Data Domain: Retention Lock Compliance Enabled System에 "Security Clock Drift is Detected" 메시지와 함께 알림이 표시되거나 FS가 비활성화될 수 있음

RLC가 활성화된 경우 해당 잠금이 만료될 때까지 잠긴 파일을 삭제하거나 수정할 수 없습니다. RL 거버넌스 시스템의 경우 적절한 인증이 제공되고 DD 날짜와 시간이 올바르게 유지되고 악의적으로 수정되지 않으면 잠금이 "되돌리기"될 수 있습니다.

RLC 시스템에서는 날짜와 시간을 수동으로 변경할 수 있는 기능이 제한됩니다. RLC를 활성화하기 전에 신뢰할 수 있는 시간 소스에 NTP를 구성해야 합니다. NTP 서버도 손상되어 잘못된 날짜와 시간을 서버로 반환하도록 변경될 수 있습니다. 이는 공격자가 기존 데이터를 삭제하거나 수정할 수 있도록 보존 잠금 파일의 잠금이 조기에 만료되도록 하기 위한 수단으로 수행됩니다.

이러한 공격 벡터로부터 부분적으로 보호하기 위해 RL 규정 준수가 활성화된 DD 시스템은 시스템 날짜와 시간을 면밀하게 추적하고 발생할 수 있는 점프를 기록합니다. 누적 시간 변동이 지정된 금액에 도달하면 관리자는 날짜와 시간을 확인하라는 경고를 표시합니다. 결국, 관리자의 변경 없이 클록 비뚤어짐과 시간 변동이 너무 높아지면 파일 시스템 프로세스가 보호 수단으로 비활성화됩니다.

클록 비뚤어짐이 14일 이상 누적된 클록 변동(기본적으로)을 초과하면 알림이 게시됩니다.

# alerts show current
Id       Post Time                  Severity   Class        Object              Message
------   ------------------------   --------   ----------   -----------------   ------------------------------------------------------------------------------------------------------------------------------------------------------------------------
m0-95    Mon May  9 11:47:19 2022   CRITICAL   Filesystem                       EVT-FILESYS-00025: Security clock skew violation of 14 day 23 hr 22 min detected. Filesys will be disabled as skew exceeds the configured threshold 14 day 0 hr 0 min.
------   ------------------------   --------   ----------   -----------------   ------------------------------------------------------------------------------------------------------------------------------------------------------------------------

파일 시스템이 자동으로 다운됩니다(debug messages.engineering의 로그 보기):.

May  9 12:00:29 dd6900 ddfs[10015]: INFO: ddr_statelib: ddr_sd_proc_in_shutdown(DISABLED, "warm_startup: Security clock violation occurs.")
May  9 12:00:29 dd6900 ddfs[10015]: ERROR: warm_startup: Security clock violation occurs.
May  9 12:01:34 dd6900 sms: NOTICE: sm_fs_trigger_enable: filesys: changing state The filesystem is disabled and shutdown. [warm_startup: Security clock violation occurs.]  -> enable (1:1->2)

언제든지 RL 규정 준수가 활성화된 시스템에 대해 DD CLI에서 클록 변경 및 비뚤어짐의 상태를 확인할 수 있습니다.

# system retention-lock compliance status
System configuration state               : configured
Retention-lock compliance status         : enabled
Current system time                      : 2022/05/09 14:44:01
Last recorded system time for compliance     : 2022/05/06 17:18:45
Accumulated clock variance                   : 14 day 23 hr 22 min (since 2021/10/2 16:8:10)

RLC 지원 시스템은 보안상의 이유로 날짜와 시간을 모니터링합니다. 날짜 및 시간의 변경 사항은 누적됩니다. 지정된 임계값을 초과하면 알림이 발생합니다. 14일을 연속으로 초과하면 보안을 위해 파일 시스템이 종료됩니다.

클록 변경은 RLC 잠긴 데이터를 조기에 변경하거나 삭제하기 위해 DD에 대한 공격을 나타내는 것은 아닙니다. 일반적으로 클록 변경은 DD OS 모니터의 현재 릴리스 시간 변경에 따른 결과입니다. 예를 들어 DD 파일 시스템 프로세스가 15분 이상 중단되면 클록 비뚤어짐으로 처리됩니다.

시간 변동 및 클록 비뚤어짐 알림이 보고되면 구성된 시간 서버를 다시 확인하여 악의적인 변경이 적용되지 않는지 확인합니다. 또한 위에 언급된 명령(시스템 보존 잠금 규정 준수 상태)을 사용하여 현재 비뚤어짐 및 시간 경과를 확인합니다. 언제든지 UI 또는 CLI를 사용하여 알림을 지울 수 있습니다. 예를 들어 CLI에서 이 문서의 상단에 표시되는 알림은 다음과 같습니다.

# alert clear alert-id m0-95

과도한 비뚤어짐 및 변동(누적 14일 초과)으로 인해 파일 시스템 프로세스가 이미 중단된 경우 날짜 및 시간에 최근 또는 변경 사항이 있는지 또는 (가장 가능성이 높기 때문에) 파일 시스템 프로세스가 15분 이상 중단되었는지 확인합니다. 모든 검사가 완료되고 인식된 위험이 없는 경우 클록 변경 및 비뚤어짐에 대한 알림을 지웁습니다. 지워지면 "filesys enable" 명령을 실행하여 파일 시스템 프로세스를 다시 시작합니다.

확실하지 않거나 도움이 필요한 경우 Dell Technologies 고객 지원에 문의하십시오.