Search <book_title>...

Guide de sécurité et de chiffrement de Veritas NetBackup™

Last Published: 2017-11-16

Product(s): NetBackup & Alta Data Protection (8.1)

Centre de données multiple avec chiffrement côté client

Un centre de données multiple avec l'option de chiffrement côté client est défini comme un support pour un grand groupe d'hôtes (plus de 50). Ces hôtes peuvent couvrir deux ou plusieurs zones géographiques et être connectés à un réseau étendu (WAN). Dans l'exemple suivant, un centre de données se trouve à Londres et l'autre se trouve à Tokyo. Les deux centres de données sont connectés par une connexion WAN dédiée.

L'exemple du centre de données multiple peut utiliser le chiffrement côté client afin d'assurer la confidentialité des données à travers le câble et sur bande. Ce chiffrement aide à diminuer les risques de branchement clandestin au sein d'une société. Le risque d'exposition des données commes des bandes est déplacé hors site. Ce modèle de centre de données assure un support à un grand nombre (supérieur à 50) d'hôtes gérés. Les clients à l'intérieur du centre de données aussi bien que du DMZ, peuvent avoir la possibilité de bénéficier de services de dénomination centralisés pour des hôtes et des identités d'utilisateur.

Le centre de données unique avec le chiffrement côté client inclut :

NetBackup couvre deux régions géographiques ou plus par le biais d'un réseau étendu (WAN)
Utile pour protéger les données hors site
Les données du client sont chiffrées pour empêcher l'interception passive des données transmises par le câble
La gestion des clés est décentralisée vers les clients
L'option de chiffrement NetBackup initiale
Le processeur du client est utilisé pour exécuter le chiffrement
Vous devez disposer de la clé pour récupérer les données. Une clé perdue est synonyme de perte de données.
Utile quand vous devez analyser des bandes hors site ou si vous avez besoin de confidentialité sur le câble.

Figure : Centre de données multiple avec chiffrement côté client présente un exemple de centre de données multiple avec chiffrement côté client.

Figure : Centre de données multiple avec chiffrement côté client

Le tableau suivant décrit les composants de NetBackup qui sont utilisés pour un centre de données multiple avec chiffrement côté client.

Tableau : Composants de NetBackup pour un centre de données multiple avec le chiffrement côté client mis en application

Composant	Description
Centre de données de Londres	Le centre de données de Londres contient le serveur maître, le serveur de médias 1 et les clients 4, 5 et 6. Il contient également la bande de données chiffrées pour les clients 6 et 7 et la bande de données déchiffrée pour les clients 4 et 5. Le centre de données de Londres se connecte au centre de données de Tokyo par une connexion WAN dédiée.
Centre de données de Tokyo	Le centre de données de Tokyo contient le serveur de médias 2 et les clients 7, 10, 11 et 12. Il contient également la bande de données chiffrées pour les clients 7 et 12 et la bande de données déchiffrée pour les clients 10 et 11. Le centre de données de Tokyo se connecte au centre de données de Londres par une connexion WAN dédiée.
Réseau étendu (WAN)	Spécifie le lien WAN dédié qui connecte le centre de données de Londres au centre de données de Tokyo. Le WAN fournit la connectivité entre le serveur maître de Londres et le serveur maître 2 avec les clients 7, 10, 11 et 12 à Tokyo. Le WAN fournit également la connectivité entre le serveur de médias 1 à Londres et le client 7 à Londres.
Serveur maître	Le serveur maître se trouve dans le centre de données de Londres et communique avec le serveur de médias 1 et les clients 4, 5 et 6. Le serveur maître utilise également le WAN pour communiquer avec le serveur de médias 2 et les clients 7, 10, 11 et 12 à Tokyo.
Serveurs de médias	Précise que ce centre de données multiple utilise deux serveurs de médias. Le serveur de médias 1 est situé dans le centre de données de Londres et le serveur de médias 2 est situé dans le centre de données de Tokyo. A Londres, le serveur de médias 1 communique avec le serveur maître et les clients 4, 5 et 6. Le serveur de médias 1 communique également avec le client 7 à Tokyo. Le serveur de médias 1 enregistre des données non chiffrées sur bande pour les clients 4 et 5. Le serveur de médias 1 enregistre des données chiffrées sur bande pour les clients 6 et 7. Notez que le client 7 se trouve à Tokyo mais sa sauvegarde sur bande se trouve à Londres. La bande chiffrée pour les clients 6 et 7 est transportée hors site vers un centre de sauvegarde à Londres. A Tokyo, le serveur de médias 2 communique avec le serveur maître à Londres par le WAN et les clients 7, 10, 11 et 12 à Tokyo. Le serveur de médias 2 enregistre des données non chiffrées sur bande pour les clients 10 et 11. Le serveur de médias 2 enregistre également des données chiffrées sur bande pour les clients 7 and 12. Notez que même si le client 7 se trouve à Tokyo et soit sauvegardé à Londres, le client 7 est également sauvegardé à Tokyo. La bande chiffrée pour les clients 7 et 12 est transportée hors site vers un centre de sauvegarde à Tokyo.
Chiffrement côté client	Le chiffrement côté client (non affiché dans le schéma) assure la confidentialité des données sur l'ensemble de la connexion, ainsi que sur les bandes.
Bandes	Des bandes de données déchiffrées et chiffrées sont produites au centre de données de Londres et au centre de données de Tokyo. La bande chiffrée contient les données de sauvegarde chiffrées côté client. A Londres, la bande déchiffrée est écrite pour les clients 4 et 5 et stockées sur site dans le centre de données de Londres. La bande chiffrée est enregistrée pour les clients 6 et 7. La bande chiffrée est transportée hors site vers un centre de sauvegarde à Londres pour la protection de reprise après incident. A Tokyo, la bande chiffrée est écrite pour les clients 10 et 11 et est stockée hors site dans le centre de données de Tokyo. La bande chiffrée est enregistrée pour les clients 7 et 12. Notez que même si le client 7 se trouve à Tokyo et qu'il est sauvegardé à Tokyo, le client 7 est également sauvegardé à Londres. La bande chiffrée est transportée hors site vers un centre de sauvegarde à Tokyo pour la protection de reprise après incident. Remarque : Pour déchiffrer les données, les clés utilisées pour le chiffrement de données doivent être disponibles.
Transports	Précise que le centre de données multiple utilise deux transports. Un transport se trouve à Londres et l'autre à Tokyo. A Londres, le camion de transport déplace la bande chiffrée des clients 6 et 7 hors site vers un centre de sauvegarde sécurisé hors site situé à Tokyo. A Tokyo, le camion de transport déplace la bande chiffrée des clients 7 et 12 hors site vers un centre de sauvegarde sécurisé hors site situé à Tokyo. Une copie de sauvegarde du client n° 7 se trouve à la fois dans le centre de sauvegarde de Londres et de Tokyo. Remarque : Dans le cas peu probable d'une perte de bande pendant le transport, le gestionnaire du centre de données a potentiellement réduit le risque de violation des données. L'infraction est réduite par l'utiliser du chiffrement des données côté client.
Centres de sauvegarde hors site	Précise que le centre de données multiple utilise deux centres de sauvegarde hors site. Un centre de sauvegarde se trouve à Londres et l'autre à Tokyo. Les deux centres de sauvegarde fournissent des installations de stockage de bande chiffrés sécurisés hors site à des emplacements différents de ceux des centres de données. Remarque : Sauvegarder les bandes chiffrées dans des emplacements distincts des centres de données favorise une bonne protection lors de récupérations d'urgence.
Clients	Spécifie que les clients se trouvent dans les centres de données de Londres et de Tokyo. A Londres, le client 4 est un type de NetBackup standard. Le client 5 est un type de serveur Web situé dans la zone démilitarisée. Le client 6 est un type de client chiffré côté client également situé dans la zone démilitarisée. Tous les types de client peuvent être gérés par le serveur maître et ont leurs données sauvegardées sur bande via le serveur maître 1. Les clients 5 et 6 communiquent au NetBackup en utilisant seulement des ports NetBackup par le pare-feu interne. Le client 6 reçoit des connexions Internet à l'aide des ports réservés au HTTP via le pare-feu externe. A Tokyo, le client 7 est un client chiffré côté client mais en dehors de la zone démilitarisée. Le client 10 est un type de NetBackup standard. Le client 11 est un type de serveur Web situé dans la zone démilitarisée. Le client 12 est un type de client chiffré côté client également situé dans la zone démilitarisée. Tous les types de client peuvent être gérés par le serveur maître à Londres. Les données du client 7 sont sauvegardées sur bande par le serveur de médias 1 et 2. Les clients 10, 11 et 12 sont sauvegardés sur bande par le serveur de médias 2. Les clients 11 et 12 communiquent à NetBackup en utilisant seulement les ports de NetBackup par le pare-feu interne. Le client 12 reçoit des connexions Internet à l'aide des ports réservés au HTTP via le pare-feu externe.
Pare-feux internes	Spécifie que le centre de données multiple peut utiliser les deux pare-feux internes. Un pare-feu interne se trouve à Londres et l'autre à Tokyo. A Londres, le pare-feu interne permet à NetBackup d'accéder au serveur Web 5 et au client chiffré 6 côté client se trouvant dans la zone démilitarisée. A Tokyo, le pare-feu interne permet à NetBackup d'accéder au serveur Web 11 et au client chiffré 11 côté client dans la zone démilitarisée. Vous ne pouvez activer que les ports NetBackup sélectionnés et les ports de certaines applications pour transmettre des données depuis et vers la zone démilitarisée. Des ports HTTP sont ouverts dans le pare-feu externe et ne sont pas autorisés à passer par le pare-feu interne.
Zones démilitarisées (DMZ)	Précise que le centre de données multiple utilise deux zones démilitarisées. Une zone démilitarisée se trouve à Londres et l'autre à Tokyo. A Londres, la zone démilitarisée fournit une zone d'action "sécurisée" pour le serveur Web 5 et le client chiffré 6 côté client. Ce client existe entre le pare-feu interne et externe. Le client 5 de serveur Web et le client chiffré côté client 6 dans la zone démilitarisée peuvent communiquer vers NetBackup. Les deux clients communiquent par le pare-feu interne à l'aide des ports de NetBackup désignés. Le client 5 de serveur Web peut également communiquer sur Internet par le biais du pare-feu externe en utilisant uniquement des ports HTTP. A Tokyo, la zone démilitarisée fournit une zone d'opérations "sécurisée" pour le serveur Web 11 et le client chiffré 12 côté client. Le client 12 existe entre le pare-feu interne et externe. Le client 11 de serveur Web de la zone démilitarisée peut échanger des données avec NetBackup via le pare-feu interne à l'aide des ports NetBackup affectés. Le client 11 de serveur Web peut également communiquer sur Internet par le biais du pare-feu externe en utilisant uniquement des ports HTTP.
Pare-feux externes	Spécifie que le centre de données multiple peut utiliser les deux pare-feux externes. Un pare-feu externe se trouve à Londres et l'autre à Tokyo. A Londres, le pare-feu externe permet aux utilisateurs externes d'accéder au client 5 de serveur Web situé dans la zone démilitarisée depuis Internet en passant par des ports HTTPS. Les ports NetBackup sont ouverts afin que le client 5 de serveur Web puisse communiquer avec NetBackup à travers le pare-feu interne. Les ports NetBackup ne peuvent pas passer par le pare-feu externe pour se connecter à Internet. Seuls les ports HTTP du client 5 de serveur Web peuvent passer par le pare-feu externe pour se connecter à Internet. Vous ne pouvez pas accéder au client 6 chiffré côté client depuis Internet. A Tokyo le pare-feu externe permet aux utilisateurs externes d'accéder au client 11 de serveur Web situé dans la zone démilitarisée depuis Internet en passant par des ports HTTPS. Les ports NetBackup sont ouverts pour que le client 11 de serveur Web puisse communiquer via le pare-feu interne avec NetBackup. Les ports NetBackup ne peuvent pas passer par le pare-feu externe pour se connecter à Internet. Seuls les ports HTTP du client 11 de serveur Web peuvent passer par le pare-feu externe pour se connecter à Internet. Vous ne pouvez pas accéder au client 12 chiffré côté client depuis Internet.
Internet	Spécifie qu'il existe un seul Internet mais deux connexions Internet dans cet exemple de centre de données multiple. Une connexion Internet se trouve à Londres et l'autre à Tokyo. Internet est un ensemble de réseaux d'ordinateurs connectés entre eux par des câbles de cuivre, des câbles de fibre optique ou par des connexions sans fil. A Londres, le client 5 de serveur Web peut envoyer et recevoir des données sur Internet à l'aide des ports HTTP et en passant par le pare-feu externe. A Tokyo, le client 11 de serveur Web peut envoyer et recevoir des données sur Internet à l'aide des ports HTTP et en passant par le pare-feu externe.