??? 對(duì)于網(wǎng)絡(luò)存儲(chǔ)，存在著太多可能的威脅，包括數(shù)據(jù)更改、破壞、竊取、拒絕服務(wù)攻擊、惡意軟件、硬件竊取，以及未授權(quán)訪問(wèn)等。
?
??? 要保證SAN（存儲(chǔ)域網(wǎng)）的安全，必須逐個(gè)殲滅這些可能威脅。
?
??? 近年來(lái)，對(duì)于網(wǎng)絡(luò)存儲(chǔ)安全，存在著太多威脅，包括數(shù)據(jù)更改、破壞、竊取、拒絕服務(wù)攻擊、惡意軟件、硬件竊取，以及未授權(quán)訪問(wèn)等。要保證SAN（存儲(chǔ)域網(wǎng)）的安全，必須逐個(gè)殲滅這些可能威脅。值得慶幸的是，許多用于解決傳統(tǒng)網(wǎng)絡(luò)漏洞的安全策略和協(xié)議也可以幫助保證存儲(chǔ)網(wǎng)絡(luò)的可用性。
?
??? 不可否認(rèn)，當(dāng)今有不少網(wǎng)絡(luò)仍舊缺乏高效的安全機(jī)制。本文主要講述基本的安全概念和原理、支撐這些概念的協(xié)議，以及它們組織成一套整體的SAN安全策略方式。事實(shí)上，無(wú)論什么樣的安全策略，底層都包括基本的安全概念，包括驗(yàn)證性、授權(quán)性、機(jī)密性、完整性、確認(rèn)性以及訪問(wèn)控制。?

??
??? 訪問(wèn)控制
?
??? 在設(shè)計(jì)安全網(wǎng)絡(luò)環(huán)境時(shí)，訪問(wèn)控制是一個(gè)基礎(chǔ)性概念，指的是控制某用戶可以或不可以訪問(wèn)網(wǎng)絡(luò)、資源、文件等。
?
??? 為了有效地保證這些資源的安全，必須認(rèn)真考慮并控制授予每個(gè)網(wǎng)絡(luò)用戶的訪問(wèn)級(jí)別，然后設(shè)置策略來(lái)保證只有合法用戶才能真正獲得資源的訪問(wèn)權(quán)。這是強(qiáng)健安全網(wǎng)絡(luò)環(huán)境的基礎(chǔ)。
?
??? 訪問(wèn)控制策略主要包括：強(qiáng)制訪問(wèn)控制（MAC）、自主訪問(wèn)控制（DAC）和基于角色的訪問(wèn)控制（RBAC）。
?
??? MAC是最嚴(yán)格的訪問(wèn)控制。這種策略中，不允許任何信息的制作者控制對(duì)數(shù)據(jù)的訪問(wèn)和修改權(quán)。相反，由管理人員或管理程序控制對(duì)數(shù)據(jù)、系統(tǒng)、資源的訪問(wèn)和修改權(quán)限。強(qiáng)制訪問(wèn)控制系統(tǒng)通常用于對(duì)安全要求非常高的網(wǎng)絡(luò)環(huán)境，比如軍事部署、財(cái)政系統(tǒng)、醫(yī)療系統(tǒng)等。
?
??? 自主訪問(wèn)控制不受管理員或操作系統(tǒng)策略的約束。相反，由被訪問(wèn)對(duì)象的所有者控制訪問(wèn)權(quán)。在DAC模型中，如果用戶創(chuàng)建了一個(gè)文件夾，則由此用戶來(lái)決定誰(shuí)將擁有對(duì)此文件夾的訪問(wèn)權(quán)。
?
??? DAC要用到訪問(wèn)控制列表（ACL）。ACL管理用戶對(duì)像文件、目錄、網(wǎng)絡(luò)資源等特定系統(tǒng)對(duì)象的訪問(wèn)權(quán)信息。每個(gè)對(duì)象都有一個(gè)安全屬性來(lái)標(biāo)識(shí)訪問(wèn)控制列表，列表對(duì)于擁有相關(guān)訪問(wèn)權(quán)的每位系統(tǒng)用戶都有一個(gè)入口。最普通的訪問(wèn)權(quán)包括讀、寫(xiě)、執(zhí)行文件。
?
??? 在一個(gè)基于角色的訪問(wèn)控制的配置中，訪問(wèn)權(quán)是由用戶在組織中所代表的角色決定的。網(wǎng)絡(luò)用戶被賦予特定的角色，比如銷售員、經(jīng)理、秘書(shū)等。同類角色的用戶自成一組，通過(guò)這些用戶在網(wǎng)絡(luò)上的角色決定訪問(wèn)控制權(quán)?；诮巧脑L問(wèn)需要對(duì)組織的運(yùn)作方式、用戶的數(shù)目以及他們?cè)诮M織中的職責(zé)有全面的了解。
?
??? 當(dāng)某個(gè)用戶和角色聯(lián)系起來(lái)時(shí)，應(yīng)該給該用戶只授予做本職工作需要的權(quán)限。這條安全規(guī)則是最基本的，稱為“最少權(quán)限”，用于所有的訪問(wèn)控制方法。在一個(gè)基于角色的情景中，當(dāng)組織機(jī)構(gòu)雇用了新員工，首先要清晰定義其角色：教師、秘書(shū)、銷售員、經(jīng)理等。為該用戶創(chuàng)建一個(gè)新賬號(hào)，將其放入該組織中有相同角色的組里。不必設(shè)置個(gè)人許可，因?yàn)樵L問(wèn)控制的級(jí)別從組里繼承就可獲得。實(shí)際上，基于角色的訪問(wèn)控制是MAC的一種形式，因?yàn)榭刂剖怯晒芾韱T決定的，且訪問(wèn)級(jí)別的標(biāo)準(zhǔn)也不掌握在對(duì)象所有者手中。
?
??? 用戶驗(yàn)證策略
?
??? 用戶驗(yàn)證策略包括：驗(yàn)證性、授權(quán)性、確認(rèn)性。弱的用戶驗(yàn)證性及授權(quán)性是常見(jiàn)的網(wǎng)絡(luò)缺陷，存儲(chǔ)域網(wǎng)絡(luò)也不例外。
?
??? 驗(yàn)證性指的是檢驗(yàn)核實(shí)某人確實(shí)是他所聲稱的那個(gè)人。通常情況下，包括一個(gè)用戶名、密碼對(duì)，也可以包括其它表明身份的方法，比如智能卡、語(yǔ)音識(shí)別、指紋識(shí)別等。從網(wǎng)絡(luò)和系統(tǒng)的安全角度來(lái)講，驗(yàn)證性是實(shí)施安全訪問(wèn)控制的一個(gè)重要組成部分。
?
??? 授權(quán)性是指確定已被識(shí)別和驗(yàn)證的用戶是否可以訪問(wèn)某特定資源的過(guò)程。通常是通過(guò)檢驗(yàn)該用戶是否屬于某一擁有訪問(wèn)權(quán)的組來(lái)決定的。
?
??? 確認(rèn)性指在系統(tǒng)上記錄事件的跟蹤機(jī)制，這里常用到審計(jì)。審計(jì)是監(jiān)測(cè)事件的發(fā)生并為之做日志的過(guò)程。至于哪類事件應(yīng)該跟蹤，哪類事件無(wú)需跟蹤，基本上是由管理員決定的。通過(guò)在系統(tǒng)上跟蹤事件，期望能夠記錄下嘗試訪問(wèn)網(wǎng)絡(luò)或其它試圖破壞數(shù)據(jù)的行為，并采取相應(yīng)的防御措施。
?
??? 反入侵策略
?
??? 在任一安全策略中，都需要對(duì)入侵者有所防范，制定響應(yīng)的反入侵策略，在反入侵策略中，關(guān)鍵是保證數(shù)據(jù)的機(jī)密性來(lái)保護(hù)數(shù)據(jù)不被入侵者獲取和判斷數(shù)據(jù)在傳輸過(guò)程中是否已被篡改的完整性。
?
??? 為防止入侵者獲得數(shù)據(jù)，采用了加密機(jī)制。把原始數(shù)據(jù)加密后，如果沒(méi)有密鑰，則密文不可讀，即使被竊也毫無(wú)意義，被竊的數(shù)據(jù)仍然保持機(jī)密性。例如，在IPSec中，ESP協(xié)議可以加密將要通過(guò)光纖通道連接傳輸?shù)臄?shù)據(jù)。普通的以太網(wǎng)通信也可以使用IPSec或其它加密協(xié)議，比如SSL等。所有的加密協(xié)議都是為了使被竊數(shù)據(jù)不可讀，從而保證機(jī)密性的。完整性指的是檢驗(yàn)數(shù)據(jù)，以確保未被篡改。舉例來(lái)講，在IPSec密鑰交換過(guò)程中，最初的交互使用MD5或SHA完整性驗(yàn)證方法，來(lái)保證在此過(guò)程中數(shù)據(jù)未被篡改。