IBM Storage Protect je software pro zálohování a obnovu dat. Storage Protect je součástí softwarově definovaných úložných produktů v portfoliu IBM Storage.
Zálohovací řešení IBM je centralizované do zálohovacích SP serverů, které hrají pro zálohovaná data klíčovou roli ve formě centrálního katalogu (SP: DB2). Bezpečnost je tu na prvním místě, tudíž bez tohoto katalogu meta-dat není možné zjistit, jaké zálohy či archivy jsou uložené a kde. Jedná se zde o patentovanou technologii IBM. Centrální katalog je konzistentně chráněn transakčními logy, online zálohou nebo cluster nastavením.
Z pohledu bezpečnosti jsou nativně aplikovány tyto ochrany:
- Centrální autentizace administrátorů nebo jednotlivých zálohovacích modulů plně oddělené od firemních LDAP řešení (jako je MS AD), které jsou v dnešní době prvním cílem ransomware útoků se snahou poškodit či smazat provedené zálohy.
- Zmíněná oddělená správa účtů a hlídané kvality hesel je na stejné úrovni jako mají LDAP systémy, a to včetně funkcí vícenásobného potvrzování příkazů, nebo „multi-factor authentication“ vyžadované při přihlašování.
- Automatické šifrování vrstvy metadat bez zálohovacími klienty a centrálním serverem (automatické nastavení SSL/TLS 1.3 úrovně šifrování) bez dopadu na rychlost zálohování.
- Dodatečně lze šifrovat i datovou vrstvu či cílové primární úložiště (po deduplikaci a komprimaci přes AES 256bit). Pro lokální blokové či objektové úložiště je toto šifrování volitelné, pro externí objektové úložiště automaticky zapnuté. Šifrovací klíče jsou opět uloženy pouze v centrálním katalogu. IBM řešení umožňuje nativně řídit šifrování na páskových médiích IBM (LTO nebo Jaguar technologie) bez nutnosti dodatečného SW či licencí (ze strany dodavatele páskového HW):
- Při zálohování virtuálního prostředí je automaticky použita zabezpečená komunikační vrstva (například u VMware NBDSSL).
- Zálohovací řešení IBM má integrovanou vícenásobnou ochranu pro zálohovací administrátory, kdy jsou vybrané operace/příkazy potřeba vícenásobného potvrzení jako ochrana před neoprávněné/nechtěné expiraci a smazání záloh či archivů.
- Plně integrována RBAC (Role Based Access Control) funkcionalita, kdy lze definovat úroveň práv uživatelů a administrátorů pro konfiguraci zálohovacích procesů či pouze pro obnovu dat.
Mezi moderní integrovanou SW funkcionalitu patří možnost detekce možného útoku RANSOMWARE na straně zálohovaných klientů. Tato funkcionalita vychází z logického principu detekce neadekvátní/nestandardní změnovosti zálohovaných dat nebo snížený level dosažené redukce dat (deduplikace) – průměrné „standardní“ hodnoty chování se vytváří z historie 14 dnů chování jednotlivých klientů. Funkce je automatická s grafickým výpisem (či reportem – událostní, denní nebo historický), který je k dispozici odpovídajícím administrátorům nebo Vašemu Security týmu.
Zálohovací řešení IBM je připraveno na požadavky EU směrnice GDPR a FIPS 140-2
https://www.ibm.com/support/pages/using-ibm-Storage-protect-support-gdpr-compliance-strategies
https://www.ibm.com/support/pages/encryption-compliance-fips-140-2-standard
Napojení zálohovacích klientů a procesů IBM na centrální bezpečnostní SW prvky ve společnosti:
- IBM řešení má plně dokumentované propojení LAN portů (pro konfiguraci FW prvků) pro metadata a datové vrstvy, které lze využívat odděleně pro zvýšení bezpečnosti.
- Integrace se SIEM bezpečnostními systémy (IBM QRadar například):
- IBM klienti (SP) dokážou vytvářet tzv. auditní logy na lokálním souborovém systém, které jsou bez expirace a které dokážou logovat všechny naplánované i manuální operace ve formě záloh či obnov dat.
- Centrální webové rozhraní (u SP: Operations Center, u SPP: nativní WebGUI) pak disponuje otevřeným RestAPI přístupem pro zjišťování chování zálohovacího řešení.
