☰

对于连接 NAS，SMB 是否比 iSCSI 更安全？

tag-icon • tag-icon iscsi ntfs veeam refs ransomware
对于连接 NAS，SMB 是否比 iSCSI 更安全？

最近，我们的一位客户接受了另一家（第三方）IT 审计公司的 IT 网络审计。结果总体上不错，但他们指出，我们在 Windows Server 上使用 iSCSI 客户端作为连接 NAS 的方式，而不是在 NAS 上创建 SMB 共享。他们认为这是一个坏主意：

“iSCSI 和勒索软件攻击也存在安全风险，攻击者可以对 iSCSI 磁盘进行非法加密，导致数据无法读取。从安全角度来看，建议放弃这种数据共享方法，采用共享方法。”

他们这样说是什么意思？是不是指 iSCSI 在 OSI 层（会话）下运行，而 SMB 则在 OSI 层（应用程序）下运行，并且 iSCSI 磁盘向应用程序层呈现的方式与本地连接的磁盘相同，因此更容易受到攻击？

如果是这样，那正确吗？

我不是安全取证专家，尽管我们的工作通常都是取证性质的。我的理解是，勒索软件攻击特定 Win 计算机可访问的 SMB 共享上的数据的可能性与攻击 iSCSI 磁盘的可能性一样大。

我的理解正确吗？或者我遗漏了什么？

问题的其他背景信息

  1. CHAP 密码是在 iSCSI 服务器上设置的，因此我推测他们提出的观点与安装了 iSCSI 客户端的 Win Server 的入侵有关。

  2. 始终只连接一个 iSCSI 客户端，并且采用非常强大的“网络卫生”来确保此密码在任何时候都不会输入到网络内或网络外的任何其他服务器或机器中。

  3. 通常，我们倾向于坚持使用 iSCSI 来使 NAS 磁盘可供 Windows Server 使用。我们发现，当 Windows 负责文件系统时，我们在 DACL 中的高级访问控制条目 (ACE) 方面没有任何问题。例如，QNAP 的实现过去在 ACE 排序方面存在错误，这可能会带来问题。我们还发现了在子对象上设置 CONTAINER_INHERIT_ACE 的一个错误（已传达给 QNAP，但至今未解决）。这一点与这个问题并不严格相关，但提供了一些我们更喜欢 iSCSI 的背景信息。

  4. 与我上面的观点相反，对于这个特定客户，所讨论的 iSCSI 连接磁盘使用 ReFS 格式化，因为它用作 Veeam 备份存储。虽然技术上不是必需的，但出于性能原因，Veeam 建议使用 ReFS 而不是 NTFS，因此我们倾向于选择此选项。（这是一篇好文章解释 ReFS 与 NTFS 备份的区别。）只有在使用 iSCSI 时才有可能获得这些收益，而将 NAS 移至 SMB 时则不可能获得这些收益。

  5. 我已经阅读了一些有关这个主题的内容，并没有找到任何支持证据证明 iSCSI 比通过网络共享连接更容易受到勒索软件的攻击，但我仍然持开放态度。

答案1

任何可在线写入的磁盘都可能被恶意软件或用户破坏。低估它们并认为它们无法找到文件共享是一个错误。

重要数据的最后一道防线始终是已测试，冷离线备份。在这种情况下，重要数据可能包括备份本身！考虑使备份档案无法更改的可能方法。可移动媒体（磁带）、不可变的云存储，凭证仅用于备份，将 NAS 专用于备份，不连接任何其他东西，防火墙保护备份软件端口以外的所有端口，禁用文件共享。

另一个控制是允许列出软件，显著限制运行未知的东西。

您提供的背景表明您已经考虑过这一点，说明您对协议的使用是好的。请考虑得比这个问题高一点，并在回答中说明业务连续性计划中存在哪些保护措施。

  • 上次备份恢复测试是什么时候？是否满足恢复点和恢复时间目标？
  • 是否有人证明过冷备份不在线且不脆弱，例如通过红队演习？
  • 您上次遇到勒索软件问题是什么时候？您采取了哪些措施来改进技术或流程控制？

答案2

撇开在没有集群文件系统但有多个启动器的情况下使用 iSCSI 漏洞的问题不谈，我几乎找不到任何明确的理由来解释为什么文件共享协议在勒索软件方面比 iSCSI 更安全。您可以使用 CHAP 来加强身份验证，使用 IPSec 来保护网络上的数据传输。以下是有关为什么使用 iSCSI 的一个很好的整体解读：https://www.starwindsoftware.com/blog/complete-an-infrastructure-project-for-your-organization-with-iscsi-san

否则，这更多的是备份服务器整体安全性的问题，例如将其与主要生产环境分开，在域之外，并使用单独的帐户（不是域管理员）等等。无论如何，如果您设法将勒索软件带到备份服务器，那么如果您使用例如 SMB 共享作为备份存储库（https://helpcenter.veeam.com/docs/backup/vsphere/smb_share.html?ver=100) 或 iSCSI 存储。

答案3

是的，任何文件级网络数据访问协议都比块（iSCSI、FC、FCoE 等）协议更安全，因为无法使用“网络重定向器”损坏卷，而对于配置不当的集群或任何本地文件系统（EXT3/4、ReFS、XFS 等），这非常容易发生。整个故事在这里有详细介绍：

https://forums.starwindsoftware.com/viewtopic.php?f=5&t=1392

相关内容