Устройство хранения данных

Полезная модель относится к области систем хранения данных и, в частности, к области многопротокольных устройств хранения данных, поддерживающих файловые и блочные протоколы доступа.
Известно многопротокольное устройство хранения данных, реализующее интегрированную поддержку файловых и блочных протоколов доступа (патент РФ №2302034). Система хранения данных представляет собой компьютер с функционирующей на нем службой хранения информации, в основе которой лежит организация информации на перезаписываемых постоянных запоминающих устройствах, например, блоках памяти, лентах или дисках. Система хранения данных, как правило, устанавливается в среде сети хранения данных (storage area network, SAN) или среде накопителя, подключенного к сети (network attached storage, NAS). Система хранения данных (СХД), используемая в среде NAS, может быть реализована в виде файлового сервера, имеющего операционную систему, которая, в свою очередь, поддерживает файловую систему, посредством которой осуществляется логическая организация информации в виде иерархической структуры каталогов и файлов (например, на дисках). Каждый "дисковый" файл может представлять собой набор структур данных, например, блоков на диске, сконфигурированных для целей хранения информации, например, собственно данных файла. В свою очередь, каталог может представлять собой файл специального формата, в котором хранится информация о других файлах и каталогах.
Известна также система внешнего хранения данных (патент №2383952).
В общем случае СХД состоит из жестких дисков (HDD), контроллера ввода/вывода и объединяющей системы. Диски, как правило, поддерживают "горячую замену", то есть их можно подключать и отключать "на лету", без выключения накопителя. Это дает возможность заменить вышедший из строя винчестер без каких-либо неприятностей для пользователя. Основной и резервный блоки питания накопителя имеют повышенную надежность и также допускают "горячую замену".
Контроллер дисковой системы хранения данных является ее центром. Он отвечает за ввод/вывод данных внутри системы и на внешние каналы, а также за организацию хранения и доступа к информации. Для связи с внешним миром контроллеры накопителей обычно используют интерфейсы SCSI, Fibre Channel или же Ethernet. В зависимости от предназначения системы контроллеры могут реализовывать различную логику работы и применять различные протоколы обмена данными. Они предоставляют для систем пользователей данные на блочном уровне, как винчестеры, или же файловые сервисы по протоколам NFS, CIFS, а также Network File System, Common Internet File System подобно файловым. Такой контроллер обычно поддерживает стандартные уровни RAID для увеличения быстродействия системы и обеспечения отказоустойчивости.
Наиболее близким техническим решением является устройство, описанное в http://ko.com.ua/sistemy_hraneniya_dannyh_nachalnogo_urovnya_14866?site=mobile - прототип.
Данное устройство хранения данных содержит контроллер, N HDD, соединенные входами/выходами с контроллером.
Техническим результатом полезной модели является обеспечение двухфакторной аутентификации для повышения безопасности доступа к интерфейсу модуля управления и мониторинга аппаратной платформой устройства хранения данных.
Технический результат достигается тем, что в устройство хранения данных, содержащее контроллер, N HDD, соединенные входами/выходами с контроллером, дополнительно введены веб сервер, первый вход/выход которого соединен шиной с первым входом/выходом контроллера, контроллер ВМС, первый вход/выход которого соединен шиной с третьим входом/выходом веб сервера, а второй вход/выход - с вторым входом/выходом контроллера; сенсоры, вход/выход которых соединен с третьим входом/выходом контроллера ВМС; контроллер питания, вход/выход которого соединен с четвертым входом/выходом контроллера ВМС; устройства идентификации, выходы которых соединены со вторым входом веб сервера.
Сравнение с прототипом показывает, что заявляемое устройство отличается наличием новых блоков и их связями между ними. Таким образом, заявляемое устройство соответствует критерию «новизна».
Сравнение заявляемого решения с другими техническими решениями показывает, что перечисленные элементы, используемые в блоках, являются известными, однако их введение в указанной связи с остальными элементами приводит к решению новой задачи бесперебойного питания системы хранения данных. Это подтверждает соответствие технического решения критерию «существенные отличия».
На фиг. 1 показана общая блок-схема предлагаемого устройства, в состав которого входят N жестких дисков (HDD) 1, контроллер 2, веб сервер 3, контроллер ВМС 4, контроллер питания 5, сенсоры 6, устройства идентификации 7.
Устройство работает следующим образом.
Одним из компонентов устройства хранения данных является контроллер ВМС 4, предназначенный для автономного мониторинга и управления функциями, встроенными непосредственно в аппаратное и микропрограммное обеспечения серверных платформ. Основные функции:
Мониторинг аппаратной платформы прототипа;
Удаленное управление прототипом;
Подключение виртуальных устройств;
Делегирование устройств удаленной рабочей станции прототипу;
Журналирование;
Инвентаризация.
Данные функции доступны независимо от процессора, BIOS'a и операционной системы. Функции управления платформой могут быть доступны, даже если система находится в выключенном состоянии. Среди сенсоров 6 можно выделить:
Датчики температуры (процессор, оперативная память, контроллер жестких дисков, отдельных зон прототипа и др.);
Датчики напряжения различных элементов;
Датчики скоростей вращения кулеров системы охлаждения прототипа;
Датчики мощностей блоков питания;
Индикаторы присутствия и работоспособности блоков питания;
Датчик снятия крышки прототипа;
Датчик самотестирования контроллера ВМС.
При использовании функций удаленного управления и подключения виртуальных устройств с удаленной рабочей станции становится возможным хищение чувствительной информации злоумышленником.
Доступ к такому функционалу должен быть строго ограничен, так как потенциально является каналом утечки данных. Однако в большинстве существующих систем разграничение доступа обеспечивается средствами веб-сервера по имени пользователя и паролю.
Предлагается использовать более одного фактора аутентификации. Метод аутентификации «имя пользователя - пароль» относится к факторам типа «Что-то, что мы знаем». Предлагается использовать устройства аутентификации («что-то, что мы имеем») или биометрические средства («что-то, чем мы являемся»).
Доступ к такому функционалу должен быть строго ограничен, так как потенциально является каналом утечки данных. Однако в большинстве существующих систем разграничение доступа обеспечивается средствами веб-сервера по имени пользователя и паролю.
При подаче дежурного питания запускается контроллер ВМС 4 (Baseboard Management Controller). Он опрашивает датчики, подключается к аппаратной платформе. После этого начинает работу веб-сервер 3, который доступен по заранее настроенному через BIOS адресу. При входе требуется пройти первую аутентификацию по имени и паролю, которая обеспечивается средствами веб-сервера. В случае, если эта проверка успешна, требуется пройти вторую аутентификацию через другой, изолированный канал для обеспечения большей безопасности.
Это может быть аппаратный USB токен (компактное устройство, предназначенное для обеспечения информационной безопасности пользователя, также используется для идентификации его владельца, безопасного удаленного доступа к информационным ресурсам и т.д. Как правило, это физическое устройство, используемое для упрощения аутентификации), приложение-генератор одноразовых паролей, аутентификация по SMS, дактилоскопический датчик, сканер сетчатки глаза и прочие средства подтверждения личности.
Принцип работы этих средств разнится, но в итоге пользователь будет либо аутентифицирован, либо заблокирован. В зависимости от выбора средства аутентификации будут предприняты соответствующие действия для проверки. В случае работы с аппаратным токеном - на рабочей станции ведется поиск драйвера работы, с помощью которого происходит обмен данными с ключом. Для активации и доступа к данным ключа используется пользовательский код токена. После этого система проверяет соответствуют ли аутентификационные данные пользователю, который пытается с их помощью аутентифицироваться. В случае успешного подтверждения личности предоставляется доступ ко всем подсистемам модуля управления и мониторинга.
Таким образом, в предлагаемом устройстве хранения данных для обеспечения информационной безопасности пользователя предусмотрена двухфакторная аутентификация.