我在服务器（运行 Linux）上有一些需要加密的数据（公司政策）。此数据由在这台机器上运行的应用程序提供服务。现在我考虑几种可能性：
1）仅加密数据所在的分区（由操作系统）。
2）仅加密有问题的数据（某些第 3 方软件），而不是整个分区。
3）加密一切。
你会推荐哪个选项？我最关心的是性能，因为这些数据被大量使用。目前我们无法使用加密的 SAN 磁盘。以上似乎是唯一的选择。你能告诉我哪个选项是最好的，你会推荐什么软件/工具来实现它？
如何加密服务器上的数据？
信息安全
linux
磁盘加密
文件加密
服务器
2021-09-03 14:41:09
2个回答
您可以使用多种防御措施来帮助防止盗窃并从盗窃中恢复。
您应该首先研究的是全盘加密，例如LUKS、TrueCrypt或PGP。这将阻止攻击者读取磁盘上的任何数据，即使他们窃取了硬件。但是，您需要在启动时输入密码，因此对于无人看管的远程硬件，这可能会出现问题，除非您可以访问熄灯管理（例如 HP iLO 或 Dell DRAC）。
除此之外，您应该确保其他几个机制到位：
- 数据中心的强大物理安全性（例如锁、生物识别、闭路电视、警报）
- 应在数据中心实施安全程序。所有进入的人都应该登录，所有硬件访问/更改都应该被记录和签名。
- 好的服务器机架配有适当的固定装置，用于将服务器挂锁到位。如果可用，应使用此功能。选择一个坚固的挂锁，可以抵抗螺栓切割器和刀片。
- 设置 BIOS 管理密码，以防止更改启动顺序。
- 如果可能，设置 BIOS 启动密码（可能需要在启动时亲自出席）
- 应用程序凭据可以存储在专用HSM 中，以帮助防止数据被盗时恢复。
- 环氧树脂可用于禁用物理端口，以防止未经授权的设备插入系统。
- 资产 ID 应在 BIOS 或服务器管理控制台中正确设置，并应记录在资产注册表中。
- 应使用UV 墨水标记所有设备。您可以非常便宜地购买紫外线安全笔，它们对于盗窃时的财产识别非常有用。通常值得标记单个硬盘以及服务器机箱。
- 防篡改机制，例如安全磁带，可用于确保硬件未被篡改。使用它的一种快速简便的方法是将服务器用胶带粘起来并用记号笔在胶带上签名。如果稍后打开服务器，封印将被打破。贴在顶部的新胶带不会带有相同的签名。
根据您的服务器盗窃威胁模型，我会选择使用LUKS或类似形式的全盘加密。
但是，对于该威胁模型，加密不应该是您的重点。相反，请确保您的数据中心以访问控制、监视等形式具有适当的物理安全性。