所选语种没有对应资源,请选择:

本站点使用Cookies,继续浏览表示您同意我们使用Cookies。Cookies和隐私政策>

提示

尊敬的用户,您的IE浏览器版本过低,为获取更好的浏览体验,请升级您的IE浏览器。

升级

FusionCloud 6.3.0 安全管理指南 09

评分并提供意见反馈 :
华为采用机器翻译与人工审校相结合的方式将此文档翻译成不同语言,希望能帮助您更容易理解此文档的内容。 请注意:即使是最好的机器翻译,其准确度也不及专业翻译人员的水平。 华为对于翻译的准确性不承担任何责任,并建议您参考英文文档(已提供链接)。
安全维护

安全维护

概述

安全维护的目的

目前,管理系统面临日趋严重的安全威胁,一旦出现问题,将面临管理中断,甚至系统崩溃的危险。因此,用户需要从多个层次构建、维护整个管理系统的安全屏障,提前发现并处理各种可能存在的安全问题。

另外,由于安全隐患层出不穷,完全依赖技术很难全面保证应用系统的安全。因此,用户需要根据安全维护建议和日常发现的问题,建立安全管理的制度,来保证系统安全、正常的运行。

什么是分层的安全维护

根据安全维护的对象和目的,维护人员需要从不同层次对业务系统进行安全维护。

  • 应用层

    应用层安全维护的目的是从安全角度保障OceanStor DJ系统可以正常运行和对外提供服务。

    OceanStor DJ系统的应用层涉及文件服务Manila等子系统及对外提供的服务。应用层的安全维护一般是基于这些子系统来实施。

  • 系统层

    系统层安全维护的目的是保障操作系统、数据库、中间件可以正常运行,以支撑应用层各个应用软件的运行。

    系统层的安全维护一般是基于维护对象所对应的维护终端或维护工具来实施。

  • 网络层

    网络层安全维护的目的是保障交换机、路由器、防火墙等网络设备的正常运行,确保网络层的安全策略得到落实。

    网络层的安全维护一般是基于维护对象所对应的维护终端或维护工具来实施。

  • 管理层

    管理层安全维护的目的是加强人为管理,防范于未然。管理层维护涉及上述各个层面。

什么是系统安全

OceanStor DJ系统的安全可以分为四个层级,每个层级提供不同的安全解决方案和安全业务。

  • 应用层安全

    应用层的安全解决方案和安全业务包括:授权和鉴权机制、身份认证机制、密码系统,日志管理等。

  • 系统层安全

    使用SSH/SFTP 方法来规避不安全的网络通信。

  • 网络层安全

    根据产品的具体组网配置情况适当划分安全区域,来分离不同的网络通信和控制访问列表(Access Control List ACL)。

    加强对接入服务器进行安全维护操作的远程帐户的管理,提高网络安全性。

  • 管理层安全(一般建议,请根据实际情况实施)

    通过全面和正确的安全政策、标准、操作规程、指导书、补丁管理流程等规避系统遭受攻击的风险。

    重视对系统管理员的管控,包括对其职责的管理和一些“软控制”。这些“软控制”包括开发和发布安全政策、标准、操作规程、指导书;选拔职员、训练安全意识、监控系统行为、控制变更过程等。

参考文档清单

安全维护时可以参见的文档清单如表10-2所示。

表10-2 参考文档

参考文档

目的

《FusionCloud 6.3.0 通信矩阵》

简称《通信矩阵》。参考此文档,进行防火墙端口配置,检查是否有多余的、非法的主机间通信。

《存储即服务解决方案 V100R001C10 弹性文件服务软件安装指南》

参考此文档进行OceanStor DJ软件包校验

应用层安全

安装包检验

需要对软件包进行校验,校验方法请参见《存储即服务解决方案 V100R001C10 弹性文件服务软件安装指南》

系统层安全

GaussDB数据库安全维护

数据库管理员应按照维护人员的角色分配不同的帐户,避免不同用户之间共享帐户。不同种类的应用必须有不同的帐户,不同的存储位置,包括物理文件、缺省表空间、临时表空间等。

帐户维护策略

对于不同的维护人员的维护帐户,客户应该采用不同的维护策略。表10-3分别给了维护策略的建议。

表10-3 GaussDB帐户维护策略表

维护动作

数据库管理员帐户

华为维护帐户

客户维护帐户

生产帐户

创建

设置有效期

权限变更

锁定/解锁

操作监控

日志审计

删除

帐户检查

▲:表示需要执行操作;○:表示不执行操作。

检查帐户

操作背景

对维护、应用的运行帐户、dba帐户进行检查,检查是否存在不合理的帐户、帐户的权限是否合理。

操作步骤

  1. 在宿主机上执行docker exec -ti gaussdb bash进入gaussdb所在的容器。
  2. 执行/opt/gaussdb/app/bin/gsql -h guassdb ip -d postgres -p 5432,其中guassdb ip为数据库的IP地址,5432为数据库端口号,之后根据提示输入gaussdba用户的密码。
  3. 执行POSTGRES=# select * from pg_user;命令列出所有帐户。
  4. 以用户cms_a为例,执行POSTGRES=# \du cms_a命令,列出用户的详细信息。
  5. 检查帐户及权限。
删除帐户

操作背景

当数据库中存在无用帐户时,需要及时删除。

操作步骤

  1. 在宿主机上执行docker exec -ti gaussdb bash进入gaussdb所在的容器。
  2. 执行/opt/gaussdb/app/bin/gsql -h guassdb ip -d postgres -p 5432,其中guassdb ip为数据库的IP地址,5432为数据库端口号,之后根据提示输入gaussdba用户的密码。
  3. test_user帐户为例,执行POSTGRES=# DROP USER test_user;命令,删除无用的帐户。
检查日志

对日志的检查,主要包括:

  • 检查日志开关的状态:“打开”“关闭”的情况。
  • 检查是否输出了日志。
  • 检查日志存储空间是否足够。
  • 对内容不作详细检查(此为审计)。
HAProxy安全维护

HAProxy默认只支持TLS1.2,在浏览器不兼容时,可设置HAProxy支持TLS1.1以兼容不支持TLS1.2的浏览器。

操作步骤

设置HAProxy支持TLS1.1

  1. 执行vi命令打开宿主机上的HAProxy配置文件“/opt/huawei/dj/etc/haproxy/cfg/haproxy_global.conf”
  2. 将该配置文件中的“force-tlsv12”修改为“no-tlsv10”,保存退出。

    说明:

    如果是三节点,依次在节点1、2、3,执行步骤 2分别进行修改。

  3. 执行stop_service --service haproxy停止HAProxy服务。
  4. 执行start_service --service haproxy启动HAProxy服务。

网络层安全

安全组网

本节与产品强相关,需要各个产品根据实际情况定制,具体组网配置情况参见《存储即服务解决方案 V100R001C10 弹性文件服务软件安装指南》

远程接入控制

当需要在远程接入服务器上进行安全维护操作时,需要注意对帐户的维护和远程连接的限制。

帐户维护

对于访问远程接入服务器的帐户的管理策略包括:

  • 不能使用root帐户访问远程接入服务器。
  • 该帐户只能由专人使用和维护。
  • 在创建远程维护帐户的时候,对帐户允许登录的IP进行限制,同时对帐户的有效期进行限制。
  • 确保远程接入访问超过一定时间时自动退出连接。
远程连接管理

远程连接管理策略包括:

  • 只允许使用限定的IP地址进行远程连接。
  • 只允许采用限定的方式进行远程连接,例如,采用VPN进行远程连接。
  • 只允许通过中间主机进行远程连接,例如,在进行远程连接的时候,只能先连接到特定的维护主机之后,再由该维护主机连接到目标主机。

管理层安全

本节对客户日常安全维护提出管理建议,供客户制定安全管理方面的制度时参考并加以落实,以保障系统安全。

系统维护安全原则

最小原则

  • 最小服务和组件。
  • 区分服务器的用途和角色,禁止安装不必要的服务和组件。
  • 服务内部组件也应采用上述原则进行裁减。

最小帐号

  • 进行严格的帐号管理,实施严格的帐号策略。
  • 严格控制增加、修改、删除系统中的帐号、群组。
  • 删除所有系统上不使用的帐号和用户组。

最小权限

  • 尽可能降低系统服务、群组和帐号的权限。
  • 对操作系统的授权进行严格控制。
  • 禁止不必要的帐号访问不需要的资源。

专用原则

  • 尽量避免利用一台主机担当多种服务角色。
  • 分区专用,隔离系统、应用和数据所在的分区。

审计原则

  • 通过日志和其他可行的方法监控对主机的操作行为。
  • 对系统关键资源的成功访问进行审计。
  • 对修改访问控制策略的成功和失败情况进行审计。
帐户维护建议

建议系统管理员对帐户例行检查,检查的内容包括:

  • 操作系统、数据库的帐户是否必要,临时帐户是否已删除。
  • 帐户的权限是否合理。
  • 对帐户的登录、操作日志进行检查和审计。
密码维护建议

用户身份验证是应用系统的门户。用户的帐户和密码的复杂性、有效期等需根据客户的安全要求进行配置。

对密码的维护建议如下:

  • 90天内修改密码。
  • 专人保管主机root密码。
  • 密码传递时要进行加密,尽量避免通过邮件传递密码。
  • 密码需要加密存储。
  • 系统移交时提醒客户更改密码。
日志维护建议

利用审核和日志记录来帮助发现可疑的活动。系统对于重要业务(包括系统参数、资源配置与发布等)的操作需要记录日志。通过系统加固对日志文件进行保护。

  • 定期检查日志

    定期查看系统日志、应用程序日志及安全日志,若发现有异常日志出现,应及时向上级部门汇报,若不能定位原因或无法自行解决时,及时向当地办事处或拨打800电话向华为公司求助。

  • 定期备份日志

    日志应当进行定期备份,同时将备份文件在外介质(磁盘、磁带、光盘等)上存档。日志在备份后应当及时删除,以释放日志空间。

  • 审计功能的配置更改

    在系统初装时完成系统审计功能的配置,一般情况下不建议修改。若需要修改系统审计功能的配置,请报上级部门批准,同时将修改的内容作书面记录。

安全评估建议

建议客户定期对OceanStor DJ系统进行安全评估,特别是在进行系统重大升级、网络搬迁、系统扩容等网络变更较大的情况下。

建议客户找具有安全评估资质的专业机构对系统进行安全评估,评估时请与华为技术支持工程师联系。

漏洞扫描建议

漏洞扫描通常是指基于漏洞数据库,通过扫描等手段,对指定的远程或者本地计算机系统的安全脆弱性进行检测,发现可利用的漏洞的一种安全检测(渗透攻击)行为。

客户需要建立应对安全事故的应急响应处理机制,以保证出现安全事故后,可以尽快恢复生产和解决问题,将损失降至最低。

扫描频率

建议客户使用Nessus工具或其他扫描工具扫描系统,扫描时机如下:

  • 周期性扫描,例如,按季度进行漏洞扫描。
  • 在系统安装或者升级完成后进行漏洞扫描。
  • 在发布重大漏洞公告时,需要对系统进行扫描确认是否存在重大漏洞。
  • 在补丁发布或者升级完成后进行漏洞扫描。
扫描执行时间

对于扫描的具体执行时间,建议在业务相对空闲时进行,最大程度地减小对业务的影响。例如凌晨3:00开始进行扫描。

扫描后的处理

在漏洞扫描发现异常时,根据扫描报告进行相应处理,例如,删除异常帐户等。

扫描发现高危安全漏洞后,建议咨询华为技术支持工程师。

备份建议

出于安全防护的需要,请在如下场景进行备份:

  • 加固之前和之后进行系统数据的全量备份。
  • 在进行日常安全配置维护、故障处理之前和之后进行备份。
  • 安装补丁、升级时备份,请参见对应的指导书。
网络连接变更建议

在网络连接发生变更时,建议客户进行如下操作:

  • 更新组网图。
  • 刷新通信矩阵。
  • 更新防火墙配置。
  • 更新交换、路由设置的配置。

建议客户在网络连接变动较大时,对网络拓扑进行分析。

缺陷报告建议

如果客户向华为报告系统遭到攻击,华为将根据攻击的具体情况采用如下两种处理方式:

  • 如果现场发生了安全事故,华为技术支持工程师将提供远程或者现场支持,协同客户人员减轻系统遭受攻击的影响,并且完善现场事故报告的处理过程。
  • 如果没有发生安全事故,华为技术支持工程师将把问题录入数据库并传给研发团队。研发团队找到解决方案后,技术支持工程师将分析方案实施对现场业务的影响,并提供建议的解决方法。
补丁管理建议

提醒客户建立补丁管理的制度,设置相关人员,检视华为发布的补丁,以及操作系统、数据库、中间件原厂发布的补丁。

说明:

如果需要打补丁,请按照升级指导书进行升级操作。

安全应急响应机制

客户需要建立应对安全事故的应急响应处理机制,以保证出现安全事故后,可以尽快恢复生产和解决问题,将损失降至最低。

翻译
下载文档
更新时间:2019-01-25

文档编号:EDOC1100015665

浏览量:28200

下载量:784

平均得分:
本文档适用于这些产品
相关文档
相关版本
Share
上一页 下一页