| 
Haben Sie einen Fehler gefunden? Bitte benachrichtigen Sie uns per E-Mail. Vielen Dank.
Was lange liegt, kann man auch lange (bzw. oft) angreifen. Da der "ruhende Datenverkehr" (Data at Rest) klassischerweise Dateien im Klartext betrifft, geraten die diversen Datenspeicher in Unternehmen und Behörden zunehmend ins Visier der internen Datenschützer und Informations-Sicherheits-Abteilungen. Die naheliegende Maßnahme gegen unberechtigte Zugriffe und Manipulationen sind sichere, feingranulare Authentifizierung und verschlüsselte Speicherung.
Wo genau die Verschlüsselung dabei ansetzen soll, dafür gibt es allerdings eine ganze Reihe von Möglichkeiten. Das Chiffrieren direkt in der Applikation, welche die Daten erstellt, ist auf den ersten Blick eine bestechend einfache Lösung. Doch bei genauerem Hinsehen zeigt sich, dass ein derart auf alle betroffenen Desktops verteiltes System in Sachen Schlüsselverwaltung, Wartung und Support sowie Einheitlichkeit des Schutzes in aller Regel erhebliche Probleme aufwirft. Auch das Verschlüsseln per Backup-Software oder -Agenten ist – zumindest in größeren Organisationen – wenig geeignet, eine einheitliche und zentral administrierbare Schutzsphäre zu schaffen, nicht zuletzt da kaum kompatible Lösungen mit einem übergreifenden Key-Management für mehrere Applikationen zu finden sind. Außerdem leidet eventuell die Performance der Endgeräte unter der Last der Verschlüsselung.
Die Einrichtung der Storage-Kryptographie auf Server oder Host hat ebenfalls Vor- und Nachteile: Sie ermöglicht zwar die zentral gesteuerte Zuordnung nach Bedarf, beeinträchtigt aber unter Umständen massiv die Performance des Server-Betriebs, vor allem bei Software-Lösungen. Sowohl bei Software als auch bei Hardware sind Implementierung und Upgrades an dieser Stelle recht aufwändig und erfordern sorgsame Planung mit üblicherweise deutlicher Downtime.
Die heute gängigste Methode dürfte die Integration der Verschlüsselung in das Speichernetz sein (Storage Area Network, SAN). Nicht ohne Grund: Eine solche Implementierung kommt in der Regel ohne Ausfallzeiten der Applikationen aus, da weder Hard- noch Software-Konfigurationen der Hosts und Server zu ändern sind. Auch eine Neukonfiguration oder Anpassung der Speichersysteme ist im Idealfall unnötig. Voraussetzung hierfür ist allerdings die Kompatibilität der Verschlüsselungslösung mit bestehender Storage-Networking-Technik des Unternehmens. Eine breite, möglichst native Unterstützung von Speicherprotokollen ist daher, auch mit Blick auf künftige Protokollwechsel oder -neuzugänge, besonders wünschenswert.
Kryptographie gibt es auch noch "eine Ebene tiefer": Einige Anbieter von Disk- und Tape-Laufwerken haben bereits auf Laufwerksebene Verschlüsselungsfunktionen integriert. Solche Lösungen sind ziemlich einfach in der Installation und Inbetriebnahme, vor allem sofern es sich nur um einen Standort handelt, sie erfordern aber Upgrades bei bereits installierten Tape Libraries und Storage Arrays. Und die Lösungen sind herstellerspezifisch und somit für den Einsatz in heterogenen Umgebungen kaum geeignet. Da sie relativ neu sind, ist zudem besonders auf das Key-Management zu achten, das unter Umständen für verteilte Umgebungen noch nicht robust genug sein kann. Verschlüsselung als Teil des Speichersystems eignet sich nach Meinung des Autors daher heute vorrangig für Unternehmen, die speziell ihre Wechselmedien (etwa Backup-Bänder) mit einem Basisschutz ausrüsten wollen. Große verteilte Strukturen benötigen hingegen tendenziell skalierbarere Lösungen mit umfassenderem Key-Management auch für heterogene Systeme.
----------Anfang Textkasten----------
----------Ende Textkasten----------
Bei der Wahl der jeweils passenden Lösung sind etliche Kriterien zu beachten (s. a. Kasten). Vor allem sollte eine nahtlose Integration der neuen Lösung in die bestehende Infrastruktur ebenso gegeben sein wie die Kompatibilität zu möglichst vielen Speichersystemen, um auch für zukünftige Entwicklungen und Erweiterungen gerüstet zu sein.
Ein wichtiger Faktor ist zudem die Performance: Storage-Netzwerke sind (hoffentlich) exakt auf die Leistungs-Anforderungen der Anwender und Applikationen abgestimmt. Diese ausbalancierte Performance darf unter einer neuen Security-Lösung nicht leiden. Die optimale Verschlüsselungslösung kann Daten genauso schnell chiffrieren, wie sie übertragen werden – in der so genannten Wire Speed.
Starke Protokoll-Funktionen sind ein weiteres Entscheidungskriterium. Dabei sollte sowohl auf die Nachvollziehbarkeit berechtigter wie unberechtigter Zugriffe geachtet werden (Compliance). Hierzu sind granular einstellbare Log-Dateien gefragt, um den Datenfluss genau inspiezieren zu können. Diese Berichte sind jedoch nur soviel wert wie ihre Integrität: Sobald ein Mitarbeiter oder Angreifer in der Lage ist, Spuren einer unautorisierten Aktion zu verwischen, ist das Logfile so gut wie wertlos. Im Idealfall sollten die Einträge daher selbst kryptographisch geschützt und gesichert sein, etwa durch elektronische Signatur und gegebenenfalls Kapselung in einer Appliance.
Die möglicherweise wichtigste Komponente einer Storage-Security-Lösung ist das Key-Management-System: Krypto-Schlüssel müssen über viele Jahre aufbewahrt werden, ständig verfügbar und selbst besonders gut geschützt sein. Wichtige Kriterien sind daher vor allem die Sicherheit der Schlüsselaufbewahrung, aber auch die Möglichkeiten zur sicheren Schlüsselreplizierung (nach Bedarf) sowie die Interoperabilität mit anderen Security-Lösungen. Bei der Schlüsselgenerierung stellt sich zudem die Frage nach der Güte des verwendeten Zufallsgenerators. Von der funktionalen Seite sind Features wie Key Translation und Key Sharing interessant, um Informationen auch nachträglich sicher über Abteilungsgrenzen hinweg oder sogar mit Partnern austauschen und nutzen zu können. Wichtig können auch eine Löschfunktion, die Schlüssel regelbasiert auf Terminbasis löscht, und weitere Features zur Policy-Unterstützung sein.
Selbstverständlich sollte darüber hinaus "unter der Haube" alles stimmen: Zeitgemäße und anerkannt sichere Verschlüsselungsverfahren wie der Advanced Encryption Standard (AES) mit hinreichender Schlüssellänge sind ein Muss! Demgegenüber können DES und 3DES oder Hash-Algorithmen wie MD5 und SHA-1 heute für den längerfristigen Einsatz im Speichernetz nicht mehr als sicher gelten. Zur Absicherung der korrekten und sicheren Implementierung sollte man zudem auf unabhängig geprüfte und international anerkannte Zertifizierungen für das System der Wahl achten: Hier sind insbesondere der US-amerikanische FIPS 140-2 Level 3 und eine Evaluierung nach Common Criteria mit hinreichender Stärke (empfehlenswert: EAL 4+) zu nennen.
Die Auswahl der richtigen Verschlüsselungslösung ist in letzter Konsequenz jedoch nur die halbe Miete eines umfassenden Speicherschutzes – eine passende Storage-Security-Strategie ist ebenfalls notwendig! Hierzu gehört auch die Auswahl, welche Daten überhaupt zu verschlüsseln sind. Dieser Prozess sollte mit einer allgemeinen Bestandsaufnahme der Unternehmensdaten beginnen und auch den Zeit- und Administrationsaufwand für die Aufrechterhaltung von Verfügbarkeit, Vertraulichkeit und Integrität in Betracht ziehen. Besondere Beachtung müssen dabei Daten erfahren, die revisionssicher über viele Jahre aufzuwahren sind.
Die Frage, was und wie viel zu verschlüsseln ist, hat gleichzeitig Auswirkungen auf die Auswahl einer geeigneten Lösung: Wenn beispielsweise nur ein Backup-Band pro Woche chiffriert werden muss, reicht vermutlich eine Verschlüsselungsfunktion in der Backup-Software völlig aus. Für größere Umgebungen ist häufig eine Hardware-Appliance empfehlenswert, um Performance-Belastungen der Speicher-, Netzwerk- und Serverstrukturen auszuschließen.
Informationssicherheit ist komplex, unnötige Komplexität treibt Kosten – ein durchdachtes Konzept ist somit auch hier das A und O. Daher sind eine Bestandsaufnahme der Geschäftsinformationen, eine Auswertung bestehender Prozesse und Strukturen und die umfassende Analyse möglicher Lösungen unverzichtbar. Dabei sind Entscheidungskriterien wie Kosten, Performance, Key-Management, Zertifizierungen und Zukunftssicherheit zu beachten. Die Wahl der passenden Storage-Security-Lösung soll schließlich heutigen wie zukünftigen Unternehmensanforderungen gerecht werden.
Roland Schneider ist District Manager Zentraleuropa, Emerging Product Group bei Network Appliance.
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2007#3, Seite 58
tag:kes.info,2007:art:2007-3-058
|