この前回投稿の続きから。ユーザとしてのアクセスの話をしたので、管理者のアクセスの話にまず触れていく。
管理者としてのアクセス
ストレージリソースの監視と管理。ネットワーク内の全てのデバイスに関わっているため、ユーザアクセスよりも悪用された際のダメージはずっと高い。
そのためにとっかかりとしてはネットワークの外から管理プラットフォームへのアクセスを防がなければならない。
適切なセキュリティ機能がきちんと制御されていて、それがストレージリソースの保護に役立つのか。一般的に利用されている管理者としてのネットワーク接続手法として、SSHやSSL/TLSを利用しているシステムは多い。
ネットワークに入ってからストレージ機器へのアクセス制御も挟み、そこでLDAP認証やActive Directoryなどの機能を統合することでよりセキュリティを強固にできる。
また不正なアクセスを特定するための手段としてイベントログを吐かせる、というのも有効だ。ただそのログをストレージシステム内に置いてしまうと不正アクセスされた際にそれらのログごと消去されてしまうため、別の場所に設置することが望ましい。ログ用サーバを新たに設置したり別のセキュリティ対策を講じているクラウドストレージへの保存を考えたりと、様々な選択肢がある。
強力な最終権限を一人の管理者に集約させないことも大事だ。ロールベースのアクセス制御を用いて様々な管理機能を割り当てることの方がメリットは大きい。
最後にデバイスの制限という手法もある。ルーターやスイッチの機能で特定のホストからのアクセスでないと弾く、という制御を行なうだけでも脅威が小さくなる。
どのホストにどのストレージ機器や領域への管理アクセスを許可するか。アクセスの限定だけでなく、実行コマンドの制御も行なえるためストレージ内のデータ消去さえも防ぐことができる。
ネットワーク内の機器間の通信監理、管理データをどのように保護して侵入させないか、ネットワークや機器の可用性なども踏まえて、管理者アクセスのセキュリティに取り組んでいく必要がある。
バックアップ(レプリケーション、アーカイブ)の保護
本番サイトに置かれているデータはもちろん、バックアップ、もしくはディザスタリカバリ用の別サイトに置いているデータについてもセキュリティ保護を考えなければならない。
なぜならば本番サイトのネットワーク内の侵入は防げても別サイトネットワークへの侵入を許してしまったら大変な脅威にさらされてしまうからだ。
このケースでは不正な侵入者は本番サイトと別サイトへの侵入以外にも、両サイト間でデータ転送のために利用されるディススタリカバリネットワークへの侵入も狙っている。
それを許すとデータ改ざんや各ストレージ機器へのDoS攻撃が仕掛けられる脅威が待ち受けている。
また余談の範疇になるが、テープ装置を使ったバックアップの場合はテープ保管場所のセキュリティも重要になってくる。物理的な侵入対策はもちろんテープ内のデータを暗号化して物理的な盗難の被害後の局面にも考慮していくことが必要だ。
といった感じで、ユーザ・管理者・バックアップと3つのケースによるセキュリティについて触れてきた。
それぞれの話の中で、具体的な手法は極力述べないようにして、あくまで考え方や注意点だけに終始してきたのは、将来的に最適な手段・方法が目まぐるしく変わっていくからだ。
あとはシステムによっても最適手法は変わってくる。抽象的で奥歯にものがはさまったような投稿になったが了承いただけたらと思う。
ひとりごと
九州が梅雨入りした。関東も6月に入る前後あたりからの梅雨入りになるのだろうか。
学生時代、自宅は最寄駅から徒歩15分以上かかる場所にあったため、降雨時の通学が億劫で仕方なかった。
服は濡れるし、セットした髪型は崩れるし、湿気で汗ばむし。
その時から、いつか住宅を購入する時がきたら駅から近い場所で買おう、と決心した。
もうそろそろ住宅を購入する年齢にさしかかってきた。手元資金の少なさに焦る。もう徒歩で何分とか言ってる場合ではないぞ。