PowerProtect: Serie DP e IDPA: Prácticas recomendadas generales de reforzamiento de la seguridad (versión 2.7.6)

Antes de ejecutar un análisis de vulnerabilidades de seguridad, estas son algunas prácticas recomendadas generales de reforzamiento de seguridad para el software de la serie PowerProtect Data Protection versión 2.7.6. Comuníquese con el soporte de Dell Technologies ante cualquier otro problema.
 

TODOS (opcional):

Los subcomponentes del dispositivo PowerProtect serie DP incluyen certificados SSL autofirmados, lo que puede provocar que el navegador informe que hay una conexión no segura. Para obtener la máxima seguridad del dispositivo, el cliente debe reemplazar los certificados SSL autofirmados predeterminados por certificados SSL firmados por una autoridad de certificación (CA) de confianza. Aplique los pasos que se proporcionan en la Guía de configuración de seguridad deIDPA (es necesario iniciar sesión como usuario registrado en el soporte de Dell para ver el documento). El procedimiento detallado se encuentra en la sección "Administración de certificados".

Administrador de configuración del dispositivo (ACM):

Aplique los siguientes artículos de Dell:

• Dispositivos de PowerProtect de serie DP e IDPA: Se detectó un análisis de vulnerabilidades de seguridad "Escáner de modo 6 de Network Time Protocol (NTP)" en ACM/búsqueda
• Dispositivos de PowerProtect de serie DP e IDPA: El análisis de vulnerabilidades de seguridad detectó vulnerabilidades "DNS o BIND" en ACM(es necesario iniciar sesión como usuario registrado en el soporte de Dell para ver el artículo)
• Dispositivos de PowerProtect de serie DP e IDPA: El análisis de vulnerabilidades de seguridad detectó que SSH contiene cifrados CBC débiles en muchos componentes de IDPA
• Los dispositivos PowerProtect serie DP e IDPA informan la configuración obsoleta de SHA1 para SSH (QID 38909)

Software de protección (Avamar):

Aplique la revisión acumulativa más reciente de Avamar 19.9. Por ejemplo, revisión acumulativa de Avamar 19.9 para Avamar Server, incluido Avamar Virtual Edition: revisión 338827, agosto de 2024: "v19.9.0.78-workflow-338827.zip"

• Cómo instalar una revisión .avp de Avamar mediante el instalador de Avamar (AVI)

Aplique el parche más reciente del SO de Avamar en Avamar y los nodos de NDMP. Por ejemplo, el paquete acumulativo de seguridad 2024-R2 de la plataforma Avamar Virtual Edition (AVE) y Avamar Data Store (ADS), "AvPlatformOsRollup_2024-R2-v3.avp."

• Avamar: Cómo instalar el paquete acumulativo de seguridad de Avamar en Avamar Virtual Edition (AVE) y NDMP(es necesario iniciar sesión como usuario registrado en el soporte de Dell para ver el artículo) 

Aplique la revisión acumulativa más reciente del proxy de Avamar para todos los proxies de Avamar, incluidos el AvProxy interno de IDPA y los proxies de vCenter del cliente. Por ejemplo, Avamar 19.9.100-78 PROXY Cumulative Hotfix (revisión 338844, agosto de 2024), "v19.9.100.78-client-338844.zip."

• El procedimiento de instalación de Proxy Hotfix se puede encontrar en el archivo README dentro del archivo .zip.

Aplique el parche del sistema operativo proxy de Avamar para todos los proxies de Avamar, incluidos AvProxy interno de IDPA y vCenter Proxies del cliente. Por ejemplo, paquete de proxy de Avamar 2024-R2, "sec_os_update_proxy-2024-R2-v3.tgz."

Aplique los siguientes artículos de Dell:

• Dispositivos de PowerProtect de serie DP e IDPA: El análisis de vulnerabilidades de seguridad detectó que SSH contiene cifrados CBC débiles en muchos componentes de IDPA
• Los dispositivos PowerProtect serie DP e IDPA informan la configuración obsoleta de SHA1 para SSH (QID 38909) 
  (Nota: El problema se debe resolver después de aplicar el paquete acumulativo de seguridad de Avamar 2024-R2).

Aplique la Guía de configuración de seguridad del dispositivo PowerProtect serie DP (es necesario iniciar sesión como usuario registrado en el soporte de Dell para ver el documento) en las secciones "Integrar software de protección y almacenamiento con protección con SNMP v3" e "Integrar generación de informes y análisis y almacenamiento con protección con SNMP v3".

CAUTELA: Si PowerProtect DP Series Appliance está configurado con Cloud DR, no integre Protection Software (Avamar) ni Protection Storage (Data Domain) con SNMP v3. Cloud DR no funcionará correctamente después de la configuración de SNMP v3.

Si DR en la nube está en uso, solo se admite SNMP v2C. Las conocidas cadenas de comunidad "públicas" y "privadas" deben reemplazarse por cadenas como "idpasnmpuser" o algo único en el medio ambiente. Consulte el procedimiento de la Guía de configuración de seguridad(requiere iniciar sesión como usuario registrado en el soporte de Dell para ver el documento) (selección de SNMP v2C en lugar de v3) para actualizar la cadena de comunidad SNMP. 

Almacenamiento con protección (Data Domain):

Realice una actualización fuera de banda a la versión 7.10.1.20 de DD OS. (Para IDPA versión 2.7.6-DD OS, se admite la versión 7.10.1.20).

Aplique los siguientes artículos de Dell:

• Data Domain: Configuración criptográfica SSH obsoleta QID 38739(requiere iniciar sesión como usuario registrado en el soporte de Dell para ver el artículo)
• Los dispositivos PowerProtect serie DP e IDPA informan la configuración obsoleta de SHA1 para SSH (QID 38909)
• PowerProtect: Vulnerabilidad CVE-2024-6387 de OpenSSH en IDPA 2.7.6 y 2.7.7 

Aplique la Guía de configuración de seguridad del dispositivo PowerProtect serie DP (requiere iniciar sesión como usuario registrado en el soporte de Dell para ver el documento) en las secciones "Integrar software de protección y almacenamiento con protección con SNMP v3" e "Integrar generación de informes y análisis y almacenamiento con protección con SNMP v3".

CAUTELA:  Si PowerProtect DP Series Appliance está configurado con Cloud DR, no integre Protection Software (Avamar) ni Protection Storage (Data Domain) con SNMP v3. Cloud DR no funcionará correctamente después de la configuración de SNMP v3.

Si DR en la nube está en uso, solo se admite SNMP v2C. Las conocidas cadenas de comunidad "públicas" y "privadas" deben reemplazarse por cadenas como "idpasnmpuser" o algo único en el medio ambiente. Consulte el procedimiento de la Guía de configuración de seguridad(requiere iniciar sesión como usuario registrado en el soporte de Dell para ver el documento) (selección de SNMP v2C en lugar de v3) para actualizar la cadena de comunidad SNMP. 

Administrador del sistema (DPC):

• Central de Protección de Datos: Cómo instalar la actualización del sistema operativo de Data Protection Central(es necesario iniciar sesión como usuario registrado en el soporte de Dell para ver el artículo) 

Buscar:

• Dispositivos de PowerProtect de serie DP e IDPA: Se detectó un análisis de vulnerabilidades de seguridad "Escáner de modo 6 de Network Time Protocol (NTP)" en ACM/búsqueda
• La evaluación del análisis de seguridad de DPSearch puede mostrar una alerta para ldap-anonymous-directory-access(requiere iniciar sesión como usuario registrado en el soporte de Dell para ver el artículo) 
• Dispositivos de PowerProtect de serie DP e IDPA: El análisis de vulnerabilidades de seguridad detectó "vulnerabilidades de SSH para algoritmos MD5 o HMAC de 96 bits dentro de la configuración de SSH" en ESXi, vCenter, Search o DPC(es necesario iniciar sesión como usuario registrado en el soporte de Dell para ver el artículo) 
• Los dispositivos PowerProtect serie DP e IDPA informan la configuración obsoleta de SHA1 para SSH (QID 38909)

Generación de informes y análisis (DPA):

• Para DP4400: Descargue el archivo binario del servidor(es necesario iniciar sesión como usuario registrado en el soporte de Dell para acceder al archivo) 
• Para DP5/8x00: Descargue los archivos binarios del servidor y el agente(es necesario iniciar sesión como usuario registrado en el soporte de Dell para acceder al archivo)
• PowerProtect DP Series Appliance y Integrated Data Protection Appliance: Pasos para actualizar el componente DPA o Data Protection Advisor fuera de banda dentro del dispositivo

Aplique los dispositivos PowerProtect serie DP e IDPA informan la configuración obsoleta de SHA1 para SSH (QID 38909).

Aplique el parche "Parche de actualización de Data Protection Advisor de abril de 2024 JRE 8u411 para Linux de 64 bits" (requiere iniciar sesión como usuario registrado en el soporte de Dell para acceder al archivo) en los servidores de aplicaciones y almacén de datos de DPA. Se probó con los últimos parches de las versiones 19.9 y 19.10 de DPA.

• Consulte el artículo Guía de instalación y administración de Dell Data Protection Advisor 19.10 para saber cómo realizar la actualización de JRE.

Aplique la Guía de configuración de seguridad del dispositivo PowerProtect serie DP (es necesario iniciar sesión como usuario registrado en el soporte de Dell para ver el documento) en las secciones "Integrar software de protección y Protection StorSage con SNMP v3" e "Integrar generación de informes, análisis y almacenamiento con protección con SNMP v3".

CAUTELA: Si PowerProtect DP Series Appliance está configurado con Cloud DR, no integre Protection Software (Avamar) ni Protection Storage (Data Domain) con SNMP v3. Cloud DR no funcionará correctamente después de la configuración de SNMP v3.

Si DR en la nube está en uso, solo se admite SNMP v2C. Las conocidas cadenas de comunidad "públicas" y "privadas" deben reemplazarse por cadenas como "idpasnmpuser" o algo único en el medio ambiente. Consulte el procedimiento de la Guía de configuración de seguridad(requiere iniciar sesión como usuario registrado en el soporte de Dell para ver el documento) (selección de SNMP v2C en lugar de v3) para actualizar la cadena de comunidad SNMP. 

Firmware de PowerEdge e iDARC:

Aplique los pasos que se proporcionan en la Guía de configuración de seguridad de IDPA (requiere iniciar sesión como usuario registrado en el soporte de Dell para ver el documento) en la sección "Cambiar la cadena de comunidad SNMP predeterminada para el switch del dispositivo PowerProtect serie DP e iDRAC", cambie la cadena de comunidad SNMP.

Aplique los pasos que se proporcionan en la Guía de configuración de seguridad(requiere iniciar sesión como usuario registrado en el soporte de Dell para ver el documento).   Consulte la sección "Configuración del protocolo TLS para iDRAC" y actualice el protocolo TLS del servidor web de iDRAC a TLS 1.2 y superior.

Aplique los dispositivos PowerProtect serie DP e IDPA informan la configuración obsoleta de SHA1 para SSH (QID 38909).

Switches PowerEdge (para DP5/8x00):

Aplique los pasos que se proporcionan en la Guía de configuración de seguridad(requiere iniciar sesión como usuario registrado en el soporte de Dell para ver el documento).  Consulte la sección "Cambiar la cadena de comunidad SNMP predeterminada para el iDRAC y el switch del dispositivo PowerProtect serie DP" y actualice la cadena de comunidad SNMP.