dsmm学习与实践—逻辑存储安全

1.充分定义级能力描述

·组织建设

1）组织应设立统一负责数据逻辑存储安全管理的岗位和人员，负责明确整体的数据逻辑存储系统安全管理要求，并推进相关要求的落地实施。

2）应明确各数据逻辑存储系统的安全管理员，负责执行数据逻辑存储系统、存储设备的安全管理和运维工作。

·制度流程

1）应明确数据逻辑存储管理安全规范和配置规则，明确各类数据存储系统的账号权限管理、访问控制、日志管理、加密管理、版本升级等方面的要求。

2）内部的数据存储系统在上线前应遵循统一的配置要求进行有效的安全配置，对使用的外部数据存储系统也应进行有效的安全配置。

3）应明确数据逻辑存储隔离授权与操作规范，确保具备多租户数据存储安全隔离能力。

·技术工具

1）应提供数据存储系统配置扫描工具，定期对主要数据存储系统的安全配置进行扫描，以保证符合安全基线要求。

2）应利用技术工具监测逻辑存储系统的数据使用规范性，确保数据存储符合组织机构的相关安全策略要求。

3）应具备对个人信息、重要数据等敏感数据的加密存储能力。    

·人员能力

1）负责该项工作的人员熟悉数据存储系统架构，并能够分析出数据存储面临的安全风险，从而能欧保证对各类存储系统的有效安全防护。

2. 标准解读

逻辑存储安全是数据存储安全中一个重要部分，针对存储容器和存储架构的安全要求，比如认证鉴权、访问控制、日志管理、通信举证、文件防病毒等安全配置，以及安全配置策略，以保证数据存储安全。

3.组织建设和制度流程

组织建设肯定是专人专岗，制度流程案例如下：

《xxxx逻辑数据存储介绍》、《逻辑存储系统和存储设备安全管理规范》

主要内容：    

a.逻辑存储系统和存储设备定义及结构介绍

b.逻辑存储系统架构设计及其安全要求:

c.逻料存储的安全配置规则，以及配置变更和发布要求: 

d.逻 辑 存 備 的 多 租 户 隔 离 、 授 权 管 理 规 范 要求:

e.存储设备安全管理规范和操作规程，如标准操作流程、维护操作流程、应急操作流程等: 

f.存储系统的账号和权限管理、日志管理、加密管理、版本升级等要求；

4.技术工具

·存储定义

逻辑存储：逻辑存储是对数据进行逻辑管理和组织的概念，它是数据的抽象层面。逻辑存储是为了方便应用程序访问和管理数据，而在逻辑存储中，数据被抽象成逻辑单元，如文件、表、对象等。

物理存储：物理存储是数据在实际存储介质上的存储形式。物理存储是数据的具体实现，它涉及到数据存储设备（如硬盘、ssd等）的组织和管理。

逻辑存储系统通常是指在服务器或计算机系统中对数据进行逻辑管理和组织的系统。在服务器上，数据通常存储在不同的物理存储设备上，例如硬盘、ssd等。逻辑存储系统在这些物理存储设备之上提供了逻辑层，通过建立逻辑组织结构，将数据抽象成逻辑单元，使得应用程序可以通过逻辑方式来访问和管理数据，而不需要关心底层存储的细节。   

服务器上的逻辑存储系统可以包括文件系统、数据库管理系统（dbms）、对象存储系统、分布式文件系统等，这些系统为应用程序提供了方便、高效和安全的数据存储和访问接口。通过逻辑存储系统，服务器上的数据可以被组织成文件、表、对象等形式，并提供相应的api或查询语言供应用程序使用，从而实现数据的逻辑操作和管理。

逻辑存储系统在服务器架构中扮演着重要的角色，它提供了对数据的抽象和封装，使得数据管理变得更加灵活和可控。同时，逻辑存储系统还可以对数据进行优化和分布，以提高数据存储和访问的性能和可靠性。

对于个人信息、重要数据等敏感数据，加密存储是一种重要的安全措施，可以帮助保护数据的机密性和完整性。以下是关于敏感数据加密存储的一些建议：

a.数据加密层次：在存储敏感数据之前，考虑采用多层次的加密。可以通过端到端加密、传输层加密（tls/ssl）以及数据存储层加密来保护数据的安全性。

b.强加密算法：使用强大的加密算法，如aes（advancedencryption standard），以确保数据的加密强度。同时，确保您的密钥管理做到足够的安全。

c.密钥管理：管理好加密密钥是关键。使用专门的密钥管理系统来生成、存储、轮换和撤销加密密钥，以避免密钥泄露。

d.端到端加密：如果可能，采用端到端加密，确保数据在传输和存储过程中都得到了保护。这可以防止云服务提供商等任何中间环节获取明文数据。   

e.透明加密：选择支持透明加密的解决方案，这意味着应用程序和用户无需额外的操作就可以访问加密的数据，加密和解密过程对其来说是透明的。

f.访问控制和身份验证：即使数据被加密，也需要严格的访问控制和身份验证机制，以确保只有授权人员可以解密和访问数据。

g.加密密钥分离：在可能的情况下，将加密密钥与加密的数据分离存储，以增加攻击者获取加密密钥的难度。

h.数据分类和分级：将数据进行分类和分级，根据敏感程度决定是否需要加密。不是所有数据都需要进行相同级别的加密。

i.定期审查和更新：定期审查加密方案和技术，确保它们仍然足够强大，并根据需要更新为更安全的方法。

数据在存储过程中，除了常见的物理介质问题所导致的数据安全问题，还对存储容器和存储架构提出了更高的要求，一般来说，存储数据的容器主要是服务器，所以这就要求加强服务器本身的安全措施。

从服务器看，一是需要加强常规的安全配置，这方面可以通过相关的安全基线或安全配置检测工具进行定期排查，检查项包括认证鉴权、访问控制等，另一方面需要加强存储系统的日志审计，采集存储系统的操作日志，识别访问账号和鉴别权限，检测数据使用规范性和合理性，实时监测以尽快发现相关问题。从而建立起针对数据逻辑存储、存储容器的有效安全控制。

（1）安全基线核查工具

所谓安全基线，是为了明确企业网络环境中相关设备与系统达到基本的防护能力而制定的一系列安全配置基准。目前安全配置基线主要包含五大块内容：服务包与安全升级（包括服务包、安全更新相关的配置）、审计与账户策略（包括审核策略和账户策略相关的配置）、额外的安全保护（包括网络访问、数据执行保护、安全选项及若干注册表键值相关的配置）、安全设置（包括用户权限分配、文件许可、系统服务相关的配置）、管理模版（包括远程系统调用、windows防火墙、网络连接相关的配置）。这个当前各厂家都有成熟的配置核查工具。   

（2）日志监控技术

日志监控是实现逻辑存储安全的一个重要部分，对存储系统的操作日志进行监控，可以识别访问账号和鉴别权限，从而检测数据使用的规范性和合理性，日志监控系统的实现主要包括三大部分，即日志采集中心，日志存储中心和日志审计中心，具体如下：

1）日志采集中心

流程是日志采集-日志接收-日志解析-日志分类-日志存储中心，日志采集的范围应尽可能地覆盖所有网络设备，操作系统，数据库，以及各个应用系统服务器的日志记录，常见采集方式：

a.snmp，使用snmp可以获取设备的事件日志、警报和状态信息。通常，设备的事件日志会包含关于设备状态、故障和操作的信息。配置snmp时应采取适当的安全措施，如使用安全的snmp版本、配置访问控制和认证等，以保护设备和网络的安全性。

b.syslog，udp协议传输，使用syslog进行日志采集可以帮助组织集中管理和分析日志数据，监控设备和系统状态，以及及时检测和响应安全事件。数据传输是无状态的，因此在使用syslog时建议使用syslogover tls（syslog加密传输层协议）来保护日志数据。    

c.flatfile：flatfile的日志收集机制与syslog的逐条发送机制相对应，可以实现对系统日志文件的整体传输和解析的功能。日志消息以文本行的形式写入文件，每条消息通常包含时间戳、事件信息、源设备标识等。

d.odbc：这是一种针对数据库管理系统的日志采集方式。本身不是一种专门用于日志采集的工具或协议，而是一种用于数据库访问的接口。然而，在某些情况下，您可以结合使用odbc和其他工具来进行日志采集，特别是当日志数据存储在数据库中时。

e.审计代理：通过在操作系统上安装审计代理软件来完成对系统日志记录的采集工作，在这种方式下，审计代理不应该占用过多的系统资源，并且不能对系统的安全和性能产生影响。

f.opsec：在防火墙系统中，需要支持opsec协议来完成日志记录的发送和接收。

g.对于网络型的日志，既可以通过对网络设备进行镜像复制等方式获取采集对象服务器上的日志记录，也可以通过堡垒主机串路接入网络的方式采集对审计对象进行操作的日志。

h.采集完日志之后，日志采集中心还需要采用相关技术手法接收日志，目前数据接收主要包含四种方式：socket方式，ftp文件服务器共享方式，数据库共享数据方式和java消息服务方式。

i.socket方式，使用socket进行日志接收可以实现实时的、异步的日志传输，适用于需要及时监控和分析日志数据的场景。   

j.ftp文件服务器共享方式，这种方法适用于需要定期或批量地从不同设备获取日志数据的情况，建议使用加密协议（如sftp或ftps）来保护数据传输，或者在传输过程中使用vpn等安全手段。

k.数据库共享数据方式，这种方法适用于将分散在不同地点的日志数据集中管理和分析。在选择日志采集方法时，需要考虑数据量、性能、安全性和实时性等因素

l.java消息服务，是一种用于在分布式应用程序之间进行异步消息传递的java标准。将jms日志和消息集中管理需要综合考虑应用程序、消息代理和日志管理系统的配置和要求。

2）日志存储中心

日志存储中心需要对采集到的日志进行持久化的操作，并对存储在持久化存储介质中的数据进行相关的检索查询，常见的存储介质由磁盘，光盘和磁带等。其中主要的存储介质是磁盘。

数据的存储系统包括文件系统的数据存储和数据库形式的数据存储，根据不同的存储系统选型，日志存储中心主要可实现如下三大块功能：日志数据持久化，日志查询和日志备份。

a.日志数据持久化，日志数据持久化是确保日志数据长期保存、不丢失以及可以随时检索和分析的关键任务。

b.日志查询，日志查询功能是指在一个集中化的存储系统中，对保存的日志数据进行检索、查询和分析的能力。这种功能可以帮助用户快速定位问题、分析趋势、监测系统状态等，从而提升系统的可靠性、性能和安全性。   

c.日志备份，日志备份是数据保护和业务连续性的重要组成部分，有助于应对硬件故障、人为错误、灾难事件等情况，确保重要的日志数据不会丢失。通常有定期备份、实时备份、冷备份、热备份、增量备份和全量备份等方式。关于日志存储市面上，现在也有成型的厂家和方案。

3）日志审计中心

日志审计中心各大厂商再熟悉不过了，是日志监控系统中非常重要的部分，该中心可用于对系统进行及时审计操作，实现对越权访问控制等敏感操作的预警，并将异常情况反馈给系统管理员或相关用户，日志审计中心应具备以下主要功能：

a.审计规则库管理功能

b.审计报表自动生成功能

c.审计查询功能

d.时间周期报表功能

e.审计相关信息的配置功能

f.审计报告预警功能