PowerProtect: Serie DP e IDPA: Best practice generali per il rafforzamento della sicurezza (versione 2.7.6)

Prima di eseguire una scansione delle vulnerabilità della sicurezza, ecco alcune best practice generali per il rafforzamento della sicurezza per il software PowerProtect Data Protection Series versione 2.7.6. Per altri problemi, contattare il supporto Dell Technologies.
 

ALL (opzionale):

I sottocomponenti di PowerProtect DP Series Appliance includono certificati autofirmati SSL, che possono causare una segnalazione di connessione non protetta da parte del browser. Per garantire la massima sicurezza dell'appliance, il cliente deve sostituire i certificati autofirmati SSL predefiniti con certificati SSL firmati da un autorità di certificazione (CA) attendibile. Applicare la procedura descritta nella IDPA Security Configuration Guide(per visualizzare il documento è necessario effettuare l'accesso come utente registrato al supporto Dell). La procedura dettagliata si trova nella sezione "Gestione dei certificati".

Appliance Configuration Manager (ACM):

Applicare i seguenti articoli Dell:

• PowerProtect DP Series Appliance e IDPA: La scansione delle vulnerabilità di sicurezza ha rilevato "Network Time Protocol (NTP) Mode 6 Scanner" in ACM/Search
• PowerProtect DP Series Appliance e IDPA: La scansione delle vulnerabilità di sicurezza ha rilevato vulnerabilità "DNS o BIND" in ACM(richiede l'accesso come utente registrato al supporto Dell per visualizzare l'articolo)
• PowerProtect DP Series Appliance e IDPA: La scansione delle vulnerabilità di sicurezza ha rilevato che SSH contiene crittografie CBC deboli su molti componenti IDPA
• Gli appliance PowerProtect serie DP e IDPA segnalano l'impostazione SHA1 obsoleta per SSH (QID 38909)

Software di protezione (Avamar):

Applicare l'hotfix cumulativo di Avamar 19.9 più recente. Ad esempio, Avamar 19.9 Avamar Cumulative Hotfix for Avamar Server, including Avamar Virtual Edition - Hotfix 338827, agosto 2024: "v19.9.0.78-workflow-338827.zip"

• Come installare un hotfix .avp Avamar tramite Avamar Installer (AVI) (in inglese)

Applicare la patch più recente del sistema operativo Avamar sui nodi Avamar e NDMP. Ad esempio, Avamar Virtual Edition (AVE) e Avamar Data Stores (ADS) Platform Security Rollup 2024-R2, "AvPlatformOsRollup_2024-R2-v3.avp."

• Avamar: Come installare Avamar Security Rollup su Avamar Virtual Edition (AVE) e NDMP(richiede l'accesso come utente registrato al supporto Dell per visualizzare l'articolo) 

Applicare l'hotfix cumulativo del proxy Avamar più recente per tutti i proxy Avamar, inclusi gli AvProxy interni IDPA e i proxy vCenter del cliente. Ad esempio, Avamar 19.9.100-78 PROXY Cumulative Hotfix (hotfix 338844, agosto 2024), "v19.9.100.78-client-338844.zip."

• La procedura di installazione dell hotfix proxy si trova nel file README all'interno del file .zip.

Applicare la patch del sistema operativo del proxy Avamar a tutti i proxy Avamar, inclusi gli AvProxy interni IDPA e i proxy vCenter del cliente. Ad esempio, il pacchetto proxy Avamar 2024-R2, "sec_os_update_proxy-2024-R2-v3.tgz."

Applicare i seguenti articoli Dell:

• PowerProtect DP Series Appliance e IDPA: La scansione delle vulnerabilità di sicurezza ha rilevato che SSH contiene crittografie CBC deboli su molti componenti IDPA
• Gli appliance PowerProtect serie DP e IDPA segnalano l'impostazione SHA1 obsoleta per SSH (QID 38909) 
  Nota: Il problema dovrebbe essere risolto dopo l'applicazione di Avamar Security Rollup 2024-R2.)

Applicare la Guida alla configurazione della sicurezza dell'appliance PowerProtect serie DP (richiede l'accesso come utente registrato al supporto Dell per visualizzare il documento) nelle sezioni "Integrazione di Protection Software e Protection Storage con SNMP v3" e "Integrazione di reporting e analisi e protection storage con SNMP v3".

CAUTELA: Se PowerProtect DP Series Appliance è configurato con Cloud DR, non integrare Protection Software (Avamar) e Protection Storage (Data Domain) con SNMP v3. Cloud DR non funzionerà correttamente dopo la configurazione di SNMP v3.

Se Cloud DR è in uso, è supportato solo SNMP v2C. Le ben note stringhe della community "pubblica" e "privata" dovrebbero essere sostituite con stringhe come "idpasnmpuser" o qualcosa di unico per l'ambiente. Consultare la procedura descritta nella Guida alla configurazione della sicurezza(richiede l'accesso come utente registrato al supporto Dell per visualizzare il documento) (selezionando SNMP v2C anziché v3) per aggiornare la stringa della community SNMP. 

Protection Storage (Data Domain):

Eseguire un upgrade fuori banda alla versione DD OS 7.10.1.20. (Per IDPA versione 2.7.6-DD OS versione 7.10.1.20 è supportata.)

Applicare i seguenti articoli Dell:

• Data Domain: Impostazioni di crittografia SSH QID 38739 obsolete(richiede l'accesso come utente registrato al supporto Dell per visualizzare l'articolo)
• Gli appliance PowerProtect serie DP e IDPA segnalano l'impostazione SHA1 obsoleta per SSH (QID 38909)
• PowerProtect: Vulnerabilità OpenSSH CVE-2024-6387 su IDPA 2.7.6 e 2.7.7 

Applicare la Guida alla configurazione della sicurezza di PowerProtect DP Series Appliance (richiede l'accesso come utente registrato al supporto Dell per visualizzare il documento) nelle sezioni "Integrazione di Protection Software e Protection Storage con SNMP v3" e "Integrazione di reporting, analisi e protection storage con SNMP v3".

CAUTELA:  Se PowerProtect DP Series Appliance è configurato con Cloud DR, non integrare Protection Software (Avamar) e Protection Storage (Data Domain) con SNMP v3. Cloud DR non funzionerà correttamente dopo la configurazione di SNMP v3.

Se Cloud DR è in uso, è supportato solo SNMP v2C. Le ben note stringhe della community "pubblica" e "privata" dovrebbero essere sostituite con stringhe come "idpasnmpuser" o qualcosa di unico per l'ambiente. Consultare la procedura descritta nella Guida alla configurazione della sicurezza(richiede l'accesso come utente registrato al supporto Dell per visualizzare il documento) (selezionando SNMP v2C anziché v3) per aggiornare la stringa della community SNMP. 

Gestore di sistema (DPC):

• Centrale per la protezione dei dati: Come installare l'aggiornamento del sistema operativo di Data Protection Central(richiede l'accesso come utente registrato al supporto Dell per visualizzare l'articolo) 

Search:

• PowerProtect DP Series Appliance e IDPA: La scansione delle vulnerabilità di sicurezza ha rilevato "Network Time Protocol (NTP) Mode 6 Scanner" in ACM/Search
• La valutazione della scansione della sicurezza di DPSearch potrebbe mostrare un avviso per ldap-anonymous-directory-access(richiede l'accesso come utente registrato al supporto Dell per visualizzare l'articolo) 
• PowerProtect DP Series Appliance e IDPA: La scansione delle vulnerabilità di sicurezza ha rilevato "vulnerabilità SSH per algoritmi MD5 o HMAC a 96 bit all'interno della configurazione SSH" su ESXi, vCenter, Search o DPC(richiede l'accesso come utente registrato al supporto Dell per visualizzare l'articolo) 
• Gli appliance PowerProtect serie DP e IDPA segnalano l'impostazione SHA1 obsoleta per SSH (QID 38909)

Reporting and Analytics (DPA):

• Per DP4400: Scaricare il file binario del server(per accedere al file è necessario eseguire l'accesso come utente registrato al supporto Dell) 
• Per DP5/8x00: Download dei file binari del server e dell'agent (per accedere ai file è necessario eseguire l'accesso come utente registrato al supporto Dell)
• Appliance PowerProtect serie DP e Integrated Data Protection Appliance: Procedura per aggiornare il componente DPA o Data Protection Advisor fuori banda all'interno dell'appliance

Applicare gli appliance PowerProtect serie DP e l'impostazione SHA1 deprecata del report IDPA per SSH (QID 38909).

Applicare la patch "Data Protection Advisor April 2024 JRE 8u411 Upgrade Patch for Linux 64 bit" (richiede l'accesso come utente registrato al supporto Dell per accedere ai file) patch sul datastore DPA e sui server delle applicazioni. È stato testato con le patch più recenti delle versioni DPA 19.9 e 19.10.

• Consultare l'articolo Guida all'installazione e all'amministrazione di Dell Data Protection Advisor 19.10 su come eseguire l'aggiornamento di JRE.

Applicare la Guida alla configurazione della sicurezza di PowerProtect DP Series Appliance (richiede l'accesso come utente registrato al supporto Dell per visualizzare il documento) nelle sezioni "Integrate Protection Software and Protection StorSage with SNMP v3" e "Integrate Reporting and Analytics and Protection Storage with SNMP v3".

CAUTELA: Se PowerProtect DP Series Appliance è configurato con Cloud DR, non integrare Protection Software (Avamar) e Protection Storage (Data Domain) con SNMP v3. Cloud DR non funzionerà correttamente dopo la configurazione di SNMP v3.

Se Cloud DR è in uso, è supportato solo SNMP v2C. Le ben note stringhe della community "pubblica" e "privata" dovrebbero essere sostituite con stringhe come "idpasnmpuser" o qualcosa di unico per l'ambiente. Consultare la procedura descritta nella Guida alla configurazione della sicurezza(richiede l'accesso come utente registrato al supporto Dell per visualizzare il documento) (selezionando SNMP v2C anziché v3) per aggiornare la stringa della community SNMP. 

Firmware PowerEdge e iDARC:

Applicare la procedura descritta nella IDPA Security Configuration Guide(richiede l'accesso come utente registrato al supporto Dell per visualizzare il documento) nella sezione "Change the default SNMP community string for the PowerProtect DP Series Appliance switch and iDRAC", modificare la stringa della community SNMP.

Applicare i passaggi forniti nella Guida alla configurazione della sicurezza(per visualizzare il documento è necessario accedere come utente registrato al supporto Dell).   Vedere la sezione "Configurazione del protocollo TLS per iDRAC" e aggiornare il protocollo TLS del web server iDRAC a TLS 1.2 e versioni successive.

Applicare gli appliance PowerProtect serie DP e l'impostazione SHA1 deprecata del report IDPA per SSH (QID 38909).

Switch PowerEdge (per DP5/8x00):

Applicare i passaggi forniti nella Guida alla configurazione della sicurezza(per visualizzare il documento è necessario accedere come utente registrato al supporto Dell).  Consultare la sezione "Modifica della stringa predefinita della community SNMP per lo switch PowerProtect DP Series Appliance e iDRAC" e aggiornare la stringa della community SNMP.