桌上電話瘋響，午睡的雅興全無。小胡拎起電話，沒好氣的“喂”了一聲。
“不好啦。我們的磁盤陣列染病毒啦！”電話那頭的聲音焦急萬分。
“您好，請您仔細(xì)描述一下好嗎？是連接磁盤陣列的主機(jī)染病毒了嗎？”聽出對方是客戶，小胡只好忍著心里的臟話，細(xì)聲細(xì)氣的詢問。
“不是，不是，就是你們?nèi)ツ曩u給我們的那臺(tái)磁盤陣列染病毒了！”
小胡深吸口氣，思量著怎么對付這個(gè)白癡。
“如果是磁盤陣列中的數(shù)據(jù)染了病毒，您需要在主機(jī)上進(jìn)行殺毒，跟殺內(nèi)部磁盤上的病毒一樣。”
“不是，不是，不是，是磁盤陣列里面染病毒。磁盤陣列控制器的Firmware染病毒了！”
小胡死命的憋著“神經(jīng)病”三個(gè)字，勉強(qiáng)平靜的問：“你是怎么確定磁盤陣列染毒的呢？”
電話那頭似乎也吸了口氣，聲音徐緩下來。“我是這個(gè)機(jī)房的網(wǎng)管，今天發(fā)現(xiàn)網(wǎng)絡(luò)上有病毒傳播，就斷網(wǎng)逐個(gè)殺毒，卻怎么也殺不干凈。最后我們在交換機(jī)上截獲數(shù)據(jù)包分析，發(fā)現(xiàn)毒源的IP地址居然是你們的磁盤陣列上的。”
“啊！”所有準(zhǔn)備羞辱對方無知的打算都瞬間蒸發(fā)掉了，只剩下結(jié)結(jié)實(shí)實(shí)的驚訝。
做了這么久的技術(shù)支持工作，小胡還是第一次聽說磁盤陣列控制器也能中毒。
這是筆者日前碰到的一個(gè)真實(shí)場景。其實(shí)不只是小胡，估計(jì)很多資深的存儲(chǔ)工程師碰到磁盤陣列染病毒的說法，反應(yīng)都會(huì)跟小胡一樣。傳統(tǒng)上磁盤陣列在系統(tǒng)的位置僅僅是一個(gè)外部設(shè)備，很多用戶甚至直接稱呼其為“大硬盤”。這種設(shè)備自身雖然也有固件（Firmware）部分，但基本都是諸如 VxWorks甚至更小的嵌入式系統(tǒng)，極少有病毒能夠感染這種系統(tǒng)。自然也就沒人見過磁盤陣列染病毒這種事情。
但是，近年來隨著磁盤陣列功能的豐富和處理要求的提高，越來越多的中高端磁盤陣列開始選用更大型的操作系統(tǒng)作為固件平臺(tái)。
* NetApp存儲(chǔ)設(shè)備控制器中運(yùn)行的是定制后的FreeBSD；
* Engineo磁盤陣列（即IBM DS4000系列）控制器采用Intel Celeron芯片，運(yùn)行的是Linux（DS4100和DS4300仍然沿襲Mylex技術(shù)，采用Xscale CPU及VxWorks系統(tǒng)）；
* EMC CLARiiON系列陣列控制器采用Intel Pentium芯片，曾經(jīng)以Windows2000作為操作系，現(xiàn)在升級為WindowsXP；
* Sun新推出的6920磁盤陣列中心處理單元（稱為DSP）是一臺(tái)Sparc服務(wù)器，運(yùn)行標(biāo)準(zhǔn)的Solaris和Veritas Volume Manager；
* IBM企業(yè)級產(chǎn)品DS8000陣列控制器是RS6000架構(gòu)，運(yùn)行AIX系統(tǒng)。
傳統(tǒng)服務(wù)器操作系統(tǒng)在磁盤陣列控制器中的盛行，自然為這些產(chǎn)品的功能和處理能力提供了強(qiáng)大動(dòng)力支持，但是同時(shí)也為病毒傳播和黑客攻擊提供了機(jī)會(huì)。
毋需諱言Windows、Linux、Solaris和AIX這些開放系統(tǒng)平臺(tái)由于用戶眾多，自然成了病毒和黑客們的重點(diǎn)攻擊對象。筆者的筆記本上安裝了預(yù)警系統(tǒng)，可以報(bào)告一些嗅探器的掃描和非法請求。
雖然這個(gè)預(yù)警系統(tǒng)不能監(jiān)測到所有的攻擊和掃描，但既便如此，每周累計(jì)上百條的事件已經(jīng)足以說明Internet中的各類攻擊和掃描其數(shù)量何等驚人。如果這些攻擊中只有哪怕1‰的成功率，也將意味著系統(tǒng)平均每2～3個(gè)月就會(huì)被非法入侵一次。對絕大多數(shù)中高端系統(tǒng)而言，這樣的安全性是完全無法忍受的。
更何況，對沒有任何保護(hù)的“裸系統(tǒng)”，攻擊的成功率會(huì)比1‰高很多。筆者曾經(jīng)嘗試將僅安裝有 WindowsXP的筆記本電腦徹夜連接在Internet上，次日早上MSN 的口令已經(jīng)被更改，桌面設(shè)置也面目全非。
針對Windows、Linux和開放Unix系統(tǒng)的病毒和攻擊每天都在更新，而這些系統(tǒng)本身，也是依靠頻繁的補(bǔ)丁和第三方安全軟件來保護(hù)的。因此，對安裝在陣列控制器中的系統(tǒng)而言，情況便很棘手。
目前還沒有第三方安全軟件廠商為陣列控制器提供安全防護(hù)軟件，用戶只能像頻繁的為主機(jī)打補(bǔ)丁一樣，頻繁的為陣列控制器升級固件。事實(shí)上，各磁盤陣列廠商也是這樣提倡的，這些廠商一邊向用戶聲稱“升級為最新版本的固件才能保證系統(tǒng)最為可靠”，一邊以平均每周一次的速度更新其固件版本。
然而升級陣列固件對在線的磁盤陣列來說是非常危險(xiǎn)的操作，頻繁的升級固件無疑會(huì)嚴(yán)重影響數(shù)據(jù)安全。既便廠商可以保證100%安全的固件升級，大多數(shù)中高端系統(tǒng)也無法忍受如此頻繁的當(dāng)機(jī)窗口。每周停機(jī)1～2小時(shí)，每年就要50～100小時(shí)！這哪里還是廠商們所宣稱的“四個(gè)九”、“五個(gè)九”的高可用？
也許廠商們也意識(shí)到了這個(gè)尷尬，一些還算有責(zé)任感的廠商在新推出的產(chǎn)品中引入了一個(gè)特殊的功能----在線升級固件。這下問題似乎解決了。筆者曾多次親耳聆聽過幾家知名廠商的工程師們對此功能的溢美之辭，稱其可以實(shí)現(xiàn)“不間斷的系統(tǒng)維護(hù)”云云。
事實(shí)果真如此嗎？很遺憾，實(shí)際情況完全沒有那么完美。翻開任何一款支持“在線固件升級”產(chǎn)品的用戶手冊，都會(huì)發(fā)現(xiàn)其操作規(guī)程中大同小異的赫然提示：“雖然本產(chǎn)品可以支持在線固件升級，但要求升級過程中停止任何外部 I/O操作。”這是什么意思？磁盤陣列可以不停機(jī)，但是主機(jī)讀寫需要停止。這跟系統(tǒng)停機(jī)有什么區(qū)別？！所謂“不間斷維護(hù)”，豈不成了文字游戲。
退一萬步說，既便用戶完全按照廠商的要求，以最快的速度更新固件，磁盤陣列就安全了嗎？把 WindowsXP的補(bǔ)丁升級到最新版本，就可以免受病毒和黑客威脅了嗎？一樣的道理嘛。也許有人會(huì)懷疑，“并沒有聽說很多磁盤陣列染病毒和被攻擊的事件啊。”其實(shí)道理也很簡單。
想想中高端磁盤陣列一般應(yīng)用的環(huán)境，電信公司的中心機(jī)房哪個(gè)不是層層的軟硬防火墻保護(hù)？銀行的中心機(jī)房更甚，干脆就隔離了接駁 Internet的物理連接。這些客觀因素減少了磁盤陣列這種“脆弱系統(tǒng)”遭受侵?jǐn)_的機(jī)會(huì)，但是這并不等于減少了磁盤陣列的“脆弱性”。
需要注意的是，機(jī)房環(huán)境對磁盤陣列的保護(hù)是非常有限的。幾乎所有中高端磁盤陣列都支持提供遠(yuǎn)程管理維護(hù)，而且廠商或集成商也樂于通過遠(yuǎn)程管理端口進(jìn)行定期巡檢。如果可能，廠商和集成商都會(huì)力勸用戶為磁盤陣列提供一個(gè)公網(wǎng)地址，并將其置于可由外部訪問的位置。也許集成商和用戶大多沒注意到，這種方便也使磁盤陣列的“脆弱性”暴露在危險(xiǎn)的公網(wǎng)環(huán)境中。
另外，一旦機(jī)房內(nèi)部感染病毒或出現(xiàn)惡意用戶，磁盤陣列由于毫無防范，基本是在劫難逃。前面故事中，小胡的客戶遭遇的便是這種情況。磁盤陣列雖然易于感染，但一旦出現(xiàn)這種情況，查殺病毒和惡意代碼的工作卻很困難。由于封裝機(jī)制特殊，一般通用安全軟件是無法在陣列控制器上安裝的。而且，此類系統(tǒng)對管理員帳戶及其他方面的改動(dòng)，也妨礙了安全軟件以網(wǎng)絡(luò)方式清理系統(tǒng)。簡單一句話，磁盤陣列易感染病毒卻不易清除。
除磁盤陣列之外，其他的存儲(chǔ)設(shè)備情況如何呢？我們知道，一些光纖交換設(shè)備和虛擬存儲(chǔ)設(shè)備的核心操作系統(tǒng)也是以Linux為基礎(chǔ)。但是總體而言，這些設(shè)備的安全機(jī)制要比磁盤陣列好很多。部分原因是因?yàn)榇蠖鄶?shù)此類廠商，都或多或少的有傳統(tǒng)以太網(wǎng)絡(luò)技術(shù)基礎(chǔ)，還有一部分原因是，這些系統(tǒng)與人們耳熟能詳?shù)?RedHat、SuSe等Linux版本差異較大，對病毒和黑客而言“兼容性”比較差。
NAS和iSCSI設(shè)備中通用操作系統(tǒng)更為流行，微軟公司還為此類設(shè)備開發(fā)了Windows Storage Server作為專業(yè)系統(tǒng)，其病毒“兼容性”自然非常“好”。然而幸運(yùn)的是，一般NAS和iSCSI設(shè)備上都會(huì)附加有網(wǎng)絡(luò)安全方面保護(hù)。幾乎每個(gè)NAS產(chǎn)品都會(huì)預(yù)安裝或以選項(xiàng)方式提供防病毒軟件，并有良好的認(rèn)證保護(hù)機(jī)制。iSCSI設(shè)備中則干脆將CHAP保護(hù)機(jī)制作為其標(biāo)準(zhǔn)配置之一，避免了系統(tǒng)裸露于不安全的網(wǎng)絡(luò)之中。
由此可見，NAS和iSCSI設(shè)備在網(wǎng)絡(luò)安全方面顯然比傳統(tǒng)FC磁盤陣列更具優(yōu)勢。因此，在性能和擴(kuò)展性等要求都可以滿足的前提下，選用NAS或 iSCSI設(shè)備會(huì)使存儲(chǔ)設(shè)備本身更安全。如果一定要選用FC磁盤陣列，則需要盡量避免通過控制器的網(wǎng)絡(luò)接口進(jìn)行管理，而盡量采用更為安全的帶內(nèi)（In- Band）管理模式。
我們還是看看小胡是如何為用戶解決問題吧。其中關(guān)鍵的步驟無外乎前面提到的幾點(diǎn)：
* 備份所有磁盤陣列中的數(shù)據(jù)和配置信息；
* 刷新陣列控制器固件（相當(dāng)于重新安裝操作系統(tǒng)）為最新版本；
* 手工恢復(fù)陣列配置信息；
* 去除用于管理的以太網(wǎng)連接，改為帶內(nèi)管理；
* 再次全網(wǎng)殺毒。
* 搞定！
用戶滿意了。小胡也上了一課，原來磁盤陣列也是可以染病毒的。
