Data Domain – Průvodce posílením zabezpečení systému a vzorovými postupy

Dodržujte zásady firemních hesel a nastavte výchozí zásady stárnutí hesel.

# user password aging option set
{[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]}

Nastavte zásady síly hesla uživatele:

# user password strength set
{[min-length <length>]
[min-character-classes <num-classes>]
[passwords-remembered <0 - 24>][minpositions-changed <min-positions>]}

Doporučení pro hesla:
● Minimálně 12 znaků
● Žádné mezery
● Žádná běžná slovníková slova
● Během změny hesla by mělo být změněno minimálně 8 pozic
 

Přidejte uživatele s rolí bezpečnostního pracovníka, vynuťte změnu hesla a povolte zásady autorizace. Pomocí příkazu user add přidejte bezpečnostního pracovníka jako uživatele s bezpečnostní rolí.

# user add <user>
[uid <uid>]
[role {admin | limited-admin | security |
user | backup-operator | none}]
[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]
[disable-date <date>]
[force-password-change {yes | no}]

Při přidávání účtu bezpečnostního pracovníka nastavte force-password-change na yes.

Log in as security officer, and run 
# authorization policy set security-officer enabled

Přidejte uživatele s rolí omezeného správce a nastavte jiné heslo než uživatelé s rolí sysadmin / správce.

# user add <user>
[uid <uid>]
[role {admin | limited-admin | security |
user | backup-operator | none}]
[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]
[disable-date <date>]
[force-password-change {yes | no}]

Log in as security officer, and then run 
# user change password

For SSH:
● Add an SSH host.
# adminaccess ssh add <host-list>
● Delete hosts from the SSH list.
# adminaccess ssh del <host-list>
For HTTP and HTTPS:
● Add an HTTP/HTTPS host.
# adminaccess http add <host-list>
● Delete hosts from the HTTP/HTTPS list.
# adminaccess http del <host-list>

● Configure and forward logs to syslog server.
● Monitor audit log and access log. See the DDOS Command
Reference UIde for more information.
○ # log view access-info
○ # log view audit-info
● Consider writing a script that runs the above commands
several times a day and reports any suspicious activities.
● Pay close attention to sensitive and not often used
commands that are related to user access management
and network settings, including time setting.
● Monitor authentication and authorization failures in
particular.
● Monitor all operations that require password.
● Monitor destruction operations and any failures and
repeating attempts.
● Highly recommended is to write searches and dashboards
to view log forwarded info. Also setup alerts rules on your
log server.

Disable telnet by running # adminaccess disable telnet

Set and use a hardened system passphrase. The default
minimum length requirement is 9 characters. Use system
passphrase option set min-length to set higher
length requirements. 

Configure two-way authentication when adding a replication
pair.
# replication add source <source>
destination <destination>
[low-bw-optim {enabled | disabled}]
[encryption {enabled [authentication-mode
{one-way | two-way | anonymous}] |
disabled}]
[propagate-retention-lock {enabled |
disabled}]
[ipversion {ipv4 | ipv6}]
[max-repl-streams <n>]
[destination-tenant-unit <tenant-unit>]

Ve výchozím nastavení je globální režim ověřování nastaven na hodnotu None a šifrování je zakázáno. Konfigurace zajišťují, že se mohou připojit pouze klienti DD Boost s podporou alespoň dvoucestného ověřování heslem a ti, kteří používají DD Boost 3.3 nebo novější, a data jsou šifrována na drátě. 

# ddboost option set global-authenticationmode two-way-password global-encryptionstrength <high/medium>

Ve výchozím nastavení je hodnota hash hesla nastavena na MD5. Úpravou na SHA512 zabráníte připojení klientů DD Boost, kteří nepodporují SHA512.

 # adminaccess option set password-hash
{md5 | sha512}

Create a none role user and associates it to be a DD Boost
user.
 # user add <user> role none
# ddboost user assign <user> 

# ddboost clients add client-list [encryption-strength {none | medium | high} authentication-mode {one-way | two-way | twoway-password | anonymous | kerberos}]

Použijte režim obousměrného ověřování.

# ddboost file-replication option set
encryption enabled authentication-mode twoway

# nfs option set nfs3-port <new port number>
# nfs option set nfs4-port <new port number>

# net filter add operation block protocol
tcp ports 111

# net filter add operation block protocol
udp ports 111

Ensures that data on the wire is encrypted.
# nfs export create <export name> path
<path> option sec=krb5p

Delete NFS clients from an export
# nfs add <path> <client-list> [ ( <optionlist> ) ]
Delete NFS clients from an export.
# nfs del <path> <client-list>

Proveďte ověření pomocí následujícího příkazu:

# nfs export show list

Měli byste ověřit no_root_squash není nakonfigurován pro žádné exporty.

DD supports use of only FIPS 140-2 approved ciphers for
secured connections. DD recommends using UI or CLI to
enable FIPS mode:
● UI: Administration > Setting > FIPS mode
● CLI: system fips-mode enable

DD recommends UI or CLI hardening:
● UI: Administration > Access > More Tasks > Change
Login Options (to set active login to 100)
● CLI: adminaccess option set login-maxactive 100

DD doporučuje použít uživatelské rozhraní nebo rozhraní příkazového řádku ke konfiguraci:
● Uživatelské rozhraní: Přístup > ke správě > Další úkoly > Změna hodnoty při maximálním počtu pokusů o přihlášení na 3, časový limit odemknutí na 900 s

● CLI:
○ adminaccess option set login-maxattempts 3
○ adminaccess option set login-unlocktimeout 900

Systém DD podporuje ukončení připojení na konci relace a ukončení relace po nakonfigurované době nečinnosti. K dispozici je rozhraní příkazového řádku, které určuje dobu nečinnosti. Připojení SSH je stále aktivní, ale všechny požadavky od klienta jsou zamítnuty. Je spuštěn proces čištění relace, který ukončuje relace, které již nejsou platné. Společnost DD doporučuje pro posílení uživatelského rozhraní nebo rozhraní příkazového řádku následující:

● UI: Administration > Access > Check on HTTPS >
Configure > ADVANCE and set timeout value as 600 sec.
Repeat the same for SSH by clicking SSH in Services.
● CLI:
○ SSH: adminaccess ssh option set sessiontimeout 600
○ https: adminaccess web option set
session-timeout 600

Společnost DD doporučuje možnost stárnutí hesla uživatele CLI. Ve výchozím nastavení je zásada hesel uvolněná, aby byla zpětně kompatibilní. Zákazník může pomocí uživatelského rozhraní nebo rozhraní příkazového řádku upravit konfiguraci hesla tak, aby bylo více omezující a splňovalo požadavky na stárnutí.

● Uživatelské rozhraní: Správu >Přístup >Další úkoly>Změnit přihlášení Možnosti

● CLI: user password aging

Společnost DD podporuje komplexní zásady používání hesel a doporučuje k posílení hesla použít rozhraní příkazového řádku nebo uživatelské rozhraní. Nastavte nebo upravte charakteristiky a složitost zásad hesel účtů podle toho, co je požadováno v kódu aplikace. Další informace o požadavcích najdete v zásadách hesel.

● Uživatelské rozhraní: Správu >Přístup>Další úkoly>Změnitmožnosti přihlášení
 

● CLI: user password strength set

● CLI: ntp add timeserver <server-name> ntp enable

Systém DD podporuje různé porty HTTPS a omezení určitých rozhraní namísto výchozího nastavení všech rozhraní pro připojení HTTPS. DD doporučuje posílit pomocí příkazu adminaccess a netfilter CLI:

● adminaccess web option set https-port
<port>
● net filter add operation allow protocol
tcp ports <port> interfaces <IP_address>

Aplikační server musí před navázáním jakéhokoli připojení jednoznačně identifikovat všechna koncová zařízení připojená k síti.

Webový server Apache musí omezit příchozí připojení z nezabezpečených zón.

Chcete-li omezit příchozí připojení, společnost DD doporučuje nakonfigurovat povoleného hostitele v připojeních HTTPS a SSH pomocí uživatelského rozhraní nebo příkazu CLI.

● Uživatelské rozhraní: Přístup > ke správě > PŘÍSTUP > SPRÁVCE VYBERTE MOŽNOST HTTPS/SSH > CONFIGURE > GENERAL a klikněte na symbol + (Přidat).

● CLI:
○ adminaccess http add <host_list>
○ adminaccess ssh add <host-list>

E-mailové upozornění je možné odeslat, když úložný prostor protokolu auditu dosáhne 80% a 100% prahové hodnoty. Společnost DD doporučuje nakonfigurovat systém k odesílání e-mailů s upozorněním pomocí uživatelského rozhraní nebo rozhraní příkazového řádku. ● Uživatelské rozhraní: Zdraví >Výstrahy >OZNÁMENÍ >ADD(Skupiny v souborovém systému: Třída s WARNING a CRITICAL a Subscriber CONFIGURE (Přidat e-mailové adresy a skupiny)

● CLI:
○ alerts notify-list create <group name
warning> class filesystem severity
warning
○ alerts notify-list add <group name
warning> emails <email>
○ alerts notify-list create <group name
critical> class filesystem severity
critical
○ alerts notify-list add <group name
critical> emails <email>

DD supports syslog forwarding and recommends using CLI to
set up connection to a remote syslog server.
● log host add <Remote_syslog_Server>
● log host enable

DD supports multiple name servers protocols such as LDAP,
NIS, and AD. DD recommends using OpenLDAP with FIPS
enabled. DD manages only local accounts. DD recommends
using UI or CLI to configure LDAP.
● UI: Administration > Access > Authentication
● CLI: Authentication LDAP commands
Active Directory can also be configured for user logins with
FIPS enabled. However, CIFS data access with AD users is no
longer be supported with that configuration.

DD supports SNMPV3 that is FIPS-compliant. DD
recommends using UI or CLI to configure SNMPV3.
● UI: Administration > Settings > SNMP
● CLI: SNMP commands

DD podporuje použití karty CAC/PIV vydané ministerstvem obrany v klientském prohlížeči pro přihlášení pomocí uživatelského rozhraní. Jedná se o vícefaktorové přihlášení pomocí certifikátu CAC/PIV karty. DD doporučuje pomocí uživatelského rozhraní nebo příkazu CLI nakonfigurovat vícefaktorové ověřování a nastavit OpenLDAP pro autorizaci uživatelů.

Obecný postup:
● Konfigurace OpenLDAP Importovat certifikát certifikační autority do DD.
● Import DoD CA do DD
● Vytvořte místní uživatele (pokud se nepoužívá ověřování LDAP).
● Zakažte přihlášení na základě hesla

DD supports CRL on MFA with issuing CA revoking CAC
certificate by importing CRL cert to DD. DD recommends
using CLI to import CRL certificate.
● CLI: adminaccess certificate cert-revokelist import application login-auth

DD recommends disabling HTTPS service to terminate all
active sessions by UI or CLI.
● UI: Administration > Access > Administrator Access >
HTTPS > CONFIGURE (clear HTTPS and save).
● CLI: adminaccess disable https

Systém DD podporuje připojení SSH pomocí klíčů SSH namísto přihlašování na základě hesla. Pokud je přihlášení založené na hesle zakázáno, přihlášení pomocí uživatelského rozhraní pomocí hesla je také zakázáno. DD doporučuje použít rozhraní příkazového řádku k importu certifikátu klíče a zakázat přihlášení SSH na základě hesla.

● CLI:
○ adminaccess add ssh-keys user
<user_name>
○ adminaccess option set password-auth
disable

Systém musí pro generování hodnot hash hesla účtu používat kryptografický hashovací algoritmus schválený standardem FIPS 140-2. Systémy musí používat kryptografické hashe pro hesla pomocí rodiny algoritmů SHA-2 nebo schválených nástupců FIPS 140-2. Použití neschválených algoritmů může mít za následek slabé hashe hesel, které jsou zranitelnější vůči ohrožení.

k nastavení kryptografického hashování schváleného standardem FIPS 140-2 v systému. Změna algoritmu hash nezmění hodnotu hash pro žádná existující hesla. Všechna existující hesla, která byla zahashována pomocí md5, budou mít i nadále hodnoty hash md5 i po změně algoritmu hash hesla na sha512. Tato hesla je nutné resetovat, aby bylo možné vypočítat novou hodnotu hash sha512.

Telnet can be removed. Run adminaccess uninstall
telnet to remove the telnet package from the DD system.

○ log host add <Remote_syslog_IP>
○ log host enable

DD can be configured to prompt for user consent prior to log in to the system UI interface.
● UI: Administration > LOGIN BANNER > CONFIGURE
● CLI: system option set loginbanner /ddr/var/releases/<banner_file>
● Where <banner_file> is uploaded to
DD's /ddr/var/releases as text file