不可不知：磁带备份加密最佳操作指南

媒体加密技术(包括磁带驱动器加密)

基于主机的加密技术是最有效的，但其加密时需要一个单独的系统或一组分离的系统。基于主机的加密方法不可能将主机上要输出的所有数据都进行加密。市场上基于主机的加密方法有很多，可以通过应用技术(如数据库列加密软件)、主机代理、专门存储或有加密功能的网络适配卡进行加密。供应商提供的每一个产品都有一个重要的适配器，存储供应商提供多通道的，其他代理人提供带内交互，存储供应商提供虚拟化等等。

带内设备加密采用非常类似的方式，通过电线传输的数据被加密，然后到达存储连接中，让许多不同的应用程序和主机共享。在主机和设备之间传输的数据通常是非加密的。这种装置通过一种简单的方法来实现对多台主机和多个类型的存储进行加密，包括主存储，归档层，甚至磁带。

这些设备通常是有选择性地只适用于一些加密存储层。使用带内加密设备加密的厂商包括博科交换机，思科系统公司的MDS存储介质加密与NetApp的DataFort。

媒体加密技术采用多种技术来加密媒体特定格式的数据。这些技术可能会整合存储阵列，以使阵列中的每个驱动器都被加密。更典型的是磁带加密，一台媒体备份服务器、磁带库、虚拟磁带库(VTL)或单独的磁带驱动器(LTO – 4或LTO – 5驱动器)，当它们往磁盘或磁带写入数据时就进行加密。例如，IBM的DS8000系列阵列，充分利用加密驱动器可提供驱动器级的加密方法。还有量子公司内置LTO – 5驱动器的标量系列ATL库，和其他供应商提供的库一样可以进行加密。

磁带备份加密技术的最佳做法

每选择一种复杂的磁带备份方法都有许多对应的说明可供选择。磁带备份加密方法最佳做法具体如下：

1. 保证所有的磁带都被加密。公司应该寻找一种解决方案保证所有的磁带都被加密，而非让其他多个路径能访问到磁带(如多个归档和备份系统)或给管理造成不必要的复杂性。

2. 接近目的地加密。完美的产品将对基础设施层的数据进行加密，以对数据有优化能力和管理能力，以充分发挥他们的作用。按照规则而言，所有磁带都应该被加密，但是如果从数据源就开始加密的话，数据的灵活性和效率都将大打折扣。例如，如果磁盘上的重复数据被删除或被压缩，又或者跨广域网的数据链丢失，诸如备份文件之类的数据扫描将会变得很困难。此外，除了全部磁盘加密之外，还可以考虑靠近主机的加密解决方案。

3. 基于媒体的加密磁带介质加密是为了减少风险和把突发事件应对的几率降到最小。过期的媒质或已经损坏的媒质需要及时正确地处理。这就意味着每个磁带，在最坏的情况下，一组备份磁带或数据集需要一个密钥。那样，密钥和媒质都受到最好的保护，失去一个密钥顶多损失一个磁带，减少管理的最佳做法就是坚持定期处置到期的密钥，以防止磁带失效。

【编辑推荐】