在《第一批信息安全产品强制性认证目录》中列举了8大类13小类产品，数据备份与恢复产品也是其中之一。由此可见，存储与安全的融合已是大势所趋，它并不是厂商或用户的一厢情愿，而是得到了政府有关部门的充分肯定。
堵住备份软件的安全漏洞
使用过备份软件的用户都十分清楚，许多备份软件根本没有设置用户名或密码，开机即可用，这相当于将备份数据向各种用户完全敞开，备份数据毫无安全可言。备份数据是关系到企业运营的关键数据，其安全性是第一位的，但现在的情况是，很多备份软件供应商都没有对其备份软件产品进行安全功能的设置。此外，备份软件虽然关系到数据的安全，但其销售并不像某些安全产品一样必须经过有关部门的认证和许可，几乎处于失控状态。
| |||||||||||||||||||||||||||
根据《关于部分信息安全产品实施强制性认证的公告》规定，数据备份与恢复产品增加相应的安全功能是必需的。这里说的数据备份与恢复产品是指实现和管理信息系统数据备份和恢复过程的软件。适用的产品是独立的数据备份与恢复管理软件产品，但不包括数据复制产品和持续数据保护产品。数据备份软件的安全功能包括许多内容，人们经常用到的可能有以下几项：第一，在系统登录时进行安全保护，比如设置用户名和密码；第二，如果有人超长时间使用备份系统，系统要具备自动锁定功能；第三，建立完善的日志系统。
“数据备份软件有时甚至不如个人软件安全。”北京亚细亚智业科技有限公司市场总监郭竞远介绍说，“从目前情况看，许多数据备份软件厂商都没有在备份软件上采取足够的安全措施。数据备份软件与主机、操作系统密切相关。许多人认为，备份系统中有独立的备份服务器，而且在操作系统中已经采取了很多安全措施，这些就足以保护备份系统的安全。其实，只有这些保护是远远不够的，一旦操作系统被攻破，数据备份系统就相当于完全开放，备份数据就可以‘任人宰割’。”记者曾就数据备份软件必须通过强制性认证的问题询问过一些备份软件厂商和用户，相当多的人还不知道有这样的规定。据了解，如果要满足强制认证的规定，现有的数据备份软件必须做出一定程度的修改，有的可能还要修改备份软件的核心。
网络安全不等于数据安全
人们经常谈论的网络安全其实是指LAN上的安全，而安全存储指的是数据安全，是在存储区域网（SAN）内的安全，是从主机层往下到存储层的安全。猎头.网络安全只是保证瞬间传输的数据安全，而数据安全则是要更长时间地保护存储数据的安全，因此对安全性、可靠性和可管理性的要求更高。有人可能会把加密与数据安全划等号。其实，加密只是数据安全所使用的一种具体手段，并不能代表数据安全的全部。数据安全是包括硬件和软件在内的一整套解决方案，既有加密设备，也有对密钥进行管理的软件等。
存储加密市场蕴藏着无限商机，市场总额以数亿美元计算。Gartner的报告指出，到2007年底，财富1000强企业中已有80%对静态数据进行了加密。
CipherMax公司副总裁张英伟介绍说：“数据加密有各种分类方法，按照实现手段可以分为三层：主机软件层、中间连接层、存储层。主机软件加密已经推出很多年，但是它的复杂性和性能局限使得很多人宁愿去承受数据被盗的风险，也不愿意选择软件加密。基于软件的加密在针对表格、文件或者光盘时是可行的。但是，面对企业级的数据加密，特别是面对TB级别的数据容量，主机层的加密产品通常性能比较差，而且会占用大量CPU的资源。”
基于存储层的存储设备本身的加密方式，其问题在于无法实现用户原有环境中存储的加密，无法对原有的数据和设备做保护，也不利于投资保护。此外，各厂商都有自己的密钥管理软件，因此无法实现对所有加密设备的统一管理。猎头公司.
张英伟介绍说：“从目前情况看，在中间层实现存储安全是最高效的。CipherMax推出的下一代智能交换机，可由16口扩展到256口，连接在存储设备和主机之间，不必改变原有的IT结构，在实现光纤交换机所有功能的同时，还具有强大的加密功能，可以对磁带、磁盘和虚拟磁带库进行加密。”
安全存储融合是必然
谈到安全与存储的融合，其实早在2004年就已经露出了冰山一角。2004年底，赛门铁克以135亿美元收购了专注于存储与管理领域的VERITAS。两家公司的合并是一个信号，让人们相信安全与存储的融合将为未来存储的发展开辟出一片崭新的天地。这之后，存储界还有一系列与安全有关的收购、合作，比如EMC收购RSA，NetApp收购Decru，以及华为赛门铁克公司的成立等。
由于存储系统过高的技术门槛和用户的严格要求，安全厂商对于存储安全产品一直表现得不太积极。因此，存储与安全技术的结合过程也不是一帆风顺。如今，各大存储厂商已经意识到，提供真正的安全存储产品的重任必须由存储厂商来承担，包括EMC、HDS、HP、IBM、Sun、CommVault等在内的诸多存储厂商，都在硬件或软件产品中增添了加密或身份认证等安全措施。IT猎头.据了解，IBM还准备推出磁盘加密的产品。在这一过程中，也涌现出一些像CipherMax这样的独立的安全存储产品供应商。同有飞骥公司还成立了单独的安全存储部门，而安全存储产品也很可能成为同有飞骥一条新的产品线。
虽然推出安全存储产品的厂商不在少数，但在业界还没有形成一个明确的安全存储细分市场，安全存储的概念也不像绿色存储那样已经深入人心。在欧美地区，出于法规遵从的需要，安全存储解决方案已经得到比较广泛的部署。在中国，只有一些前端用户，比如金融用户出于监管的需要，制造业用户出于保护CAD图纸信息安全的需要，对安全存储都提出了一定需求。但从更广的范围看，大多数中国用户更关注的还是存储的性能、容量等指标，对安全存储并没有一个清晰的概念。
对于中国的用户来说，满足存储的高性能、大容量等需求只是解决了“温饱”问题。无论是出于法规遵从的需要，还是考虑到数据本身的可靠性和可用性，存储的安全和管理必须被提上议事日程。我们之所以组织此次安全存储专题，主要目的有两个。第一，让用户知道，安全与存储的融合已经是大势所趋。用户在采购存储设备时，除了要关注存储设备本身的一些技术指标外，更要考虑到数据安全的重要性。对于那些已经拥有了比较完善的存储架构的用户来说，根据应用需求为存储设备适当增加一些安全功能，数据保护可以事半功倍；对于那些正在建设新的存储系统的用户来说，安全存储产品的价格可能比单纯的存储产品贵一些，但全面考虑存储系统的安全性和可靠性，这些额外的付出一定是物有所值的。电子商务猎头.第二，帮助用户认清一些有关安全存储的误区，比如存储安全是不是就等于加密和身份认证，在产品层面实现了安全保护能否一劳永逸……
在本专题中，我们将从数据安全策略、主机层的数据安全、存储层的数据安全以及数据安全流程四个层面为您解读安全存储的误区。
数据安全策略 安全与存储需要统一管理
以信息为中心的安全防护使信息安全与存储管理之间的内在联系逐渐显现。而实现存储与安全的融合，简言之，就是对于数据进行保护的同时也要进行必要的管理，并且提高信息管理的效率，更重要的是使企业的任何信息都能在最安全的情况下被自由使用
存储与安全相辅相成
对于企业来说，假如各类数据未经妥善保存和归档，那么有世界一流、“百毒不侵”的安全防线恐怕也无济于事；反之，即使企业的存储架构有条不紊，但安全防线形同虚设，那么信息管理也会成为无用功。因此，存储与安全都应该作为以信息为中心的安全策略的核心。
企业首先要了解自己的信息，并对信息进行分级和归档。IT猎头公司.传统的安全解决方案，如防病毒软件、内容过滤、反垃圾邮件程序等仍然十分重要，但是这些安全措施远远不能满足需求，用户需要随时随地保护信息。这就要求安全和数据管理解决方案共同协作，例如能够在端点发现暴露的机密信息，并自动将其转移到加密的存储位置，同时在这个位置保留一个存根，就像存衣处出具的票据一样，方便用户知道数据被转移到什么地方。其次，实现存储与安全的融合不仅仅是IT部门的工作，更需要企业各个部门的支持和配合。
几年前，赛门铁克曾计划研发这样的融合技术，即应对新型威胁的智能信息能够自动运行备份。随着ThreatCon全球安全预警系统的发布，安全与存储融合的梦想已初露曙光。它集成了赛门铁克的Backup Exec系列产品，一旦达到预设的安全威胁标准，系统便自动激活运行备份。赛门铁克预计，未来5～10年内，全面融合安全和信息管理的系统将诞生。
将安全纳入存储
赛门铁克年初推出的Backup Exec 12 for Windows Servers，能够快速有效地实现从服务器到台式机的恢复，以及从磁盘到磁盘到磁带（D2D2T）的备份。Backup Exec 12 for Windows Servers集成了赛门铁克的多种解决方案，包括其独有的ThreatCon全球安全警报系统，可用于保护电子邮件归档的Enterprise Vault，以及访问离线存储的新型防护网络产品Symantec Protection Network。猎头网.
ThreatCon是针对当前全球互联网安全状况为用户提供预警的交互一览式工具。作为一项免费的服务，ThreatCon可以更快速地为用户提供更多可用信息，用于安全防护，抵御多种漏洞、威胁和攻击。革新的ThreatCon引入了大量新功能，使用户能够更加清楚地查看过去和现在的安全威胁活动。
Backup Exec系列产品在策略制定上结合了ThreatCon预警系统的设定功能，通过综合评估目前在全球探测到的安全事件，包括各种病毒、攻击以及威胁，然后设定所需的预警等级，并以该等级作为启动备份的触发条件，也就是说通过将ThreatCon作为备份的指示器，来触发备份。用户可以在对安全环境进行评估的基础之上，决定应该采取哪些存储和备份措施。
此外，Backup Exec系列和NetBackup系列产品还整合了病毒扫描的技术，对于正在进行备份的文件也能同时进行病毒扫描，确保在备份过程中的数据安全。
(来源：中国计算机报 作者：郭涛)
京公网安备 110105001605号