云主机存储安全如何实现有效防护？（云主机的存储安全如何保障？）

大数据时代，信息是非常宝贵的财富。通过信息的采集与分析，企业可以研发出用户需要的产品、服务，这样能够保证企业能够一直向上发展。所以，对于储物这些数据的服务器，它对数据的安全性我们需要格外关注。毕竟谁也不想遭遇数据丢失或者是被恶意盗取的情况，那么，使用云主机等服务器的时候，如何给数据安全加把锁呢?

1、数据加密保护

在各类安全技术中，加密技术是最常见也是最基础的安全防护手段，在云环境下，数据的加密保护仍然是数据保护的最后一道防线，对数据的加密存在于数据的传输过程中和存储过程中。

对数据传输过程中的加密保护能保护数据的完整性、机密性和可用性，防止数据被非法截获、篡改和丢失。针对不同虚拟化对象的特点，应采用不同的传输加密方式。如对IP SAN网络，可以采用IPSec Encryption(IPSec加密)或SSL加密功能防止数据被窃听，确保信息的保密性，采用IPSec摘要和防回复的功能防止信息被篡改，保证信息的完整性。

对数据存储的加密能实现数据的机密性，完整性和可用性，还能防止数据所在存储介质意外丢失或者不可控的情况下数据自身的安全。对数据存储的保护一般在主机端完成，通常由应用系统先对数据进行加密，然后再传输到存储网络中，由于不同应用采用加密算法的多样性导致加密强度的不一致，不利于数据存储安全的统一防护。为了解决这个问题，IEEE安全数据存储协会提出了P1619安全标准体系，这个体系制定了对存储介质上的数据进行加密的通用标准，采用这种标准格式可使得各厂家生产的存储设备具有很好的兼容性。

对数据进行存储保护的另一种思路是在存储设备之前串接一个硬件加密装置，对所有流入存储网络的数据进行加密后，将密文提交给存储设备;对所有流出存储设备的数据进行解密后将明文提交给服务器;这种加密方式与上面提到的采用P1619的的解决方案类似，但这里的加密是由外部加密装置完成，而不是集成在存储网络中。这种解决思路与上层应用和存储无关，但在数据量大的情况下，对硬件加密装置的加解密性能和处理能力要求比较高。

对数据加密保护的第三种解决办法是依靠存储设备自身的加密功能，如基于磁带机的数据加密技术，通过在磁带机上对数据进行加密，使数据得到保护;目前可信计算机组织(TCG，Trusted Computing Group)也已提出了针对硬盘的自加密标准，将加密单元放置在硬盘中，对数据进行保护。自加密硬盘提供用户认证密钥，由认证密钥保护加密密钥，通过加密密钥保护硬盘数据。认证密钥是用户访问硬盘的惟一凭证，只有通过认证后才能解锁硬盘并解密加密密钥，最终访问硬盘数据。

2、基于存储的分布式入侵检测系统

基于存储的入侵检测系统嵌入在存储系统中，如SAN的光纤交换机、磁盘阵列控制器或HBA卡等设备中，能对存储设备的所有读写操作进行抓取、统计和分析，对可疑行为进行报警。由于基于存储的入侵检测系统是运行在存储系统之上，拥有独立的硬件和独立的操作系统，与主机独立，能够在主机被入侵后继续对存储介质上的信息提供保护。在存储虚拟化网络中，应在系统的关键路径上部署基于存储的入侵检测系统，建立全网统一的管理中心，统一管理入侵检测策略，实现特征库的实时更新和报警事件及时响应。

3、资源隔离和访问控制

在云环境下，应用不需要关心数据实际存储的位置，只需要将数据提交给虚拟卷或虚拟磁盘，由虚拟化管理软件将数据分配在不同的物理介质。这就可能导致不同保密要求的资源存在于同一个物理存储介质上，安全保密需求低的应用/主机有可能越权访问敏感资源或者高安全保密应用/主机的信息，为了避免这种情况的发生，虚拟化管理软件应采用多种访问控制管理手段对存储资源进行隔离和访问控制，保证只有授权的主机/应用能访问授权的资源，未经授权的主机/应用不能访问，甚至不能看到其他存储资源的存在。

4、数据删除或销毁

数据的彻底删除也是必须考虑的问题。由于数据存放的物理位置是位于多个异构存储系统之上，对于应用而言，并不了解数据的具体存放位置，而普通的文件删除操作并不是真正删除文件，只是删掉了索引文件的入口。因此在应用存储虚拟化技术之后，应在虚拟化管理软件将安全保密需求相同的文件在物理存储上分配在同一块或多块磁盘上，在删除文件时，为了彻底清除这些磁盘上的敏感信息，将该磁盘或多块磁盘的文件所有位同时进行物理写覆盖。对于安全保密需求高的场合，还应采用消磁的方式来进行更进一步地销毁。

企业如果没有一套安全保障措施，建议可以与你的云服务商咨询，有部分云服务商可以提供类似服务。