Guida per la sicurezza di Oracle Fabric Manager 5.0.2

Transcript

1 Guida per la sicurezza di Oracle Fabric Manager N. di parte: E Novembre 2016

2

3 N. di parte: E Copyright 2016, Oracle e/o relative consociate. Tutti i diritti riservati. Il software e la relativa documentazione vengono distribuiti sulla base di specifiche condizioni di licenza che prevedono restrizioni relative all uso e alla divulgazione e sono inoltre protetti dalle leggi vigenti sulla proprietà intellettuale. Ad eccezione di quanto espressamente consentito dal contratto di licenza o dalle disposizioni di legge, nessuna parte può essere utilizzata, copiata, riprodotta, tradotta, diffusa, modificata, concessa in licenza, trasmessa, distribuita, presentata, eseguita, pubblicata o visualizzata in alcuna forma o con alcun mezzo. La decodificazione, il disassemblaggio o la decompilazione del software sono vietati, salvo che per garantire l interoperabilità nei casi espressamente previsti dalla legge. Le informazioni contenute nella presente documentazione potranno essere soggette a modifiche senza preavviso. Non si garantisce che la presente documentazione sia priva di errori. Qualora l utente riscontrasse dei problemi, è pregato di segnalarli per iscritto a Oracle. Qualora il software o la relativa documentazione vengano forniti al Governo degli Stati Uniti o a chiunque li abbia in licenza per conto del Governo degli Stati Uniti, sarà applicabile la clausola riportata di seguito. U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government. Il presente software o hardware è stato sviluppato per un uso generico in varie applicazioni di gestione delle informazioni. Non è stato sviluppato né concepito per l uso in campi intrinsecamente pericolosi, incluse le applicazioni che implicano un rischio di lesioni personali. Qualora il software o l hardware venga utilizzato per impieghi pericolosi, è responsabilità dell utente adottare tutte le necessarie misure di emergenza, backup e di altro tipo per garantirne la massima sicurezza di utilizzo. Oracle Corporation e le sue consociate declinano ogni responsabilità per eventuali danni causati dall uso del software o dell hardware per impieghi pericolosi. Oracle e Java sono marchi registrati di Oracle e/o delle relative consociate. Altri nomi possono essere marchi dei rispettivi proprietari. Intel e Intel Xeon sono marchi o marchi registrati di Intel Corporation. Tutti i marchi SPARC sono utilizzati in base alla relativa licenza e sono marchi o marchi registrati di SPARC International, Inc. AMD, Opteron, il logo AMD e il logo AMD Opteron sono marchi o marchi registrati di Advanced Micro Devices. UNIX è un marchio registrato di The Open Group. Il software o l hardware e la documentazione possono includere informazioni su contenuti, prodotti e servizi di terze parti o collegamenti agli stessi. Oracle Corporation e le sue consociate declinano ogni responsabilità ed escludono espressamente qualsiasi tipo di garanzia relativa a contenuti, prodotti e servizi di terze parti se non diversamente regolato in uno specifico accordo in vigore tra l utente e Oracle. Oracle Corporation e le sue consociate non potranno quindi essere ritenute responsabili per qualsiasi perdita, costo o danno causato dall accesso a contenuti, prodotti o servizi di terze parti o dall utilizzo degli stessi se non diversamente regolato in uno specifico accordo in vigore tra l utente e Oracle. Accessibilità alla documentazione Per informazioni sull impegno di Oracle per l accessibilità, visitare il sito Oracle Accessibility Program all indirizzo: Accesso al Supporto Oracle I clienti Oracle che hanno acquistato il servizio di supporto tecnico hanno accesso al supporto elettronico attraverso il portale Oracle My Oracle Support. Per tutte le necessarie informazioni, si prega di visitare il sito oppure per clienti non udenti.

4

5 Indice Sicurezza di Oracle Fabric Manager... 7 Panoramica di Oracle Fabric Manager... 7 Principi di sicurezza generali... 7 Mantenere il software aggiornato... 8 Limitare l'accesso di rete ai servizi critici... 8 Attenersi al principio del privilegio minimo... 8 Monitorare l'attività del sistema... 9 Mantenersi aggiornati sulle ultime informazioni sulla sicurezza... 9 Accesso... 9 Esaminare le autorizzazioni dei file Controllare l'accesso agli account predefiniti Certificato SSL Bloccare l'accesso agli utenti non inclusi nell'elenco Sicurezza per i plugin di Oracle Fabric Manager Sicurezza di Oracle Fabric Monitor Procedure generali MySQL PostGres

6 6 Guida per la sicurezza di Oracle Fabric Manager Novembre 2016

7 Sicurezza di Oracle Fabric Manager In questo documento vengono fornite le linee guida generali sulla sicurezza per Oracle Fabric Manager a partire dalla versione Queste informazioni consentono di proteggere il software Oracle Fabric Manager. sezione chiamata «Panoramica di Oracle Fabric Manager» [7] sezione chiamata «Principi di sicurezza generali» [7] sezione chiamata «Accesso» [9] Esaminare le autorizzazioni dei file [10] Controllare l'accesso agli account predefiniti [10] sezione chiamata «Certificato SSL» [11] Bloccare l'accesso agli utenti non inclusi nell'elenco [11] sezione chiamata «Sicurezza per i plugin di Oracle Fabric Manager» [11] sezione chiamata «Sicurezza di Oracle Fabric Monitor» [12] Panoramica di Oracle Fabric Manager Oracle Fabric Manager è un sistema di gestione multidispositivo creato da Oracle per controllare e gestire i dispositivi fabric Oracle (uno o più switch InfiniBand Oracle IS2-46, interconnessioni fabric Oracle o Oracle SDN Controller) e i dispositivi di I/O virtuali Oracle. Il prodotto Oracle Fabric Manager è un modello server client che supporta la configurazione e la gestione di risorse virtuali a livello di dispositivo fabric, modulo, server o virtual machine. Oracle Fabric Manager è un sistema di gestione basato su browser, che viene eseguito su un server remoto. Il server remoto di Oracle Fabric Manager converte i task di configurazione e gestione provenienti dall'interfaccia di Oracle Fabric Manager e trasmette tali informazioni ai dispositivi fabric gestiti da Oracle Fabric Manager. Principi di sicurezza generali Negli argomenti successivi vengono descritti i principi fondamentali necessari per utilizzare qualsiasi applicazione in modo sicuro. Sicurezza di Oracle Fabric Manager 7

8 Principi di sicurezza generali Mantenere il software aggiornato Tenere aggiornata la versione di Oracle Fabric Manager in esecuzione. È possibile trovare le versioni correnti del software da scaricare all'indirizzo Limitare l'accesso di rete ai servizi critici Oracle Fabric Manager utilizza le seguenti porte: Porta Descrizione 8880 o 8443 (HTTPS) Utilizzata dagli utenti finali per connettersi a Oracle Fabric Manager. In alternativa, è possibile lasciare chiuse queste porte, ma aprire una sessione RDP e utilizzare il browser locale per aumentare la sicurezza. 443 Utilizzata da Oracle Fabric Manager per connettersi e configurare le interconnessioni fabric e gli OSDN Controller Utilizzata da Oracle Fabric Manager per connettersi e rilevare le interconnessioni fabric e gli OSDN Controller Utilizzata da Oracle Fabric Manager per connettersi e configurare gli switch InfiniBand Oracle Utilizzata da Oracle Fabric Manager per connettersi e rilevare gli switch InfiniBand Oracle. 22 Utilizzata da Oracle Fabric Manager per scaricare i log ed esportare e importare i file di backup su tutti i tipi di dispositivi. Mantenere Oracle Fabric Manager e i dispositivi che controlla su una rete di gestione sicura. Questi componenti non devono essere collegati a Internet. Attenersi al principio del privilegio minimo Concedere all'utente o all'amministratore il privilegio minimo richiesto per portare a termine le attività. Oracle Fabric Manager dispone di diversi ruoli che è possibile concedere agli utenti. Questi ruoli garantiscono privilegi di diverso tipo e quantità. Utilizzare le funzioni di Security Manager disponibili nel pannello di navigazione dell'interfaccia per configurare i ruoli utente per Oracle Fabric Manager. Le funzioni di Security Manager consentono inoltre di configurare i dispositivi Fabric in domini di rete specifici. 8 Guida per la sicurezza di Oracle Fabric Manager Novembre 2016

9 Accesso Per ulteriori informazioni sull'uso di Security Manager, consultare il manuale Oracle Fabric Manager Administration Guide. Monitorare l'attività del sistema Monitorare l'attività del sistema per stabilire la corretta esecuzione di Oracle Fabric Manager e la presenza di attività anomale. Controllare i file di log riportati di seguito contenenti informazioni su Oracle Fabric Manager. Windows Server Server Linux Server Oracle Solaris director-<name>.log director-<name>.log director-<name>.log xmsaudit.log.1 xmsaudit.log.1 xmsaudit.log.1 xms-ha.log.1 xms-ha.log.1 xms-ha.log.1 xmsjobs.log.1 xmsjobs.log.1 xmsjobs.log.1 xms.log.1 xms.log.1 xms.log.1 xms-schedule.log.1 xms-schedule.log.1 xms-schedule.log.1 xms-stderr.log tomcat.log tomcat.log xms-stdout.log catalina.out catalina.out commons-daemon.log catalina.pid Mantenersi aggiornati sulle ultime informazioni sulla sicurezza È possibile accedere a diverse fonti di informazioni sulla sicurezza. Per informazioni e avvisi sulla sicurezza relativi a un'ampia varietà di prodotti software, vedere Eseguire la versione più aggiornata del software Oracle Virtual Networking e consultare la relativa documentazione. Accesso Consentire l'accesso Web a Oracle Fabric Manager solo da una rete privata protetta da DMZ. Valutare la possibilità di impedire l'accesso locale a Oracle Fabric Manager. Un metodo consiste nell'utilizzare un firewall per bloccare le porte di Oracle Fabric Manager. Per connettersi a Oracle Fabric Manager, eseguire innanzitutto il protocollo RDP (Remote Desktop Protocol) Sicurezza di Oracle Fabric Manager 9

10 Esaminare le autorizzazioni dei file per raggiungere l'host e successivamente utilizzare localhost per connettersi a Oracle Fabric Manager. Assicurarsi che Oracle Fabric Manager utilizzi solo una rete sicura privata per comunicare con i dispositivi fabric, quali un'interconnessione fabric o un Oracle SDN Controller. Esaminare le autorizzazioni dei file Dopo aver installato il software Oracle Fabric Manager, controllare le autorizzazioni dei file. Utilizzare la procedura riportata di seguito per rivedere le autorizzazioni dei file per Linux o Oracle Solaris. 1. Prima di installare Oracle Fabric Manager, creare un utente denominato xsigo. Creare un file ~xsigo/.profile contenente la riga seguente: umask 077 Per verificare che questo profilo sia stato applicato, immettere i comandi seguenti e controllare che l'output sia 077. # su xsigo # umask Installare Oracle Fabric Manager. Vedere «Installing the Software» in Oracle Fabric Manager Installation Guide. 3. Al termine dell'installazione, esaminare il livello di autorizzazione dei file del prodotto per determinare se possono essere letti o scritti da tutti gli utenti. I comandi Linux riportati di seguito non dovrebbero recuperare alcun file. find /opt/xsigo/xms/ -perm -o=r find /opt/xsigo/xms/ -perm -o=w 4. Correggere le autorizzazioni degli eventuali file identificati. Controllare l'accesso agli account predefiniti Oracle Fabric Manager include due utenti autorizzati in modo automatico: root (o administrator in Windows) ofmadmin Impedire a un hacker di creare utenti nel sistema utilizzando questi account. 1. Stabilire l'autenticazione centralizzata sicura per il sistema. 10 Guida per la sicurezza di Oracle Fabric Manager Novembre 2016

11 Certificato SSL 2. Immediatamente dopo l'installazione di Oracle Fabric Manager, creare un utente denominato ofmadmin e assegnare a tale account una password casuale. Per ulteriori informazioni, vedere «Assign a Role to a User» in Oracle Fabric Manager Administration Guide. Certificato SSL Installare un certificato SSL firmato correttamente per Oracle Fabric Manager. Per ulteriori informazioni, vedere «Configuring a Certificate for Oracle Fabric Manager» in Oracle Fabric Manager Installation Guide. Bloccare l'accesso agli utenti non inclusi nell'elenco Per impostazione predefinita, agli utenti non inclusi nell'elenco non è consentito accedere a Oracle Fabric Manager. Un utente incluso nell'elenco dispone di un ruolo definito in Oracle Fabric Manager e di un account utente di base nel sistema operativo dell'host. Se un'impostazione viene modificata per abilitare gli utenti non inclusi nell'elenco, un utente con un account che può eseguire l'autenticazione all'host sarà in grado di eseguire il login a Oracle Fabric Manager e ottenere il ruolo di operatore (accesso di sola lettura). Quando un utente non incluso nell'elenco viene bloccato, l'autenticazione all'host di tale utente può riuscire, ma Oracle Fabric Manager impedirà l'accesso a tale utente e l'autenticazione risulterà non riuscita. Per verificare questo livello di sicurezza, controllare che l'accesso agli utenti non inclusi nell'elenco sia disabilitato. 1. Fare clic sull'icona Fabric Manager Maintenance. 2. Individuare l'opzione Allow Unlisted Users. Se accanto a tale opzione è visualizzato un segno di spunta, rimuoverlo per disabilitare l'accesso. Sicurezza per i plugin di Oracle Fabric Manager A Oracle Fabric Manager è possibile aggiungere una vasta gamma di moduli plugin. Quando si decide di installare e utilizzare qualsiasi modulo plugin, tenere presenti le stesse considerazioni generali sulla sicurezza. Inoltre, seguire le linee guida di sicurezza specifiche per ciascun plugin. Per le informazioni sulla sicurezza di alcuni moduli plugin, consultare il seguente argomento sezione chiamata «Sicurezza di Oracle Fabric Monitor» [12]. Sicurezza di Oracle Fabric Manager 11

12 Sicurezza di Oracle Fabric Monitor Sicurezza di Oracle Fabric Monitor Se si utilizza il modulo plugin Oracle Fabric Monitor con Oracle Fabric Manager, seguire le linee guida riportate di seguito oltre alle procedure di sicurezza generali relative a Oracle Fabric Manager. Procedure generali Il database deve essere posizionato in una rete di gestione e deve essere protetto da DMZ. Conservare i backup del database. MySQL Proteggere le funzioni MySQL incluse in questo modulo plugin. Vedere doc/refman/5.7/en/security-guidelines.html. PostGres Proteggere le funzioni postgres incluse in questo modulo plugin. Vedere le linee guida sulla sicurezza per la versione inclusa di postgres all'indirizzo 12 Guida per la sicurezza di Oracle Fabric Manager Novembre 2016