Data Domain – Guia de práticas recomendadas e fortalecimento do sistema

Siga a política de senha da empresa para definir a política padrão de envelhecimento de senha.

# user password aging option set
{[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]}

Defina uma política de força de senha do usuário:

# user password strength set
{[min-length <length>]
[min-character-classes <num-classes>]
[passwords-remembered <0 - 24>][minpositions-changed <min-positions>]}

Recomendações de senha:
● Mínimo de 12 caracteres
● Sem espaços
● Sem palavras comuns no
dicionário● No mínimo 8 posições devem ser alteradas durante a troca de senha
 

Adicione o usuário da função de agente de segurança, force a alteração de senha e habilite a política de autorização. Use o comando add do usuário para adicionar um agente de segurança como um usuário com função de segurança.

# user add <user>
[uid <uid>]
[role {admin | limited-admin | security |
user | backup-operator | none}]
[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]
[disable-date <date>]
[force-password-change {yes | no}]

Defina force-password-change como yes ao adicionar a conta do agente de segurança.

Log in as security officer, and run 
# authorization policy set security-officer enabled

Adicione um usuário com função limited-admin e defina uma senha diferente para usuários com função sysadmin/admin.

# user add <user>
[uid <uid>]
[role {admin | limited-admin | security |
user | backup-operator | none}]
[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]
[disable-date <date>]
[force-password-change {yes | no}]

Log in as security officer, and then run 
# user change password

For SSH:
● Add an SSH host.
# adminaccess ssh add <host-list>
● Delete hosts from the SSH list.
# adminaccess ssh del <host-list>
For HTTP and HTTPS:
● Add an HTTP/HTTPS host.
# adminaccess http add <host-list>
● Delete hosts from the HTTP/HTTPS list.
# adminaccess http del <host-list>

● Configure and forward logs to syslog server.
● Monitor audit log and access log. See the DDOS Command
Reference UIde for more information.
○ # log view access-info
○ # log view audit-info
● Consider writing a script that runs the above commands
several times a day and reports any suspicious activities.
● Pay close attention to sensitive and not often used
commands that are related to user access management
and network settings, including time setting.
● Monitor authentication and authorization failures in
particular.
● Monitor all operations that require password.
● Monitor destruction operations and any failures and
repeating attempts.
● Highly recommended is to write searches and dashboards
to view log forwarded info. Also setup alerts rules on your
log server.

Disable telnet by running # adminaccess disable telnet

Set and use a hardened system passphrase. The default
minimum length requirement is 9 characters. Use system
passphrase option set min-length to set higher
length requirements. 

Configure two-way authentication when adding a replication
pair.
# replication add source <source>
destination <destination>
[low-bw-optim {enabled | disabled}]
[encryption {enabled [authentication-mode
{one-way | two-way | anonymous}] |
disabled}]
[propagate-retention-lock {enabled |
disabled}]
[ipversion {ipv4 | ipv6}]
[max-repl-streams <n>]
[destination-tenant-unit <tenant-unit>]

Por padrão, o modo de autenticação global é definido como none e a criptografia é desabilitada. As configurações garantem que apenas clients do DD Boost com pelo menos suporte à autenticação bidirecional por senha, aqueles que usam o DD Boost 3.3 ou posterior, possam se conectar e que os dados sejam criptografados na conexão. 

# ddboost option set global-authenticationmode two-way-password global-encryptionstrength <high/medium>

Por padrão, o hash de senha é definido como MD5. Modificar isso para SHA512 impede que os clients do DD Boost incapazes de dar suporte ao SHA512 se conectem.

 # adminaccess option set password-hash
{md5 | sha512}

Create a none role user and associates it to be a DD Boost
user.
 # user add <user> role none
# ddboost user assign <user> 

# ddboost clients add client-list [encryption-strength {none | medium | high} authentication-mode {one-way | two-way | twoway-password | anonymous | kerberos}]

Use o modo de autenticação bidirecional.

# ddboost file-replication option set
encryption enabled authentication-mode twoway

# nfs option set nfs3-port <new port number>
# nfs option set nfs4-port <new port number>

# net filter add operation block protocol
tcp ports 111

# net filter add operation block protocol
udp ports 111

Ensures that data on the wire is encrypted.
# nfs export create <export name> path
<path> option sec=krb5p

Delete NFS clients from an export
# nfs add <path> <client-list> [ ( <optionlist> ) ]
Delete NFS clients from an export.
# nfs del <path> <client-list>

Verifique usando o seguinte comando:

# nfs export show list

Deve verificar no_root_squash não está configurado para nenhuma exportação.

DD supports use of only FIPS 140-2 approved ciphers for
secured connections. DD recommends using UI or CLI to
enable FIPS mode:
● UI: Administration > Setting > FIPS mode
● CLI: system fips-mode enable

DD recommends UI or CLI hardening:
● UI: Administration > Access > More Tasks > Change
Login Options (to set active login to 100)
● CLI: adminaccess option set login-maxactive 100

O DD recomenda o uso da interface do usuário ou da CLI para configurar:
● interface do usuário: Administração > Acessar > mais tarefas Alterar > o valor em Máximo de tentativas de login como 3, Desbloquear tempo limite como 900 seg

● CLI:
○ adminaccess option set login-maxattempts 3
○ adminaccess option set login-unlocktimeout 900

O DD dá suporte ao encerramento de conexões no final da sessão e ao encerramento da sessão após o tempo de inatividade configurado. Há uma CLI para especificar o período de inatividade. A conexão SSH ainda está ativa, mas qualquer solicitação do client é rejeitada. Um processo de limpeza de sessão está em execução e termina as sessões que não são mais válidas. O DD recomenda o seguinte para o fortalecimento da interface do usuário ou da CLI:

● UI: Administration > Access > Check on HTTPS >
Configure > ADVANCE and set timeout value as 600 sec.
Repeat the same for SSH by clicking SSH in Services.
● CLI:
○ SSH: adminaccess ssh option set sessiontimeout 600
○ https: adminaccess web option set
session-timeout 600

O DD recomenda a opção de envelhecimento da senha do usuário da CLI. Por padrão, a política de senha é relaxada para ser compatível com versões anteriores. O cliente pode usar a interface do usuário ou CLIs para modificar a configuração de senha para que ela seja mais restritiva e atenda aos requisitos antigos.

● IU: Administração >Acesso >Mais tarefas>Alterar login Opções

● CLI: user password aging

O DD é compatível com uma política de senha abrangente e recomenda o uso da CLI ou da interface do usuário para fortalecer a senha. Defina ou modifique as características e a complexidade da política de senha da conta para o que for desejado no código do aplicativo. Consulte a política de senha para obter mais informações sobre os requisitos.

● IU: Administração >Acesso>Mais tarefas> Alterar opçõesde login
 

● CLI: user password strength set

● CLI: ntp add timeserver <server-name> ntp enable

O DD é compatível com diferentes portas HTTPS e limitação de determinada interface em vez do padrão de todas as interfaces para conexões HTTPS. O DD recomenda o uso dos comandos adminaccess e netfilter da CLI para fortalecer:

● adminaccess web option set https-port
<port>
● net filter add operation allow protocol
tcp ports <port> interfaces <IP_address>

O servidor de aplicativos deve identificar exclusivamente todos os dispositivos endpoint conectados à rede antes de estabelecer qualquer conexão.

O Apache Web Server deve restringir conexões de entrada de zonas não seguras.

Para restringir as conexões de entrada, o DD recomenda configurar o host permitido em conexões HTTPS e SSH usando o comando da interface do usuário ou da CLI.

● IU: Acesso administrativo>, ACESSO DE ADMINISTRADOR, selecione > HTTPS/SSH>, CONFIGURE > GENERAL e clique no sinal + (>Add).

● CLI:
○ adminaccess http add <host_list>
○ adminaccess ssh add <host-list>

O alerta por e-mail pode ser enviado quando o espaço de armazenamento do log de auditoria atingir o limite de 80% e 100%. O DD recomenda o uso da interface do usuário ou da CLI para configurar o sistema como "Send Alert Notification Emails". ● IU: Saúde >Alertas >NOTIFICAÇÃO >ADD (grupos na classe do file system com ADVERTÊNCIA e CRÍTICA e Configuração do assinante (Adicionar endereços de e-mail e grupos)

● CLI:
○ alerts notify-list create <group name
warning> class filesystem severity
warning
○ alerts notify-list add <group name
warning> emails <email>
○ alerts notify-list create <group name
critical> class filesystem severity
critical
○ alerts notify-list add <group name
critical> emails <email>

DD supports syslog forwarding and recommends using CLI to
set up connection to a remote syslog server.
● log host add <Remote_syslog_Server>
● log host enable

DD supports multiple name servers protocols such as LDAP,
NIS, and AD. DD recommends using OpenLDAP with FIPS
enabled. DD manages only local accounts. DD recommends
using UI or CLI to configure LDAP.
● UI: Administration > Access > Authentication
● CLI: Authentication LDAP commands
Active Directory can also be configured for user logins with
FIPS enabled. However, CIFS data access with AD users is no
longer be supported with that configuration.

DD supports SNMPV3 that is FIPS-compliant. DD
recommends using UI or CLI to configure SNMPV3.
● UI: Administration > Settings > SNMP
● CLI: SNMP commands

O DD dá suporte ao uso do cartão CAC/PIV emitido pelo DoD no navegador do client para fazer log-in usando a interface do usuário. Este é um login multifator usando certificado de cartão CAC/PIV. O DD recomenda o comando da interface do usuário ou da CLI para configurar a MFA e configurar o OpenLDAP para autorização do usuário.

Procedimento geral:
● Configure o certificado CA de importação OpenLDAP para o DD.
● Importe o CA do DoD para o DD
● Crie usuários locais (se a autenticação LDAP não for usada).
● Desative o login baseado em senha

DD supports CRL on MFA with issuing CA revoking CAC
certificate by importing CRL cert to DD. DD recommends
using CLI to import CRL certificate.
● CLI: adminaccess certificate cert-revokelist import application login-auth

DD recommends disabling HTTPS service to terminate all
active sessions by UI or CLI.
● UI: Administration > Access > Administrator Access >
HTTPS > CONFIGURE (clear HTTPS and save).
● CLI: adminaccess disable https

O DD oferece suporte à conexão SSH usando chaves ssh em vez de log-in baseado em senha. Se o log-in baseado em senha estiver desativado, o log-in da interface do usuário usando senha também será desativado. O DD recomenda o uso da CLI para importar o certificado de chave e desativar o log-in SSH baseado em senha.

● CLI:
○ adminaccess add ssh-keys user
<user_name>
○ adminaccess option set password-auth
disable

O sistema deve usar um algoritmo de hash criptográfico aprovado pelo FIPS 140-2 para gerar hashes de senha da conta. Os sistemas devem empregar hashes criptográficos para senhas usando a família de algoritmos SHA-2 ou sucessores aprovados pelo FIPS 140-2. O uso de algoritmos não aprovados pode resultar em hashes de senha fracos mais vulneráveis ao comprometimento.

comando para definir o hash criptográfico aprovado pelo FIPS 140-2 no sistema. A alteração do algoritmo de hash não altera o valor de hash das senhas existentes. Todas as senhas existentes que receberam hash com md5 ainda terão valores de hash md5 depois de alterar o algoritmo de hash de senha para sha512. Essas senhas devem ser redefinidas para que um novo valor de hash sha512 seja calculado.

Telnet can be removed. Run adminaccess uninstall
telnet to remove the telnet package from the DD system.

○ log host add <Remote_syslog_IP>
○ log host enable

DD can be configured to prompt for user consent prior to log in to the system UI interface.
● UI: Administration > LOGIN BANNER > CONFIGURE
● CLI: system option set loginbanner /ddr/var/releases/<banner_file>
● Where <banner_file> is uploaded to
DD's /ddr/var/releases as text file