Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Sicherheitsüberlegungen
Sicherung der Discovery-Tool-VM
Die VM-Sicherheit des Discovery-Tools ist von entscheidender Bedeutung, da das Discovery-Tool alle Anmeldeinformationen, Protokolle und Kundendaten auf der Discovery-Tool-VM speichert.
Der SSH-Zugriff auf die Discoverytool-VM ist standardmäßig deaktiviert und der Zugriff ist nur vom Client vCenter UI -> "Launch Web Console" aus möglich.
Das Discovery-Tool VM verfügt über ein Standard-Anmeldekennwort „Passwort“ für den Benutzer „Discovery“.
Wir empfehlen, dieses Passwort unmittelbar nach der Bereitstellung zu aktualisieren.
Sie müssen das Passwort aktualisieren, wenn Sie SSH mit
enablesshdem Befehl aktivieren möchten, nachdem Sie sich mitLaunch Web ConsolevCenter angemeldet haben. Bitte beachten Sie, dass Sie diesen Befehl jedes Mal, wenn er aufgerufen wird, zurücksetzen müssen.
Anmeldeinformationen sichern
Allgemeine bewährte Methoden für die Verwaltung von Anmeldeinformationen
Speichern Sie Anmeldeinformationen sicher
Wechseln Sie regelmäßig alle Anmeldeinformationen
Verwenden Sie Passwort-Manager oder sichere Tresore
Überwachen Sie die Verwendung von Anmeldeinformationen
Folgen Sie dem Prinzip der geringsten Rechte und gewähren Sie nur die erforderlichen Mindestberechtigungen
SNMP v2-Anmeldeinformationen
Verwenden Sie komplexe, nicht standardmäßige Community-Strings
Vermeiden Sie häufig verwendete Zeichenketten wie „öffentlich“ oder „privat“
Behandeln Sie Community-Zeichenketten wie Passwörter
SNMP v3-Anmeldeinformationen
Aktivieren Sie sowohl Authentifizierung als auch Datenschutz
Verwenden Sie starke Authentifizierungsprotokolle (SHA wird MD5 vorgezogen)
Verwenden Sie starke Verschlüsselungsprotokolle (AES wird dem vorgezogen)
Verwenden Sie komplexe Passwörter sowohl für die Authentifizierung als auch für den Datenschutz
Verwenden Sie eindeutige Benutzernamen (vermeiden Sie gebräuchliche Namen)
WinRM-Anmeldeinformationen
Vermeiden Sie es, die WinRM-Zertifikatsprüfung zu deaktivieren.
Es wird empfohlen, ein dediziertes Dienstkonto mit den erforderlichen Mindestberechtigungen zu erstellen.
Vermeiden Sie die Verwendung von Domänenadministrator- oder lokalen Administratorkonten, es sei denn, Sie benötigen die SQL Server-Sammlung. Für die SQL Server-Sammlung ist lokaler Administratorzugriff erforderlich, da sie mehrere WMI-Namespaces abfragt und Befehle mit erhöhten Rechten verwendet. Für Betriebssystemmetriken ohne SQL Server-Erkennung ist ein Konto ohne Administratorrechte mit Fernverwaltungsbenutzern, Systemmonitor-Benutzern und WMI-Lesezugriff ausreichend.
root\cimv2Einzelheiten zu den einzelnen Erforderliche Berechtigungen für das Discovery-Tool Modulen finden Sie unter.
Hyper-V Anmeldedaten
Verwenden Sie spezielle Dienstkonten mit minimalen Hyper-V Verwaltungsberechtigungen.
Vermeiden Sie die Verwendung von Domänenadministratorkonten.
Hyper-V Anmeldeinformationen unterstützen NTLM (nur HTTPS) und Kerberos-Authentifizierung.
Das Discovery-Tool speichert Anmeldeinformationen, die im Ruhezustand mithilfe von SQLCipher verschlüsselt sind.
Oracle-Anmeldeinformationen
Verwenden Sie ein dediziertes, schreibgeschütztes Dienstkonto mit nur SELECT_CATALOG_ROLE. Verwenden Sie keine DBA-, SYSDBA- oder SYSOPER-Rechte.
Das Discovery-Tool führt nur Lesevorgänge aus und schreibt niemals in die Oracle-Datenbank.
Das Discovery-Tool greift nicht auf die Ansichten von Diagnostics Pack oder Tuning Pack zu, sodass keine zusätzliche Oracle-Lizenz erforderlich ist.
Wechseln Sie das Passwort für das Oracle-Dienstkonto regelmäßig und aktualisieren Sie die Anmeldeinformationen im Discovery-Tool.
Speicherung von Anmeldeinformationen
Das Discovery-Tool verschlüsselt gespeicherte Anmeldeinformationen im Ruhezustand mithilfe eines Datenbank-Verschlüsselungsschlüssels. Auf Systemen mit Systemd 250 oder höher wird dieser Schlüssel mit systemd-creds verschlüsselt. Auf älteren Systemen wird der Schlüssel als berechtigungsgeschützte Datei gespeichert. In beiden Fällen könnte ein Angreifer mit Root-Zugriff auf den Host des Discovery Tools auf den Verschlüsselungsschlüssel zugreifen und die gespeicherten Anmeldeinformationen entschlüsseln. Beschränken Sie den Zugriff auf den Discovery Tool-Host und behandeln Sie ihn in Ihrer Umgebung als privilegiertes System.
Verwenden Sie die Auto-Connect Funktion mit Vorsicht
Das Discovery-Tool verwendet zwei Mechanismen, um Servern während der OS-level Erfassung Anmeldeinformationen zuzuweisen: automatische Verbindung und manuell. OS-level Die Sammlung umfasst die Module Netzwerk, SQL Server, Oracle-Datenbank und Betriebssystem-Metriken. Diese Module stellen Verbindungen zu einzelnen Servern aus allen Quellen her, einschließlich VMware-VMs, Hyper-V VMs und importierten Servern.
Manuell: Ein Server kann manuell mit bestimmten Anmeldeinformationen verknüpft werden. In diesem Fall verwendet das Discovery-Tool nur diese Anmeldeinformationen, unabhängig von Erfolg oder Misserfolg. Sie müssen den Erfassungsstatus für diesen Server manuell überwachen und Anpassungen vornehmen.
Auto-connect: Wenn dem Server keine Anmeldeinformationen manuell zugeordnet wurden, verwendet das Discovery-Tool den automatischen Verbindungsmechanismus für diesen Server. Das bedeutet:
Zu Beginn jeder Sammelrunde erhält das Discovery-Tool eine Liste der Anmeldeinformationen, die für diesen Server verfügbar sind (basierend auf den Betriebssystemtypen) und die auch so konfiguriert sind, dass sie „automatisch verbunden“ werden können.
Das Discovery-Tool testet dann alle Anmeldeinformationen in einer Schleife mit dem Server.
Wenn funktionierende Anmeldeinformationen gefunden werden, ist die Sammelrunde für den Server erfolgreich. Das Discovery-Tool erinnert sich daran und versucht es beim nächsten Mal zuerst.
Wenn keine funktionierenden Anmeldeinformationen gefunden werden, ist die Sammelrunde für den Server fehlgeschlagen.
Netzwerkmodul: Der Server verwendet einen Backoff-Zeitplan und startet die nächste Sammelrunde in 3 Minuten, 30 Minuten, 2 Stunden und 6 Stunden nach jedem Ausfall (ähnlich einem exponentiellen Backoff).
SQL Server-Sammlung: Das Discovery-Tool versucht es nicht erneut. Es unternimmt jeden Tag einen Versuch pro Server.
Impacts/Risks:
Verwenden Sie die automatische Verbindung nur, wenn Sie sicher sind, dass die Risiken in Ihrem System gemindert sind:
Risiko 1: Wenn die automatische Verbindung für mehrere falsche Anmeldeinformationen konfiguriert ist, kann der automatische Versuch, sie gegen Server auszuführen, zu Kontosperrungen in Produktionsumgebungen führen, in denen Sperrrichtlinien konfiguriert sind. Beispielsweise kann ein Rechenzentrum seine VMs so einrichten, dass sie nach drei fehlgeschlagenen SSH-Anmeldeversuchen gesperrt werden. In diesem Fall würde es zu legitimen Kontosperrungen kommen, wenn die automatische Verbindung für 3 falsche SSH-Anmeldeinformationen konfiguriert ist. Wenn Sperrungen in mehreren Systemen auftreten, könnten kritische Geschäftsprozesse beeinträchtigt werden, was möglicherweise zu kaskadierenden Ausfällen in abhängigen Systemen führen könnte. Darüber hinaus kann es in Security Operations Centers zu Warnmeldungen aufgrund von Massenauthentifizierungsfehlern kommen, was zu falsch positiven Sicherheitsvorfällen führen kann, die Ressourcen belasten und echte Angriffe verschleiern können.
Risiko 2: Ein Akteur mit Zugriff auf das Discovery-Tool (kennt das Erkennungstool-Passwort) kann Betriebssystemanmeldedaten auf allen Servern mit Brute-Force-Angriffen erzwingen, indem er eine große Anzahl von Testanmeldedaten konfiguriert und automatische Verbindungen verwendet, um die erfolgreichen Anmeldeinformationen zu finden.
Abhilfemaßnahmen:
Befolgen Sie diese Richtlinien:
Stellen Sie sicher, dass das Passwort des Discovery-Tools ordnungsgemäß gesichert ist und nur autorisierten Akteuren bekannt ist
Stellen Sie sicher, dass die richtigen Anmeldeinformationen für die Umgebung eingegeben werden, falls Sperrrichtlinien gelten. Wir empfehlen, nur bekannte, funktionierende Anmeldeinformationen zu konfigurieren, auch wenn keine Richtlinien zur Kontosperrung vorhanden sind, um eine minimale Betriebsbelastung einzelner VMs sicherzustellen.
"Auto-connect" ist eine Opt-in-Funktion. Wählen Sie diese Option nicht aus und verwenden Sie die manuelle Zuweisung von Anmeldeinformationen nicht, wenn Kontosperrungen umweltschädlich sind.
Sicherheit beim CSV-Import
Wenn Sie Server mithilfe einer CSV-Datei importieren, sollten Sie die folgenden Auswirkungen auf die Sicherheit berücksichtigen:
Die CSV-Datei kann Hostnamen oder IP-Adressen interner Server enthalten. Behandeln Sie sie wie sensible Daten.
Die
oracle_credential_nameSpaltenos_credential_nameund verweisen anhand eines benutzerfreundlichen Namens auf vorkonfigurierte Anmeldeinformationen. Die CSV-Datei enthält keine Geheimnisse.All-or-nothing Validierung: Wenn eine Zeile in der CSV ungültig ist, wird der gesamte Upload abgelehnt. Dies verhindert Teilimporte, die zu einem verwirrenden Zustand führen könnten.
Importierte Server sind sofort im Inventar sichtbar und können abgeholt werden. Stellen Sie vor dem Import sicher, dass das Betriebssystem und die Oracle-Anmeldeinformationen den richtigen Gültigkeitsbereich haben.
Überlegungen zum Widerrufen des Zugriffs
Wenn Sie den Zugriff widerrufen, wird der Löschvorgang auf die jeweilige Quelle beschränkt:
Durch das Widerrufen vCenter vCenter-Zugriffs werden nur vCenter-Daten gelöscht. Serverdaten werden nicht beeinträchtigt Hyper-V oder importiert.
Durch das Widerrufen des Hyper-V Zugriffs werden nur Hyper-V Daten gelöscht. VMware oder importierte Serverdaten sind davon nicht betroffen.
Durch das Löschen importierter Server werden sie aus dem Inventar entfernt, aber die nachgelagerten Erfassungsdaten (Netzwerk-, Datenbank-, Betriebssystemmetriken) bleiben erhalten.
Um alle quellenspezifischen Inventardaten zu entfernen, müssen Sie jede Quelle unabhängig voneinander sperren oder löschen. Downstream-Erfassungsdaten (Netzwerk-, Datenbank-, Betriebssystemmetriken) bleiben auch dann erhalten, wenn alle Quellen gesperrt wurden.
