Data Domain: guida al consolidamento del sistema e alle best practice (in inglese)

Seguire la policy aziendale per le password per impostare la policy di invecchiamento predefinita della password.

# user password aging option set
{[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]}

Impostare una policy di complessità della password utente:

# user password strength set
{[min-length <length>]
[min-character-classes <num-classes>]
[passwords-remembered <0 - 24>][minpositions-changed <min-positions>]}

Consigli per le password:
● Un minimo di 12 caratteri
● Nessuno spazio
● Nessuna parola
comune nel dizionario● Minimo 8 posizioni devono essere modificate durante il cambio della password
 

Aggiungere l'utente con ruolo di funzionario di sicurezza, forzare la modifica della password e abilitare la policy di autorizzazione. Utilizzare il comando user add per aggiungere un security officer come utente con ruolo security.

# user add <user>
[uid <uid>]
[role {admin | limited-admin | security |
user | backup-operator | none}]
[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]
[disable-date <date>]
[force-password-change {yes | no}]

Impostare force-password-change su yes quando si aggiunge l'account del funzionario di sicurezza.

Log in as security officer, and run 
# authorization policy set security-officer enabled

Aggiungere un utente con ruolo limited-admin e impostare una password diversa per gli utenti con ruolo sysadmin/admin.

# user add <user>
[uid <uid>]
[role {admin | limited-admin | security |
user | backup-operator | none}]
[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]
[disable-date <date>]
[force-password-change {yes | no}]

Log in as security officer, and then run 
# user change password

For SSH:
● Add an SSH host.
# adminaccess ssh add <host-list>
● Delete hosts from the SSH list.
# adminaccess ssh del <host-list>
For HTTP and HTTPS:
● Add an HTTP/HTTPS host.
# adminaccess http add <host-list>
● Delete hosts from the HTTP/HTTPS list.
# adminaccess http del <host-list>

● Configure and forward logs to syslog server.
● Monitor audit log and access log. See the DDOS Command
Reference UIde for more information.
○ # log view access-info
○ # log view audit-info
● Consider writing a script that runs the above commands
several times a day and reports any suspicious activities.
● Pay close attention to sensitive and not often used
commands that are related to user access management
and network settings, including time setting.
● Monitor authentication and authorization failures in
particular.
● Monitor all operations that require password.
● Monitor destruction operations and any failures and
repeating attempts.
● Highly recommended is to write searches and dashboards
to view log forwarded info. Also setup alerts rules on your
log server.

Disable telnet by running # adminaccess disable telnet

Set and use a hardened system passphrase. The default
minimum length requirement is 9 characters. Use system
passphrase option set min-length to set higher
length requirements. 

Configure two-way authentication when adding a replication
pair.
# replication add source <source>
destination <destination>
[low-bw-optim {enabled | disabled}]
[encryption {enabled [authentication-mode
{one-way | two-way | anonymous}] |
disabled}]
[propagate-retention-lock {enabled |
disabled}]
[ipversion {ipv4 | ipv6}]
[max-repl-streams <n>]
[destination-tenant-unit <tenant-unit>]

Per impostazione predefinita, la modalità di autenticazione globale è impostata su none e la crittografia è disabilitata. Le configurazioni garantiscono che solo i client DD Boost con almeno supporto per l'autenticazione con password bidirezionale, quelli che utilizzano DD Boost 3.3 o versioni successive, possano collegarsi e che i dati siano crittografati in rete. 

# ddboost option set global-authenticationmode two-way-password global-encryptionstrength <high/medium>

Per impostazione predefinita, l'hash della password è impostato su MD5. La modifica di questo valore in SHA512 impedisce il collegamento dei client DD Boost che non sono in grado di supportare SHA512.

 # adminaccess option set password-hash
{md5 | sha512}

Create a none role user and associates it to be a DD Boost
user.
 # user add <user> role none
# ddboost user assign <user> 

# ddboost clients add client-list [encryption-strength {none | medium | high} authentication-mode {one-way | two-way | twoway-password | anonymous | kerberos}]

Utilizzare la modalità di autenticazione bidirezionale.

# ddboost file-replication option set
encryption enabled authentication-mode twoway

# nfs option set nfs3-port <new port number>
# nfs option set nfs4-port <new port number>

# net filter add operation block protocol
tcp ports 111

# net filter add operation block protocol
udp ports 111

Ensures that data on the wire is encrypted.
# nfs export create <export name> path
<path> option sec=krb5p

Delete NFS clients from an export
# nfs add <path> <client-list> [ ( <optionlist> ) ]
Delete NFS clients from an export.
# nfs del <path> <client-list>

Verificare utilizzando il seguente comando:

# nfs export show list

È necessario verificare no_root_squash non sia configurato per alcuna esportazione.

DD supports use of only FIPS 140-2 approved ciphers for
secured connections. DD recommends using UI or CLI to
enable FIPS mode:
● UI: Administration > Setting > FIPS mode
● CLI: system fips-mode enable

DD recommends UI or CLI hardening:
● UI: Administration > Access > More Tasks > Change
Login Options (to set active login to 100)
● CLI: adminaccess option set login-maxactive 100

DD consiglia l'utilizzo dell'interfaccia utente o della CLI per configurare:
● Interfaccia utente: Accesso > amministrativo > ad altre attività Modifica > del valore del numero massimo di tentativi di accesso pari a 3, timeout di sblocco pari a 900 secondi

● CLI:
○ adminaccess option set login-maxattempts 3
○ adminaccess option set login-unlocktimeout 900

DD supporta l'interruzione delle connessioni al termine della sessione e l'interruzione della sessione dopo un tempo di inattività configurato. È disponibile una CLI per specificare il periodo di inattività. La connessione SSH è ancora attiva, ma qualsiasi richiesta del client viene rifiutata. È in esecuzione un processo di pulizia delle sessioni che termina le sessioni non più valide. DD consiglia quanto segue per la protezione avanzata dell'interfaccia utente o della CLI:

● UI: Administration > Access > Check on HTTPS >
Configure > ADVANCE and set timeout value as 600 sec.
Repeat the same for SSH by clicking SSH in Services.
● CLI:
○ SSH: adminaccess ssh option set sessiontimeout 600
○ https: adminaccess web option set
session-timeout 600

DD consiglia l'opzione di obsolescenza della password utente CLI. Per impostazione predefinita, la policy delle password è stata rimossa per garantire la compatibilità con le versioni precedenti. Il cliente può utilizzare l'interfaccia utente o la CLI per modificare la configurazione della password in modo che sia più restrittiva e soddisfi i requisiti di obsolescenza.

● Interfaccia utente: Amministrazione >Accesso >Altre attività>Modifica accesso Opzioni

● CLI: user password aging

DD supporta una policy completa per le password e consiglia di utilizzare la CLI o l'interfaccia utente per proteggere la password. Impostare o modificare le caratteristiche e la complessità dei criteri per le password degli account in base alle esigenze all'interno del codice dell'applicazione. Per ulteriori informazioni sui requisiti, consultare la policy sulle password.

● Interfaccia utente: Amministrazione >Accesso>Altre attività> Modifica delle opzionidi accesso
 

● CLI: user password strength set

● CLI: ntp add timeserver <server-name> ntp enable

DD supporta porte HTTPS diverse e limitazioni di determinate interfacce anziché l'impostazione predefinita di tutte le interfacce per le connessioni HTTPS. DD consiglia di utilizzare i comandi CLI adminaccess e netfilter per garantire la protezione avanzata:

● adminaccess web option set https-port
<port>
● net filter add operation allow protocol
tcp ports <port> interfaces <IP_address>

Il server delle applicazioni deve identificare in modo univoco tutti i dispositivi endpoint connessi alla rete prima di stabilire qualsiasi connessione.

Il server web Apache deve limitare le connessioni in entrata da zone non protette.

Per limitare le connessioni in entrata, DD consiglia di configurare l'host consentito nelle connessioni HTTPS e SSH utilizzando il comando UI o CLI.

● Interfaccia utente: Administration > Access > ADMINISTRATOR ACCESS > selezionare HTTPS/SSH > CONFIGURE > GENERAL e cliccare sul segno + (Aggiungi).

● CLI:
○ adminaccess http add <host_list>
○ adminaccess ssh add <host-list>

È possibile inviare un avviso e-mail quando lo spazio di storage degli audit log raggiunge la soglia dell'80% e del 100%. DD consiglia l'utilizzo dell'interfaccia utente o della CLI per configurare il sistema per l'invio di e-mail di notifica di avviso. ● Interfaccia utente: Salute >Avvisi >NOTIFICA >ADD (Gruppi sulla classe del file system con WARNING e CRITICAL e Subscriber CONFIGURE (aggiunta di indirizzi e-mail e gruppi)

● CLI:
○ alerts notify-list create <group name
warning> class filesystem severity
warning
○ alerts notify-list add <group name
warning> emails <email>
○ alerts notify-list create <group name
critical> class filesystem severity
critical
○ alerts notify-list add <group name
critical> emails <email>

DD supports syslog forwarding and recommends using CLI to
set up connection to a remote syslog server.
● log host add <Remote_syslog_Server>
● log host enable

DD supports multiple name servers protocols such as LDAP,
NIS, and AD. DD recommends using OpenLDAP with FIPS
enabled. DD manages only local accounts. DD recommends
using UI or CLI to configure LDAP.
● UI: Administration > Access > Authentication
● CLI: Authentication LDAP commands
Active Directory can also be configured for user logins with
FIPS enabled. However, CIFS data access with AD users is no
longer be supported with that configuration.

DD supports SNMPV3 that is FIPS-compliant. DD
recommends using UI or CLI to configure SNMPV3.
● UI: Administration > Settings > SNMP
● CLI: SNMP commands

DD supporta l'utilizzo di una scheda CAC/PIV rilasciata dal DoD nel browser client per l'accesso tramite l'interfaccia utente. Questo è un accesso a più fattori che utilizza il certificato della scheda CAC/PIV. DD consiglia l'interfaccia utente o il comando CLI per configurare l'MFA e configurare OpenLDAP per l'autorizzazione utente.

Procedura generale:
● Configurare il certificato OpenLDAP Import CA in DD.
● Importa DoD CA in DD
● Creare utenti locali (se non viene utilizzata l'autenticazione LDAP).
● Disabilita l'accesso basato su password

DD supports CRL on MFA with issuing CA revoking CAC
certificate by importing CRL cert to DD. DD recommends
using CLI to import CRL certificate.
● CLI: adminaccess certificate cert-revokelist import application login-auth

DD recommends disabling HTTPS service to terminate all
active sessions by UI or CLI.
● UI: Administration > Access > Administrator Access >
HTTPS > CONFIGURE (clear HTTPS and save).
● CLI: adminaccess disable https

DD supporta la connessione SSH utilizzando chiavi ssh anziché l'accesso basato su password. Se l'accesso basato su password è disabilitato, anche l'accesso tramite password dell'interfaccia utente è disabilitato. DD consiglia di utilizzare la CLI per importare il certificato della chiave e disabilitare l'accesso SSH basato su password.

● CLI:
○ adminaccess add ssh-keys user
<user_name>
○ adminaccess option set password-auth
disable

Il sistema deve utilizzare un algoritmo hash crittografico approvato FIPS 140-2 per generare hash delle password degli account. I sistemi devono utilizzare hash crittografici per le password utilizzando la famiglia di algoritmi SHA-2 o i successori approvati FIPS 140-2. L'uso di algoritmi non approvati può comportare hash di password deboli e più vulnerabili alla compromissione.

per impostare l'hashing crittografico approvato FIPS 140-2 sul sistema. La modifica dell'algoritmo hash non modifica il valore hash per le password esistenti. Tutte le password esistenti con hash md5 avranno ancora valori hash md5 dopo aver modificato l'algoritmo hash della password in sha512. Tali password devono essere reimpostate in modo che venga calcolato un nuovo valore hash sha512.

Telnet can be removed. Run adminaccess uninstall
telnet to remove the telnet package from the DD system.

○ log host add <Remote_syslog_IP>
○ log host enable

DD can be configured to prompt for user consent prior to log in to the system UI interface.
● UI: Administration > LOGIN BANNER > CONFIGURE
● CLI: system option set loginbanner /ddr/var/releases/<banner_file>
● Where <banner_file> is uploaded to
DD's /ddr/var/releases as text file