Segurança no Armazenamento em Redes

Cartões · 52

NAS (Network Attached Storage)

Dispositivo de armazenamento conectado a uma rede TCP/IP que fornece acesso a dados em nível de arquivo por meio de protocolos compartilhados como NFS e SMB/CIFS.

SAN (Storage Area Network)

Rede dedicada de alta velocidade que interconecta servidores a dispositivos de armazenamento compartilhado em nível de bloco, usando tecnologias como Fibre Channel ou iSCSI.

LUN (Logical Unit Number)

Identificador numérico atribuído a uma partição ou fatia lógica de armazenamento em uma SAN, apresentado aos servidores como se fosse um disco rígido físico dedicado.

LUN Masking

Controle de acesso em nível de storage que restringe a visibilidade e o acesso a LUNs específicos apenas para HBAs ou iniciadores autorizados.

Fibre Channel Zoning

Mecanismo de segmentação de switches Fibre Channel que isola nós em zonas lógicas para impedir comunicação não autorizada entre portas na mesma SAN.

Hard Zoning

Tipo de zoneamento em switches FC aplicado fisicamente nas portas dos switches, garantindo que pacotes só trafeguem entre portas de hardware autorizadas.

Soft Zoning

Zoneamento baseado no endereço WWN (World Wide Name) dos dispositivos, mais flexível em mudanças de cabos, porém vulnerável a técnicas de spoofing.

WWN Spoofing

Ataque em que um nó malicioso falsifica o endereço World Wide Name de um dispositivo legítimo para obter acesso indevido a zonas FC e volumes de armazenamento.

iSCSI (Internet Small Computer Systems Interface)

Protocolo de transporte que encapsula comandos SCSI dentro de pacotes IP, permitindo comunicação de armazenamento em nível de bloco sobre redes Ethernet comuns.

CHAP (Challenge Handshake Authentication Protocol) no iSCSI

Protocolo de autenticação mútua ou unidirecional que valida credenciais entre o iniciador iSCSI e o alvo (target) usando segredos compartilhados criptografados.

IPsec em iSCSI

Camada de segurança opcional que fornece confidencialidade, integridade e autenticação fim a fim do tráfego iSCSI transmitido sobre redes IP não confiáveis.

NFS (Network File System)

Protocolo de compartilhamento de arquivos em nível de rede comum no Linux e Unix, operando segundo o modelo cliente-servidor através de chamadas RPC.

NFSv4 Security (RPCSEC_GSS)

Mecanismo do NFSv4 que integra Kerberos para fornecer autenticação forte de usuários, verificação de integridade de dados e criptografia de canal.

Root Squashing no NFS

Configuração do servidor NFS que mapeia automaticamente solicitações feitas pelo usuário root do cliente para um usuário sem privilégios (como 'nobody').

SMB/CIFS (Server Message Block)

Protocolo de compartilhamento de arquivos e serviços amplamente utilizado em ambientes Windows, com suporte nativo a controle de acesso por ACLs.

SMB Encryption

Recurso nativo a partir do SMB 3.0 que criptografa transmissões de dados ponta a ponta usando cifras AES para evitar interceptação na rede.

SMB Signing

Assinatura digital de cada pacote SMB para garantir a autenticidade e integridade dos dados em trânsito, mitigando ataques de Man-in-the-Middle.

Criptografia em Repouso (Data at Rest Encryption)

Técnica de segurança que protege dados gravados em mídias de armazenamento físico por meio de cifragem, tornando-os ilegíveis em caso de furto físico.

Criptografia em Trânsito (Data in Transit Encryption)

Proteção criptográfica de pacotes trafegados pela rede entre clientes e storages através de protocolos seguros como TLS, IPsec ou SMB criptografado.

SED (Self-Encrypting Drive)

Disco rígido ou SSD com processador interno dedicado que criptografa e decodifica automaticamente todos os dados gravados sem onerar a CPU do host.

KMIP (Key Management Interoperability Protocol)

Protocolo padrão aberto de comunicação cliente-servidor para gerenciamento, armazenamento e distribuição segura de chaves criptográficas corporativas.

HSM (Hardware Security Module)

Dispositivo físico resistente a violações que gera, gerencia e armazena com segurança chaves criptográficas usadas em operações de storages críticos.

RBAC (Role-Based Access Control)

Modelo de controle de acesso que concede privilégios de armazenamento com base nas funções desempenhadas pelos usuários na organização.

ABAC (Attribute-Based Access Control)

Controle de acesso granular que avalia atributos de usuários, recursos, ações e contexto ambiental (como horário ou IP) para autorizar operações.

ACLs (Access Control Lists)

Tabelas anexadas a arquivos, pastas ou volumes que detalham exatamente quais permissões de leitura, escrita ou execução cada identidade possui.

RAID (Redundant Array of Independent Disks)

Arquitetura que combina múltiplos discos rígidos em uma unidade lógica única para fornecer redundância de dados, tolerância a falhas e desempenho.

RAID 1 (Mirroring)

Configuração que replica idêntica e simultaneamente todos os dados em dois discos, garantindo tolerância à perda de uma das unidades.

RAID 5

Arranjo com divisão de dados e paridade distribuída entre no mínimo três discos, permitindo reconstruir dados se um disco falhar.

RAID 6

Extensão do RAID 5 com bloco duplo de paridade distribuída entre pelo menos quatro discos, suportando a quebra de até dois discos em simultâneo.

RAID 10 (1+0)

Combinação de espelhamento (RAID 1) e striping (RAID 0) que oferece alta tolerância a falhas e desempenho de leitura/gravação superior.

VLAN (Virtual Local Area Network) em NAS/SAN

Segmentação lógica de rede Ethernet utilizada para isolar o tráfego de gerenciamento e de dados de armazenamento da rede corporativa comum.

VSAN (Virtual Storage Area Network)

Divisão lógica de um tecido de Fibre Channel em múltiplas redes SAN isoladas, compartilhando switches físicos sem vazamento de tráfego.

Snapshot de Armazenamento

Cópia pontual e instantânea do estado dos metadados e blocos de um volume, essencial para recuperação rápida de dados corrompidos ou sequestrados.

Snapshots Imutáveis

Cópias de dados com políticas de bloqueio contra exclusão ou alteração durante certo período, constituindo defesa contra ransomware.

WORM (Write Once, Read Many)

Tecnologia de armazenamento que garante que dados gravados nunca possam ser modificados, sobrescritos ou apagados até o fim da retenção estipulada.

FCoE (Fibre Channel over Ethernet)

Protocolo de transporte que encapsula quadros de Fibre Channel em tramas Ethernet regulares, exigindo redes sem perdas (Lossless Ethernet).

Lossless Ethernet / PFC (Priority Flow Control)

Mecanismo Ethernet que pausa o tráfego em classes de prioridade específicas para evitar descarte de pacotes em SANs baseadas em FCoE ou iSCSI.

Thin Provisioning

Método de alocação de armazenamento sob demanda onde espaço físico só é consumido quando os blocos são realmente gravados pelo servidor.

Deduplicação de Dados

Processo que identifica e elimina blocos redundantes no storage para otimizar espaço físico, exigindo validações de integridade rigorosas.

Secure Erase (Sanitização de Mídia)

Comando de hardware executado no disco para sobrescrever blocos e purgar tabelas de chaves, impossibilitando recuperação forense de dados residuais.

Data Remanence

Resíduo de informações que permanece em mídias magnéticas ou semicondutoras após tentativas de exclusão de arquivos não criptografados.

Multi-Tenancy em Storages

Arquitetura compartilhada que hospeda múltiplos clientes em um único storage físico, exigindo isolamento rígido de volume, rede e gerenciamento.

Autenticação Kerberos em NAS

Protocolo de autenticação baseado em tíquetes que evita a transmissão de credenciais em texto puro durante conexões NFS ou SMB em rede.

LDAP com SSL/TLS (LDAPS)

Diretório de autenticação centralizado para controle de acesso a compartilhamentos NAS protegido com canais criptografados por certificado TLS.

Air-Gapping de Backups

Medida de segurança física ou lógica que isola completamente cópias de segurança de qualquer conexão de rede acessível ao ambiente produtivo.

Replicação Síncrona

Gravação simultânea de dados no storage local e remoto antes de confirmar a operação ao host, garantindo RPO zero contra desastres.

Replicação Assíncrona

Gravação imediata no storage local e envio diferido ao storage remoto via rede, permitindo longas distâncias mas com leve risco de perda (RPO > 0).

HBA (Host Bus Adapter)

Placa controladora instalada em servidores para conectar o sistema operacional às redes de armazenamento Fibre Channel de alto desempenho.

Multipathing (MPIO)

Configuração de tolerância a falhas que estabelece múltiplos caminhos de rede física entre servidor e storage para balanceamento e failover.

Assinatura e Integridade de Blocos (T10 DIF / PI)

Mecanismo que adiciona dados de verificação a blocos SCSI para proteger contra corrupção silenciosa de dados em trânsito e em disco.

Auditoria e Log de Acesso (Storage Auditing)

Registro contínuo e imutável de eventos de leitura, escrita e modificação de permissões em volumes NAS/SAN para fins de conformidade.

Ransomware Protection via Anomaly Detection

Algoritmos nos controladores de NAS que detectam taxas anormais de alteração de blocos e criptografia repentina, acionando bloqueios automáticos.