PowerProtect: DP-serien og IDPA: Bedste fremgangsmåder for generel sikkerhedshærdning (version. 2.7.6)

Før du kører en scanning af sikkerhedsrisici, er her nogle generelle bedste fremgangsmåder for sikkerhedshærdning for PowerProtect Data Protection Series Software version 2.7.6. Kontakt Dell Technologies Support for eventuelle andre problemer.
 

ALL (valgfrit):

Underkomponenterne PowerProtect DP-seriens enhed omfatter selvsignerede SSL-certifikater, som kan få browseren til at rapportere en ikke-sikret forbindelse. For maksimal enhedssikkerhed skal kunden erstatte standard SSL selvsignerede certifikater med SSL-certifikater underskrevet af en betroet certifikatmyndighed (CA). Anvend trinene i IDPA-sikkerhedskonfigurationsvejledningen(kræver login som registreret bruger på Dell Support for at se dokumentet). Den detaljerede procedure findes i afsnittet "Certifikatstyring."

Appliance Configuration Manager (ACM):

Anvend følgende Dell-artikler:

• Enheder i PowerProtect DP-serien og IDPA: Scanning efter sikkerhedsrisici registreret "Network Time Protocol (NTP) Mode 6 Scanner" på ACM/Søg
• Enheder i PowerProtect DP-serien og IDPA: Scanning efter sikkerhedssårbarheder har fundet "DNS- eller BIND"-sårbarheder i ACM(kræver login som registreret bruger på Dell Support for at se artiklen)
• Enheder i PowerProtect DP-serien og IDPA: Scanning af sikkerhedssårbarheder har registreret, at SSH indeholder svage CBC-cifre på mange IDPA-komponenter
• PowerProtect DP-seriens enheder og IDPA rapporterer SHA1 forældet indstilling for SSH (QID 38909)

Beskyttelsessoftware (Avamar):

Anvend det seneste kumulative Avamar 19.9-hotfix. F.eks. Kumulativt hotfix til Avamar 19.9 Avamar Server til Avamar Server, herunder Avamar Virtual Edition – Hotfix 338827, august 2024: "v19.9.0.78-workflow-338827.zip"

• Sådan installeres et Avamar .avp-hotfix ved hjælp af Avamar Installer (AVI)

Anvend den nyeste Avamar OS-programrettelse på Avamar og NDMP-noderne. For eksempel Avamar Virtual Edition (AVE) og Avamar Data Stores (ADS) Platform Security Rollup 2024-R2, "AvPlatformOsRollup_2024-R2-v3.avp."

• Avamar: Sådan installerer du Avamar-sikkerhedspakken på Avamar Virtual Edition (AVE) og NDMP( kræver login som registreret bruger på Dell Support for at se artiklen)

Anvend det nyeste kumulative Avamar Proxy-hotfix til alle Avamar-proxyer, herunder IDPA Internal AvProxy og kundens vCenter Proxies. F.eks. kumulativt hotfix til Avamar 19.9.100-78 PROXY (hotfix 338844, august 2024), "v19.9.100.78-client-338844.zip."

• Proxy-hotfixinstallationsproceduren findes i README-filen i .zip filen.

Anvend Avamar Proxy OS-programrettelsen for alle Avamar-proxyer, herunder IDPA Internal AvProxy og kundens vCenter-proxyer. For eksempel Avamar Proxy-pakke 2024-R2, "sec_os_update_proxy-2024-R2-v3.tgz."

Anvend følgende Dell-artikler:

• Enheder i PowerProtect DP-serien og IDPA: Scanning af sikkerhedssårbarheder har registreret, at SSH indeholder svage CBC-cifre på mange IDPA-komponenter
• PowerProtect DP-seriens enheder og IDPA rapporterer SHA1 forældet indstilling for SSH (QID 38909) 
  (Bemærk: Problemet bør løses efter anvendelse af Avamar-sikkerhedspakke 2024-R2.)

Anvend PowerProtect DP Series Appliance Security Configuration Guide (kræver login som registreret bruger på Dell Support for at se dokumentet) under afsnittene "Integrer beskyttelsessoftware og beskyttelsesstorage med SNMP v3" og "Integrer rapportering og analyse og beskyttelsesstorage med SNMP v3".

FORSIGTIGHED: Hvis enheden i PowerProtect DP-serien er konfigureret med Cloud DR, må du ikke integrere beskyttelsessoftware (Avamar) og beskyttelsesstorage (Data Domain) med SNMP v3. Cloud DR fungerer ikke korrekt efter SNMP v3-konfiguration.

Hvis Cloud DR er i brug, understøttes kun SNMP v2C. De velkendte "offentlige" og "private" fællesskabsstrenge bør erstattes med strenge som "idpasnmpuser" eller noget unikt for miljøet. Se proceduren i sikkerhedskonfigurationsvejledningen(kræver login som registreret bruger på Dell Support for at se dokumentet) (valg af SNMP v2C i stedet for v3) for at opdatere SNMP-fællesskabsstrengen. 

Beskyttelseslager (Data Domain):

Udfør en out-of-band-opgradering til version DD OS 7.10.1.20. (For IDPA version 2.7.6-DD OS understøttes version 7.10.1.20.)

Anvend følgende Dell-artikler:

• Data Domain: Udfasede SSH-kryptografiske indstillinger QID 38739(kræver login som registreret bruger på Dell Support for at se artiklen)
• PowerProtect DP-seriens enheder og IDPA rapporterer SHA1 forældet indstilling for SSH (QID 38909)
• PowerProtect: OpenSSH-sårbarhed CVE-2024-6387 på IDPA 2.7.6 og 2.7.7 

Anvend PowerProtect DP Series Appliance Security Configuration Guide(kræver login som registreret bruger på Dell Support for at se dokumentet) under afsnittene "Integrer beskyttelsessoftware og beskyttelsesstorage med SNMP v3" og "Integrer rapportering og analyse og beskyttelsesstorage med SNMP v3".

FORSIGTIGHED:  Hvis enheden i PowerProtect DP-serien er konfigureret med Cloud DR, må du ikke integrere beskyttelsessoftware (Avamar) og beskyttelsesstorage (Data Domain) med SNMP v3. Cloud DR fungerer ikke korrekt efter SNMP v3-konfiguration.

Hvis Cloud DR er i brug, understøttes kun SNMP v2C. De velkendte "offentlige" og "private" fællesskabsstrenge bør erstattes med strenge som "idpasnmpuser" eller noget unikt for miljøet. Se proceduren i sikkerhedskonfigurationsvejledningen(kræver login som registreret bruger på Dell Support for at se dokumentet) (valg af SNMP v2C i stedet for v3) for at opdatere SNMP-fællesskabsstrengen. 

Systemadministrator (DPC):

• Data Protection Central: Sådan installerer du opdateringen af Data Protection Central-operativsystemet(kræver, at du logger på Dell Support som registreret bruger for at se artiklen) 

Søge:

• Enheder i PowerProtect DP-serien og IDPA: Scanning efter sikkerhedsrisici registreret "Network Time Protocol (NTP) Mode 6 Scanner" på ACM/Søg
• Sikkerhedsscanningsvurdering af DPSearch kan vise advarsel for ldap-anonymous-directory-access (kræver login som registreret bruger på Dell Support for at se artiklen)
• Enheder i PowerProtect DP-serien og IDPA: Scanning efter sikkerhedssårbarheder registrerede "SSH-sårbarheder for MD5- eller 96-bit HMAC-algoritmer inden for SSH-konfigurationen" på ESXi, vCenter, Søg eller DPC(kræver login som registreret bruger på Dell Support for at se artiklen) 
• PowerProtect DP-seriens enheder og IDPA rapporterer SHA1 forældet indstilling for SSH (QID 38909)

Rapportering og analyse (DPA):

• For DP4400: Download serverbinærfilen(kræver, at du logger på Dell Support som registreret bruger for at få adgang til filen) 
• Til DP5/8x00: Download server - og agentfilerne(kræver login som registreret bruger på Dell Support for at få adgang til filen)
• Enhed i PowerProtect DP-serien og integreret databeskyttelsesenhed: Trin til at opgradere DPA- eller Data Protection Advisor-komponenten uden for båndet i enheden

Anvend enheder i PowerProtect DP-serien og IDPA Report SHA1 udfaset indstilling for SSH (QID 38909).

Anvend programrettelsen "Data Protection Advisor April 2024 JRE 8u411 Upgrade Patch for Linux 64 bit" (kræver login som registreret bruger på Dell Support for at få adgang til filen) på DPA-datalageret og programserverne. Det blev testet med de nyeste patches af DPA 19.9 og 19.10 versioner.

• Se artiklen Dell Data Protection Advisor 19.10 – Installations- og administrationsvejledning om, hvordan du udfører JRE-opgraderingen.

Anvend PowerProtect DP Series Appliance Security Configuration Guide(kræver login som registreret bruger på Dell Support for at se dokumentet) under afsnittene "Integrer beskyttelsessoftware og beskyttelsesstorage med SNMP v3" og "Integrer rapportering og analyse og beskyttelsesstorage med SNMP v3".

FORSIGTIGHED: Hvis enheden i PowerProtect DP-serien er konfigureret med Cloud DR, må du ikke integrere beskyttelsessoftware (Avamar) og beskyttelsesstorage (Data Domain) med SNMP v3. Cloud DR fungerer ikke korrekt efter SNMP v3-konfiguration.

Hvis Cloud DR er i brug, understøttes kun SNMP v2C. De velkendte "offentlige" og "private" fællesskabsstrenge bør erstattes med strenge som "idpasnmpuser" eller noget unikt for miljøet. Se proceduren i sikkerhedskonfigurationsvejledningen(kræver login som registreret bruger på Dell Support for at se dokumentet) (valg af SNMP v2C i stedet for v3) for at opdatere SNMP-fællesskabsstrengen. 

PowerEdge-firmware og iDARC:

Anvend trinene i IDPA-sikkerhedskonfigurationsvejledningen(kræver login som registreret bruger på Dell Support for at se dokumentet) under afsnittet "Skift standard SNMP-fællesskabsstrengen for PowerProtect DP-seriens enhedsswitch og iDRAC", skift SNMP-communitystrengen.

Anvend trinene i Sikkerhedskonfigurationsvejledningen(kræver login som registreret bruger på Dell Support for at se dokumentet).   Se afsnittet "TLS-protokolkonfiguration til iDRAC", og opdater iDRAC-webserverens TLS-protokol til TLS 1.2 og nyere.

Anvend enheder i PowerProtect DP-serien og IDPA Report SHA1 udfaset indstilling for SSH (QID 38909).

PowerEdge-switche (til DP5/8x00):

Anvend trinene i Sikkerhedskonfigurationsvejledningen(kræver login som registreret bruger på Dell Support for at se dokumentet).  Se afsnittet "Skift standard SNMP-communitystrengen for PowerProtect DP Series Appliance-switchen og iDRAC", og opdater SNMP-communitystrengen.