Isilon：IsilonノードでUSB起動を有効または無効にする方法、またはBIOSを保護する方法

OneFS 9.3以降のセキュリティおよび構成ガイドでは、セキュリティ上の目的でIsilonノードのUSBポートを無効にし、BIOSまたはiDRACパスワードを設定することを推奨しています。ただし、これらの変更を実装すると、特定のシナリオでノードのサービスが困難になります。これらの変更を実装する前に、各クラスターの責任者は、メリットとデメリットを慎重に検討し、各クラスターの特定の環境でこれらの変更が必要かどうかについて、十分な情報に基づいて決定する必要があります。意思決定プロセスを支援するために、ここではいくつかの利点と欠点について概説します。

利点：

• 物理的セキュリティの強化: USBポートを無効にすると、不正な物理ストレージ デバイスがクラスターと直接やり取りするのを防ぎ、データが抜き取られる可能性のあるルートを排除できます。強力なBIOSパスワードを設定すると、権限のない個人がこの変更を元に戻すことを防ぎます。
• 認証バイパス防止: ノードのUSBポートは、代替オペレーティング システムを含む外部ストレージ デバイスから起動するために使用できます。これにより、攻撃者はクラスター上の認証手段をバイパスし、アクセスが許可されていないデータにアクセスしたり改ざんしたりする可能性があります。USBポートを無効にすると、これを防ぐことができます。
• コンプライアンス モードの厳格な遵守: OneFS再イメージ化デバイスからノードを起動すると、攻撃者はOneFSコンプライアンス モードによって適用される特定の制限をバイパスして、ノードがコンプライアンス モードのときに他の方法では実行できないコマンドを実行できるようになります。USBポートを無効にすると、これを防ぐことができます。

欠点：

• 保守性に関する問題: USBポートは、ノードの再イメージ化や失われた構成情報の復元などのメンテナンス操作のために、サービス担当者によって日常的に使用されます。さらに、コンプライアンス モードのクラスターで発生する可能性のある一部の問題は、サービス担当者がUSBスティックから起動してコンプライアンス モードの制限をバイパスして解決する必要があります。これらのサービス タスクの多くは、USBポートが無効になっている間は実行できません。
• サービス ウィンドウ期間の延長: サービス操作でUSBポートが無効になっているノードでUSBポートにアクセスする必要がある場合は、サービス担当者がユーザーの担当者を見つけてBIOSパスワード(構成されている場合)を提供し、BIOSにログインし、USBポート アクセスを許可するように設定を変更し、サービスが完了した後に再度無効にするために追加のサービス時間が必要です。また、サービスを実行しているユーザーがサービス後にUSBポートの再無効化を忘れた場合、構成に一貫性がなくなるリスクもあります。これにより、セキュリティに対する誤った認識を生む可能性があります。さらに、サービス ウィンドウの開始前にサービス対象ノードのUSBポートが無効化されていることをサービス担当者がプロアクティブに知らされていない場合、サービス担当者は、ストレージ デバイスに障害または破損があるためにノードがUSBストレージ デバイスから起動しないと想定する可能性があり、この認識された問題を解決しようとして、不必要なトラブルシューティングの時間が長くなります。
• その他のパスワード管理オーバーヘッド: 強力なBIOSパスワードが設定されている場合は、このパスワードを追跡および管理し、それを必要とするサービス担当者が利用できるように対策を講じる必要があります。これは特に、ユーザーが任命したパスワードの管理者がパスワードを提供できない可能性があるため、営業時間外にアクセスする必要がある場合に問題になる可能性があります。

結局のところ、ほとんどすべてのセキュリティのベスト プラクティスにはトレードオフが伴うため、自分の状況が特定の環境やユース ケースに実装する価値があるかどうかを判断するのはユーザーだけです。検討の結果、メリットが欠点を上回るとユーザーが判断した場合、USBポートを無効化/再有効化し、BIOSおよびiDRACパスワードを設定する手順については、 Dellサポート サイトからダウンロードできる特定のOneFSバージョンの『OneFSセキュリティ構成ガイド(SCG)』を参照してください。たとえば、OneFS 9.5 SCGについては、「 Dell Technologiesオンライン サポートへのアクセスを登録する方法または既存のアカウントをアップグレードする方法」の記事を参照してください。