如何加密服务器上的数据？

Question

我在服务器上有一些数据(运行Linux)，需要加密(公司策略)。此数据由运行在此计算机上的应用程序提供。现在我考虑几种可能性：

1)只加密数据所在的分区(由OS加密)。

2)只加密所涉及的数据(一些第三方软件)，而不是整个分区。

3)加密一切。

你会推荐哪种选择？我最关心的是性能，因为这些数据被大量使用。目前，我们没有可能使用加密的SAN磁盘。以上似乎是唯一的选择。请你告诉我哪种选择是最好的，你会推荐什么软件/工具来实现它？

Answer 1

有许多防御措施，你可以用来帮助防止和从盗窃中恢复。

首先要研究的是全磁盘加密，例如卢克斯、TrueCrypt或PGP。这将防止攻击者读取磁盘上的任何数据，即使他们窃取了硬件。不过，您需要在引导时输入密码，因此对于无人值守的远程硬件，除非您能够访问断电管理 (例如HP iLO或DRAC)，否则可能会出现问题。

最重要的是，您应该确保其他几个机制到位：

• 数据中心有很强的物理安全性(例如锁、生物识别、闭路电视、警报)
• 应在数据中心建立安全程序。所有进入的人都应该登录，所有的硬件访问/更改都应该被记录和注册。
• 好的服务器架配备了适当的挂锁服务器固定装置。如果可用，则应使用此功能。选择一个强大的挂锁，这是抗螺栓，剪刀和shivs。
• 设置BIOS管理密码，以防止启动顺序被更改。
• BIOS启动密码集，如果可能的话(可能需要在启动时进行物理检查)
• 应用程序凭据可以存储在专用HSM中，以防止在发生盗窃时恢复数据。
• 环氧树脂可用于禁用物理端口，防止未经授权的设备插入系统。
• 资产ID应在BIOS或服务器管理控制台中正确设置，并应记录在资产注册表中。
• 应该使用UV油墨标记所有设备。你可以买到非常便宜的紫外线安全笔，在盗窃的情况下，它们对财产识别非常有用。标记单个硬盘和服务器底盘通常是值得的。
• 篡改-明显机制，例如安全磁带，可以用来确保硬件没有被篡改。使用它的一个快速而简单的方法是将服务器绑起来并用标记笔在磁带上签名。如果服务器稍后被打开，封条就会被打破。应用在顶部的新磁带将不会带有相同的签名。

Answer 2

按照您的威胁模型，即窃取服务器，我将选择以卢克斯或类似的形式进行完整的磁盘加密。

然而，对于这种威胁模型，加密不应该是您的重点。相反，请确保您的数据中心具有访问控制、监视等形式的适当物理安全。