6. Функції та сервіси хоста

6.1.1 Послуги хосту CIM, якщо їх увімкнено, мають обмежити доступ (Вручну)

Система загальної інформаційної моделі (CIM) дозволяє керувати на апаратному рівні із віддалених програм через стандартні API. Забезпечення лише мінімального доступу необхідні для цих програм, є обов’язковим для запобігання потенційним порушенням безпеки. Щоб обмежити, слід створити спеціальний обліковий запис служби для кожної програми CIM доступ і привілеї.

Обмеження доступу до послуг CIM має важливе значення для запобігання несанкціонованому або надмірному привілейований доступ, що може призвести до потенційної вразливості безпеки. Ця практика дотримується принципу найменших привілеїв, сприяючи більш безпечному середовищу.

Якщо надано неналежний доступ до інструментів моніторингу обладнання на основі CIM або інших сторонніх програм, вони можуть не працювати належним чином або можуть бути використані для поставити під загрозу безпеку хоста.

6.2.1 Хост повинен ізолювати комунікації зі сховищем (Вручну)

Ізоляція зв’язків зі сховищем через зонування та номер логічного блоку (LUN) маскування є важливим у відокремленні діяльності мережі зберігання даних (SAN). Зонування визначає з’єднання між адаптерами хост-шини (HBA) і цілями, забезпечуючи пристрої за межами зони залишаються невидимими для пристроїв усередині, таким чином полегшуючи незалежне управління зонами, такими як тестування та виробництво. З іншого боку, Крім того, маскування LUN контролює видимість і доступність LUN для різних хостів підвищення деталізації контролю доступу в мережі зберігання. Шляхом реалізації завдяки цим заходам поверхня атаки SAN зменшується, а системи без ESXi – зменшуються заборонено доступ до SAN і розділення середовищ, таких як test і виробництво досягнуто.

Застосування зонування та маскування LUN для ізоляції комунікацій сховища є життєво важливим зменшити ризик несанкціонованого доступу та потенційного перехресного зараження між ними різні робочі середовища. Це дозволяє зробити його більш структурованим і безпечним управління ресурсами зберігання, гарантуючи, що неавторизовані або несумісні системи не можуть взаємодіяти з SAN або отримувати доступ до неї, таким чином сприяючи загальна безпека та експлуатаційна цілісність середовища.

Неможливість ізоляції зв’язку зі сховищем може призвести до підвищеного ризику несанкціонованого доступу доступ до ресурсів зберігання, потенційний витік даних або перешкоди між різними операційні зони. Відсутність сегрегації також може створити проблеми в управлінні та усунення несправностей у роботі мережі зберігання, що призводить до неефективності роботи та потенційні ризики безпеки.

6.2.2 Хост повинен переконатися, що всі сховища даних мають унікальні імена (Вручну)

Забезпечення унікального іменування для сховищ даних має вирішальне значення, щоб уникнути можливих помилок, які можуть впливають на цілісність і доступність даних. Описове та унікальне ім’я для кожного сховище даних полегшує ідентифікацію та керування. Хоча конкретного немає параметр, щоб забезпечити це, слід дотримуватися ручних або автоматичних умов іменування до.

Унікальні та описові імена для сховищ даних мінімізують ризик помилок, покращують керованість і допомагає швидше ідентифікувати, особливо в середовищах з численні сховища даних. Це проактивний захід для підтримки порядку та уникнення проблем, які виникають із імен за замовчуванням, наданих сховищам даних VMFS і vSAN.

Недотримання унікальної угоди про іменування може призвести до плутанини, неправильної конфігурації або некоректний доступ до даних. У той час як перейменування сховищ даних може мати низькі наслідки системи автоматизації, моніторингу та резервного копіювання, переваги унікального іменування умовності переважують потенційні негативи.

6.3.1 Хост-клієнт iSCSI, якщо ввімкнено, має використовувати двонаправлену/взаємну автентифікацію CHAP (Автоматизовано)

Реалізація двонаправленої автентифікації CHAP для підключень iSCSI підвищує безпеку через необхідність взаємної перевірки між ініціатором (клієнтом) і метою (сервером), забезпечення цілісності даних під час передачі. Конфігурація передбачає налаштування iSCSI автентифікація адаптера зберігання для “Використовувати двонаправлений CHAP” і надання необхідного облікові дані. Це налаштування забезпечує весь зв’язок між клієнтом і сервером залишається безпечним і незмінним, значно знижуючи ризик перехоплення даних неуповноважені особи. Параметром, який регулює цю поведінку, є встановлене сховище iSCSI автентифікація адаптера на «Використовувати двонаправлений CHAP» із рекомендованим налаштуванням Увімкнено.

Використання двонаправленої автентифікації CHAP значно мінімізує пов’язані ризики з перехопленням або зміною даних неавторизованими особами під час передачі між ініціатором і метою. Цей додатковий рівень безпеки має вирішальне значення для підтримки цілісність даних і конфіденційність підключень iSCSI.

Функціональний вплив впровадження цього контролю не очікується. Однак це важливо забезпечити правильну конфігурацію, щоб уникнути можливих збоїв у зв’язку між клієнтом і сервером iSCSI.

6.3.2 Хост-клієнт iSCSI, якщо ввімкнено, має використовувати унікальні секрети автентифікації CHAP (Вручну)

Протокол автентифікації Challenge-Handshake (CHAP) вимагає, щоб і клієнт, і хост знати секрет, щоб встановити зв’язок. Важливо використовувати унікальний CHAP секрети автентифікації для кожного сеансу iSCSI для забезпечення безпечного зв’язку. The параметр, що регулює цю поведінку, описано в адаптері зберігання iSCSI або iSER у налаштуваннях CHAP.

Використання унікальних секретів автентифікації CHAP для кожного сеансу iSCSI сприяє забезпеченню безпеки передачі даних і зменшує ризик несанкціонованого доступу.

Під час підвищення безпеки, неправильне налаштування або обмін секретами CHAP між сеансами потенційно може призвести до проблем із підключенням або несанкціонованого доступу.

6.4.1 Сервіси хосту SNMP, якщо їх увімкнено, повинні обмежувати доступ (Вручну)

Щоб безпечно керувати хостами, якщо SNMP увімкнено, доступ має бути обмежено. Бажано, Слід використовувати SNMPv3, оскільки він забезпечує чудову безпеку через автентифікацію за допомогою ключа і шифрування порівняно з SNMPv1 або SNMPv2. Налаштування пункту призначення для Пастки SNMP є важливими для того, щоб дані моніторингу спрямовувалися до легітимних і безпечний хост.

Правильна конфігурація SNMP має вирішальне значення для зниження ризику неправильного використання або компрометації, особливо якщо існують інші засоби управління. Покращений захист SNMPv3 функції є ключовими для безпечного керування та моніторингу.

Неправильна конфігурація SNMP може перенаправляти конфіденційні дані моніторингу на шкідливі хости, ризик використання та порушення безпеки хоста.

6.5.1 Демон хосту SSH, якщо ввімкнено, має використовувати підтверджені шифри FIPS 140-2/140-3 (Вручну)

Для підвищення безпеки, якщо демон SSH увімкнено на хості, він має використовувати FIPS Перевірені шифри 140-2/140-3. Ця вимога забезпечує дотримання стандартів шифрування надійний і відповідає нормативним вимогам.

Використання підтверджених FIPS шифрів є життєво важливим для підтримки високого рівня безпеки та чесність у спілкуванні. Він узгоджується з найкращими галузевими практиками та нормативними актами відповідність вимогам, забезпечення безпечних з’єднань SSH.

Немає функціонального впливу цього елемента керування; однак це значно покращує безпеку шляхом використання надійних, перевірених шифрів шифрування для SSH комунікацій.

6.5.2 Демон хосту SSH, якщо його ввімкнено, має використовувати підтверджені криптографічні модулі FIPS 140-2/140-3 (Вручну)

Якщо ввімкнено, демон SSH на хості має використовувати FIPS 140-2/140-3 підтверджені криптографічні модулі, надані OpenSSH. Хоча ці модулі є увімкнено за замовчуванням, їх можна дезактивувати для зворотної сумісності, таким чином, перевіряючи і забезпечення правильного налаштування має вирішальне значення для підтримки стандартів безпеки.

Використання підтверджених FIPS криптографічних модулів забезпечує дотримання визнаних стандартів безпеки, що важливо для захисту даних під час сеансів SSH. Це відповідає найкращим галузевим практикам і вимогам відповідності, сприяючи безпечному операційне середовище.

Немає функціонального впливу, пов’язаного з цим елементом керування. Це значно посилює безпеку шляхом забезпечення використання підтверджених криптографічних модулів, зведення до мінімуму ризики, пов’язані з комунікаціями SSH.

6.5.3 Демон хосту SSH, якщо ввімкнено, не має дозволяти використання портів шлюзу (Вручну)

Якщо ввімкнено, демон SSH на хості повинен мати функцію портів шлюзу вимкнено, щоб запобігти пересиланню з’єднань віддаленими хостами. Це загартовування заходи, щоб переконатися, що служба SSH безпечно налаштована проти потенційних пересилання зловживань.

Вимкнення портів шлюзу є профілактичним заходом, щоб уникнути несанкціонованого пересилання віддалені хости, таким чином підвищуючи безпеку системи. Це розумний крок мінімізація поверхні атаки, пов’язаної зі службою SSH.

Немає помічених функціональних впливів, пов’язаних із цим контролем. Це ініціатива захід безпеки, призначений для запобігання потенційному зловживанню переадресацією служб SSH можливості, не впливаючи на нормальну роботу хоста.

6.5.4 Демон SSH хоста, якщо його ввімкнено, не повинен дозволяти автентифікацію на основі хоста (Вручну)

Важливо переконатися, що демон SSH на хості забороняє автентифікацію на основі хоста крок до зміцнення системних послуг. Це запобігає автентифікації хоста від імені користувачів, тим самим забезпечуючи індивідуальну відповідальність і мінімізуючи ризик несанкціонований доступ.

Заборона автентифікації на основі хоста забезпечує більш безпечну автентифікацію користувача механізм, що сприяє індивідуальній відповідальності. Це мінімізує ризик, пов’язаний з довірчі відносини між хостами, тим самим підвищуючи загальну безпеку системи.

Жодного функціонального впливу цей контроль не пов’язує. Він діє лише для підвищення безпеки за допомогою застосування суворішої практики автентифікації без перешкоджання роботі системи.

6.5.5 Демон хосту SSH, якщо його ввімкнено, має встановлювати кількість часу очікування для неактивних сеансів (Вручну)

Встановлення підрахунку часу очікування для неактивних сеансів SSH гарантує, що неактивні сеанси є автоматично відключається через визначений період. Цей період розраховується за множення кількості тайм-ауту на інтервал тайм-ауту простою. Автоматичне відключення неактивні сеанси зменшують вікно можливостей для неавторизованого доступу.

Впровадження підрахунку часу очікування для неактивних сеансів сприяє кращій гігієні безпеки мінімізація впливу відкритих сеансів SSH. Це додає рівень захисту від потенційний неавторизований доступ через забуті або неконтрольовані сеанси.

Немає повідомлень про функціональний вплив цього елемента керування. Це профілактичний захід на підвищення рівня безпеки шляхом пом’якшення ризиків, пов’язаних із тривалим простоєм сесії.

6.5.6 Демон хосту SSH, якщо ввімкнено, має встановити інтервал очікування для неактивних сеансів (Вручну)

Реалізація інтервалу очікування для неактивних сеансів SSH гарантує, що будь-який неактивний сеанс відключається через певний період, покращуючи стан безпеки. Загальна сума Тривалість тайм-ауту обчислюється шляхом множення кількості тайм-аутів на тайм-аут простою інтервал.

Застосування інтервалу очікування для неактивних сеансів SSH мінімізує ризик несанкціонованого доступу доступ через забуті або неконтрольовані сесії, тим самим зміцнюючи систему послуги відповідно до найкращих практик безпеки.

Не повідомляється про функціональний вплив цього елемента керування. Захід є профілактичним, спрямованим на зменшити ризики, пов’язані з відкритими неактивними сеансами SSH.

6.5.7 Демон хосту SSH, якщо ввімкнено, має відображати банер входу в систему перед наданням доступу (Вручну)

Реалізація банера входу в систему перед наданням доступу SSH гарантує, що це важливо інформація або сповіщення передаються користувачам, які намагаються увійти. Текст банера встановлено через розширений параметр Config.Etc.Issue хоста.

Відображення банера входу в систему допомагає надавати юридичні повідомлення або інші критичні повідомлення інформація для користувачів, гарантуючи, що вони проінформовані перед отриманням доступу, що є кроком для зміцнення та захисту системних послуг.

Немає повідомлень про функціональний вплив застосування цього контролю. Це в першу чергу служить для інформування користувачів або надання юридичних застережень, допомоги в юридичних і нормативних актах відповідність.

6.5.8 Демон хосту SSH, якщо ввімкнено, має ігнорувати файли .rhosts (Вручну)

Ігнорування файлів .rhosts має вирішальне значення для посилення демона SSH на хості, гарантуючи, що довірчі відносини чітко визначені, а не неявно прийняті, тим самим зменшуючи поверхню атаки.

Ігнорування файлів .rhosts усуває потенційні ризики безпеці, пов’язані із застарілими або надмірними дозвільні довірчі відносини, що є кроком до більш жорстких і безпечних налаштування системної служби.

Немає повідомлень про функціональні наслідки, пов’язані з ігноруванням файлів .rhosts; однак, ця практика покращує рівень безпеки, зменшуючи ризики, пов’язані з несанкціонований доступ.

6.5.9 Демон хосту SSH, якщо ввімкнено, має вимкнути локальне пересилання потоку (Вручну)

Вимкнення локального пересилання потоку на демоні SSH гарантує відсутність домену Unix сокети пересилаються, таким чином забезпечуючи кордон безпеки. Цей захід сприяє збереження цілісності та конфіденційності системи.

Вимкнення локального пересилання потоку допомагає запобігти можливому зловживанню доменом Unix сокети, які можуть бути вектором для певних типів атак або витоку даних.

Немає повідомлень про функціональний вплив, що вказує на те, що локальне пересилання потоку вимкнено є безпечним заходом для підвищення безпеки системи без впливу на роботу.

6.5.10 Демон хосту SSH, якщо ввімкнено, має вимкнути переадресацію TCP (Вручну)

Вимкнення переадресації TCP у демоні SSH є заходом для запобігання потенційним несанкціоноване тунелювання та пересилання, які можуть призвести до витоку даних або несанкціонований доступ до даних. Цей захід додає рівень безпеки до служби SSH коли ввімкнено, система стає більш стійкою до певних типів мереж напади.

Запобігання переадресації TCP допомагає гарантувати, що демон SSH не використовується з метою несанкціоноване проходження тунелів. Цей захід допомагає підтримувати більш безпечний і контрольоване мережеве середовище.

Не повідомлялося про функціональний вплив. Це вказує на те, що вимкнення переадресації TCP є запобіжний захід, що не перешкоджає нормальній роботі хоста.

6.5.11 Демон хосту SSH, якщо ввімкнено, не повинен дозволяти тунелі (Вручну)

Запобігання створенню тунелів у демоні SSH є заходом безпеки, спрямованим на перешкоду несанкціоноване мережеве тунелювання через хост. Цей контроль, коли його застосовують, допомагає зменшити ризики, пов’язані з можливим викраденням даних або неавторизованою мережею доступ, який може відбуватися через тунелі SSH.

Заборонивши створення тунелів, організації можуть переконатися, що демон SSH не є використовувати для несанкціонованого тунелювання, таким чином сприяючи більшій безпеці положення мережі.

Немає повідомлень про функціональний вплив, пов’язаний із цим контролем безпеки, що вказує що запобігання тунелювання SSH не впливає негативно на нормальний хост оперативна поведінка.

6.5.12 Демон хосту SSH, якщо ввімкнено, не повинен дозволяти налаштування середовища користувача (Вручну)

Запобігання налаштувань середовища користувача в демоні SSH забезпечує послідовність і контрольоване середовище, зменшуючи поверхню атаки за рахунок обмеження налаштування користувачами середовища SSH.

Заборона налаштувань середовища користувача в демоні SSH зменшує потенціал для зловмисна або ненавмисна неправильна конфігурація, таким чином підвищуючи рівень безпеки.

Немає жодного функціонального впливу, що вказує на обмеження налаштувань середовища користувача не впливає негативно на робочі аспекти хоста.