Data Domain - Sistem sertleşmesi ve en iyi uygulamalar rehberi

Varsayılan parola eskime ilkesini ayarlamak için şirket parolası ilkesini izleyin.

# user password aging option set
{[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]}

Bir kullanıcı parolası gücü politikası ayarlayın:

# user password strength set
{[min-length <length>]
[min-character-classes <num-classes>]
[passwords-remembered <0 - 24>][minpositions-changed <min-positions>]}

Şifre önerileri:
● En az 12 karakter
● Boşluk
yok● Ortak sözlük kelimeleri
yok● Şifre değişikliği sırasında minimum 8 pozisyon değiştirilmelidir
 

Güvenlik görevlisi rolü kullanıcısı ekleyin, parola değişikliğini zorunlu kılın ve Yetkilendirme İlkesi'ni etkinleştirin. Güvenlik görevlisini güvenlik rolü kullanıcısı olarak eklemek için user add komutunu kullanın.

# user add <user>
[uid <uid>]
[role {admin | limited-admin | security |
user | backup-operator | none}]
[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]
[disable-date <date>]
[force-password-change {yes | no}]

Güvenlik görevlisi hesabını eklerken force-password-change öğesini evet olarak ayarlayın.

Log in as security officer, and run 
# authorization policy set security-officer enabled

Sınırlı yönetici rolüne sahip bir kullanıcı ekleyin ve sistem yöneticisi/yönetici rolü kullanıcıları için farklı bir parola belirleyin.

# user add <user>
[uid <uid>]
[role {admin | limited-admin | security |
user | backup-operator | none}]
[min-days-between-change <days>]
[max-days-between-change <days>]
[warn-days-before-expire <days>]
[disable-days-after-expire <days>]
[disable-date <date>]
[force-password-change {yes | no}]

Log in as security officer, and then run 
# user change password

For SSH:
● Add an SSH host.
# adminaccess ssh add <host-list>
● Delete hosts from the SSH list.
# adminaccess ssh del <host-list>
For HTTP and HTTPS:
● Add an HTTP/HTTPS host.
# adminaccess http add <host-list>
● Delete hosts from the HTTP/HTTPS list.
# adminaccess http del <host-list>

● Configure and forward logs to syslog server.
● Monitor audit log and access log. See the DDOS Command
Reference UIde for more information.
○ # log view access-info
○ # log view audit-info
● Consider writing a script that runs the above commands
several times a day and reports any suspicious activities.
● Pay close attention to sensitive and not often used
commands that are related to user access management
and network settings, including time setting.
● Monitor authentication and authorization failures in
particular.
● Monitor all operations that require password.
● Monitor destruction operations and any failures and
repeating attempts.
● Highly recommended is to write searches and dashboards
to view log forwarded info. Also setup alerts rules on your
log server.

Disable telnet by running # adminaccess disable telnet

Set and use a hardened system passphrase. The default
minimum length requirement is 9 characters. Use system
passphrase option set min-length to set higher
length requirements. 

Configure two-way authentication when adding a replication
pair.
# replication add source <source>
destination <destination>
[low-bw-optim {enabled | disabled}]
[encryption {enabled [authentication-mode
{one-way | two-way | anonymous}] |
disabled}]
[propagate-retention-lock {enabled |
disabled}]
[ipversion {ipv4 | ipv6}]
[max-repl-streams <n>]
[destination-tenant-unit <tenant-unit>]

Varsayılan olarak, genel kimlik doğrulama modu yok olarak ayarlanmıştır ve şifreleme devre dışıdır. Yapılandırmalar, yalnızca en az iki yönlü parola kimlik doğrulama desteğine sahip DD Boost 3.3 veya üzeri sürümleri kullanan DD Boost istemcilerinin bağlanabilmesini ve verilerin kablo üzerinde şifrelenmesini sağlar. 

# ddboost option set global-authenticationmode two-way-password global-encryptionstrength <high/medium>

Varsayılan olarak parola karması MD5 olarak ayarlıdır. Bunu SHA512 olarak değiştirmek, SHA512'yi destekleyemeyen DD Boost istemcilerinin bağlanmasını önler.

 # adminaccess option set password-hash
{md5 | sha512}

Create a none role user and associates it to be a DD Boost
user.
 # user add <user> role none
# ddboost user assign <user> 

# ddboost clients add client-list [encryption-strength {none | medium | high} authentication-mode {one-way | two-way | twoway-password | anonymous | kerberos}]

İki yönlü kimlik doğrulama modunu kullanın.

# ddboost file-replication option set
encryption enabled authentication-mode twoway

# nfs option set nfs3-port <new port number>
# nfs option set nfs4-port <new port number>

# net filter add operation block protocol
tcp ports 111

# net filter add operation block protocol
udp ports 111

Ensures that data on the wire is encrypted.
# nfs export create <export name> path
<path> option sec=krb5p

Delete NFS clients from an export
# nfs add <path> <client-list> [ ( <optionlist> ) ]
Delete NFS clients from an export.
# nfs del <path> <client-list>

Aşağıdaki komutu kullanarak doğrulayın:

# nfs export show list

no_root_squash herhangi bir dışa aktarma için yapılandırılmadığının doğrulanması gerekir.

DD supports use of only FIPS 140-2 approved ciphers for
secured connections. DD recommends using UI or CLI to
enable FIPS mode:
● UI: Administration > Setting > FIPS mode
● CLI: system fips-mode enable

DD recommends UI or CLI hardening:
● UI: Administration > Access > More Tasks > Change
Login Options (to set active login to 100)
● CLI: adminaccess option set login-maxactive 100

DD, aşağıdakileri yapılandırmak için kullanıcı arayüzü veya CLI kullanılmasını önerir:
● Kullanıcı Arayüzü: Yönetim > : Daha Fazla Göreve Erişin >> Maksimum oturum açma denemesinde değeri 3 olarak değiştirin, Zaman aşımını 900 sn olarak açın

● CLI:
○ adminaccess option set login-maxattempts 3
○ adminaccess option set login-unlocktimeout 900

DD, oturumun sonunda bağlantıların sonlandırılmasını ve yapılandırılan işlem yapılmadığında oturumun sonlandırılmasını destekler. Etkin olmama süresini belirtmek için bir CLI vardır. SSH bağlantısı hâlâ canlı ancak istemciden gelen tüm istekler reddediliyor. Bir oturum temizleme işlemi çalışıyor ve artık geçerli olmayan oturumları temizliyor ve sonlandırıyor. DD, UI veya CLI sağlamlaştırma için aşağıdakileri önerir:

● UI: Administration > Access > Check on HTTPS >
Configure > ADVANCE and set timeout value as 600 sec.
Repeat the same for SSH by clicking SSH in Services.
● CLI:
○ SSH: adminaccess ssh option set sessiontimeout 600
○ https: adminaccess web option set
session-timeout 600

DD, CLI kullanıcı parolası eskime seçeneğini önerir. Varsayılan olarak, parola politikası geriye dönük olarak uyumlu olacak şekilde gevşetilir. Müşteri, parola yapılandırmasını daha kısıtlayıcı olacak ve eskime gereksinimlerini karşılayacak şekilde değiştirmek için kullanıcı arayüzü veya CLI'ları kullanabilir.

● UI: Yönetim >Erişim >Diğer Görevler>Oturum Açma Bilgilerini Değiştir Seçenekler

● CLI: user password aging

DD, kapsamlı bir parola politikasını destekler ve parolayı sağlamlaştırmak için CLI veya UI kullanılmasını önerir. Hesap parolası ilkesi özelliklerini ve karmaşıklığını uygulama kodunda istenen şekilde ayarlayın veya değiştirin. Gereksinimler hakkında daha fazla bilgi için parola politikasına bakın.

● UI: Yönetim >Erişim>Diğer Görevler>Giriş Seçeneklerini Değiştir
 

● CLI: user password strength set

● CLI: ntp add timeserver <server-name> ntp enable

DD, HTTPS bağlantıları için varsayılan tüm arayüzler yerine farklı HTTPS bağlantı noktalarını ve belirli arayüzlerin sınırlandırılmasını destekler. DD, sağlamlaştırmak için adminaccess ve netfilter CLI komutunun kullanılmasını önerir:

● adminaccess web option set https-port
<port>
● net filter add operation allow protocol
tcp ports <port> interfaces <IP_address>

Uygulama sunucusu, herhangi bir bağlantı kurmadan önce ağa bağlı tüm uç nokta aygıtlarını benzersiz şekilde tanımlamalıdır.

Apache web sunucusu, güvenli olmayan bölgelerden gelen bağlantıları kısıtlamalıdır.

DD, gelen bağlantıları kısıtlamak için kullanıcı arayüzü veya CLI komutu kullanılarak HTTPS ve SSH bağlantılarında izin verilen ana bilgisayarın yapılandırılmasını önerir.

● UI: Administration Access > ADMINISTRATOR > ACCESS > HTTPS/SSH > CONFIGURE > GENERAL seçeneğini belirleyin ve + (Ekle) işaretine tıklayın.

● CLI:
○ adminaccess http add <host_list>
○ adminaccess ssh add <host-list>

Denetim günlüğü depolama alanı %80 ve %100 eşiğine ulaştığında e-posta uyarısı gönderilebilir. DD, sistemi "Uyarı Bildirimi E-postaları Gönderecek" şekilde yapılandırmak için kullanıcı arayüzü veya CLI kullanılmasını önerir. ● UI: Sağlık >Uyarı >BİLDİRİM >ADD(WARNING ve CRITICAL ve Subscriber CONFIGURE ile Dosya Sistemi Sınıfındaki Gruplar (E-posta adresleri ve Gruplar Ekle)

● CLI:
○ alerts notify-list create <group name
warning> class filesystem severity
warning
○ alerts notify-list add <group name
warning> emails <email>
○ alerts notify-list create <group name
critical> class filesystem severity
critical
○ alerts notify-list add <group name
critical> emails <email>

DD supports syslog forwarding and recommends using CLI to
set up connection to a remote syslog server.
● log host add <Remote_syslog_Server>
● log host enable

DD supports multiple name servers protocols such as LDAP,
NIS, and AD. DD recommends using OpenLDAP with FIPS
enabled. DD manages only local accounts. DD recommends
using UI or CLI to configure LDAP.
● UI: Administration > Access > Authentication
● CLI: Authentication LDAP commands
Active Directory can also be configured for user logins with
FIPS enabled. However, CIFS data access with AD users is no
longer be supported with that configuration.

DD supports SNMPV3 that is FIPS-compliant. DD
recommends using UI or CLI to configure SNMPV3.
● UI: Administration > Settings > SNMP
● CLI: SNMP commands

DD, kullanıcı arayüzünü kullanarak oturum açmak için istemci tarayıcısında DoD tarafından verilen CAC/PIV kartının kullanılmasını destekler. Bu, CAC/PIV kartı sertifikası kullanılarak yapılan çok faktörlü bir oturum açma işlemidir. DD, MFA'yı yapılandırmak ve kullanıcı yetkilendirmesi için OpenLDAP'yi ayarlamak üzere kullanıcı arayüzü veya CLI komutu önerir.

Genel Prosedür:
● OpenLDAP Import CA sertifikasını DD'ye yapılandırın.
● DoD CA'yı DD'ye
içe aktar● Yerel kullanıcılar oluşturun (LDAP kimlik doğrulaması kullanılmıyorsa).
● Parola tabanlı oturum açmayı devre dışı bırakın

DD supports CRL on MFA with issuing CA revoking CAC
certificate by importing CRL cert to DD. DD recommends
using CLI to import CRL certificate.
● CLI: adminaccess certificate cert-revokelist import application login-auth

DD recommends disabling HTTPS service to terminate all
active sessions by UI or CLI.
● UI: Administration > Access > Administrator Access >
HTTPS > CONFIGURE (clear HTTPS and save).
● CLI: adminaccess disable https

DD, parola tabanlı oturum açma yerine SSH anahtarları kullanarak SSH bağlantısını destekler. Parola tabanlı oturum açma devre dışıysa parola kullanarak kullanıcı arayüzünde oturum açma da devre dışı bırakılır. DD, anahtar sertifikasını içe aktarmak ve parola tabanlı SSH oturum açmayı devre dışı bırakmak için CLI kullanılmasını önerir.

● CLI:
○ adminaccess add ssh-keys user
<user_name>
○ adminaccess option set password-auth
disable

Sistem, hesap parola karmaları oluşturmak için FIPS 140-2 onaylı bir şifreleme karma algoritması kullanmalıdır. Sistemler, SHA-2 algoritma ailesini veya FIPS 140-2 onaylı ardılları kullanan parolalar için şifreleme karmaları kullanmalıdır. Onaylanmamış algoritmaların kullanılması, zayıf parola karmalarının ele geçirilmeye karşı daha savunmasız olmasına neden olabilir.

FIPS 140-2 onaylı kriptografik karmayı ayarlamak için komutun nasıl kullanılacağı açıklanmaktadır. Karma algoritmasını değiştirmek, mevcut parolaların karma değerini değiştirmez. Parola karması algoritması sha512 olarak değiştirildikten sonra, md5 ile karma hale getirilmiş mevcut parolalar hala md5 karma değerlerine sahip olacaktır. Yeni bir sha512 karma değerinin hesaplanması için bu parolaların sıfırlanması gerekir.

Telnet can be removed. Run adminaccess uninstall
telnet to remove the telnet package from the DD system.

○ log host add <Remote_syslog_IP>
○ log host enable

DD can be configured to prompt for user consent prior to log in to the system UI interface.
● UI: Administration > LOGIN BANNER > CONFIGURE
● CLI: system option set loginbanner /ddr/var/releases/<banner_file>
● Where <banner_file> is uploaded to
DD's /ddr/var/releases as text file