威胁升级，AAA安全框架下Commvault的应对之道

　　以勒索软件为代表的网络威胁正从小概率事件变为时间问题，去年底的Solarwinds事件还未消退，7月初针对IT服务供应商Kayesa的供应链黑客攻击又破规模之最。Check Point Research的《网络攻击趋势：2021年年中报告》显示，2021年上半年，全球勒索软件攻击数量同比激增93%，“三重勒索”兴起，Trickbot、Dridex等恶意软件竞相流行。Cybersecurity Ventures则预测，到2031年，勒索软件造成的年损失将高达2650亿美元。

　　风险迫在眉睫，企业急需时刻保持“高度警戒”的数据保护供应商，以及切实守住“警戒线”的解决方案。而作为这条“战线”上当之无愧的引领者，Commvault能在为客户保障数据安全的同时，有效应对数据隐私、盗窃、损坏和删除等问题，有效适应数据量增长、数据环境扩展到开放存储系统甚至进入云等新条件。

　　当然，口说无凭，Commvault的最佳实践能力及合规性优势可以通过AAA安全框架充分展现。AAA安全框架指Authentication（身份验证）、Authorization（授权）和Accounting（记账），是数据安全行业普遍认可的应用程序保护准则，也是Commvault评估、改进、展示自身能力的方法。

　　具体而言，Commvault在这三方面均有完备部署，从而抵御勒索软件，强化应用程序保护：

　　一、身份验证（Authentication）

　　每个用户都拥有属于自己的访问条件标准，这是身份验证过程的基本原则。Commvault使用多因素身份验证（MFA）方法显著降低了有效用户账户被冒用的可能性。

　　ü安全轻量级目录访问协议（LDAP）：支持Activate Director和通用LDAP身份认证服务器

　　ü开放授权（OAuth）、安全断言标记语言（SAML）等安全协议：支持外部身份提供者

　　ü双因素认证（2FA）和使用身份验证者应用程序登录

　　ü证书授权：防止Commvault基础设施遭受欺骗

　　ü凭据管理器：为环境中共享资源的账户凭据提供安全容器

　　二、授权（Authorization）

　　完成身份验证的用户需要获得授权才能执行特定任务，Commvault提供了丰富而完整的功能组合保障这一过程。

　　ü基于角色的安全保障：给用户和群组分配角色，以更好管理功能和范围权限

　　ü授权审批工作流：支持四眼原则，用于各项管理任务

　　ü密钥和隐私锁：遵循管理员能管理数据但无法浏览或存储其权限外数据的原则

　　ü联邦信息处理标准（FIPS）认证的加密：对整个数据管理周期进行数据加密

　　ü加密密钥管理：内置密钥管理系统（KMS）或使用外部系统

　　ü网络加密：HTTPS封装，TLS 1.2，代理/网关支持

　　ü第三方端口映射（TPPM）：使用Commvault网络端口进行第三方通信，显著降低实现复杂度

　　ü支持WORM拷贝

　　ü支持云端WORM服务

　　三、记账（Accounting）

　　记账应侧重从安全方面完整记录用户的访问和行动，通过特定报告和警报确保可观察性，Commvault能够应对以下关键问题：

　　ü对用户界面、命令行和API的访问量进行跟踪报告，监测过大的访问权限

　　ü对用户访问和行动的全过程进行审计跟踪

　　ü报告特定时段内无访问的用户，发现可能可取消的权限

　　ü确认加密状态，报告没有加密的数据