web-dev-qa-db-ja.com

サーバー上のデータを暗号化する方法は？

サーバー（Linuxを実行）に暗号化する必要のあるデータ（会社のポリシー）があります。このデータは、このマシンで実行されているアプリケーションによって提供されています。ここで、いくつかの可能性を検討します。

1）（OSによって）データが存在するパーティションのみを暗号化します。
2）パーティション全体ではなく、問題のデータ（一部のサードパーティソフトウェア）のみを暗号化します。
3）すべてを暗号化します。

どのオプションをお勧めしますか？私が最も心配しているのは、このデータが頻繁に利用されるため、パフォーマンスです。現在、暗号化されたSAN=ディスクを使用する可能性はありません。上記が唯一のオプションのようです。どのオプションが最適で、どのソフトウェア/ツールを推奨しますか？それを実装するには？

linuxdisk-encryptionfile-encryptionserver
12
Janek

盗難の防止と回復に役立つ防御策がいくつかあります。

最初に検討すべきことは、フルディスク暗号化です。 [〜＃〜] luks [〜＃〜] 、 TrueCrypt 、または [〜＃〜] pgp [〜＃〜] 。これにより、攻撃者がハードウェアを盗んだとしても、ディスク上のデータを読み取ることができなくなります。ただし、起動時にパスワードを入力する必要があるため、無人のリモートハードウェアの場合、 Lights-out管理 （HP iLOやDell DRACなど）にアクセスできない場合、これが問題になる可能性があります。

これに加えて、他のいくつかのメカニズムが整っていることを確認する必要があります。

  • データセンターの強力な物理的セキュリティ（ロック、生体認証、CCTV、アラームなど）
  • データセンターでセキュリティ手順を導入する必要があります。入るすべての人々はサインインするように作られるべきであり、すべてのハードウェアへのアクセス/変更はログに記録され、サインインされるべきです。
  • 優れたサーバーラックには、サーバーをパドロックするための適切な固定具が付属しています。利用可能な場合、この機能を使用する必要があります。ボルトクロッパーやシブに耐性のある強力な南京錠を選択してください。
  • 起動順序の変更を防ぐために設定されたBIOS管理パスワード。
  • BIOSブートパスワードセット（可能な場合）（ブート時に実際に立ち会う必要がある場合があります）
  • アプリケーションの資格情報を専用の [〜＃〜] hsm [〜＃〜] に保存して、盗難時にデータが回復しないようにすることができます。
  • エポキシ樹脂を使用して物理ポートを無効にし、不正なデバイスがシステムに接続されるのを防ぐことができます。
  • アセットIDはBIOSまたはサーバー管理コンソールで適切に設定し、アセットレジストリに記録する必要があります。
  • Vインク は、すべてのデバイスにタグを付けるために使用する必要があります。 UVセキュリティペンは非常に安価に購入でき、盗難の際の資産識別に非常に役立ちます。多くの場合、サーバーシャ​​ーシだけでなく、個々のハードディスクにもマークを付ける価値があります。
  • 改ざん防止 メカニズム、例：セキュリティテープ。ハードウェアが改ざんされていないことを確認するために使用できます。すばやく簡単に使用するには、サーバーをテープで留め、マーカーペンでテープに署名します。後でサーバーを開くと、シールが破られます。上部に貼り付けられた新しいテープには同じ署名はありません。
22
Polynomial

サーバーの盗難である脅威モデルを考えると、 [〜＃〜] luks [〜＃〜] または同様の形式のフルディスク暗号化を選択します。

ただし、その脅威モデルでは、暗号化に重点を置くべきではありません。代わりに、データセンターがアクセス制御や監視などの形で適切な物理的セキュリティを備えていることを確認してください。

7
user10211