Skip to main content
NetApp public and hybrid cloud solutions
本繁體中文版使用機器翻譯，譯文僅供參考，若與英文版本牴觸，應以英文版本為準。

安全考慮和攻擊面

貢獻者 kevin-hoke
PDF

了解如何保護資料的第一步是識別風險和潛在的攻擊面。

這些包括（但不限於）以下內容：

  • 管理和登入

  • 靜態數據

  • 飛行中的數據

  • 網路和防火牆

  • 勒索軟體、惡意軟體和病毒

了解攻擊面可以幫助您更好地保護您的環境。 Google Cloud 中的Google Cloud NetApp Volumes已經考慮了許多此類主題，並預設實現了安全功能，無需任何管理互動。

確保安全登入

在保護關鍵基礎設施元件時，必須確保只有經過批准的使用者才能登入和管理您的環境。如果不法分子破壞了您的管理憑證，那麼他們就擁有了城堡的鑰匙，可以做任何他們想做的事情 - 更改配置、刪除捲和備份、創建後門或禁用快照計劃。

Google Cloud NetApp Volumes for Google Cloud 透過混淆儲存即服務 (StaaS) 來防止未經授權的管理登入。 Google Cloud NetApp Volumes完全由雲端供應商維護，無法從外部登入。所有設定和配置操作都是完全自動化的，因此除了極少數情況外，人工管理員無需與系統進行互動。

如果需要登入，Google Cloud 中的Google Cloud NetApp Volumes透過維護一個有權登入系統的受信任管理員的極短列表來確保登入安全。這種把關有助於減少有存取權限的潛在不良行為者的數量。此外，Google Cloud 網路將系統隱藏在多層網路安全之後，只向外界公開所需的內容。有關 Google Cloud、 Google Cloud NetApp Volumes架構的信息，請參閱"Google Cloud NetApp Volumes架構。"

叢集管理和升級

存在潛在安全風險的兩個領域包括叢集管理（如果不良行為者擁有管理員存取權限會發生什麼情況）和升級（如果軟體映像外洩會發生什麼情況）。

儲存管理保護

作為服務提供的儲存空間透過刪除雲端資料中心以外的最終使用者的存取權限，消除了管理員面臨的額外風險。相反，唯一完成的配置是針對客戶的資料存取平面。每個租用戶管理自己的捲，並且沒有租戶可以存取其他Google Cloud NetApp Volumes實例。該服務由自動化管理，只有極少數受信任的管理員可以透過本節介紹的流程存取系統"服務運作。"

NetApp Volumes-Performance 服務類型提供跨區域複製選項，以便在發生區域故障時為不同區域提供資料保護。在這些情況下， Google Cloud NetApp Volumes可以故障轉移到未受影響的區域以維持資料存取。

服務升級

更新有助於保護易受攻擊的系統。每次更新都提供安全性增強和錯誤修復，以最大限度地減少攻擊面。軟體更新從集中式儲存庫下載，並在允許更新之前進行驗證，以驗證是否使用了官方映像以及升級是否未被不良行為者破壞。

使用Google Cloud NetApp Volumes，更新由雲端提供者團隊處理，透過提供精通配置和升級的專家（這些專家已經對流程進行了自動化和全面測試），從而消除了管理員團隊的風險敞口。升級不會造成中斷， Google Cloud NetApp Volumes會維護最新更新以獲得最佳整體效果。

有關執行這些服務升級的管理員團隊的信息，請參閱"服務運作。"

保護靜態數據

當磁碟被盜、被退回或被重新利用時，靜態資料加密對於保護敏感資料非常重要。 Google Cloud NetApp Volumes中的資料透過使用基於軟體的加密進行靜態保護。

  • Google 產生的金鑰用於NetApp Volumes-SW。

  • 對於NetApp Volumes-Performance，每個磁碟區的金鑰都儲存在Google Cloud NetApp Volumes內建的金鑰管理器中，該管理員使用NetApp ONTAP CryptoMod 產生 AES-256 加密金鑰。 CryptoMod 列在 CMVP FIPS 140-2 驗證模組清單中。看 "FIPS 140-2 憑證 #4144"。

從 2021 年 11 月開始，預覽版客戶管理加密 (CMEK) 功能已為NetApp Volumes-Performance 提供。此功能可讓您使用託管在 Google 金鑰管理服務 (KMS) 中的每個項目、每個區域的主金鑰加密每個磁碟區的金鑰。 KMS 可讓您附加外部金鑰管理員。

有關如何為NetApp Volumes-Performance 配置 KMS 的詳細信息， "請參閱Google Cloud NetApp Volumes文檔" 。

有關架構的更多信息，請參閱"Google Cloud NetApp Volumes架構。"

確保傳輸中的資料安全

除了保護靜態資料之外，您還必須能夠保護在Google Cloud NetApp Volumes實例和用戶端或複製目標之間傳輸的資料。 Google Cloud NetApp Volumes使用加密方法（例如使用 Kerberos 的 SMB 加密、封包的簽署/密封以及用於資料傳輸端對端加密的 NFS Kerberos 5p）為透過 NAS 協定傳輸的資料提供加密。

Google Cloud NetApp Volumes磁碟區的複製使用 TLS 1.2，它利用了 AES-GCM 加密方法。

大多數不安全的運行中協定（如 telnet、NDMP 等）預設都是禁用的。但是，DNS 並非由Google Cloud NetApp Volumes加密（不支援 DNS Sec），因此應盡可能使用外部網路加密進行加密。請參閱"傳輸中的資料加密"有關保護傳輸中資料的詳細資訊。

有關 NAS 協定加密的信息，請參閱"NAS 協定。"

NAS 權限的使用者和群組

保護雲端中資料安全的一部分涉及正確的用戶和群組身份驗證，其中存取資料的用戶被驗證為環境中的真實用戶，且群組包含有效用戶。這些使用者和群組提供初始共用和匯出存取權限，以及儲存系統中檔案和資料夾的權限驗證。

Google Cloud NetApp Volumes使用基於標準 Active Directory 的 Windows 使用者和群組驗證來實現 SMB 共用和 Windows 風格的權限。該服務還可以利用 UNIX 身分提供程序，例如用於 UNIX 使用者和群組的 LDAP，以進行 NFS 匯出、NFSv4 ID 驗證、Kerberos 驗證和 NFSv4 ACL。

註 目前， Google Cloud NetApp Volumes僅支援 Active Directory LDAP 的 LDAP 功能。

偵測、預防和緩解勒索軟體、惡意軟體和病毒

勒索軟體、惡意軟體和病毒對管理員來說是一個持續的威脅，偵測、預防和緩解這些威脅始終是企業組織的首要任務。針對關鍵資料集的一次勒索軟體事件就可能造成數百萬美元的損失，因此盡最大努力將風險降至最低是有益的。

儘管Google Cloud NetApp Volumes目前不包含原生偵測或預防措施，例如防毒保護或 "自動勒索軟體偵測"，可以透過啟用定期快照計劃來快速從勒索軟體事件中復原。快照副本是不可變的，並且只讀取檔案系統中更改區塊的指針，接近即時的，對效能的影響極小，並且僅在資料變更或刪除時才會佔用空間。您可以設定 Snapshot 副本的計劃以符合所需的可接受恢復點目標 (RPO)/恢復時間目標 (RTO)，並且每個磁碟區最多可保留 1,024 個 Snapshot 副本。

Google Cloud NetApp Volumes提供免費的快照支援（除了 Snapshot 副本保留的更改區塊/資料的資料儲存費用之外），並且在發生勒索軟體攻擊時，可用於回滾到攻擊發生之前的 Snapshot 副本。快照恢復只需幾秒鐘即可完成，然後您就可以恢復正常提供資料。有關更多信息，請參閱 "NetApp勒索軟體解決方案" 。

防止勒索軟體影響您的業務需要採取多層次的方法，包括以下一項或多項措施：

  • 端點保護

  • 透過網路防火牆防禦外部威脅

  • 數據異常檢測

  • 關鍵資料集的多重備份（現場和異地）

  • 定期對備份進行復原測試

  • 不可變的唯讀NetApp Snapshot 副本

  • 關鍵基礎設施的多因素身份驗證

  • 系統登入安全審計

此列表遠非詳盡無遺，但在處理潛在的勒索軟體攻擊時，它是一個很好的藍圖。 Google Cloud 中的Google Cloud NetApp Volumes提供了多種方法來防範勒索軟體事件並減少其影響。

不可變的 Snapshot 副本

Google Cloud NetApp Volumes本身提供不可變的唯讀 Snapshot 副本，這些副本按照可自訂的時間表進行，以便在資料刪除或整個磁碟區受到勒索軟體攻擊時快速進行時間點恢復。 Snapshot 恢復到以前的良好 Snapshot 副本速度很快，並且可以根據 Snapshot 計劃和 RTO/RPO 的保留期最大限度地減少資料遺失。採用Snapshot技術對效能的影響微乎其微。

由於Google Cloud NetApp Volumes中的 Snapshot 副本是唯讀的，因此它們不會被勒索軟體感染，除非勒索軟體在不知不覺中擴散到資料集中，並且已經從受勒索軟體感染的資料中獲取了 Snapshot 副本。這就是為什麼您還必須考慮基於資料異常的勒索軟體偵測。 Google Cloud NetApp Volumes目前不提供原生偵測，但您可以使用外部監控軟體。

備份和復原

Google Cloud NetApp Volumes提供標準 NAS 用戶端備份功能（例如透過 NFS 或 SMB 進行備份）。

  • NetApp Volumes-Performance 提供跨區域磁碟區複製到其他NetApp Volumes-Performance 磁碟區的功能。有關詳細信息，請參閱 "卷複製"在Google Cloud NetApp Volumes文件中。

  • NetApp Volumes-SW 提供服務原生磁碟區備份/復原功能。有關詳細信息，請參閱 "雲端備份"在Google Cloud NetApp Volumes文件中。

卷複製提供了來源磁碟區的精確副本，以便在發生災難（包括勒索軟體事件）時實現快速故障轉移。

跨區域複製

NetApp Volumes-Performance 可讓您在NetApp控制的後端服務網路上使用 TLS1.2 AES 256 GCM 加密，使用在 Google 網路上執行的用於複製的特定接口，安全地跨 Google Cloud 區域複製磁碟區以進行資料保護和存檔用例。主（來源）磁碟區包含活動生產數據，並複製到輔助（目標）磁碟區以提供主資料集的精確副本。

初始複製傳輸所有區塊，但更新僅傳輸主磁碟區中變更的區塊。例如，如果將位於主磁碟區上的 1TB 資料庫複製到輔助磁碟區，則在初始複製時會傳送 1TB 的空間。如果資料庫在初始化和下次更新之間有數百行（假設幾 MB）發生變化，則只有包含已更改行的區塊才會複製到輔助資料庫（幾 MB）。這有助於確保傳輸時間保持較低水平並降低複製費用。

檔案和資料夾的所有權限都會複製到輔助磁碟區，但共用存取權限（例如匯出原則和規則或 SMB 共用和共用 ACL）必須單獨處理。在發生網站故障轉移的情況下，目標網站應利用相同的名稱服務和 Active Directory 網域連線來提供對使用者和群組身分和權限的一致處理。您可以透過中斷複製關係（將輔助磁碟區轉換為讀寫關係）在災難發生時將輔助磁碟區用作故障轉移目標。

卷副本是唯讀的，它提供了異地資料的不可變副本，以便在病毒感染資料或勒索軟體加密主資料集的情況下快速恢復資料。只讀資料不會被加密，但是，如果主磁碟區受到影響並發生複製，則受感染的區塊也會複製。您可以使用較舊的、未受影響的 Snapshot 副本進行恢復，但根據偵測到攻擊的速度，SLA 可能會超出承諾的 RTO/RPO 範圍。

此外，您還可以利用 Google Cloud 中的跨區域複製 (CRR) 管理來防止惡意管理操作，例如磁碟區刪除、快照刪除或快照計畫變更。這是透過建立自訂角色來實現的，這些角色將磁碟區管理員（可以刪除來源磁碟區但不能破壞鏡像，因此不能刪除目標磁碟區）與 CRR 管理員（不能執行任何磁碟區操作）分開。看 "安全注意事項"在Google Cloud NetApp Volumes文件中了解每個管理員群組允許的權限。

Google Cloud NetApp Volumes備份

儘管Google Cloud NetApp Volumes提供了高資料持久性，但外部事件可能會導致資料遺失。如果發生病毒或勒索軟體等安全事件，備份和復原對於及時恢復資料存取至關重要。管理員可能會意外刪除Google Cloud NetApp Volumes磁碟區。或者用戶只是想將其資料的備份版本保留數月，而保留卷內的額外 Snapshot 副本空間則成為一項成本挑戰。儘管 Snapshot 副本應該是保留過去幾週的備份版本以從中恢復遺失資料的首選方式，但它們位於磁碟區內，如果磁碟區消失，它們也會遺失。

基於所有這些原因， Google Cloud NetApp Volumes透過以下方式提供備份服務 "Google Cloud NetApp Volumes備份"。

Google Cloud NetApp Volumes備份會在 Google Cloud Storage (GCS) 上產生該磁碟區的副本。它僅備份卷內儲存的實際數據，而不是可用空間。它永遠以增量方式工作，這意味著它傳輸一次卷內容，然後從那時起繼續僅備份更改的資料。與具有多次完整備份的傳統備份概念相比，它節省了大量的備份存儲，從而降低了成本。由於備份空間的月費與磁碟區相比較低，因此它是長期保存備份版本的理想場所。

使用者可以使用Google Cloud NetApp Volumes備份將任何備份版本還原到同一區域內的相同或不同磁碟區。如果刪除來源卷，備份資料將保留，並且需要單獨管理（例如，刪除）。

Google Cloud NetApp Volumes備份作為選項內建於Google Cloud NetApp Volumes 。使用者可以透過按卷啟動Google Cloud NetApp Volumes備份來決定要保護哪些磁碟區。查看 "Google Cloud NetApp Volumes備份文檔"有關備份的信息， "支援的最大備份版本數量" 、調度和 "定價"。

專案的所有備份資料都儲存在 GCS 儲存桶中，該儲存桶由服務管理，使用者不可見。每個項目使用不同的儲存桶。目前，這些儲存桶與Google Cloud NetApp Volumes磁碟區位於同一區域，但正在討論更多選項。查閱文件以了解最新狀態。

從Google Cloud NetApp Volumes儲存桶到 GCS 的資料傳輸使用具有 HTTPS 和 TLS1.2 的服務內部 Google 網路。資料使用 Google 管理的金鑰進行靜態加密。

要管理Google Cloud NetApp Volumes備份（建立、刪除和還原備份），使用者必須擁有 "角色/netappcloudvolumes.admin"角色。