ISO/IEC 27040 Storage Sicherheit
Die ISO/IEC 27040, Informationstechnik – IT-Sicherheitsverfahren – Speichersicherheit [1], stellt detaillierte technische Anleitungen für die Planung, den Entwurf, die Dokumentation und die Implementierung der Sicherheit von Datenspeichern bereit. Der Standard behandelt den Schutz von Daten bei der Speicherung und bei der Übertragung sowie die Sicherheit von Speichereinheiten und Speichermedien während ihres Lebenszyklus.

Die Anfangskapitel des ISO/IEC 27040 gehen nach dem Vorwort und der Einleitung ein auf den Geltungsbereich, auf Begriffe und deren Definitionen sowie auf Symbole und Abkürzungen. Dazu gehören u. a. die Begriffe Bewegungsdaten (data in motion), Deduplizierung (deduplication) von Daten durch Vermeidung redundanter Speicherung, Fibre Channel als serielle I/O-Verbindung, Network Attached Storage (NAS) als Speichereinheit, die an ein Netzwerk angeschlossen ist und Dateizugriffsdienste bereitstellt, sowie der Begriff out-of-band, der die Kommunikation oder Übertragung außerhalb einer etablierten Kommunikationsmethode oder eines etablierten Kommunikationskanals bezeichnet.

Als Abkürzungen genannt sind u. a. DH-CHAP (Diffie-Hellman – Challenge Handshake Authentication Protocol), FCEAP (Fibre Channel Extensible Authentication Protocol), FCAP (Fibre Channel Certificate Authentication Protocol), RADIUS (Remote Authentication Dial In User Service) und WWN (World Wide Name).

Ein weiteres Kapitel gibt einen Überblick und beschreibt Konzepte.

Kapitelüberblick
Diesen Anfangskapiteln schließen sich die folgenden Kapitel an:

Speicherkonzepte
Voraussetzung für die Absicherung der Storage-Infrastruktur ist die Kenntnis der Speichertechnologien und -konzepte. Zu unterscheiden sind u. a. storage arrays mit Anbindung an ein Speichernetzwerk und Network Attached Storage (NAS), aber auch Backup-/Recovery-Systeme. Verfügbar sind weiterhin Funktionen wie Online-Datenspiegelung, verteilte Datenbanken und Archivierung.

Speichersicherheit
Im Hinblick auf Speichersicherheit sind zum einen physische, technische und administrative und zum anderen vorbeugende, detektierende und korrigierende Sicherheitsmaßnahmen zu betrachten. Zu den spezifischen Sicherheitstechnologien gehören u. a. die Selbstverschlüsselung von Speicherkomponenten, Dienste im Hinblick auf die Authentizität und Integrität von Daten sowie der Schutz von Daten während der Übertragung (data in motion).

Risiken
Sicherheitsrisiken entstehen durch Bedrohungen, Verwundbarkeiten und deren Auswirkungen, wenn Verwundbarkeiten durch Bedrohungen ausgenutzt werden. Zu den Bedrohungen gehören u. a. unbefugte Nutzung und unbefugter Zugriff auf Speichersysteme, aber auch deren Blockade durch Denial-of-Service-Attacken sowie Datenpannen. Zu den schutzbedürftigen Informationen gehören beispielsweise geheime oder vertrauliche Informationen, geistiges Eigentum und personenbezogene Daten. In einer Tabelle stellt die ISO/IEC 27040 den Bedrohungen potenzielle Formen von Datenpannen gegenüber. Der Standard geht ein auf die Themen Verfälschung oder Zerstörung von Daten, temporären oder dauerhaften Verlust des Zugriffs auf die Daten sowie die Verletzung gesetzlicher und regulatorischer Anforderungen.

Die ISO/IEC 27040 geht auf Sicherheitsmaßnahmen ein für Direct Attached Storage (DAS), Storage networking mit SAN und NAS, Storage management, blockbasierten Speicher, objektbasierten Speicher und Sicherheitsdienste für Speicher.

DAS
Direct Attached Storage (DAS), wie z. B. Festplatten oder Magnetbänder, sind direkt mit dem Computer verbunden, d. h. ohne ein dazwischen liegendes Netzwerk. Bei DAS handelt es sich üblicherweise um physisch kleinere Einheiten, die beispielsweise in einer Büroumgebung anzutreffen sind. Dadurch sind sie auf verschiedene Weise angreifbar, z. B. durch Diebstahl oder unberechtigten Zugriff, vor dem selbstverschlüsselnde Festplatten Schutz bieten. Schutz vor Datenverlust bieten regelmäßige Datensicherungen.

SAN
Ein Storage Area Network (SAN) stellt ein Hochgeschwindigkeitsnetzwerk dar, das den blockbasierten Netzwerkzugriff auf den Speicher ermöglicht. Ein SAN besteht üblicherweise aus Servern, Switches und Speichereinheiten, die sich über mehrere Standorte erstrecken können.

Die Sicherheitsmaßnahmen für ein SAN gruppiert die ISO/IEC 27040 in die Kategorien Zugangskontrolle, Authentisierung und Verschlüsselung. Zugangskontrolle lässt sich durch Port Binding, Zoning und LUN (logical unit) masking and mapping implementieren.

Port Binding, Zoning
Port Binding ordnet einer physischen Port-ID den World Wide Name (WWN) eines angebundenen Geräts zu. Zoning unterteilt ein SAN in getrennte Zonen, um die Sichtbarkeit von Netzbereichen auf spezifische Server und Speichereinheiten zu begrenzen. Beim Soft zoning begrenzt der SAN fabric nameserver seine Antworten auf Anfragen. Das sicherere Hard zoning nutzt die physischen Port-Nummern auf den SAN-Switches, um die Weiterleitung des Datenverkehrs zu begrenzen.

LUN
Speichereinheiten lassen sich in logische Einheiten (logical unit, LUN) unterteilen. LUN masking bezieht sich darauf, eine LUN für Server sichtbar zu machen oder nicht.

Die physische und logische Isolierung von Speicherelementen in einem SAN spielt ebenfalls eine wesentliche Rolle.

FC-, IP-, FCoE SAN
Im Einzelnen geht die ISO/IEC 27040 weiter ein auf Fibre Channel SAN, IP SAN und das FCoE SAN (Fibre Channel over Ethernet).

NAS
Network Attached Storage (NAS) ermöglicht heterogenen Clients den Zugriff auf Dateiebene über ein Netzwerk. Die ISO/IEC 27040 unterscheidet drei Kategorien von Sicherheitsmaßnahmen: Autorisierungsmaßnahmen, wie Zugriffskontrolllisten (Access Control List, ACL), Datenverschlüsselung und Authentisierungsmaßnahmen, wie Kerberos.

Bezogen auf das Network File System (NFS) sollte unter Sicherheitsgesichtspunkten NFSv4 statt NFSv3 zum Einsatz kommen und der Datenzugriff von Clients verschlüsselt sein. Bei NAS, der Server Message Block (SMB)/Common Internet File System (CIFS) nutzt, sollten spätere Versionen des SMB-Protokolls zum Einsatz kommen und statt NT LAN Manager (NTLM) v1 sollte NTLM v2 oder Kerberos genutzt werden.

Storage Management
Storage Management kann hohe Anforderungen an Administratoren stellen, weshalb entsprechende Storage-Management-Tools und Prozesse implementiert werden. Der Standard geht ein auf Authentifizierung und Autorisierung, Absicherung der Management-Interfaces, sicherheitsbezogenes Auditing, Accounting und Monitoring sowie Systemhärtung.

Blockbasierter Speicher
Im Hinblick auf blockbasierten Speicher behandelt die ISO/IEC 27040 Fibre Channel (FC) Storage und IP storage, insbesondere iSCSI. Bei FC-Systemen sollten Sicherheitsmaßnahmen u. a. im FC-Protokoll implementiert werden, wie z. B. gegenseitige Authentisierung mittels FC-SP-2 AUTH-A und verschlüsselte Datenspeicherung. Bei iSCSI sollte als Sicherheitsmaßnahme u. a. die Authentisierung mittels des bidirektionalen Challenge Handshake Authentication Protocol (CHAP) unter Nutzung zufälliger Challenges für den Initiator und das Ziel zum Einsatz kommen.

Dateibasierter Speicher
Bei NAS mit NFS sollte u. a. eine benutzerbezogene Authentisierung z. B. mittels NFSv4 und Kerberos V5 erfolgen und Daten – falls erforderlich – verschlüsselt gespeichert sein. Bei NAS mit SMB/CIFS sollten u. a. Zugriff auf CIFS shares mittels „Guest” und „Everyone” unterbunden und Daten falls erforderlich verschlüsselt gespeichert sein.

Objektbasierter Speicher
Im Hinblick auf objektbasierten Speicher geht die ISO/IEC 27040 auf Cloud computing storage, objektbasierte Speichereinheiten (Object-based Storage Device, OSD) und Content Addressable Storage (CAS) ein. Bei Cloud computing storage behandelt der Standard dessen Absicherung und die Sicherheit des Cloud Data Management Interface (CMDI), das in der ISO/IEC 17826 spezifiziert ist.

Speichersicherheitsdienste
Als Elemente der Speichersicherheit behandelt die ISO/IEC 27040 die sichere Vernichtung von Daten, wenn sie nicht mehr benötigt werden, die Vertraulichkeit von Daten bei der Übertragung und Speicherung sowie die Datenreduktion, z. B. durch Kompression oder Deduplizierung.

Speichersicherheit
In Kapitel 7 beschreibt die ISO/IEC 27040 Entwurfsprinzipien für die Speichersicherheit. Hierzu gehören gestaffelte Sicherheitsebenen (defence in depth), getrennte Sicherheitsbereiche für unterschiedliche Sicherheitsniveaus, die Vermeidung von Single Points of Failure (SPoF) und eine gesicherte Initialisierung.

Verfügbarkeit
Weiterhin behandelt der Standard die Themen Zuverlässigkeit, Verfügbarkeit und Widerstandsfähigkeit von Daten. Dabei geht er zusätzlich auf die Datensicherung und die Datenreplikation ein und weist darauf hin, dass diese zur Rücksicherungsstrategie passen müssen. Außerdem müssen Speichersysteme bei der Planung und Implementierung von Disaster Recovery und Geschäftskontinuität (Business Continuity) berücksichtigt werden.

Datenaufbewahrung
Die ISO/IEC 27040 unterscheidet zwischen langfristiger und kurz- bis mittelfristiger Aufbewahrung. Sie spricht die begrenzte Lebensdauer üblicher Speichermedien und die Migration auf neuere Speichertechnologien an und geht auf Schutzmaßnahmen ein, wie z. B. Zugriffskontrolle und Nachvollziehbarkeit.

Vertraulichkeit und Integrität
In diesem Kapitel geht der Standard auf die Verschlüsselung von Daten ein und weist darauf hin, dass damit auch Risiken verbunden sind, z. B. wenn Daten nicht mehr entschlüsselt werden können. Unter Sicherheitsaspekten sollte grundsätzlich so nahe an der Quelle wie möglich verschlüsselt werden. Als mögliche Verschlüsselungsebenen führt die ISO/IEC 27040 vier Ebenen an, auf denen verschlüsselt werden kann: die Anwendungsebene, die Dateisystemebene, die Netzwerkebene und die Geräteebene.

Virtualisierung
Speichervirtualisierung trennt die logischen Speicherabstraktionen von den physischen Speichersystemen. Dies ist beim Entwurf von Sicherheitsmaßnahmen zu berücksichtigen, z. B. im Hinblick auf Datenlöschung.

Bei der Servervirtualisierung läuft auf dem physischen Server üblicherweise ein Hypervisor, der die Aufgabe hat, Ressourcen der Gastbetriebssysteme oder Virtuellen Maschinen (VM) zu erzeugen und freizugeben sowie zu managen. Damit die Daten verfügbar sind, jedoch nicht unzulässig potenziellen Datenpannen ausgesetzt sind, gibt der Standard Anleitung.

Überlegungen
Die Überlegungen zum Entwurf und zur Implementierung gehen ein auf die Verschlüsselung und das Schlüsselmanagement, auf die Berücksichtigung von Datenspeichern in Richtlinien und auf Compliance, um z. B. Anforderungen an die Nachvollziehbarkeit und den Datenschutz, aber auch die Authentizität bei Datendeduplizierung zu erfüllen. Weiterhin geht die ISO/IEC 27040 auf Sicherheitsthematiken im Hinblick auf Mandantenfähigkeit und autonome Datenverschiebungen durch Speichersysteme ein.

Anhang A
Anhang A geht auf Methoden zur Löschung von Speichermedien ein und unterscheidet zwischen Reinigen (clear), Säubern (purge) und Zerstören (destruct). Das Reinigen erfolgt z. B. durch Überschreiben, das Säubern z. B. durch Entmagnetisierung (degaussing) oder kryptografische Löschung, indem der Schlüssel gelöscht wird, und das Zerstören z. B. durch Zerkleinerung oder Einschmelzen. Tabellen beschreiben die drei Methoden für unterschiedliche Medien. Bei den Mobilgeräten sind auch Geräte konkreter Hersteller genannt.

Anhang B
Anhang B nennt als Kriterien zur Auswahl von Sicherheitsmaßnahmen die Sensitivitätsklasse der Daten sowie die Sicherheitspriorität. Dementsprechend sind den Sicherheitsmaßnahmen, z. B. für DAS, NAS, SAN und dateibasierten Speicher, in Tabellen Prioritätswerte im Hinblick auf Vertraulichkeit, Integrität und Verfügbarkeit sowie hinsichtlich der Datensensitivität zugeordnet. Bei den Entwurfsprinzipien für Speichersicherheit ist z. B. genannt, dass zwischen möglichen Angreifern und den Angriffszielen mehrstufige Verteidigungsmechanismen eingesetzt werden sollen und dass sich Speicher und Speichernetzwerke unterschiedlicher Sensitivitätsebenen in unterschiedlichen Sicherheitsbereichen befinden sollten.

Anhang C
Anhang C geht auf wichtige Sicherheitskonzepte ein, nämlich Authentisierung, Autorisierung, selbstverschlüsselnde Plattenspeicher, Löschung, Aufzeichnung, N_Port_ID-Virtualisierung (NPIV), Fibre-Channel-Sicherheit und das OASIS Key Management Interoperability Protocol (KMIP). NPIV ermöglicht es einem N_Port, d. h. einem physischen Netzwerk- oder Knoten-Port, mehrere WWPNs zu haben. Unter Fibre-Channel-Sicherheit sind zur Authentisierung u. a. DH-CHAP, FCAP und FCEAP genannt.

Das Literaturverzeichnis bildet den Abschluss des Standards.