Storage Security IT- Sicherheit von innen nach außen

Transkript

1 Storage Security IT- Sicherheit von innen nach außen Klaus Kupfer Technical Manager Central Europe Agenda Warum Speichersicherheit Bedrohungen für Speichernetzwerke Decru Lösung NAS SAN & Tape Datenbanken DCS Lifetime Key Management Zusammenfassung Über Decru 1

2 Wachsende Anforderung für Speichersicherheit Unternehmen speichern Terabytes von sensiblen Daten in Speichernetzwerken Information Lifecycle Management Disaster Recovery Replikation Heutige Sicherheitsmodelle fokussieren rein auf die Perimeterabsicherung Daten innerhalb des Unternehmens werden nicht betrachtet Data in transit vs. data at rest Gängige IT Strategien vergrößern das Risiko 2

3 Der traditionelle Security Ansatz: Schutz des Storage Netzwerks vor externenl Angriffen 50-80% aller Attacken haben ihren Ursprung innerhalb der Firewall Quelle: IDC and KPMG 67% aller Unternehmen meldeten interne Sicherheitsverletzungen innerhalb der letzten 12 Monate Durchschnittlicher Schaden jeder Verletzung war $2.7 million Quelle: FBI/Computer Security Institute 3

4 Storage in Gefahr Konsolidierung & Replikation gefährden Terabyte Feb 2003 Visa, Amex, Mastercard Hacker hackt 8 Millionen Kreditkarten Konten Jan 2004 MTC Kundendatenbank von Russlands größtem Mobilfunk Anbieter gestohlen Feb, Mai 2004 Microsoft and Cisco Source Code gestohlen 2004 Yahoo Daten von 4,5 Mil. Kunden gestohlen Folgekosten $22 Mil. für Kundenentschädigung Geschätzte $338 Mil. um verlorene Kunden zurückzugewinnen ($75/Kunde) Juli 2004 Los Alamos Nuclear Lab Zwei Festplatten aus dem Labor werden vermisst. Aus diesem Grund muss die ganze Anlage abgeschaltet werden. Sept 2004 Klage auf $50 Mil. Helpdesk Angestellter stahl zehntausende Kundendaten von Kreditdatenbank Februar, 2005 Bank of America verlegt Bänder mit Kontodaten ihrer Kunden u.a. US- Senatoren Bedrohungen für Datenspeicher Traditionelle Perimeterabsicherung bietet wenig Schutz für die gespeicherten Daten Host/UID Spoofing Directory Attack Network Sniffing Storage Admin Zugriff VPN/ Partner Zugang NAS NAS APPLIANCE/ FILE SERVER CLIENTS/ HOSTS PRIMARY STORAGE SECONDARY STORAGE TAPE FIREWALL FC SWITCH SAN Tape WWN Spoofing, Viruses, Worms, Hacker Tools SysAdmin Zugriff Fabric Angriff Zoning Änderungen Disk Diebstahl/ Service/ Entsorgung Admin Angriff Band Verlust/ Diebstahl 4

5 Wer hat Zugriff auf vertrauliche Daten? CEO Netzwerk Administrator Storage Administrator Outsourcer Kunden Kunden Daten Daten Storage CFO Geschäftsberichte Geschäftsberichte General Counsel System Administrator Personaldaten Personaldaten Juristische Juristische Dokumente Dokumente Service Backup Administrator DR Storage Administrator Tape Kurier Rollen Aufteilung Encryption + Zugriffskontrollen Kontrolliert verhindern vom Netzwerkclient/host Administrator Attacken Storage Admin kann Daten Vollzugriff verwalten aber Storage nicht Admin lesen Outsourcer können Daten Vollzugriff nicht lesen Outsourcer Verwaltet vom Security Officer Clients/ Hosts Encryption Access Controls Storage WAN Mirrored Sites/ Disaster Recovery Tape Backup 5

6 Decru Lösung Decru DataFort Storage Security Appliances Zentrale Funktionalitäten der Decru Lösung: Authentifizierung Datenabsicherung (Verschlüsselung) Auditing Einheitliche Sicherheitsplattform für alle Speicher Umgebungen Schützt vertrauliche Daten vor internen und externen Bedrohungen Rollen Separierung Separiert den Datennutzer vom Datenadministrator Erhöht Nutzung vorhandener Infrastruktur Macht die Daten sicher, nicht die Infrastruktur Hilft bei der Einhaltung gesetzlicher und sonstiger Regelungen Versicherung, dass Bedienerfehler, nicht authorisierter Adminstrator Zugriff oder böswillige Attacken die Sicherheit der Daten nicht beeinträchtigt Kompatibilitätstest mit allen führenden Storage, Switch und OS Plattformen Transparente Integration in bestehende Umgebungen Rating: Deploy Top 10 lab score: 8.4/10 Security: 10/10 Top 10 Products of

7 Decru DataFort Einheitliche Plattform für Storage Security Crypto HW FIPS L3 Encryption Key Mgmt Administration Chassis Interconnect Auth/ACL E-Series (NAS, DAS) SEP Yes AES-256 LKM Web, CLI 1U, 2U GigE DCS, IPsec, SSL, Kerberos FC-Series (SAN, Tape) SEP Yes AES-256 LKM Web, CLI 1U, 2U 2Gb FC DCS, DHA, Port Locking T-Series (Tape) SEP Yes AES-256 LKM Web, CLI 1U, 2U 2Gb FC DCS, DHA, Port Locking DataFort Features Starke AES-256 Verschlüsselung: Robust, volle FC bzw. GbE Geschwindigkeit, Verschlüsselung in Hardware. Einheitliche Infrastruktur für NAS, SAN iscsi und Tape Mandantenfähigkeit: Cryptainer Einheiten erlauben die sichere Konsolidierung von Daten verschiedener Gruppen auf eine gemeinsame Infrastruktur und verhindern den unauthorisierten Zugriff des Administrators Authentifizierung und ACL s: DataFort bietet vielfältige Optionen für eine strenge Authentifizierung und granulare ACL s. Die Lösung integriert sich problemlos in existierende Verzeichnisdienste CryptoShred : Alle lokalen und replizierten Kopien von Daten können auf einen Schlag gelöscht werden, indem einfach die Keys gelöscht werden. Skalierbarkeit und Verfügbarkeit: DataFort Cluster skalieren bis zu 32 Knoten und unterstützen Hochverfügbarkeits- und disastertolerante Konfigurationen Lifetime Key Management System: automatisiertes, zentralisiertes Key Management für Archivierung und Disaster Recovery Kryptographisch signierte Log Dateien: Überwachen und dokumentieren Datenzugriff und Administrationsänderungen Zertifizierung: FIPS Level 3, Common Criteria EAL

8 Decru E-Series NAS Infrastruktur - Lösung Risiko Prozeß Keine Prozeß / Tag / Zeit / Tag Schloss; / Zeit Applikationssignatur Authentifizierung IPsec Verschlüsselung AES 256 Verschlüsselung Active Directory Domänen Keine nicht Admin authorisierten Fehler / Angriff Benutzer Änderungen Password Änderung Group Memberships Daten Fileserver liegen verschlüsselt Fehler / Angriff auf Platte - Server Machine Admin Admin sieht Vollzugriff verschl. Daten Backup User User sieht Vollzugriff verschl. Daten Support / Service and Service sieht verschl. Daten keine Platten Gefahr / Server bei Platten Verlust / Server /Diebstahl Verlust Verschlüsselte Verlust / Diebstahl Bänder von können Bändern sicher ausgelagert werden 8

9 Decru FC/ T-Series SAN Infrastruktur - Lösung Risiko Keine Prozess Authentifizierung und Benutzerauf Benutzer Absicherung / Applikationsebene WWN und Spoofing Passwort Authentifizierung AES Platten 256 Diebstahl Verschlüsselun / Reparatur Switch Admin Fehler / Angriff VerschlüsselteTapes Diebstahl sind/ unbrauchbar Verlust Plattensystem wird Storage per Admin LUN verschlüsselt Fehler / Angriff - Support / Service sieht verschlüsselte Daten keine Gefahr bei Plattenverlust / -diebstahl Admin Fehler / Angriff enthüllt nur verschl. Daten 9

10 Secure DR: Multiple Copies of Data Headquarters DR Site/Outsource Server Server FC switch FC switch WAN DataFort Data Exposed Secured Cipher Clear Text Cipher Clear Text text Data Exposed Secured Data Secured Exposed Cipher Clear Text text Data Exposed Secured DataFort Tape System Storage Storage Decru: Bandverschlüsselung ungesicherter Tape Backup FC SWITCH geschützter Tape Backup Decru DataFort FC SWITCH Cleartext Cleartext Encrypted Encrypted CUSTOMER SSN AMT CUSTOMER SSN AMT John Magnus $ John Magnus $ Susan Wong $91.05 Susan Wong $91.05 Ken Hernandez $21.88 Ken Hernandez $21.88 Alicia Sparr $ Alicia Sparr $ M.J. Satyr $76.55 M.J. Satyr $76.55 Dan Spencer $ Dan Spencer $ Mary Jones $90.74 Mary Jones $90.74 Jerome White $ Jerome White $ Martin Ng $20.89 Martin Ng $20.89 Fay Dunlap $ Fay Dunlap $ Takeshi Doi $29.01 Takeshi Doi $29.01 Sarah Fisher $ Sarah Fisher $ Ingrid Parker $ Ingrid Parker $ z<b2>0 z<b2>0 ^\<84>1 <92><F6>^Cq<89><90><CF><9C> ^\<84>1 <92><F6>^Cq<89><90><CF><9C> <D9>1#<F6><8E><C1><CF><86><DA>B<EB> <D9>1#<F6><8E><C1><CF><86><DA>B<EB> <F7>A.\<AD><CF><F0><D2>-<CA><C3><DA> <F7>A.\<AD><CF><F0><D2>-<CA><C3><DA> <8E><F1><B7>^C^L<EE><E5><9E><A4><9E> <8E><F1><B7>^C^L<EE><E5><9E><A4><9E> _^W<CE><AD><BB>2<95>`<D3>E^Tl<8D> _^W<CE><AD><BB>2<95>`<D3>E^Tl<8D> <A7>^<CD><93><A6>/<F5><AC><DF>s<88> <A7>^<CD><93><A6>/<F5><AC><DF>s<88> <87>,<F3>"=<F2>:P;<F3><B1><9F><82> <87>,<F3>"=<F2>:P;<F3><B1><9F><82> <97>^Q<BA><ED>o<AF><C5><DF>u"6,Q^D <97>^Q<BA><ED>o<AF><C5><DF>u"6,Q^D <A7><B9>ol<87>\8<D3><B6><8D>k<9D><A8> <A7><B9>ol<87>\8<D3><B6><8D>k<9D><A8> )9^^A^Q)<F0><FE>-<C0><FB>^LI<82><DB> )9^^A^Q)<F0><FE>-<C0><FB>^LI<82><DB> <E0><C8><D9>a<8E>W<BB><88>q<CC><C0>+ <E0><C8><D9>a<8E>W<BB><88>q<CC><C0>+ ^B^\L<FA><DA><DD><E3><A5>O^O<D7>T7<9 ^B^\L<FA><DA><DD><E3><A5>O^O<D7>T7<9 10

11 Decru Client Security Module Decru Client Security Module (DCS) Powerful Endpoint Security for Servers and Desktops DETAILS Unterstützt NAS, DAS, SAN, Tape, iscsi OS support: Windows, Linux, Solaris (1H 05) Optionale Komponente- minimiert Management Kosten und Betriebsrisiko Unterstützt 2 Gbps FC, ohne jegliche Performance Beeinflussung Eng an DataFort gekoppelt; sichere HW dient als Rettungsangker DCS schützt Clients and Server mit Hilfe folgender Sicherheitsfeatures: Granulare Policy Durchsetzung: Benutzer, Administrator, Applikation, Zeit,Tag, Cryptainer Applikations Whitelist: Security Administrator bestimmt freigegebene Applikationen. Alle anderen Applikationen, Viren, Würmer, DLL s und Hacker Tools sind blockiert Cryptographische Authentifizierung: Applikationen sind cryptograpisch signiert und Maschinen auf denen DCS läuft authentifizieren sich am DataFort und verhindern damit spoofing 11

12 Ungesicherte Applikationsumgebung Mögliche Risiken in rot App/DB servers FC Switches SAN Storage DR Storage WWN Spoofing Storage Admin, Hacker, oder physikalischer Zugang Server SysAdmin SU Angriff Schädliche Programme (Würmer, Viren usw.) Netzwerk, IP Adressen Änderung DBA Angriff Fabric/Switch Attacks WAN Replikation Traditionelle Datenbank Sicherheit (Spalte) Sicherheits Elemente in blau Pros Verschlüsselung auf Spaltenebene schützt Daten von allen Benutzern inc. dba Cons extrem langsam (Durchsatz, Latenz) Änderung an Appl., DB sind erforderlich Keine Server Security Optionen (gegen Viren, Sysadmin..) Kein Index auf verschlüsselte Spalten Vergrösserung der Datenbank Keine Kompression bei Backup App/DB servers FC Switches SAN Storage DR Storage Verschlüsselung auf Spaltenebene Out-of-band encryption appliance ACLs, Authentication Verschlüsselung auf Spaltenebene Verschlüsselung auf Spaltenebene Daten werden auf Spalltenebene verschlüsselt innerhalb der DB. Integrierte HSM Prozessoren oder externe Appliances beschleunigen die Verschlüsselung. 12

13 Decru Secure Application Environment Pros Volle (2 Gbps) Performance Skalierbare Cluster Transparent für OS, Appl., DB Keine Appl. Änderungen Blockt Sysadmin App-level authent, ACLs, Integrität zentrales Key Mgmt. volle DB Funktionalität (indexing, calc ) Voller DR support Cons nur DBA Audit App/DB servers DCS DCS Port Locking FC Switches & DataForts Security Elemente in blau ACLs, Auth, Tamper-evident logs DCS Whitelists, Authentifizierung, HW Integrität, Auditing Daten werden transparent und mit voller Netzgeschwindigkeit verschlüsselt. Keinerlei Änderungen an der DB oder Appl. notwendig SAN Storage DR Storage AES-256 AES-256 AES-256 for data in flight Lifetime Key Mgmt Decru Lifetime Key Management 13

14 Lifetime Key Management Sichere, automatisierte Key Management Infrastruktur NAS SAN Tape Secure Secure Secure Secure LKM DataFort verschlüsselt alle Keys, bevor sie den Storage Encryption Processor verlassen LKM automatisiert Backup/ Recovery und Archivierung von Verschlüsselungskeys LKM bietet zentrales Key Management für das gesamte Unternehmen Recovery Smart Cards werden für das Wiederherstellen oder Klonen eines DataForts benötigt: Quorum 2/5, 2/3 oder 3/5 Smart Cards Hochverfügbarkeit für verschlüsselte Daten Secure DataFort Clustering DataFort Cloning Secure Software Recovery Secure 14

15 DataFort: einfaches Management Schnelle Installation Einzelnes GUI für Clustermanagement CLI und Webbasierendes management Wizard hilft bei Konfiguration der Sicherheitsparameter Monitoring via SNMP Auditing, Syslog Zusammenfassung 15

16 Bedrohung und Gegenmassnahmen Stufenweiser Zugriff Kontroller, Host/UID Applikations Directory Ausspähen Signierung Angriff Network Storage VPN Sniffing (IPsec/SSL) AES-256 Verschlüsselung, Storage Compartmentalization Admin Zugriff Gestaffelte Abwehr, VPN/ Storage Partner VPN, Sicheres Key Zugang Mgmt DCS DATAFORT E-SERIES NAS APPLIANCE/ FILE SERVER NAS FIREWALL Host Authentifizierung, User/Appl. WWN Ausspähen, Llevel Viren, ACLs, Würmer, HW-basierende Hacker Tools Integrität CLIENTS/ HOSTS DCS SysAdmin DCS Angriff Fabric Angriff DATAFORT FC-SERIES FC SWITCH Port Host Address Authentifizierung Spoofing Port Abriegelung PRIMARY STORAGE SECONDARY STORAGE Platten Diebstahl/ AES-256 Encryption, Reparatur, Compartmentalization Entsorgung Admin Zugriff TAPE SAN Tape AES-256 Band Verlust, Verschlüsselung Diebstahl About Decru Gegründet 2001 mit dem Ziel das Problem der Speichersicherheit zu lösen HQ in Kalifornien mit Niederlassungen in London, München, Berlin und Amsterdam Gut finanziert von namhaften Investoren: mehr als 45 m $ Kapital NEA, Benchmark, Greylock Geführt durch erfahrenes und erfolgreiches Management Team Nachgewiesene Implementationen bei: Finanzdiensleistern, Regierung, Militär und kommerziellen Unternehmen -> weltweit Nominated: Best Enterprise Security Product 12 Hot Startups Top

17 Vielen Dank 17