加密。”
安全存储融合是必然
谈到安全与存储的融合，其实早在2004年就已经露出了冰山一角。2004年底，赛门铁克以135亿美元收购了专注于存储与管理领域的VERITAS。两家公司的合并是一个信号，让人们相信安全与存储的融合将为未来存储的发展开辟出一片崭新的天地。这之后，存储界还有一系列与安全有关的收购、合作，比如EMC收购RSA，NetApp收购Decru，以及华为赛门铁克公司的成立等。
由于存储系统过高的技术门槛和用户的严格要求，安全厂商对于存储安全产品一直表现得不太积极。因此，存储与安全技术的结合过程也不是一帆风顺。如今，各大存储厂商已经意识到，提供真正的安全存储产品的重任必须由存储厂商来承担，包括EMC、HDS、HP、IBM、Sun、CommVault等在内的诸多存储厂商，都在硬件或软件产品中增添了加密或身份认证等安全措施。据了解，IBM还准备推出磁盘加密的产品。在这一过程中，也涌现出一些像CipherMax这样的独立的安全存储产品供应商。同有飞骥公司还成立了单独的安全存储部门，而安全存储产品也很可能成为同有飞骥一条新的产品线。
虽然推出安全存储产品的厂商不在少数，但在业界还没有形成一个明确的安全存储细分市场，安全存储的概念也不像绿色存储那样已经深入人心。在欧美地区，出于法规遵从的需要，安全存储解决方案已经得到比较广泛的部署。在中国，只有一些前端用户，比如金融用户出于监管的需要，制造业用户出于保护CAD图纸信息安全的需要，对安全存储都提出了一定需求。但从更广的范围看，大多数中国用户更关注的还是存储的性能、容量等指标，对安全存储并没有一个清晰的概念。
对于中国的用户来说，满足存储的高性能、大容量等需求只是解决了“温饱”问题。无论是出于法规遵从的需要，还是考虑到数据本身的可靠性和可用性，存储的安全和管理必须被提上议事日程。我们之所以组织此次安全存储专题，主要目的有两个。第一，让用户知道，安全与存储的融合已经是大势所趋。用户在采购存储设备时，除了要关注存储设备本身的一些技术指标外，更要考虑到数据安全的重要性。对于那些已经拥有了比较完善的存储架构的用户来说，根据应用需求为存储设备适当增加一些安全功能，数据保护可以事半功倍；对于那些正在建设新的存储系统的用户来说，安全存储产品的价格可能比单纯的存储产品贵一些，但全面考虑存储系统的安全性和可靠性，这些额外的付出一定是物有所值的。第二，帮助用户认清一些有关安全存储的误区，比如存储安全是不是就等于加密和身份认证，在产品层面实现了安全保护能否一劳永逸……
在本专题中，我们将从数据安全策略、主机层的数据安全、存储层的数据安全以及数据安全流程四个层面为您解读安全存储的误区。
堵住备份软件的安全漏洞
使用过备份软件的用户都十分清楚，许多备份软件根本没有设置用户名或密码，开机即可用，这相当于将备份数据向各种用户完全敞开，备份数据毫无安全可言。备份数据是关系到企业运营的关键数据，其安全性是第一位的，但现在的情况是，很多备份软件供应商都没有对其备份软件产品进行安全功能的设置。此外，备份软件虽然关系到数据的安全，但其销售并不像某些安全产品一样必须经过有关部门的认证和许可，几乎处于失控状态。
根据《关于部分信息安全产品实施强制性认证的公告》规定，数据备份与恢复产品增加相应的安全功能是必需的。这里说的数据备份与恢复产品是指实现和管理信息系统数据备份和恢复过程的软件。适用的产品是独立的数据备份与恢复管理软件产品，但不包括数据复制产品和持续数据保护产品。数据备份软件的安全功能包括许多内容，人们经常用到的可能有以下几项：第一，在系统登录时进行安全保护，比如设置用户名和密码；第二，如果有人超长时间使用备份系统，系统要具备自动锁定功能；第三，建立完善的日志系统。
“数据备份软件有时甚至不如个人软件安全。”北京亚细亚智业科技有限公司市场总监郭竞远介绍说，“从目前情况看，许多数据备份软件厂商都没有在备份软件上采取足够的安全措施。数据备份软件与主机、操作系统密切相关。许多人认为，备份系统中有独立的备份服务器，而且在操作系统中已经采取了很多安全措施，这些就足以保护备份系统的安全。其实，只有这些保护是远远不够的，一旦操作系统被攻破，数据备份系统就相当于完全开放，备份数据就可以‘任人宰割’。”记者曾就数据备份软件必须通过强制性认证的问题询问过一些备份软件厂商和用户，相当多的人还不知道有这样的规定。据了解，如果要满足强制认证的规定，现有的数据备份软件必须做出一定程度的修改，有的可能还要修改备份软件的核心。
网络安全不等于数据安全
人们经常谈论的网络安全其实是指LAN上的安全，而安全存储指的是数据安全，是在存储区域网（SAN）内的安全，是从主机层往下到存储层的安全。网络安全只是保证瞬间传输的数据安全，而数据安全则是要更长时间地保护存储数据的安全，因此对安全性、可靠性和可管理性的要求更高。有人可能会把加密与数据安全划等号。其实，加密只是数据安全所使用的一种具体手段，并不能代表数据安全的全部。数据安全是包括硬件和软件在内的一整套解决方案，既有加密设备，也有对密钥进行管理的软件等。
存储加密市场蕴藏着无限商机，市场总额以数亿美元计算。Gartner的报告指出，到2007年底，财富1000强企业中已有80%对静态数据进行了加密。
CipherMax公司副总裁张英伟介绍说：“数据加密有各种分类方法，按照实现手段可以分为三层：主机软件层、中间连接层、存儲层。主机软件加密已经推出很多年，但是它的复杂性和性能局限使得很多人宁愿去承受数据被盗的风险，也不愿意选择软件加密。基于软件的加密在针对表格、文件或者光盘时是可行的。但是，面对企业级的数据加密，特别是面对TB级别的数据容量，主机层的加密产品通常性能比较差，而且会占用大量CPU的资源。”
基于存储层的存储设备本身的加密方式，其问题在于无法实现用户原有环境中存储的加密，无法对原有的数据和设备做保护，也不利于投资保护。此外，各厂商都有自己的密钥管理软件，因此无法实现对所有加密设备的统一管理。
张英伟介绍说：“从目前情况看，在中间层实现存储安全是最高效的。CipherMax推出的下一代智能交换机，可由16口扩展到256口，连接在存储设备和主机之间，不必改变原有的IT结构，在实现光纤交换机所有功能的同时，还具有强大的加密功能，可以对磁带、磁盘和虚拟磁带库进行加密。”
安全存储融合是必然
谈到安全与存储的融合，其实早在2004年就已经露出了冰山一角。2004年底，赛门铁克以135亿美元收购了专注于存储与管理领域的VERITAS。两家公司的合并是一个信号，让人们相信安全与存储的融合将为未来存储的发展开辟出一片崭新的天地。这之后，存储界还有一系列与安全有关的收购、合作，比如EMC收购RSA，NetApp收购Decru，以及华为赛门铁克公司的成立等。
由于存储系统过高的技术门槛和用户的严格要求，安全厂商对于存储安全产品一直表现得不太积极。因此，存储与安全技术的结合过程也不是一帆风顺。如今，各大存储厂商已经意识到，提供真正的安全存储产品的重任必须由存储厂商来承担，包括EMC、HDS、HP、IBM、Sun、CommVault等在内的诸多存储厂商，都在硬件或软件产品中增添了加密或身份认证等安全措施。据了解，IBM还准备推出磁盘加密的产品。在这一过程中，也涌现出一些像CipherMax这样的独立的安全存储产品供应商。同有飞骥公司还成立了单独的安全存储部门，而安全存储产品也很可能成为同有飞骥一条新的产品线。
虽然推出安全存储产品的厂商不在少数，但在业界还没有形成一个明确的安全存储细分市场，安全存储的概念也不像绿色存储那样已经深入人心。在欧美地区，出于法规遵从的需要，安全存储解决方案已经得到比较广泛的部署。在中国，只有一些前端用户，比如金融用户出于监管的需要，制造业用户出于保护CAD图纸信息安全的需要，对安全存储都提出了一定需求。但从更广的范围看，大多数中国用户更关注的还是存储的性能、容量等指标，对安全存储并没有一个清晰的概念。
对于中国的用户来说，满足存储的高性能、大容量等需求只是解决了“温饱”问题。无论是出于法规遵从的需要，还是考虑到数据本身的可靠性和可用性，存储的安全和管理必须被提上议事日程。我们之所以组织此次安全存储专题，主要目的有两个。第一，让用户知道，安全与存储的融合已经是大势所趋。用户在采购存储设备时，除了要关注存储设备本身的一些技术指标外，更要考虑到数据安全的重要性。对于那些已经拥有了比较完善的存储架构的用户来说，根据应用需求为存储设备适当增加一些安全功能，数据保护可以事半功倍；对于那些正在建设新的存储系统的用户来说，安全存储产品的价格可能比单纯的存储产品贵一些，但全面考虑存储系统的安全性和可靠性，这些额外的付出一定是物有所值的。第二，帮助用户认清一些有关安全存储的误区，比如存储安全是不是就等于加密和身份认证，在产品层面实现了安全保护能否一劳永逸……
在本专题中，我们将从数据安全策略、主机层的数据安全、存储层的数据安全以及数据安全流程四个层面为您解读安全存储的误区。