Data Domain - Handleiding voor systeemverharding en best practices

Volg het wachtwoordbeleid van het bedrijf om het standaardbeleid voor wachtwoordveroudering in te stellen.

# user password aging option set
{[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]}

Stel een beleid voor de sterkte van gebruikerswachtwoorden in:

# user password strength set
{[min-length <length>]
[min-character-classes <num-classes>]
[passwords-remembered <0 - 24>][minpositions-changed <min-positions>]}

Aanbevelingen voor wachtwoorden:
● Minimaal 12 tekens
● Geen spaties
● Geen veelgebruikte woorden
uit het woordenboek● Minimaal 8 posities moeten worden gewijzigd tijdens het wijzigen van het wachtwoord
 

Voeg de rol gebruiker van beveiligingsmedewerker toe, dwing wachtwoordwijziging af en schakel autorisatiebeleid in. Gebruik de opdracht gebruiker toevoegen om beveiligingsfunctionaris toe te voegen als gebruiker met een beveiligingsrol.

# user add <user>
[uid <uid>]
[role {admin | limited-admin | security |
user | backup-operator | none}]
[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]
[disable-date <date>]
[force-password-change {yes | no}]

Stel force-password-change in op yes bij het toevoegen van het security officer-account.

Log in as security officer, and run 
# authorization policy set security-officer enabled

Voeg een gebruiker met een beperkte beheerdersrol toe en stel een ander wachtwoord in voor gebruikers met de rol systeembeheerder/beheerder.

# user add <user>
[uid <uid>]
[role {admin | limited-admin | security |
user | backup-operator | none}]
[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]
[disable-date <date>]
[force-password-change {yes | no}]

Log in as security officer, and then run 
# user change password

For SSH:
● Add an SSH host.
# adminaccess ssh add <host-list>
● Delete hosts from the SSH list.
# adminaccess ssh del <host-list>
For HTTP and HTTPS:
● Add an HTTP/HTTPS host.
# adminaccess http add <host-list>
● Delete hosts from the HTTP/HTTPS list.
# adminaccess http del <host-list>

● Configure and forward logs to syslog server.
● Monitor audit log and access log. See the DDOS Command
Reference UIde for more information.
○ # log view access-info
○ # log view audit-info
● Consider writing a script that runs the above commands
several times a day and reports any suspicious activities.
● Pay close attention to sensitive and not often used
commands that are related to user access management
and network settings, including time setting.
● Monitor authentication and authorization failures in
particular.
● Monitor all operations that require password.
● Monitor destruction operations and any failures and
repeating attempts.
● Highly recommended is to write searches and dashboards
to view log forwarded info. Also setup alerts rules on your
log server.

Disable telnet by running # adminaccess disable telnet

Set and use a hardened system passphrase. The default
minimum length requirement is 9 characters. Use system
passphrase option set min-length to set higher
length requirements. 

Configure two-way authentication when adding a replication
pair.
# replication add source <source>
destination <destination>
[low-bw-optim {enabled | disabled}]
[encryption {enabled [authentication-mode
{one-way | two-way | anonymous}] |
disabled}]
[propagate-retention-lock {enabled |
disabled}]
[ipversion {ipv4 | ipv6}]
[max-repl-streams <n>]
[destination-tenant-unit <tenant-unit>]

De globale verificatiemodus is standaard ingesteld op Geen en versleuteling is uitgeschakeld. De configuraties zorgen ervoor dat alleen DD Boost-clients met ondersteuning voor authenticatie van een wachtwoord in twee richtingen, clients die DD Boost 3.3 of hoger gebruiken, verbinding kunnen maken en dat data draadloos worden versleuteld. 

# ddboost option set global-authenticationmode two-way-password global-encryptionstrength <high/medium>

Standaard is de wachtwoord-hash ingesteld op MD5. Als u dit wijzigt in SHA512, wordt voorkomen dat DD Boost-clients die de SHA512 niet kunnen ondersteunen, worden gekoppeld.

 # adminaccess option set password-hash
{md5 | sha512}

Create a none role user and associates it to be a DD Boost
user.
 # user add <user> role none
# ddboost user assign <user> 

# ddboost clients add client-list [encryption-strength {none | medium | high} authentication-mode {one-way | two-way | twoway-password | anonymous | kerberos}]

Gebruik de tweerichtingsverificatiemodus.

# ddboost file-replication option set
encryption enabled authentication-mode twoway

# nfs option set nfs3-port <new port number>
# nfs option set nfs4-port <new port number>

# net filter add operation block protocol
tcp ports 111

# net filter add operation block protocol
udp ports 111

Ensures that data on the wire is encrypted.
# nfs export create <export name> path
<path> option sec=krb5p

Delete NFS clients from an export
# nfs add <path> <client-list> [ ( <optionlist> ) ]
Delete NFS clients from an export.
# nfs del <path> <client-list>

Controleer met de volgende opdracht:

# nfs export show list

Moet verifiëren no_root_squash niet is geconfigureerd voor exports.

DD supports use of only FIPS 140-2 approved ciphers for
secured connections. DD recommends using UI or CLI to
enable FIPS mode:
● UI: Administration > Setting > FIPS mode
● CLI: system fips-mode enable

DD recommends UI or CLI hardening:
● UI: Administration > Access > More Tasks > Change
Login Options (to set active login to 100)
● CLI: adminaccess option set login-maxactive 100

DD raadt het gebruik van UI of CLI aan voor het configureren:
● UI: Beheertoegang >> Meer taken > Wijzig de waarde van het maximale aantal aanmeldingspogingen als 3, ontgrendel time-out als 900 sec

● CLI:
○ adminaccess option set login-maxattempts 3
○ adminaccess option set login-unlocktimeout 900

DD ondersteunt het beëindigen van verbindingen aan het einde van de sessie en ondersteunt het beëindigen van de sessie na geconfigureerde tijd van inactiviteit. Er is een CLI om de inactiviteitsperiode op te geven. De SSH-verbinding is nog steeds actief, maar elk verzoek van de client wordt afgewezen. Er wordt een proces voor het opschonen van sessies uitgevoerd, waarbij sessies die niet langer geldig zijn, worden opgeschoond en beëindigd. DD raadt het volgende aan voor UI- of CLI-hardening:

● UI: Administration > Access > Check on HTTPS >
Configure > ADVANCE and set timeout value as 600 sec.
Repeat the same for SSH by clicking SSH in Services.
● CLI:
○ SSH: adminaccess ssh option set sessiontimeout 600
○ https: adminaccess web option set
session-timeout 600

DD raadt de optie voor het verouderen van het CLI-gebruikerswachtwoord aan. Het wachtwoordbeleid is standaard versoepeld om achterwaarts compatibel te zijn. De klant kan de gebruikersinterface of CLI's gebruiken om de wachtwoordconfiguratie te wijzigen, zodat deze beperkender is en voldoet aan de verouderingsvereisten.

● Gebruikersinterface: Administration >Toegang >Meer taken>Login wijzigen Opties

● CLI: user password aging

DD ondersteunt een uitgebreid wachtwoordbeleid en raadt het gebruik van CLI of UI aan om het wachtwoord harder te maken. Stel de beleidskenmerken en complexiteit van het wachtwoordbeleid van accounts in of wijzig deze naar wens in de applicatiecode. Zie het wachtwoordbeleid voor meer informatie over de vereisten.

● Gebruikersinterface: Administration >Toegang>Meer taken>Aanmeldingsopties wijzigen
 

● CLI: user password strength set

● CLI: ntp add timeserver <server-name> ntp enable

DD ondersteunt verschillende HTTPS-poorten en het beperken van bepaalde interfaces in plaats van standaard alle interfaces voor HTTPS-verbindingen. DD raadt aan om de opdracht adminaccess en netfilter CLI te gebruiken om te beveiligen:

● adminaccess web option set https-port
<port>
● net filter add operation allow protocol
tcp ports <port> interfaces <IP_address>

De applicatieserver moet alle op het netwerk aangesloten eindpuntapparaten uniek identificeren voordat een verbinding tot stand kan worden gebracht.

De Apache-webserver moet inkomende verbindingen vanuit niet-beveiligde zones beperken.

Om inkomende verbindingen te beperken, raadt DD aan om de toegestane host in HTTPS- en SSH-verbindingen te configureren met behulp van de UI- of CLI-opdracht.

● Gebruikersinterface: Beheertoegang >> BEHEERDERSTOEGANG > , selecteer HTTPS/SSH > CONFIGUREER > ALGEMEEN en klik op het + (Toevoegen)-teken.

● CLI:
○ adminaccess http add <host_list>
○ adminaccess ssh add <host-list>

E-mailwaarschuwingen kunnen worden verzonden wanneer de storageruimte van het auditlogboek de drempelwaarde 80% en 100% bereikt. DD raadt het gebruik van UI of CLI aan om het systeem te configureren voor het verzenden van e-mailwaarschuwingsmeldingen. ● Gebruikersinterface: Gezondheid >Waarschuwingen >KENNISGEVING >ADD(Groepen op bestandssysteemklasse met WAARSCHUWING en KRITIEK en Subscriber CONFIGURE (E-mailadressen en groepen toevoegen)

● CLI:
○ alerts notify-list create <group name
warning> class filesystem severity
warning
○ alerts notify-list add <group name
warning> emails <email>
○ alerts notify-list create <group name
critical> class filesystem severity
critical
○ alerts notify-list add <group name
critical> emails <email>

DD supports syslog forwarding and recommends using CLI to
set up connection to a remote syslog server.
● log host add <Remote_syslog_Server>
● log host enable

DD supports multiple name servers protocols such as LDAP,
NIS, and AD. DD recommends using OpenLDAP with FIPS
enabled. DD manages only local accounts. DD recommends
using UI or CLI to configure LDAP.
● UI: Administration > Access > Authentication
● CLI: Authentication LDAP commands
Active Directory can also be configured for user logins with
FIPS enabled. However, CIFS data access with AD users is no
longer be supported with that configuration.

DD supports SNMPV3 that is FIPS-compliant. DD
recommends using UI or CLI to configure SNMPV3.
● UI: Administration > Settings > SNMP
● CLI: SNMP commands

DD ondersteunt het gebruik van een door DoD uitgegeven CAC/PIV-kaart in de clientbrowser om in te loggen met behulp van de gebruikersinterface. Dit is een meervoudige aanmelding met een certificaat van CAC/PIV-kaart. DD raadt een UI- of CLI-opdracht aan om MFA te configureren en OpenLDAP in te stellen voor gebruikersautorisatie.

Algemene procedure:
● Configureer OpenLDAP Import CA-certificaat naar DD.
● DoD CA importeren naar DD
● Maak lokale gebruikers aan (als LDAP-authenticatie niet wordt gebruikt).
● Schakel inloggen op basis van wachtwoorden uit

DD supports CRL on MFA with issuing CA revoking CAC
certificate by importing CRL cert to DD. DD recommends
using CLI to import CRL certificate.
● CLI: adminaccess certificate cert-revokelist import application login-auth

DD recommends disabling HTTPS service to terminate all
active sessions by UI or CLI.
● UI: Administration > Access > Administrator Access >
HTTPS > CONFIGURE (clear HTTPS and save).
● CLI: adminaccess disable https

DD ondersteunt een SSH-verbinding met SSH-sleutels in plaats van aanmelding op basis van een wachtwoord. Als aanmelden op basis van een wachtwoord is uitgeschakeld, wordt inloggen in de gebruikersinterface met een wachtwoord ook uitgeschakeld. DD raadt aan om CLI te gebruiken om het sleutelcertificaat te importeren en SSH-aanmelding op basis van een wachtwoord uit te schakelen.

● CLI:
○ adminaccess add ssh-keys user
<user_name>
○ adminaccess option set password-auth
disable

Het systeem moet een door FIPS 140-2 goedgekeurd cryptografisch hashingalgoritme gebruiken voor het genereren van wachtwoordhashes voor accounts. Systemen moeten cryptografische hashes gebruiken voor wachtwoorden met behulp van de SHA-2-familie van algoritmen of door FIPS 140-2 goedgekeurde opvolgers. Het gebruik van niet-goedgekeurde algoritmen kan leiden tot zwakke wachtwoordhashes die kwetsbaarder zijn voor compromittering.

opdracht om de door FIPS 140-2 goedgekeurde cryptografische hashing op het systeem in te stellen. Als u het hash-algoritme wijzigt, wordt de hash-waarde voor bestaande wachtwoorden niet gewijzigd. Alle bestaande wachtwoorden die zijn gehasht met md5 hebben nog steeds md5-hashwaarden nadat het wachtwoord-hash-algoritme is gewijzigd in sha512. Deze wachtwoorden moeten opnieuw worden ingesteld, zodat een nieuwe sha512-hashwaarde wordt berekend.

Telnet can be removed. Run adminaccess uninstall
telnet to remove the telnet package from the DD system.

○ log host add <Remote_syslog_IP>
○ log host enable

DD can be configured to prompt for user consent prior to log in to the system UI interface.
● UI: Administration > LOGIN BANNER > CONFIGURE
● CLI: system option set loginbanner /ddr/var/releases/<banner_file>
● Where <banner_file> is uploaded to
DD's /ddr/var/releases as text file