So sichern Sie Direct-Attached Storage (DAS): 5 Schritte

Die Sicherheit von Direct-Attached Storage (DAS) ist für alle Unternehmen von entscheidender Bedeutung, die entweder Solid-State-Laufwerke (SSDs), Festplattenlaufwerke (HDDs) oder Arrays zusammen mit ihren Computersystemen verwenden. 

DAS ist entweder per Kabel oder durch den Einbau in den Computer direkt mit einem Computer oder Server verbunden. Der Zugriff erfolgt nicht über ein Netzwerk und ist nicht aus der Ferne möglich, etwa von geografisch getrennten Rechenzentren aus. DAS-Systeme sollten auf Server- und physischer Ebene, bei der gemeinsamen Datennutzung sowie durch die Pflege von Backups geschützt werden. Der folgende Leitfaden zum Absichern von DAS-Systemen enthält Empfehlungen für Unternehmen, die ihre Speichergeräte und Arrays schützen müssen: 

So sichern Sie DAS

• Computer und Server schützen
• Physische Räumlichkeiten absichern
• Gespeicherte Daten sicher teilen
• Starke Backup-Verfahren implementieren
• Speichergeräte und -systeme überwachen

1. Alle Computer und Server schützen 

Unternehmen sollten für alle Geräte starke Passwörter implementieren, eindeutige Zugriffskontrollen festlegen sowie sofortige Systemaktualisierungen und das Einspielen von Patches durchführen, um ihre Computersysteme zu schützen.

Starke Passwörter erstellen

Teams sollten für alle Benutzer starke individuelle Passwörter verlangen, um auf den Computer oder Server zuzugreifen, an den ein Speichergerät angeschlossen ist. Sobald ein Benutzer Zugriff auf das Computersystem hat, ist der Weg zur daran angeschlossenen HDD, SSD oder zum Array kürzer. 

So implementieren Sie starke Passwörter für alle Speichersysteme: 

1. Arbeiten Sie eng mit dem IT-Team des Unternehmens zusammen, um die Mindestanforderungen an Passwörter festzulegen.
2. Ändern Sie alle Standardpasswörter und fest codierten Passwörter. Einige Speichergeräte und Server werden mit standardmäßigen Administratorkennwörtern hergestellt, die für Angreifer sehr leicht zu erraten sind.
3. Erstellen Sie Passwörter mit mindestens acht Zeichen sowie mindestens einer Zahl und einem Sonderzeichen (etwa &, # oder $). Einige Anwendungen, darunter Sicherheitslösungen wie Norton, generieren ebenfalls schwer zu erratende Passwörter.
4. Erstellen Sie für jede Speicherlösung ein eigenes Passwort. Mitarbeiter sollten nicht dieselben Anmeldedaten für verschiedene Server verwenden: Wenn ein Angreifer ein Passwort errät, erhält er Zugriff auf mehr als ein System. 
5. Verwenden Sie ein Passwortverwaltungssystem , damit sich Mitarbeiter ihre schwer zu erratenden Passwörter nicht merken müssen. Passwortmanager verwenden Kryptografie , um Anmeldedaten vor unbefugtem Auffinden zu schützen.  

Starke Zugriffskontrollen implementieren

Teams können Zugriffskontrollen manuell oder über eine Lösung für Identitäts- und Zugriffsmanagement (IAM) konfigurieren. Kleinere IT-Teams oder Organisationen möchten den Zugriff möglicherweise einfach manuell konfigurieren, insbesondere wenn sie über ein oder zwei erfahrene Techniker verfügen, die den Systemzugriff genau verwalten können. Große Unternehmen profitieren insbesondere bei vielen Teammitgliedern, die mindestens ein gewisses Zugriffslevel benötigen, von IAM-Software, da das IT-Team dadurch weniger manuelle Konfigurationsarbeit leisten muss.

• Manuelle Konfiguration: Navigieren Sie zur manuellen Konfiguration von Zugriffskontrollen zum Richtlinieneditor des zu schützenden Computers oder Servers. Listen Sie jeden Benutzer auf, dem der Zugriff auf das System gestattet ist. Dies kann je nach Software auch für einzelne Geschäftsanwendungen erfolgen.
• IAM-Lösung: Mit IAM-Software können Administratoren die Zugriffskontrollen für jede Geschäftsanwendung über die Verwaltungskonsole der Lösung konfigurieren. Diese Richtlinien werden automatisch angewendet, sobald ein Benutzer versucht, sich bei einer Anwendung anzumelden.  

Neben der Forderung nach starken Passwörtern für den erstmaligen Zugriff auf das Computersystem sollten Administratoren auch Zugriffskontrollen für alle Anwendungen auf dem Computer oder Server implementieren, die den Zugriff auf DAS-Speicher ermöglichen. Nur autorisierte Benutzer sollten Dateien auf den verbundenen Laufwerken oder Arrays anzeigen oder verwalten können. Dies ist ebenfalls eine Form der Segmentierung, einer Computertechnologie, die die laterale Bewegung durch das System einschränkt. Ein Angreifer, der an jedem Einstiegspunkt einer Anwendung Anmeldedaten vorlegen muss, wird größere Schwierigkeiten haben, in Programme einzudringen. 

IT-Teams sollten für jeden Computer oder Server Richtlinien für Positiv- und Negativlisten erstellen. Dies kann über den Sicherheitsrichtlinieneditor des Computers erfolgen. Nur autorisierte Benutzer können auf den Computer zugreifen, mit dem das Speichergerät oder Array verbunden ist. In einem detaillierten Richtliniensatz werden die Anmeldedaten jedes autorisierten Benutzers auf eine Positivliste gesetzt, also in eine Liste genehmigter Benutzer aufgenommen, während jeder nicht autorisierte Benutzer auf eine Negativliste gesetzt wird und somit nicht auf den Computer zugreifen kann. 

Allen Mitarbeitern, die das Unternehmen verlassen, sollten ihre Zugriffsrechte entzogen werden. Dies kann entweder manuell oder über eine IAM-Plattform erfolgen, muss jedoch gründlich durchgeführt werden, damit ehemalige Mitarbeiter aus dem Speicherbereich nicht mit alten Anmeldedaten oder durch Hintertüren auf Systeme zugreifen können.

Systeme und Geräte regelmäßig aktualisieren 

Computersysteme und Server sind anfällig für Angriffe, wenn sie über veraltete Software und nicht geschlossene Sicherheitslücken verfügen. Häufig rechnen Angreifer mit Schwachstellen und dringen sofort in ein System ein, sobald Informationen über einen Fehler allgemein veröffentlicht werden. Unternehmen müssen einen Schritt voraus sein und ihre Software sofort patchen oder auf die neueste Version aktualisieren, um sich vor schnellen Angriffen zu schützen.

So halten Sie die Systemsoftware auf dem neuesten Stand: 

1. Überwachen Sie Feeds von Hardware- und Softwareanbietern, einschließlich der Hersteller aller Speichergeräte sowie der Betriebssysteme auf den Computern des Unternehmens. Diese Anbieter geben bekannt, wenn eine Schwachstelle entdeckt wurde, damit ihre Kunden sie umgehend durch einen Patch schließen können. 
2. Legen Sie die Zuständigkeiten innerhalb der IT-Teams fest. Wenn bekannt ist, wer für welche Aktualisierungen verantwortlich ist, können IT-Mitarbeiter bei erforderlichen Änderungen schnell reagieren. 
3. Scannen Sie sowohl die Software der Computersysteme als auch die Speichergeräte auf ungewöhnliche Aktivitäten. Mithilfe von Sicherheitsüberwachungssoftware können Teams erkennen, ob ein nicht autorisierter Benutzer auf ein System zugegriffen hat.   

Erfahren Sie mehr darüber, wie Sie gängige IT-Sicherheitslücken abwehren. 

2. Alle physischen Räumlichkeiten absichern

Da DAS in einer Büro- oder Rechenzentrumsumgebung mit einem Computer oder Server verbunden ist, kann das Speichergerät oder können die Speichergeräte physisch gestohlen werden. Unternehmen sollten von allen Mitarbeitern und Auftragnehmern verlangen, beim Betreten ihrer Räumlichkeiten einen Berechtigungsnachweis wie einen Schlüsselanhänger oder Ausweis vorzulegen, wenn sie ihre Daten im Büro speichern. 

Rechenzentren sollten über ebenso umfassende oder sogar umfassendere physische Sicherheitsmaßnahmen verfügen. So sichern Sie Rechenzentren: 

1. Verlangen Sie für die gesamte Einrichtung Zugangsdaten. Serverräume mit DAS sollten für den Zutritt zusätzlich einen separaten Schlüssel erfordern. 
2. Geben Sie Schlüssel nur Teammitgliedern, die den Serverraum für ihre Arbeit unbedingt betreten müssen.
3. Legen Sie Richtlinien fest, nach denen zwei Personen gleichzeitig Serverräume betreten müssen, um das Risiko eines Diebstahls durch Insider zu verringern und die Verantwortlichkeit zu erhöhen.

3. Gespeicherte Daten sicher teilen

Da DAS wie ein SAN nicht über ein Netzwerk übertragen werden kann, müssen Unternehmen sichere Wege finden, um gespeicherte Daten von Arrays und Festplatten zu übertragen. Alle Datenübertragungen sollten Ende-zu-Ende-verschlüsselt sein, und für alle freigegebenen Dateien sollten spezifische Berechtigungskontrollen festlegen, wer die Datei nicht nur bearbeiten, sondern auch anzeigen darf. 

Das Teilen von DAS-Daten kann umständlich sein, da der Speicher nur auf dem verbundenen Gerät, etwa einem bestimmten Server, verfügbar ist. Um beispielsweise auf einem Flash-Laufwerk oder einer SSD gespeicherte Dateien zu teilen, müssen Benutzer die Dateien möglicherweise zunächst herunterladen. 

Tools zur Dateifreigabe sind für Speicherteams hilfreich, die häufig auf DAS gespeicherte Daten teilen müssen. Diese Lösungen bieten oft Funktionen wie passwortgeschützte Freigabelinks und den Ablauf von Links nach einem festgelegten Zeitraum. Wenn Mitarbeiter aus dem Speicherbereich Dateien per E-Mail versenden, sollten die Daten immer verschlüsselt werden.

4. Starke Backup-Verfahren implementieren 

Alle Festplatten, SSDs und Arrays sollten gesichert werden. Erstellen Sie ein Inventar aller Speichergeräte und Arrays und fertigen Sie Kopien jeder Datei auf jedem Gerät an. 

Legen Sie fest, wie häufig die Daten des Unternehmens gesichert werden müssen, und erstellen Sie auf Grundlage dieses Zeitrahmens Backup-Zeitpläne. Bestimmen Sie außerdem das Recovery Time Objective (RTO) des Unternehmens, damit Backups innerhalb eines akzeptablen Zeitraums wiederhergestellt werden können und der Verlust von Geld und Daten vermieden wird. 

Speichern Sie mindestens eine Kopie aller Daten jedes Geräts an einem anderen Ort oder in der Cloud. Stellen Sie außerdem sicher, dass geschäftskritische Daten auch bei einem Diebstahl oder Ausfall verfügbar bleiben. Dazu sollten Backups kritischer Dateien an einem schnell zugänglichen, geschützten Ort gespeichert werden, etwa in einer privaten Cloud-Speicherlösung.

DAS lässt sich nur schwer sichern und verfügbar machen, doch das Speichern von Backups der DAS-Daten ist weiterhin entscheidend. So ist sichergestellt, dass im Fall eines Sicherheitsvorfalls oder Systemausfalls weitere Kopien der Daten vorhanden sind. 

5. Speichergeräte und -systeme kontinuierlich überwachen 

Stellen Sie sicher, dass Ihr Unternehmen alle Speichergeräte regelmäßig auf Malware scannt. Teams können dies mit Software zur Schwachstellenprüfung tun. Wenn ein Mitarbeiter ein Gerät aus einem Computersystem entfernt, sollte es vor der Übertragung auf ein neues System auf Viren geprüft werden. Ist das Gerät mit Malware infiziert, wird der Schadcode durch die Installation in einem neuen Computer oder Server weiterverbreitet. Wird es vor dem Umsetzen gescannt, kann das Unternehmen das infizierte System besser unter Quarantäne stellen und die Malware dort bekämpfen, statt in zwei Systemen. 

IT-Teams sollten die Computersysteme, auf denen DAS installiert ist, ebenfalls regelmäßig scannen und überwachen. Das Herunterladen von Antivirensoftware auf alle Computer mit DAS hilft dabei, potenzielle Infektionen zu erkennen und einzudämmen. Wenn ein Benutzer auf diesem Computersystem eine Anwendung oder Website aufgerufen und versehentlich Malware heruntergeladen hat, kann auch jeder verbundene Speicher infiziert werden. 

Erfahren Sie mehr über die Sicherheit von Rechenzentren.

Fazit

Der Schutz proprietärer Informationen und Kundendaten, die auf DAS-Geräten gespeichert sind, erfordert von Unternehmen nicht nur die Absicherung der Geräte selbst, sondern auch den Schutz des Zugriffs auf Computer und Server. Jedes DAS ist mit einem Gerät verbunden, das strenge Zugriffskontrollen sowie physische Sicherheitsprotokolle wie einen begrenzten Zugriff vor Ort benötigt. Alle Unternehmen mit DAS sollten einen detaillierten Plan erstellen, der diese fünf Schritte umfasst, damit ihre Daten sicher bleiben.