Data Domain – Handbuch zur Systemhärtung und zu Best Practices

Befolgen Sie die Unternehmenskennwortrichtlinie, um die standardmäßige Kennwortalterungsrichtlinie festzulegen.

# user password aging option set
{[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]}

Legen Sie eine Richtlinie zur Sicherheit von Nutzerkennwörtern fest:

# user password strength set
{[min-length <length>]
[min-character-classes <num-classes>]
[passwords-remembered <0 - 24>][minpositions-changed <min-positions>]}

Kennwortempfehlungen:
● Mindestens 12 Zeichen
● Keine Leerzeichen
● Keine gebräuchlichen Wörter
aus dem Wörterbuch● Mindestens 8 Positionen sollten während der Passwortänderung geändert werden
 

Fügen Sie einen Security Officer-Rollennutzer hinzu, erzwingen Sie eine Kennwortänderung und aktivieren Sie die Autorisierungs-Policy. Verwenden Sie den Befehl user add, um einen Security Officer als Nutzer der Sicherheitsrolle hinzuzufügen.

# user add <user>
[uid <uid>]
[role {admin | limited-admin | security |
user | backup-operator | none}]
[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]
[disable-date <date>]
[force-password-change {yes | no}]

Legen Sie force-password-change auf "yes" fest, wenn Sie das Security Officer-Konto hinzufügen.

Log in as security officer, and run 
# authorization policy set security-officer enabled

Fügen Sie einen Nutzer mit der Rolle limited-admin hinzu und legen Sie ein anderes Kennwort als Nutzer mit der Rolle sysadmin/admin fest.

# user add <user>
[uid <uid>]
[role {admin | limited-admin | security |
user | backup-operator | none}]
[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]
[disable-date <date>]
[force-password-change {yes | no}]

Log in as security officer, and then run 
# user change password

For SSH:
● Add an SSH host.
# adminaccess ssh add <host-list>
● Delete hosts from the SSH list.
# adminaccess ssh del <host-list>
For HTTP and HTTPS:
● Add an HTTP/HTTPS host.
# adminaccess http add <host-list>
● Delete hosts from the HTTP/HTTPS list.
# adminaccess http del <host-list>

● Configure and forward logs to syslog server.
● Monitor audit log and access log. See the DDOS Command
Reference UIde for more information.
○ # log view access-info
○ # log view audit-info
● Consider writing a script that runs the above commands
several times a day and reports any suspicious activities.
● Pay close attention to sensitive and not often used
commands that are related to user access management
and network settings, including time setting.
● Monitor authentication and authorization failures in
particular.
● Monitor all operations that require password.
● Monitor destruction operations and any failures and
repeating attempts.
● Highly recommended is to write searches and dashboards
to view log forwarded info. Also setup alerts rules on your
log server.

Disable telnet by running # adminaccess disable telnet

Set and use a hardened system passphrase. The default
minimum length requirement is 9 characters. Use system
passphrase option set min-length to set higher
length requirements. 

Configure two-way authentication when adding a replication
pair.
# replication add source <source>
destination <destination>
[low-bw-optim {enabled | disabled}]
[encryption {enabled [authentication-mode
{one-way | two-way | anonymous}] |
disabled}]
[propagate-retention-lock {enabled |
disabled}]
[ipversion {ipv4 | ipv6}]
[max-repl-streams <n>]
[destination-tenant-unit <tenant-unit>]

Standardmäßig ist der globale Authentifizierungsmodus auf none festgelegt und die Verschlüsselung ist deaktiviert. Die Konfigurationen stellen sicher, dass nur DD Boost-Clients mit mindestens bidirektionaler Kennwortauthentifizierung, die DD Boost 3.3 oder höher verwenden, eine Verbindung herstellen können und Daten über die Verbindung verschlüsselt werden. 

# ddboost option set global-authenticationmode two-way-password global-encryptionstrength <high/medium>

Standardmäßig ist der Kennwort-Hash auf MD5 eingestellt. Das Ändern in SHA512 verhindert, dass DD Boost-Clients den SHA512 nicht unterstützen können.

 # adminaccess option set password-hash
{md5 | sha512}

Create a none role user and associates it to be a DD Boost
user.
 # user add <user> role none
# ddboost user assign <user> 

# ddboost clients add client-list [encryption-strength {none | medium | high} authentication-mode {one-way | two-way | twoway-password | anonymous | kerberos}]

Verwenden Sie den bidirektionalen Authentifizierungsmodus.

# ddboost file-replication option set
encryption enabled authentication-mode twoway

# nfs option set nfs3-port <new port number>
# nfs option set nfs4-port <new port number>

# net filter add operation block protocol
tcp ports 111

# net filter add operation block protocol
udp ports 111

Ensures that data on the wire is encrypted.
# nfs export create <export name> path
<path> option sec=krb5p

Delete NFS clients from an export
# nfs add <path> <client-list> [ ( <optionlist> ) ]
Delete NFS clients from an export.
# nfs del <path> <client-list>

Überprüfen Sie dies mit dem folgenden Befehl:

# nfs export show list

Überprüfen Sie, ob no_root_squash nicht für Exporte konfiguriert ist.

DD supports use of only FIPS 140-2 approved ciphers for
secured connections. DD recommends using UI or CLI to
enable FIPS mode:
● UI: Administration > Setting > FIPS mode
● CLI: system fips-mode enable

DD recommends UI or CLI hardening:
● UI: Administration > Access > More Tasks > Change
Login Options (to set active login to 100)
● CLI: adminaccess option set login-maxactive 100

DD empfiehlt die Verwendung der UI oder CLI für die Konfiguration von:
● UI: Administrationszugriff >> Weitere Aufgaben > Ändern des Werts für Maximale Anmeldeversuche auf 3, Timeout entsperren auf 900 Sekunden

● CLI:
○ adminaccess option set login-maxattempts 3
○ adminaccess option set login-unlocktimeout 900

DD unterstützt das Beenden von Verbindungen am Ende der Sitzung und das Beenden von Sitzungen nach der konfigurierten Zeit der Inaktivität. Es gibt eine CLI zur Angabe des Inaktivitätszeitraums. Die SSH-Verbindung besteht noch, aber jede Anforderung vom Client wird abgelehnt. Ein Sitzungsbereinigungsprozess wird ausgeführt und beendet Sitzungen, die nicht mehr gültig sind. DD empfiehlt Folgendes für die UI- oder CLI-Sicherheitsverstärkung:

● UI: Administration > Access > Check on HTTPS >
Configure > ADVANCE and set timeout value as 600 sec.
Repeat the same for SSH by clicking SSH in Services.
● CLI:
○ SSH: adminaccess ssh option set sessiontimeout 600
○ https: adminaccess web option set
session-timeout 600

DD empfiehlt die Option zur Alterung des CLI-Nutzerkennworts. Standardmäßig ist die Kennwortrichtlinie aus Gründen der Abwärtskompatibilität gelockert. Der Kunde kann die Benutzeroberfläche oder die CLIs verwenden, um die Kennwortkonfiguration so zu ändern, dass sie restriktiver ist und die Alterungsanforderungen erfüllt.

• UI: Verwaltung >Zugriff >Weitere Aufgaben>Anmeldung ändern Optionen

● CLI: user password aging

DD unterstützt eine umfassende Kennwort-Policy und empfiehlt die Verwendung der CLI oder UI, um das Kennwort zu härten. Festlegen oder Ändern der Merkmale und Komplexität der Kontokennwortrichtlinie auf die im Anwendungscode gewünschten Werte Weitere Informationen zu den Anforderungen finden Sie in der Kennwortrichtlinie.

• UI: Verwaltung >Zugriff>Weitere Aufgaben>Anmeldeoptionen ändern
 

● CLI: user password strength set

● CLI: ntp add timeserver <server-name> ntp enable

DD unterstützt verschiedene HTTPS-Ports und die Begrenzung bestimmter Schnittstellen anstelle der Standardeinstellung aller Schnittstellen für HTTPS-Verbindungen. DD empfiehlt die Verwendung des Befehls adminaccess und netfilter CLI zur Sicherheitsverstärkung:

● adminaccess web option set https-port
<port>
● net filter add operation allow protocol
tcp ports <port> interfaces <IP_address>

Der Anwendungsserver muss alle mit dem Netzwerk verbundenen Endgeräte eindeutig identifizieren, bevor eine Verbindung hergestellt wird.

Der Apache-Webserver muss eingehende Verbindungen von nicht sicheren Zonen einschränken.

Um eingehende Verbindungen einzuschränken, empfiehlt DD die Konfiguration zulässiger Hosts in HTTPS und SSH-Verbindungen über die Benutzeroberfläche oder den CLI-Befehl.

• UI: Administration > Access > ADMINISTRATOR ACCESS > Wählen Sie HTTPS/SSH > CONFIGURE > GENERAL aus und klicken Sie auf + (Add).

● CLI:
○ adminaccess http add <host_list>
○ adminaccess ssh add <host-list>

Eine E-Mail-Warnmeldung kann gesendet werden, wenn der Speicherplatz des Auditprotokolls den Schwellenwert von 80 % und 100 % erreicht. DD empfiehlt die Verwendung der Benutzeroberfläche oder der CLI, um das System für "Send Alert Notification Emails" zu konfigurieren. • UI: Gesundheit >Warnungen >BENACHRICHTIGUNG >ADD (Gruppen auf Dateisystemklasse mit WARNING und CRITICAL und Subscriber CONFIGURE (E-Mail-Adressen und Gruppen hinzufügen)

● CLI:
○ alerts notify-list create <group name
warning> class filesystem severity
warning
○ alerts notify-list add <group name
warning> emails <email>
○ alerts notify-list create <group name
critical> class filesystem severity
critical
○ alerts notify-list add <group name
critical> emails <email>

DD supports syslog forwarding and recommends using CLI to
set up connection to a remote syslog server.
● log host add <Remote_syslog_Server>
● log host enable

DD supports multiple name servers protocols such as LDAP,
NIS, and AD. DD recommends using OpenLDAP with FIPS
enabled. DD manages only local accounts. DD recommends
using UI or CLI to configure LDAP.
● UI: Administration > Access > Authentication
● CLI: Authentication LDAP commands
Active Directory can also be configured for user logins with
FIPS enabled. However, CIFS data access with AD users is no
longer be supported with that configuration.

DD supports SNMPV3 that is FIPS-compliant. DD
recommends using UI or CLI to configure SNMPV3.
● UI: Administration > Settings > SNMP
● CLI: SNMP commands

DD unterstützt die Verwendung der vom DoD ausgestellten CAC/PIV-Karte im Clientbrowser für die Anmeldung über die Benutzeroberfläche. Dies ist eine mehrstufige Anmeldung unter Verwendung des Zertifikats der CAC/PIV-Karte. DD empfiehlt einen UI- oder CLI-Befehl, um MFA zu konfigurieren und OpenLDAP für die Nutzerautorisierung einzurichten.

Allgemeines Verfahren:
● Konfigurieren von OpenLDAP CA-Zertifikat in DD importieren.
● DoD-CA in DD
importieren● Lokale Benutzer anlegen (wenn keine LDAP-Authentifizierung verwendet wird).
● Passwortbasierte Anmeldung deaktivieren

DD supports CRL on MFA with issuing CA revoking CAC
certificate by importing CRL cert to DD. DD recommends
using CLI to import CRL certificate.
● CLI: adminaccess certificate cert-revokelist import application login-auth

DD recommends disabling HTTPS service to terminate all
active sessions by UI or CLI.
● UI: Administration > Access > Administrator Access >
HTTPS > CONFIGURE (clear HTTPS and save).
● CLI: adminaccess disable https

DD unterstützt die SSH-Verbindung über SSH-Schlüssel anstelle der kennwortbasierten Anmeldung. Wenn die kennwortbasierte Anmeldung deaktiviert ist, wird auch die UI-Anmeldung mit Kennwort deaktiviert. DD empfiehlt die Verwendung der CLI zum Importieren des Schlüsselzertifikats und das Deaktivieren der kennwortbasierten SSH-Anmeldung.

● CLI:
○ adminaccess add ssh-keys user
<user_name>
○ adminaccess option set password-auth
disable

Das System muss einen nach FIPS 140-2 genehmigten kryptografischen Hashalgorithmus verwenden, um Kontokennwort-Hashes zu erzeugen. Systeme müssen kryptografische Hashes für Kennwörter verwenden, die die SHA-2-Algorithmusfamilie oder FIPS 140-2-genehmigte Nachfolger verwenden. Die Verwendung nicht genehmigter Algorithmen kann zu schwachen Passwort-Hashes führen, die anfälliger für Kompromittierungen sind.

Befehl zum Festlegen des FIPS 140-2-genehmigten kryptografischen Hashing auf dem System verwenden. Durch Ändern des Hash-Algorithmus wird nicht der Hash-Wert für vorhandene Kennwörter geändert. Alle vorhandenen Kennwörter, die mit md5 gehasht wurden, haben weiterhin md5-Hashwerte, nachdem der Kennwort-Hash-Algorithmus in sha512 geändert wurde. Diese Kennwörter müssen zurückgesetzt werden, damit ein neuer sha512-Hashwert berechnet wird.

Telnet can be removed. Run adminaccess uninstall
telnet to remove the telnet package from the DD system.

○ log host add <Remote_syslog_IP>
○ log host enable

DD can be configured to prompt for user consent prior to log in to the system UI interface.
● UI: Administration > LOGIN BANNER > CONFIGURE
● CLI: system option set loginbanner /ddr/var/releases/<banner_file>
● Where <banner_file> is uploaded to
DD's /ddr/var/releases as text file