Qual è il rischio che i dati vengano ripristinati dallo storage SAN dopo l'eliminazione logica?

Naviga le tue risposte
2

Lo scenario specifico coinvolge server Linux su host VMware con storage SAN. Se i file che contengono dati sensibili vengono cancellati da Linux, possono essere recuperati da uno strumento di basso livello simile a quello che potrebbe essere fatto con l'archiviazione locale? Penso che ci siano una serie di scenari che probabilmente hanno risposte diverse:

  1. "Poco" dopo la cancellazione. L'istanza Linux non è stata riavviata dall'eliminazione e non si è verificata alcuna delocalizzazione esplicita del carico di lavoro VMware. Il resto dell'ambiente è stato stabile durante il tempo intercorso
  2. "Long" dopo la cancellazione. L'istanza Linux non è stata riavviata dall'eliminazione e non si è verificata alcuna delocalizzazione esplicita del carico di lavoro VMware. Le normali operazioni si sono verificate attorno all'istanza che potrebbe aver incluso il trasferimento di altri carichi di lavoro e la riallocazione dello storage SAN per altri carichi di lavoro.
  3. È stato eseguito un riavvio a livello di sistema operativo, ad esempio per forzare la reinizializzazione di un servizio aggiornato.
  4. È stato eseguito uno spegnimento completo del sistema operativo e qualche tempo dopo l'immagine è stata riavviata. [Cosa succede se l'immagine viene spostata su un host diverso prima di riavviare?]
  5. Il carico di lavoro è stato spostato sul nuovo host VMware senza arresto del sistema operativo.

Ci sono alcuni altri casi che posso immaginare, ma hai un'idea. Quindi, i dati possono essere recuperati dall'interno del sistema operativo in vari scenari? Che ne dici dall'host virtuale o dalla console di gestione SAN? Dai media? Quanto sono difficili da sfruttare questi vettori? Qual è la protezione contro il recupero dei dati cancellati in un ambiente virtuale basato su SAN?

    
posta JaimeCastells 26.10.2015 - 15:28
fonte

1 risposta

2

Ogni livello di riferimento indiretto rende più difficile rispondere a questa domanda.

Le SAN NetApp, per esempio, hanno la politica esplicita per fare sempre Copy-On-Write. Ciò significa che i dati non sono MAI aggiornati sul posto. Nulla viene mai sovrascritto direttamente. Invece viene scritta una nuova striscia RAID, i dati di questa nuova striscia sono mappati all'indirizzo della vecchia striscia e i dati della vecchia striscia sono contrassegnati come disponibili per la sovrascrittura. Questo è completamente sconosciuto alla VM in esecuzione su di esso. Se ricordo bene le strisce erano qualcosa come 4k. Quindi se la tua chiave privata era all'interno di quella striscia e pensavi che il comando "shred" di Linux effettivamente lo sovrascrisse su disco, allora no, questo non è quello che è successo a livello di hardware.

E non si può dire esattamente quando i vecchi dati a strisce, una volta contrassegnati come riutilizzabili, saranno effettivamente riutilizzati. Quindi, a seconda della percentuale di spazio libero sulla SAN e del throughput, è possibile che si verifichino delle sovrascritture. Ma solo probabilità.

E ogni strato rende più difficile prevedere:

  • Che dire dello storage multilivello?
  • E il file system sulla VM Linux stessa? In realtà rilascerà quello spazio per sovrascriverlo? Inoltrerà il comando "trim" SATA al livello di archiviazione?

Quindi in chiusura: ottimo modo per dirlo. Se ti preoccupi dei resti di dati cancellati, considera la crittografia completa del disco.

    
risposta data 29.10.2015 - 06:58
fonte

Leggi altre domande sui tag

È necessario verificare l'intero valore hash md5 Un paio di domande sulla scansione delle porte