Storage Security: Das neue, ungleiche Traumpaar

“Das Speichernetz ist so unsicher wie jedes andere ungeschützte Netzwerk.” Dieser Satz muss nach den Erfahrungen der vergangenen Jahre jedem IT-Leiter Angst einjagen. Wenn man bedenkt, dass jedes Unternehmen zur Existenz notwendige Informationen auf Datenträgern abgelegt hat, die so mir nichts, dir nichts eingesehen und gestohlen werden können, kann einem schon anders werden. Die Feststellung oben stammt von Beratern der Consulting-Firma @stake, die jüngst von Symantec gekauft wurde. Sie verdeutlicht, dass sich Anwender und Hersteller gleichermaßen neue Sorgen um ihre Daten machen müssen.

Nicht, dass Schlagworte wie Disaster Recovery und Datengau schon Schweißausbrüche genug hervor riefen, nein, jetzt drohen weitere Gefahren durch Viren, Würmer und vor allem Datendiebe. Das Speichernetz durchläuft die gleiche Lernphase wie das klassische Unternehmensnetz vor fünf Jahren, als beispielsweise DoS-Attacken (Denial of Service) und Einbrüche ins Firmennetz gang und gäbe waren, hatte die Yankee Group schon vor zwei Jahren erklärt. Warum die Experten mit dem Aufkommen von Speichernetzen im allgemeinen und IP-Storage im besonderen nicht schneller reagiert haben, wissen nur sie selbst. Zugegeben, es ist eben ein Lernprozess, und der dauert. Wie immer ist es noch nicht zu spät, aber wie immer sind wir spät dran.

Storage und Sicherheit – passt das zusammen?

Storage-Security könnte man definieren als ein Sammelsurium an Sicherheitsschlössern und Einstellungen, die verhindern sollen, dass unautorisierte Benutzer zu den Ressourcen vordringen und im Gegenzug berechtigte User über gesicherte Kommunikationskanäle Zugriff auf die gespeicherten Daten haben, sagt @stake.

Im Grunde fallen die gleichen Begriffe wie im klassischen Security-Sektor. Frank Bunn, Senior Solutions Marketing Manager bei Veritas, markiert im Gespräch mit silicon.de fünf Eckpfeiler der Storage-Security: Authentifizierung (Wer darf wo hinein?), Autorisierung (Welche Rechte hat wer für welches Objekt?), Reporting (Wie lange war wer wo drin?), Integrität (Compliance, Einhaltung von Regeln) und Verschlüsselung. Das kommt einem doch bekannt vor, und trotzdem muss man sich erst einmal klar machen, dass Storage und Security traditionell nicht zusammen passen.

Sicherheit war immer geprägt von Abschottung, Storage führt als Grundbedürfnis Verfügbarkeit an. In den letzten Jahren ist etwas passiert, das die beiden aneinander zu binden beginnt. Dazu zählen neue Gesetze, allen voran die Compliance-Regeln sind ein Motor. Hier sind Unternehmen gezwungen, ihre Daten über viele Jahre unverändert aufzubewahren. Ist dies nicht gewährleistet, drohen Strafen. Wie eng das Verhältnis werden kann, haben Veritas und Symantec durch ihre Fusion kurz vor Weihnachten gezeigt. Sicherheit bedeutet heute auch Verfügbarkeit: Will ich auf Daten zugreifen, dann zügig, und das geht nur, wenn nicht eine Horde Unberechtigter dazwischen pfuscht oder Viren und Angriffe gegen das Speichernetz schleudert.

Den “Kronjuwelen des Unternehmens”, wie Frank Bunn die gespeicherten Daten nennt, soll und darf nicht das gleiche Schicksal ereilen wie manche produktive Daten in den vergangenen Jahren. Und dennoch: Würde man Storage mit Security, sprich Abschottung, zupflastern, dann würde man die Chance vertun, funktionierende, stabile und verfügbare Netze zu schaffen. John W. Thompson, Symantecs Chairman und CEO, sagte nach der angekündigten Fusion: “Das neue Symantec will Anwendern helfen, die Balance zwischen der Sicherheit der Informationen und ihrer Verfügbarkeit zu schaffen. Nur mit Datenintegrität kann ein Unternehmen kosteneffektiv arbeiten und das Geschäft profitabel weiterführen.”

Chronik eines angekündigten Problems

Diesem Ziel geht ein langer Weg voraus. Früher hat man Storage physikalisch und logisch isoliert, um sie abzusichern. Da wurde auf DAS (Direct Attached Storage) gesichert: Nur derjenige, der dort von seinem Rechner aus speicherte, griff auch darauf zu. Diese Art der Datensicherung wurde bald aufgrund der wachsenden Datenpräsenz ineffizient. NAS (Network Attached Storage) und schließlich SAN (Stoage Area Network) mit dem Fibre-Channel-Protokoll (FC) kamen in Mode und ersetzten schnell die traditionellen Konzepte. Die Gefahr von Angriffen aus dem weltweiten Netz blieb gerade mit FC noch gering. Der Grund: das Protokoll war weniger bekannt und durchschaut als die alte Bekannte IP.

Das Internet-Protokoll ist von Angreifern bis aufs Kleinste auseinander genommen, jede Schwachstelle bekannt und ‘beliebt’. Leider spüren das auch die auf Speichernetze und IP gleicher Maßen konzentrierten neuen Protokolle wie iSCSI oder FCIP. Sie nutzen die Vorteile von IP, versenden Befehle getunnelt über das klassische Protokoll und können so große Distanzen überbrücken, um Rechenzentren in geografisch verteilten Standorten zu erreichen.

Sie müssen auch mit den Nachteilen leben. Unglücklicherweise ist iSCSI noch nicht auf hohem Sicherheitsniveau, auch wenn neue Standards auf dem Weg sind. Während IPSec, der in der IP-verwendete Sicherheitsstandard, beispielsweise DoS-Attacken abwehren kann, muss iSCSI das noch lernen. Zusätzlich ist man auf der Suche nach Verschlüsselungsmechanismen und Zugangskontrollen jeder Art, die Speichernetze mit ihren ruhenden und ständig bewegten Daten weiter vor Zugriffen schützen.

Neben der Gefahr von außen lauert selbige von innen. Gemeint sind Mitarbeiter, die versehentlich oder absichtlich Informationen einsehen, gebrauchen oder gar verändern, die sie eigentlich nichts angehen. Und weil es noch leichter ist, geparkte Daten auszuspionieren als solche, die durch das Netz rasen, bietet sich mit der Speicherumgebung eine beängstigend große Angriffsfläche.

Für Frank Bunn ist Sicherheit zu 70 bis 80 Prozent eine “Organisationssache”. Einmal sauber aufgesetzt, sollte das Sicherheitskonzept die größten Gefahren abwehren können. Und tatsächlich hat man hier von den Problemen der früheren IT-Zeit gelernt. Im IP-Netz haben beispielsweise V-LANs, virtuelle lokale Netze, einen gewissen Grad an Datensicherheit hergestellt. Im SAN können Admins heute so genannte Zonen generieren (‘Zoning’), die nur bestimmten, berechtigten Benutzern Zutritt gewähren. “Letztlich ist Zoning das gleiche wie ein V-LAN”. Daneben grenzen so genannte LUNs (Logical Unit Numers) bestimmte Datenbereiche von anderen ab und lassen dort auch nur besonders privilegierte Benutzer hinein.

Erste Hilfe kommt von außen…

Problem erkannt, Gefahr gebannt? Noch lange nicht. Immerhin weiß man heute, dass Standards fehlen. Malte Rademacher, Marketing Director bei EMC, hat im Gespräch mit silicon.de erzählt, dass es “für Authentifizierung  und Access-Kontrolle viele Spezifikationen gibt, die man vereinheitlichen muss, sonst kommt keiner mehr irgendwo rein.” Vor etwa anderthalb Jahren habe man angefangen zu sortieren. Langsam könnte sich eine gewisse Ordnung ruhig einstellen. Der EMC-Mann sprach auch davon, dass laut SSIF – ein eigens von der SNIA gegründetes Storage Security Industry Forum – genügend Tools vorhanden seien, um Speichernetze abzusichern.

Veritas-Mann Frank Bunn ist bei der SNIA aktiv und weiß, dass die neue Version 1.1 des Management-Standard SMI-S, verfügbar ab Frühjahr 2005, Sicherheitsmechanismen besser integrieren wird. Mit den Standards kommen auch effizientere Zertifizierungsmöglichkeiten. Komponenten verschiedener Hersteller sollen dann in heterogenen Umgebungen miteinander kommunizieren können.

Hersteller wie Decru haben sich ein besondere Nische gesucht: Dedizierte Storage-Security-Appliances. Das sind externe Geräte, durch die alle Daten geroutet werden und die eine Reihe von Sicherheitsfeatures wie Verschlüsselung und Zugangskontrollen unterstützen. Jan Nordh, Sales Director Central Europe bei Decru, verteidigt das Konzept einer separaten Sicherheitsbox. “Eine Software verursacht große Abhängigkeiten im Rest der IT-Infrastruktur, Betriebssysteme und Anwendungen müssen auf die neue Software abgestimmt werden. ”

Ohne in die Diskussion einsteigen zu wollen, ob eine Hardware- oder Software-basierte Sicherheitslösung besser ist, spannend wird es allemal. Es wird interessant sein zu sehen, was Symantec und Veritas auf die Beine stellen. Ziel sollte es in jedem Fall sein, die einzelnen Komponenten des Unternehmensnetzes nicht mehr isoliert zu betrachten. Die komplette Infrastruktur ist ein Sicherheitsrisiko, sie kann nicht wie ein Patchwork-Teppich immer bloß an den löchrigen Stellen geflickt werden. Bunn hat für sich schon in die Kristallkugel geblickt: Storage Security wird als Dienst angeboten werden, vermutet er. Der Anwender zahlt für verschiedene Sicherheitsstufen und entscheidet selbst, wie wichtig ihm seine Daten sind.

Später hilft dir niemand mehr

Das ist sicherlich ein möglicher Weg, den einzuschlagen aber auch eine Stange Geld kosten wird. Für die Admins und Chefs, die ein kritisches Thema nicht außer Haus geben wollen, hat die SNIA Anleitungen und User Guides für IT-Manager herausgegeben. Rademacher fordert nun von den Anwendern mehr Engagement: “Sie müssen endlich die Anleitungen ernst nehmen. Sicherheit wird immer mehr zum Thema für die gesamte Infrastruktur.”

Das scheint in der Tat ein großes Problem zu sein. Nicht wenige Service-Mitarbeiter verschiedenster Unternehmen haben erschreckende Erfahrungen gemacht. Danach wurden Anwender nicht immer ihrer Bezeichnung gerecht. Oft sind die Default-Einstellungen seit dem Kauf nicht geändert worden. Passwörter sind seit Jahren die gleichen, und das lädt zum Schnüffeln ein. Ist die Handhabung von Rechten aber so lax wie beschrieben macht, das jede Sicherheitsanstrengung zunichte.

Selten gehe die Initiative von den IT-Leitern aus, hat Jan Nordh von Decru erfahren. “Die Chefs wollen doch nicht, dass die IT ihre Mails lesen kann.” Also läuft der Hase in manchen Unternehmen anders herum und der Druck kommt zuerst von oben. Normalerweise muss der Admin um Geld betteln, will der die IT-Infrastruktur optimieren. Anders ist es nur, wenn etwas passiert ist. Kommt bei einem Zwischenfall nämlich heraus, dass der Admin nicht alles getan hat, um unberechtigte Eingriffe zu verhindern, ist er dran. Das Haftungsargument lässt so manchen Techniker plötzlich zum Sicherheitsexperten avancieren. “Faktor 1 ist die Angst”, so Nordh. Und das gilt für alle.