Data Domain: Guía de reforzamiento del sistema y prácticas recomendadas

Siga la política de contraseña de la empresa para establecer la política de caducidad de contraseña predeterminada.

# user password aging option set
{[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]}

Establezca una política de seguridad de contraseñas de usuario:

# user password strength set
{[min-length <length>]
[min-character-classes <num-classes>]
[passwords-remembered <0 - 24>][minpositions-changed <min-positions>]}

Recomendaciones de contraseña:
● Un mínimo de 12 caracteres
● Sin espacios
● No hay palabras
comunes en el diccionario● Se deben cambiar las posiciones mínimas de 8 durante el cambio de contraseña
 

Agregue un usuario con la función de director de seguridad, fuerce el cambio de contraseña y habilite la política de autorización. Utilice el comando user add para agregar al director de seguridad como un usuario con función de seguridad.

# user add <user>
[uid <uid>]
[role {admin | limited-admin | security |
user | backup-operator | none}]
[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]
[disable-date <date>]
[force-password-change {yes | no}]

Establezca force-password-change en yes cuando agregue la cuenta del director de seguridad.

Log in as security officer, and run 
# authorization policy set security-officer enabled

Agregue un usuario con función de administrador limitado y establezca una contraseña diferente para los usuarios con función sysadmin/admin.

# user add <user>
[uid <uid>]
[role {admin | limited-admin | security |
user | backup-operator | none}]
[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]
[disable-date <date>]
[force-password-change {yes | no}]

Log in as security officer, and then run 
# user change password

For SSH:
● Add an SSH host.
# adminaccess ssh add <host-list>
● Delete hosts from the SSH list.
# adminaccess ssh del <host-list>
For HTTP and HTTPS:
● Add an HTTP/HTTPS host.
# adminaccess http add <host-list>
● Delete hosts from the HTTP/HTTPS list.
# adminaccess http del <host-list>

● Configure and forward logs to syslog server.
● Monitor audit log and access log. See the DDOS Command
Reference UIde for more information.
○ # log view access-info
○ # log view audit-info
● Consider writing a script that runs the above commands
several times a day and reports any suspicious activities.
● Pay close attention to sensitive and not often used
commands that are related to user access management
and network settings, including time setting.
● Monitor authentication and authorization failures in
particular.
● Monitor all operations that require password.
● Monitor destruction operations and any failures and
repeating attempts.
● Highly recommended is to write searches and dashboards
to view log forwarded info. Also setup alerts rules on your
log server.

Disable telnet by running # adminaccess disable telnet

Set and use a hardened system passphrase. The default
minimum length requirement is 9 characters. Use system
passphrase option set min-length to set higher
length requirements. 

Configure two-way authentication when adding a replication
pair.
# replication add source <source>
destination <destination>
[low-bw-optim {enabled | disabled}]
[encryption {enabled [authentication-mode
{one-way | two-way | anonymous}] |
disabled}]
[propagate-retention-lock {enabled |
disabled}]
[ipversion {ipv4 | ipv6}]
[max-repl-streams <n>]
[destination-tenant-unit <tenant-unit>]

De manera predeterminada, el modo de autenticación global está establecido en ninguno y el cifrado está deshabilitado. Las configuraciones garantizan que solo los clientes de DD Boost con al menos soporte de autenticación de contraseña bidireccional, aquellos que utilizan DD Boost 3.3 o posterior, puedan conectarse y que los datos se cifren en la conexión. 

# ddboost option set global-authenticationmode two-way-password global-encryptionstrength <high/medium>

De manera predeterminada, el hash de contraseña está establecido en MD5. La modificación de esto a SHA512 evita que los clientes de DD Boost que no pueden soportar el SHA512 se conecten.

 # adminaccess option set password-hash
{md5 | sha512}

Create a none role user and associates it to be a DD Boost
user.
 # user add <user> role none
# ddboost user assign <user> 

# ddboost clients add client-list [encryption-strength {none | medium | high} authentication-mode {one-way | two-way | twoway-password | anonymous | kerberos}]

Utilice el modo de autenticación bidireccional.

# ddboost file-replication option set
encryption enabled authentication-mode twoway

# nfs option set nfs3-port <new port number>
# nfs option set nfs4-port <new port number>

# net filter add operation block protocol
tcp ports 111

# net filter add operation block protocol
udp ports 111

Ensures that data on the wire is encrypted.
# nfs export create <export name> path
<path> option sec=krb5p

Delete NFS clients from an export
# nfs add <path> <client-list> [ ( <optionlist> ) ]
Delete NFS clients from an export.
# nfs del <path> <client-list>

Verifique mediante el siguiente comando:

# nfs export show list

Debe verificar que no_root_squash no esté configurado para ninguna exportación.

DD supports use of only FIPS 140-2 approved ciphers for
secured connections. DD recommends using UI or CLI to
enable FIPS mode:
● UI: Administration > Setting > FIPS mode
● CLI: system fips-mode enable

DD recommends UI or CLI hardening:
● UI: Administration > Access > More Tasks > Change
Login Options (to set active login to 100)
● CLI: adminaccess option set login-maxactive 100

DD recomienda el uso de la interfaz de usuario o la CLI para configurar:
● Interfaz de usuario: Administración > Acceso Más > tareas > Cambie el valor en Máximo de intentos de inicio de sesión a 3, Tiempo de espera de desbloqueo a 900 segundos

● CLI:
○ adminaccess option set login-maxattempts 3
○ adminaccess option set login-unlocktimeout 900

DD admite la finalización de las conexiones al final de la sesión y la finalización de la sesión de soporte después del tiempo de inactividad configurado. Hay una CLI para especificar el período de inactividad. La conexión SSH sigue activa, pero se rechazan todas las solicitudes del cliente. Se está ejecutando un proceso de limpieza de sesión y se finalizan las sesiones que ya no son válidas. DD recomienda lo siguiente para el reforzamiento de la interfaz de usuario o la CLI:

● UI: Administration > Access > Check on HTTPS >
Configure > ADVANCE and set timeout value as 600 sec.
Repeat the same for SSH by clicking SSH in Services.
● CLI:
○ SSH: adminaccess ssh option set sessiontimeout 600
○ https: adminaccess web option set
session-timeout 600

DD recomienda la opción de caducidad de contraseña de usuario de la CLI. De manera predeterminada, la política de contraseña se relaja para ser compatible con versiones anteriores. El cliente puede usar la interfaz de usuario o las CLI para modificar la configuración de la contraseña de modo que sea más restrictiva y cumpla con los requisitos de antigüedad.

● Interfaz de usuario: Administración >Acceso >Más tareas>Cambiar inicio de sesión Opciones

● CLI: user password aging

DD es compatible con una política de contraseña integral y recomienda usar la CLI o la interfaz de usuario para proteger la contraseña. Establezca o modifique las características y la complejidad de la política de contraseña de la cuenta según lo que desee dentro del código de la aplicación. Consulte la política de contraseña para obtener más información sobre los requisitos.

● Interfaz de usuario: Administración >Acceso>Más tareas>Cambiar opcionesde inicio de sesión
 

● CLI: user password strength set

● CLI: ntp add timeserver <server-name> ntp enable

DD es compatible con diferentes puertos HTTPS y con la limitación de ciertas interfaces en lugar del valor predeterminado de todas las interfaces para las conexiones HTTPS. DD recomienda usar adminaccess y el comando de la CLI netfilter para reforzar:

● adminaccess web option set https-port
<port>
● net filter add operation allow protocol
tcp ports <port> interfaces <IP_address>

El servidor de aplicaciones debe identificar de forma única todos los dispositivos terminales conectados a la red antes de establecer cualquier conexión.

El Apache Web Server debe restringir las conexiones entrantes desde zonas no seguras.

Para restringir las conexiones entrantes, DD recomienda configurar el host permitido en las conexiones HTTPS y SSH mediante el comando de la interfaz de usuario o la CLI.

● Interfaz de usuario: > Acceso de administración > ACCESO DE ADMINISTRADOR: > seleccione HTTPS/SSH > CONFIGURAR > GENERAL y haga clic en el signo + (Agregar).

● CLI:
○ adminaccess http add <host_list>
○ adminaccess ssh add <host-list>

Se puede enviar una alerta por correo electrónico cuando el espacio de almacenamiento del registro de auditoría alcanza el umbral del 80 % y el 100 %. DD recomienda el uso de la UI o CLI para configurar el sistema para "Enviar correos electrónicos de notificación de alerta". ● Interfaz de usuario: Salud >Alertas >NOTIFICACIÓN >ADD (grupos en la clase del sistema de archivos con WARNING y CRITICAL y SUBSCRIBER CONFIGURE (agregar direcciones de correo electrónico y grupos)

● CLI:
○ alerts notify-list create <group name
warning> class filesystem severity
warning
○ alerts notify-list add <group name
warning> emails <email>
○ alerts notify-list create <group name
critical> class filesystem severity
critical
○ alerts notify-list add <group name
critical> emails <email>

DD supports syslog forwarding and recommends using CLI to
set up connection to a remote syslog server.
● log host add <Remote_syslog_Server>
● log host enable

DD supports multiple name servers protocols such as LDAP,
NIS, and AD. DD recommends using OpenLDAP with FIPS
enabled. DD manages only local accounts. DD recommends
using UI or CLI to configure LDAP.
● UI: Administration > Access > Authentication
● CLI: Authentication LDAP commands
Active Directory can also be configured for user logins with
FIPS enabled. However, CIFS data access with AD users is no
longer be supported with that configuration.

DD supports SNMPV3 that is FIPS-compliant. DD
recommends using UI or CLI to configure SNMPV3.
● UI: Administration > Settings > SNMP
● CLI: SNMP commands

DD es compatible con el uso de la tarjeta CAC/PIV emitida por DoD en el navegador del cliente para iniciar sesión mediante la interfaz de usuario. Este es un inicio de sesión multifactor mediante el certificado de la tarjeta CAC/PIV. DD recomienda el comando de la interfaz de usuario o la CLI para configurar MFA y configurar OpenLDAP para la autorización del usuario.

Procedimiento general:
● Configurar el certificado de CA de importación de OpenLDAP en DD.
● Importar DoD CA a DD
● Crear usuarios locales (si no se utiliza la autenticación LDAP).
● Deshabilitar el inicio de sesión basado en contraseña

DD supports CRL on MFA with issuing CA revoking CAC
certificate by importing CRL cert to DD. DD recommends
using CLI to import CRL certificate.
● CLI: adminaccess certificate cert-revokelist import application login-auth

DD recommends disabling HTTPS service to terminate all
active sessions by UI or CLI.
● UI: Administration > Access > Administrator Access >
HTTPS > CONFIGURE (clear HTTPS and save).
● CLI: adminaccess disable https

DD soporta la conexión SSH mediante claves SSH en lugar de un inicio de sesión basado en contraseña. Si el inicio de sesión basado en contraseña está deshabilitado, también se deshabilita el inicio de sesión en la interfaz de usuario con contraseña. DD recomienda usar la CLI para importar el certificado de clave y deshabilitar el inicio de sesión SSH basado en contraseña.

● CLI:
○ adminaccess add ssh-keys user
<user_name>
○ adminaccess option set password-auth
disable

El sistema debe usar un algoritmo de hash criptográfico aprobado por FIPS 140-2 para generar hashes de contraseña de cuenta. Los sistemas deben emplear hashes criptográficos para las contraseñas mediante la familia de algoritmos SHA-2 o sucesores aprobados por FIPS 140-2. El uso de algoritmos no aprobados puede dar lugar a hashes de contraseña débiles y más vulnerables a riesgos.

para establecer el hash criptográfico aprobado por FIPS 140-2 en el sistema. El cambio del algoritmo hash no cambia el valor de hash de las contraseñas existentes. Las contraseñas existentes a las que se les aplicó un algoritmo hash con md5 seguirán teniendo valores de hash md5 después de cambiar el algoritmo password-hash a sha512. Esas contraseñas se deben restablecer para que se calcule un nuevo valor de hash sha512.

Telnet can be removed. Run adminaccess uninstall
telnet to remove the telnet package from the DD system.

○ log host add <Remote_syslog_IP>
○ log host enable

DD can be configured to prompt for user consent prior to log in to the system UI interface.
● UI: Administration > LOGIN BANNER > CONFIGURE
● CLI: system option set loginbanner /ddr/var/releases/<banner_file>
● Where <banner_file> is uploaded to
DD's /ddr/var/releases as text file