Chcę włączyć szyfrowanie na wszystkich moich taśmach zapasowych. Mniej więcej wiem, jak to zrobić technicznie, ale elementy proceduralne i ludzkie związane z wdrażaniem tego są trudne.
Korzystam z napędów HP LTO4 z Bacillą, która nie ma żadnych funkcji zarządzania kluczami. W rzeczywistości obsługuje szyfrowanie sprzętowe w celu wywołania zewnętrznego skryptu, który ustawia klucz na dysku przed odczytem i zapisem.
Moje pytania:
- Jak powinienem śledzić, które taśmy mają szyfrowanie? Mam już kilkaset taśm bez szyfrowania. Nawet jeśli poświęcę trochę czasu na przepisanie ich wszystkich za pomocą szyfrowania, w niektórych krajach nakładają się na siebie miesiące, a niektóre nie. Skąd bacula będzie wiedział, czy ustawić klucz przed przeczytaniem danej taśmy? Czy dysk jest wystarczająco inteligentny, aby odczytać niezaszyfrowane taśmy nawet po ustawieniu klucza?
- Jeśli klucz zostanie kiedykolwiek naruszony, będziemy musieli go zmienić i będziemy mieli ten sam problem, co numer 1.
- Jeśli klucz zostanie zgubiony, skutecznie utraciliśmy wszystkie nasze kopie zapasowe. Jak mogę to złagodzić bez zwiększania ryzyka naruszenia bezpieczeństwa?
- Czy klucz powinien się zmieniać regularnie? Raz w roku? Jaka jest najlepsza praktyka?
- Jak duże systemy tworzenia kopii zapasowych ISV radzą sobie z tymi problemami?
backup
encryption
tape
bacula
lukecyca
źródło
źródło
Odpowiedzi:
Bardzo dobre pytania. Ja również chciałbym zobaczyć dobre odpowiedzi od ludzi, którzy wiedzą o tym więcej niż ja. :-)
Właśnie dlatego wiele osób lub większość nie używa szyfrowanych kopii zapasowych.
Jednym z możliwych sposobów jest zbudowanie kilku „łodzi ratunkowych”, tj. Pakietów z nośnikiem instalacyjnym, nazwami użytkowników i hasłami do niezbędnych systemów, takich jak kopie zapasowe, Active Directory i inne (tj. Rzeczy, których potrzebujesz, aby załadować kopię zapasową, jeśli główna witryna została całkowicie zniszczone w pożarze, ale nie same dane kopii zapasowej). Te łodzie ratunkowe należy przechowywać bezpiecznie poza miejscem, na przykład w skarbcu bankowym lub w sejfie o wysokim poziomie bezpieczeństwa w odległym biurze z systemem alarmowym. Na koniec udokumentuj to, aby w razie potrzeby inni mogli dowiedzieć się, jak korzystać z łodzi ratunkowych po odejściu z firmy.
Z praktycznego punktu widzenia powiedziałbym, aby nie zmieniać kluczy, ponieważ szybko stanie się to niemożliwe do zarządzania, jeśli to zrobisz. Jeśli martwisz się, że zabezpieczenia kopii zapasowych nie są wystarczająco dobre, wzmocnij bezpieczeństwo fizyczne wokół taśm, korzystając z usług takich jak Iron Mountain lub samodzielnie budując system pamięci masowej z dobrym zabezpieczeniem fizycznym.
Wreszcie: wolałbym mieć wszystkie funkcje szyfrowania i tworzenia kopii zapasowych w jednym systemie, więc ryzyko odzyskiwania nie będzie działać. Rozumiem przez to wbudowane szyfrowanie w oprogramowaniu takim jak Retrospect lub Backup Exec, a nie szyfrowanie na poziomie dysku.
źródło
Używam dm-crypt FS, szyfrując go długim i silnym hasłem.
Aby uniknąć utraty hasła, napisałem je na woskowanym, zapieczętowanym liście, przekazałem na własność firmy i schowałem w sejfie.
Oczywiście możesz przekazać to notariuszowi lub cokolwiek innego.
Myślę, że hasło lepiej nadaje się do tej pracy, ponieważ może to być tylko w umyśle osób upoważnionych do jego poznania, podczas gdy urządzenie cyfrowe może zostać zgubione, skradzione i tak dalej.
Oczywiście możesz być torturowany :)
źródło
Odpowiadam na to i robię z niego wiki społeczności, ponieważ kopiuję i wklejam z istniejącego dokumentu.
Dla przypomnienia, używam Amanda Enterprise jako mojego rozwiązania do tworzenia kopii zapasowych i nie używam dostarczonego przez nią szyfrowania z tych samych powodów, o których wspominasz.
Badałem szyfrowanie taśm i natknąłem się na świetny dokument HP dotyczący szyfrowania LTO-4 , a także wiele możliwości zarządzania kluczami. Oto podstawowe podsumowanie dostępnych opcji, które są przedstawione:
To, czego tak naprawdę nam brakuje, to oczywiście to, co robią ludzie w prawdziwym świecie. Oficjalne dokumenty są świetne, ale niekoniecznie odzwierciedlają rzeczywistość.
Zadałem też to pytanie na swoim blogu , więc niektóre odpowiedzi lub przykłady też mogą się tam pojawić.
źródło