Agenda - decus.de

Rheinlandtreffen 8. November 2006

www.decus.de 1

1© 2004 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialSession NumberPresentation_ID

Sicherheit in Storage Area Networking

222Presentation_ID © 2004 Cisco Systems, Inc. All rights reserved. Cisco Confidential

Agenda

Sicherheit in Storage NetworkingHistorischer Überblick

Storage Networking SicherheitEinschränkungen & Anforderungen

Storage Networking Security ArchitekturFabric Access SecurityIP StorageStorage ManagementSicherung beim Transport und “at Rest”

ZusammenfassungPresentation_ID © 2004 Cisco Systems, Inc. All rights reserved. Cisco Confidential


www.decus.de 2

333Presentation_ID © 2004 Cisco Systems, Inc. All rights reserved. Cisco Confidential 3

SICHERHEIT IN STORAGE NETWORKINGhistorischer Überblick …


Sicherheit in Storage Networking:Historischer Überblick

Traditionell weing beachtet:• Geringe Verbreitung von SANs, meist DAS• Back-End Netzwerk im Data Center, • FC SANs sind nach außen isoliert• Das Data Center ist ausreichend gesichert (Firewalls, User

Authentication, Intrusion Detection etc.)• …. Storage Administratoren sehen Security nicht als

Hauptbestandteil ihrer Aufgabe

Aber.., • Bis 2006 werden 70% der Speichersysteme über SAN angeschlossen

sein Source: Enterprise Storage Group.

• Neue Anwendungen wie netzwerkbasierte Virtualisierungsdiensteändern die Sicherheitsanforderungen

Traditionell weing beachtet:• Geringe Verbreitung von SANs, meist DAS• Back-End Netzwerk im Data Center, • FC SANs sind nach außen isoliert• Das Data Center ist ausreichend gesichert (Firewalls, User

Authentication, Intrusion Detection etc.)• …. Storage Administratoren sehen Security nicht als

Hauptbestandteil ihrer Aufgabe

Aber.., • Bis 2006 werden 70% der Speichersysteme über SAN angeschlossen

sein Source: Enterprise Storage Group.

• Neue Anwendungen wie netzwerkbasierte Virtualisierungsdiensteändern die Sicherheitsanforderungen


www.decus.de 3


Storage Networking Sicherheit:Bedenken / Überlegungen

• 45% aller Unternehmen erleiden unerlaubtenDatenzugriff von Mitarbeitern

• 50-80% aller Security Attacken gescheheninnerhalb der Firewall, Quelle: FBI/CSI

• Kunden und Firmeninformationen sind essentiellfür Unternehmen.

• Die 3 wichtigsten Sicherheitsbedenken:– ungesicherte Management Interfaces

– ungesicherte, unverschlüsselte Datenspeicherung

– unzureichende Authentisierung von Endgeräten

• Nicht alle Angriffe sind beabsichting, unbeabsichtigte Eingriffe haben oft die gleichennegativen Auswirkungen

• 45% aller Unternehmen erleiden unerlaubtenDatenzugriff von Mitarbeitern

• 50-80% aller Security Attacken gescheheninnerhalb der Firewall, Quelle: FBI/CSI

• Kunden und Firmeninformationen sind essentiellfür Unternehmen.

• Die 3 wichtigsten Sicherheitsbedenken:– ungesicherte Management Interfaces

– ungesicherte, unverschlüsselte Datenspeicherung

– unzureichende Authentisierung von Endgeräten

• Nicht alle Angriffe sind beabsichting, unbeabsichtigte Eingriffe haben oft die gleichennegativen Auswirkungen


• SAN Extension (FCIP) erweitert SANs über das Datacenter hinaus – DR, BC, Backup, Vaulting, Outsourcing

• IP Storage verbreitet sich immer mehr– FCIP, iSCSI, Management

• FC Security Standards werden entwickelt– FC-SP Working Group of ANSI T11.3 Committee– SMI-S (SNIA Storage Management Initiative Specification) XML-CIM via SSL/HTTPS)– SNMPv3 (Encryption, Authentication, Ensures Data Integrity, Prevents MIM)

• Gesetzliche, regulative Anforderungen– California Senate Bill 1386 – 48 Stunden Benachrichtigungsfrist an Kunden

unerlaubtem Zugriff auf Daten (Ausnahme bei Verschlüsselung)– Neue Regelungen im Gesundheitswesen– Basel II

• Das Zusammenwachsen von Storage und Netzwerkbewirkt ein verstärktes Bewußtsein fürSicherheitsfragen

• SAN Extension (FCIP) erweitert SANs über das Datacenter hinaus – DR, BC, Backup, Vaulting, Outsourcing

• IP Storage verbreitet sich immer mehr– FCIP, iSCSI, Management

• FC Security Standards werden entwickelt– FC-SP Working Group of ANSI T11.3 Committee– SMI-S (SNIA Storage Management Initiative Specification) XML-CIM via SSL/HTTPS)– SNMPv3 (Encryption, Authentication, Ensures Data Integrity, Prevents MIM)

• Gesetzliche, regulative Anforderungen– California Senate Bill 1386 – 48 Stunden Benachrichtigungsfrist an Kunden

unerlaubtem Zugriff auf Daten (Ausnahme bei Verschlüsselung)– Neue Regelungen im Gesundheitswesen– Basel II

• Das Zusammenwachsen von Storage und Netzwerkbewirkt ein verstärktes Bewußtsein fürSicherheitsfragen

Storage Networking Security:Treiber


www.decus.de 4


STORAGE NETWORKING SECURITY ARCHITEKTUR


Security Architektur:AAA

• Authentication – prüft Identität Wer bist Du?

• Authorisation – regelt Zugriffsrechte Was darfts Du?

• Accounting – dient der SicherheitsüberwchungWas hast Du gemacht?

• Authentication – prüft Identität Wer bist Du?

• Authorisation – regelt Zugriffsrechte Was darfts Du?

• Accounting – dient der SicherheitsüberwchungWas hast Du gemacht?


www.decus.de 5


Storage Networking Security Architektur:die wichtigsten Bereiche

iSCSI

SAN FabricTarget

Host

Fabric Security ist integralerBestandteil der gesamtenApplikations SecurityAllein nicht ausreichend – Host and Disk Security sind ebenfallserforderlich

11 SAN ManagementSecuritySAN ManagementSecurity

6 Kernbereiche1. SAN Management

-gesicherter Zugriff auf Management-Dienste

6 Kernbereiche1. SAN Management

-gesicherter Zugriff auf Management-Dienste

Data Integrity and SecrecyData Integrity and Secrecy6

6. Daten Integrität und Vertraulichkeit ( in Transit and at Rest)

6. Daten Integrität und Vertraulichkeit ( in Transit and at Rest)

Fabric AccessSecurity

Fabric AccessSecurity

2. Fabric Access – gesicherterZugang von Endgeräten zurFabric

2. Fabric Access – gesicherterZugang von Endgeräten zurFabric

22 Target AccessSecurity

Target AccessSecurity

33

3. Target Access – gesicherterZugriff auf targets und LUNs

3. Target Access – gesicherterZugriff auf targets und LUNs

SAN Fabric Protocol Security

SAN Fabric Protocol Security

44

4. SAN Protocol – gesicherteSwitch-to-Switch Kommunikation

4. SAN Protocol – gesicherteSwitch-to-Switch Kommunikation

IP StorageSecurity

(iSCSI/FCIP)

IP StorageSecurity

(iSCSI/FCIP)

55

5. IP Storage Access – sichereFCIP and iSCSI Dienste

5. IP Storage Access – sichereFCIP and iSCSI Dienste


Sicheres SAN Management


www.decus.de 6


Sicheres SAN Management• Authentication, Authorization and Accounting (AAA)

aller Management Aktionen– Account log für alle Fabric Configuration Operations– RADIUS - Remote Authentication Dial In User Service (IETF RFC

2865 standard)– TACAC+ - Terminal Access Controller Access Control (weit

verbreitet im Cisco Umfeld, ähnlich wie RADIUS)– Syslog Logging– Switch Logging– Call Home (SMTP)

• Konsistente Security Policy über alle Devices– Cisco Fabric Manager bietet ‘Fabric Configuration Analysis’ Tool– Config Check gegen Policy – automatische Korrekturen– Zone Merge Analysis Tool – aufzeigen von Merge Inkonsistenzen

• Authentication, Authorization and Accounting (AAA) aller Management Aktionen

– Account log für alle Fabric Configuration Operations– RADIUS - Remote Authentication Dial In User Service (IETF RFC

2865 standard)– TACAC+ - Terminal Access Controller Access Control (weit

verbreitet im Cisco Umfeld, ähnlich wie RADIUS)– Syslog Logging– Switch Logging– Call Home (SMTP)

• Konsistente Security Policy über alle Devices– Cisco Fabric Manager bietet ‘Fabric Configuration Analysis’ Tool– Config Check gegen Policy – automatische Korrekturen– Zone Merge Analysis Tool – aufzeigen von Merge Inkonsistenzen


Securing Storage Management• gesicherter Transport für alle Management Zugriffe

– CLI – Secure Shell (SSH)– Fabric Manger GUI – Simple Network Management Protocol (SNMPv3)– SSH and SNMPv3 können mit RADUIS oder TACACS+ für AAA Dienste kombiniertwerden, beide arbeiten verschlüsselt

• Role-Base Access Control (RBAC) für unterschiedliche Management Profile:

– z.B. Storage Admin, SAN Admin, SAN Operator, E-Mail admin, Tape SAN Admin etc.– 64 Rollen per VSAN

CLI Access Security*Console*TelnetSecure Shell Protocol (SSH)User Roles

Fabric Manager Access SecuritySNMPv3 Username Password Authentication and EncryptionUser Roles*SNMP v1 & 2 Community String Authentication


www.decus.de 7


Sicherer Fabric Zugang


ApplicationServers

SAN InselAbteilung #2

Abteilung#3VSAN

Erweiterte Security mitCollapsed Fabric

Erweiterte Security mitCollapsed Fabric

Cisco MDS 9000 Family



DiskArrays

Applikation/Abteilungbasierte SAN Inseln

Abteilung#2VSAN

Abteilung#2VSAN

Abteilung #1VSAN

GemeinsamerStorage Pool für

alle VSANs

Fabric Access Security:Virtual SANs (VSANs)

14

Industry Industry FirstFirst

Separate physische FabricsUngenutzte Ports pro SAN Insel

Hohe Anzahl von Switches

Separate physische FabricsUngenutzte Ports pro SAN Insel

Hohe Anzahl von Switches

• Konsequente VSAN Isolation, Service Partitioning und Frame Tagging

• Fabric-Probleme oder fehler bleiben im VSAN

• Roles Based Access Control per VSAN

• Standardkonform zu ANSI T11 Virtual FabricExtended Headers Standard

• Konsequente VSAN Isolation, Service Partitioning und Frame Tagging

• Fabric-Probleme oder fehler bleiben im VSAN

• Roles Based Access Control per VSAN

• Standardkonform zu ANSI T11 Virtual FabricExtended Headers Standard


www.decus.de 8


Port Security

• Port Securityverhindert FLOGI von Endgeräten und

anderen Switchen

Host, Storage oder Switches werdenauthentifiziert

Identifizierung anhand der WWPN

Auto Learn erspart manuelleKonfiguration

WWN 1

WWN 2 WWN 3

Port X -> WWN 1Port Y -> WWN 2Port Z -> WWN 3

WWN 4


Fabric Access Security:Port Security

• Verhindert unerlaubten Zugriff auf Switchportsbindet WWN(s) auf einen oder mehrere Ports.

• verhindert FC frame S_ID Spoofing - durch Hardware Frame Filtering

• Einsetzbar für Device-to-Switch and Switch-to-Switch Port Security

• Kann pro VSAN eingestzt werden• Alle unerlaubten Login Versuche werden dem SAN

Administrator gemeldet• Auto Learn ermöglicht einfache

Konfiguration beierstmaligem Einsatz

• Verhindert unerlaubten Zugriff auf Switchportsbindet WWN(s) auf einen oder mehrere Ports.

• verhindert FC frame S_ID Spoofing - durch Hardware Frame Filtering

• Einsetzbar für Device-to-Switch and Switch-to-Switch Port Security

• Kann pro VSAN eingestzt werden• Alle unerlaubten Login Versuche werden dem SAN

Administrator gemeldet• Auto Learn ermöglicht einfache

Konfiguration beierstmaligem Einsatz


www.decus.de 9


Nichtauthorisierte

Hosts und Switche

Fabric Access Security:FC Security Protocol (FC-SP)

17

Storage Subsysteme

RADIUS TACACS+ Server

Trusted Hosts

FC-SP

(DH-CHAP)

FC-SP

(DH-CHAP)

• Working Group of INCITS T11.3 Committee – Cisco, EMC, Veritas, QlogicKey Contributers

• FC-SP ermöglicht Authentication

– Switch to Switch

– Switch to Device

– Device to Device

• Verschlüsselung auf Frame Level

• Konsistente & sichere Policy Verteilunginnerhalb der Fabric

• Schützt gegen:– Imitationsatacken von “Rogue Devices”

– Verkabelungsfehler

– Snooping

– Hijacking


TARGET ACCESS SECURITY


www.decus.de 10


FC FC

Fabric Access Security: FC Zoning

FC

FC

FC

FC

FC

FC FabricZone A

Zone B

Zone C

DefaultZone

Zoning ermöglicht Abgrenzungen – z.B.. OS, Abteilung, Applikation etc.


Fabric Access Security:Soft Zoning und Hard Zoning

• Soft ZoningDie Fabric vergibt Informationen nur an Zonen-Mitglieder

Anrufernummergesperrt ????

• Hard ZoningDie Fabric verhindert böswilligen oder zufälligen Zugriff auf Mitgliederanderer Zonen

Hardware-Enforced, Per-Frame ACLs

MDS unterstützt 2,000 Zones und 20,000 Members


www.decus.de 11


Fabric Access Security: FC LUN und Read-Only Zoning

FC Fabric

Zone DLUN Zone B

LUN Zone CFC

FC

FC LUN Zone A

LUN Zoning• LUNs hinter einer WWN in unterschiedlichen

Zonen• Gesicherter Zugriff auf LUN Ebene mit

Hardware Enforcement

Read-Only Zoning• MDS ermöglicht Read-Only Zone in Hardware• Filtert Frames gem. Read/Write Command• Reduziert Sicherheitsrisiken für Hosts, die nur

Lesezugriff benötigen.


IP STORAGE ACCESS


www.decus.de 12


Sicherer IP Storage:SCSI over IP (iSCSI)

23

iSCSI Initiators (Hosts)

• iSCSI Host/Switch Authentication über CHAP ( LokaleSwitch Datenbank, RADIUS or TACACS+)

• IETF’s IPSec Verschlüsselung (3DES or AES) Data Integrität (verhindert das verändern und”mithören” von Daten währen der Übertragung)

• Cisco MDS bietet alle Security Features, die vom IETF ‘Securing Block Storage Protocols over IP’ Standard gefordert sind.

Zentale (Data Center) IP Host

IP

iSCSI mitIPsec

FC Targets

• Nach erfolgreichem Login erweiterete Sicherheit durch FC Zoning, VSANs, LUN Masking etc. Authorisation

• MSModul bietet FC Targets as iSCSI Targets an

• MSModul bietet iSCSI Targets und FC Initiators an


Securing IP Storage:FC over IP (FCIP)

24

• Remote Replication und SAN (ISL-) Verbindungen über IP Netze

• FCIP Tunnel = Virtual ISL – erlaubt alle bestehenden FC Fabric Security Mechanismen

– FC Port Security

– FC-Based FC-SP DH-CHAP Switch-to-Switch Authentication

• Cisco MDS 9216i und MSM(14+2 Card) unterstützt IPsec in Hardware = High Performance

Zentrale/Produktion

(Data Center)Außenstelle/Backup(Data Center)

FCIP mit IPsec

IP WAN


www.decus.de 13


Datenintegrität


Securing Data at Rest:Hauptanwendungen

• Schützt sensitive Daten vor IT Personal• Tape Security• Disaster Recovery• Replica Protection• Outsource/ASP Services

• Schützt sensitive Daten vor IT Personal• Tape Security• Disaster Recovery• Replica Protection• Outsource/ASP Services


www.decus.de 14


Securing Data at Rest:Joint Cisco/Decru Solution

Cisco & Decru bieten:• geminsame Security

Lösung auf Basis von Veschlüsselungs-technologien

• Getestete und Zertifizierte, Appliance basierte Architekture

• Schützt gespeicherteData in SAN, NAS und auf Tape

Cisco & Decru bieten:• geminsame Security

Lösung auf Basis von Veschlüsselungs-technologien

• Getestete und Zertifizierte, Appliance basierte Architekture

• Schützt gespeicherteData in SAN, NAS und auf Tape


Zusammenfassung


www.decus.de 15


Zusammenfassung

• Storage Networking Security ist ein Teil derDatacenter Security und der Cisco Self Defending Network Strategie

• Mit der Ausdehneung von SANs über das Datcenter hinaus, gewinnt das Thema SAN Security an Bedeutung

• Cisco bietet umfassende Security Features in derMDS 9000 Familie

– Data Path Features Hardware-basiert– MDS Familie bietet Advanced Security (keine Performance-

Einschränkungen))– Standards basierend

• Storage Networking Security ist ein Teil derDatacenter Security und der Cisco Self Defending Network Strategie

• Mit der Ausdehneung von SANs über das Datcenter hinaus, gewinnt das Thema SAN Security an Bedeutung

• Cisco bietet umfassende Security Features in derMDS 9000 Familie

– Data Path Features Hardware-basiert– MDS Familie bietet Advanced Security (keine Performance-

Einschränkungen))– Standards basierend

Documents

Agenda - decus.de