Guide de renforcement du système et des pratiques d’excellence Data Domain

Suivez la stratégie de mots de passe de l’entreprise pour définir la stratégie d’âge des mots de passe par défaut.

# user password aging option set
{[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]}

Définissez une stratégie de niveau de sécurité des mots de passe utilisateur :

# user password strength set
{[min-length <length>]
[min-character-classes <num-classes>]
[passwords-remembered <0 - 24>][minpositions-changed <min-positions>]}

Recommandations de mots de passe :
● Un minimum de 12 caractères
● Pas d’espaces
● Pas de mots
courants du dictionnaire● Au moins 8 positions doivent être modifiées lors du changement de mot de passe
 

Ajoutez un utilisateur doté du rôle de responsable de la sécurité, forcez le changement de mot de passe et activez la politique d’autorisation. Utilisez la commande user add pour ajouter un responsable de la sécurité en tant qu’utilisateur doté d’un rôle de sécurité.

# user add <user>
[uid <uid>]
[role {admin | limited-admin | security |
user | backup-operator | none}]
[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]
[disable-date <date>]
[force-password-change {yes | no}]

Définissez force-password-change sur yes lors de l’ajout du compte du responsable de la sécurité.

Log in as security officer, and run 
# authorization policy set security-officer enabled

Ajoutez un utilisateur doté du rôle limited-admin et définissez un mot de passe différent de celui des utilisateurs dotés du rôle sysadmin/admin.

# user add <user>
[uid <uid>]
[role {admin | limited-admin | security |
user | backup-operator | none}]
[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]
[disable-date <date>]
[force-password-change {yes | no}]

Log in as security officer, and then run 
# user change password

For SSH:
● Add an SSH host.
# adminaccess ssh add <host-list>
● Delete hosts from the SSH list.
# adminaccess ssh del <host-list>
For HTTP and HTTPS:
● Add an HTTP/HTTPS host.
# adminaccess http add <host-list>
● Delete hosts from the HTTP/HTTPS list.
# adminaccess http del <host-list>

● Configure and forward logs to syslog server.
● Monitor audit log and access log. See the DDOS Command
Reference UIde for more information.
○ # log view access-info
○ # log view audit-info
● Consider writing a script that runs the above commands
several times a day and reports any suspicious activities.
● Pay close attention to sensitive and not often used
commands that are related to user access management
and network settings, including time setting.
● Monitor authentication and authorization failures in
particular.
● Monitor all operations that require password.
● Monitor destruction operations and any failures and
repeating attempts.
● Highly recommended is to write searches and dashboards
to view log forwarded info. Also setup alerts rules on your
log server.

Disable telnet by running # adminaccess disable telnet

Set and use a hardened system passphrase. The default
minimum length requirement is 9 characters. Use system
passphrase option set min-length to set higher
length requirements. 

Configure two-way authentication when adding a replication
pair.
# replication add source <source>
destination <destination>
[low-bw-optim {enabled | disabled}]
[encryption {enabled [authentication-mode
{one-way | two-way | anonymous}] |
disabled}]
[propagate-retention-lock {enabled |
disabled}]
[ipversion {ipv4 | ipv6}]
[max-repl-streams <n>]
[destination-tenant-unit <tenant-unit>]

Par défaut, le mode d’authentification globale est défini sur Aucun et le chiffrement est désactivé. Les configurations garantissent que seuls les clients DD Boost avec au moins la prise en charge de l’authentification par mot de passe bidirectionnelle, ceux qui utilisent DD Boost 3.3 ou une version ultérieure, peuvent se connecter et que les données sont chiffrées sur le réseau. 

# ddboost option set global-authenticationmode two-way-password global-encryptionstrength <high/medium>

Par défaut, le hachage du mot de passe est défini sur MD5. La modification de ce paramètre en SHA512 empêche les clients DD Boost incapables de prendre en charge SHA512 de se rattacher.

 # adminaccess option set password-hash
{md5 | sha512}

Create a none role user and associates it to be a DD Boost
user.
 # user add <user> role none
# ddboost user assign <user> 

# ddboost clients add client-list [encryption-strength {none | medium | high} authentication-mode {one-way | two-way | twoway-password | anonymous | kerberos}]

Utilisez le mode d’authentification bidirectionnelle.

# ddboost file-replication option set
encryption enabled authentication-mode twoway

# nfs option set nfs3-port <new port number>
# nfs option set nfs4-port <new port number>

# net filter add operation block protocol
tcp ports 111

# net filter add operation block protocol
udp ports 111

Ensures that data on the wire is encrypted.
# nfs export create <export name> path
<path> option sec=krb5p

Delete NFS clients from an export
# nfs add <path> <client-list> [ ( <optionlist> ) ]
Delete NFS clients from an export.
# nfs del <path> <client-list>

Vérifiez à l’aide de la commande suivante :

# nfs export show list

Doit vérifier no_root_squash n’est configuré pour aucune exportation.

DD supports use of only FIPS 140-2 approved ciphers for
secured connections. DD recommends using UI or CLI to
enable FIPS mode:
● UI: Administration > Setting > FIPS mode
● CLI: system fips-mode enable

DD recommends UI or CLI hardening:
● UI: Administration > Access > More Tasks > Change
Login Options (to set active login to 100)
● CLI: adminaccess option set login-maxactive 100

DD recommande d’utiliser l’interface utilisateur ou l’interface de ligne de commande pour configurer :
● Interface utilisateur : Administration > Access > More Tasks Modification > de la valeur du nombre maximal de tentatives de connexion à 3, délai d’expiration de déverrouillage de 900 s

● CLI:
○ adminaccess option set login-maxattempts 3
○ adminaccess option set login-unlocktimeout 900

DD prend en charge la fin des connexions à la fin de la session et la fin de la session de support après une période d’inactivité configurée. Il existe une CLI permettant de spécifier la période d’inactivité. La connexion SSH est toujours active, mais toute demande du client est rejetée. Un processus de nettoyage de session est en cours d’exécution et met fin aux sessions qui ne sont plus valides. DD recommande ce qui suit pour le renforcement de l’interface utilisateur ou de l’interface de ligne de commande :

● UI: Administration > Access > Check on HTTPS >
Configure > ADVANCE and set timeout value as 600 sec.
Repeat the same for SSH by clicking SSH in Services.
● CLI:
○ SSH: adminaccess ssh option set sessiontimeout 600
○ https: adminaccess web option set
session-timeout 600

DD recommande l’option d’âge du mot de passe utilisateur de l’interface CLI. Par défaut, la politique de mot de passe est assouplie pour assurer la compatibilité descendante. Le client peut utiliser l’interface utilisateur ou les CLI pour modifier la configuration du mot de passe afin qu’elle soit plus restrictive et réponde aux exigences d’ancienneté.

• Interface utilisateur : Administration >Accès >Plus de tâches>Changer d’identifiant Options

● CLI: user password aging

DD prend en charge une politique de mots de passe complète et recommande d’utiliser l’interface de ligne de commande ou l’interface utilisateur pour renforcer le mot de passe. Définissez ou modifiez les caractéristiques et la complexité de la stratégie de mot de passe du compte en fonction de ce qui est souhaité dans le code de l’application. Consultez la stratégie de mots de passe pour plus d’informations sur les exigences.

• Interface utilisateur : Administration >Accès>Plus de tâches>Modifier les options de connexion
 

● CLI: user password strength set

● CLI: ntp add timeserver <server-name> ntp enable

DD prend en charge différents ports HTTPS et limite certaines interfaces au lieu de toutes les interfaces par défaut pour les connexions HTTPS. DD recommande d’utiliser la commande CLI adminaccess et netfilter pour renforcer :

● adminaccess web option set https-port
<port>
● net filter add operation allow protocol
tcp ports <port> interfaces <IP_address>

Le serveur d’applications doit identifier de manière unique tous les points de terminaison connectés au réseau avant d’établir une connexion.

Apache Web Server doit restreindre les connexions entrantes issues de zones non sécurisées.

Pour limiter les connexions entrantes, DD recommande de configurer l’hôte autorisé dans les connexions HTTPS et SSH à l’aide de l’interface utilisateur ou de la commande CLI.

• Interface utilisateur : Accès > administrateur > ACCÈS ADMINISTRATEUR > sélectionnez HTTPS/SSH > CONFIGURE > GENERAL et cliquez sur le signe + (Ajouter).

● CLI:
○ adminaccess http add <host_list>
○ adminaccess ssh add <host-list>

Une alerte par e-mail peut être envoyée lorsque l’espace de stockage des journaux d’audit atteint un seuil de 80 % et de 100 %. DD recommande d’utiliser l’interface utilisateur ou l’interface de ligne de commande pour configurer le système sur « Send Alert Notification Emails ». • Interface utilisateur : Santé >Alertes >NOTIFICATION >ADD (Groups on file system Class with WARNING et CRITICAL et Subscriber CONFIGURE (Add email addresses and Groups)

● CLI:
○ alerts notify-list create <group name
warning> class filesystem severity
warning
○ alerts notify-list add <group name
warning> emails <email>
○ alerts notify-list create <group name
critical> class filesystem severity
critical
○ alerts notify-list add <group name
critical> emails <email>

DD supports syslog forwarding and recommends using CLI to
set up connection to a remote syslog server.
● log host add <Remote_syslog_Server>
● log host enable

DD supports multiple name servers protocols such as LDAP,
NIS, and AD. DD recommends using OpenLDAP with FIPS
enabled. DD manages only local accounts. DD recommends
using UI or CLI to configure LDAP.
● UI: Administration > Access > Authentication
● CLI: Authentication LDAP commands
Active Directory can also be configured for user logins with
FIPS enabled. However, CIFS data access with AD users is no
longer be supported with that configuration.

DD supports SNMPV3 that is FIPS-compliant. DD
recommends using UI or CLI to configure SNMPV3.
● UI: Administration > Settings > SNMP
● CLI: SNMP commands

DD prend en charge l’utilisation d’une carte CAC/PIV émise par le DoD dans le navigateur client pour se connecter à l’aide de l’interface utilisateur. Il s’agit d’une connexion multifacteur à l’aide du certificat de la carte CAC/PIV. DD recommande l’interface utilisateur ou la commande CLI pour configurer l’authentification multifacteur et configurer OpenLDAP pour l’autorisation utilisateur.

Procédure générale :
● Configurer le certificat de l’autorité de certification d’importation OpenLDAP vers DD.
● Importer l’autorité de certification DoD dans DD
● Créer des utilisateurs locaux (si l’authentification LDAP n’est pas utilisée).
● Désactiver la connexion par mot de passe

DD supports CRL on MFA with issuing CA revoking CAC
certificate by importing CRL cert to DD. DD recommends
using CLI to import CRL certificate.
● CLI: adminaccess certificate cert-revokelist import application login-auth

DD recommends disabling HTTPS service to terminate all
active sessions by UI or CLI.
● UI: Administration > Access > Administrator Access >
HTTPS > CONFIGURE (clear HTTPS and save).
● CLI: adminaccess disable https

DD prend en charge la connexion SSH à l’aide de clés SSH au lieu d’une connexion par mot de passe. Si la connexion par mot de passe est désactivée, la connexion de l’interface utilisateur à l’aide d’un mot de passe est également désactivée. DD recommande d’utiliser l’interface de ligne de commande pour importer le certificat de clé et désactiver la connexion SSH par mot de passe.

● CLI:
○ adminaccess add ssh-keys user
<user_name>
○ adminaccess option set password-auth
disable

Le système doit utiliser un algorithme de hachage cryptographique approuvé par la norme FIPS 140-2 pour générer des hachages de mot de passe de compte. Les systèmes doivent utiliser des hachages cryptographiques pour les mots de passe à l’aide de la famille d’algorithmes SHA-2 ou de leurs successeurs approuvés par FIPS 140-2. L’utilisation d’algorithmes non approuvés peut entraîner des hachages de mot de passe faibles et les rendre plus vulnérables à la compromission.

pour activer le hachage cryptographique certifié FIPS 140-2 sur le système. La modification de l’algorithme de hachage ne modifie pas la valeur de hachage des mots de passe existants. Tous les mots de passe existants qui ont été hachés avec md5 auront toujours des valeurs de hachage md5 après la modification de l’algorithme de hachage du mot de passe en sha512. Ces mots de passe doivent être réinitialisés afin qu’une nouvelle valeur de hachage sha512 soit calculée.

Telnet can be removed. Run adminaccess uninstall
telnet to remove the telnet package from the DD system.

○ log host add <Remote_syslog_IP>
○ log host enable

DD can be configured to prompt for user consent prior to log in to the system UI interface.
● UI: Administration > LOGIN BANNER > CONFIGURE
● CLI: system option set loginbanner /ddr/var/releases/<banner_file>
● Where <banner_file> is uploaded to
DD's /ddr/var/releases as text file