Guide de sécurité de VMware vrealize Log Insight

Transcription

1 Guide de sécurité de VMware vrealize vrealize 2.5 Ce document prend en charge la version de chacun des produits répertoriés, ainsi que toutes les versions publiées par la suite jusqu'au remplacement dudit document par une nouvelle édition. Pour rechercher des éditions plus récentes de ce document, rendez-vous sur : FR

2 Guide de sécurité de VMware vrealize Vous trouverez la documentation technique la plus récente sur le site Web de VMware à l'adresse : Le site Web de VMware propose également les dernières mises à jour des produits. N hésitez pas à nous transmettre tous vos commentaires concernant cette documentation à l adresse suivante : docfeedback@vmware.com Copyright 2014 VMware, Inc. Tous droits réservés. Copyright et informations sur les marques. VMware, Inc Hillview Ave. Palo Alto, CA VMware, Inc Quartier Boieldieu Paris La Défense France 2 VMware, Inc.

3 Table des matières À propos du guide de sécurité de VMware vrealize 5 1 Référence de sécurité 7 Ports et interfaces externes utilisés par le dispositif virtuel 7 Fichiers de configuration de 9 Clé publique, certificat et keystore de 10 Fichier de licence et CLUF de 10 Fichiers journaux de 11 Recommandations relatives au pare-feu pour 12 Comptes d'utilisateurs 13 Correctifs et mises à jour de sécurité 14 Index 15 VMware, Inc. 3

4 Guide de sécurité de VMware vrealize 4 VMware, Inc.

5 À propos du guide de sécurité de VMware vrealize Le guide de sécurité de VMware vrealize est un document de référence concis concernant les fonctionnalités de sécurité de. Ce guide décrit les fonctions de sécurité intégrées à et les mesures que vous pouvez prendre pour vous protéger des attaques afin de sécuriser votre installation Interfaces, ports et services externes nécessaires au bon fonctionnement de Paramètres et options de configuration qui ont des implications en matière de sécurité Emplacement des fichiers journaux et leur objectif Comptes système requis Informations sur l'obtention des correctifs de sécurité les plus récents Public visé Ces informations s'adressent aux décideurs, aux architectes, aux administrateurs et aux autres utilisateurs du service informatique qui ont besoin de se familiariser avec les composants de sécurité de. VMware, Inc. 5

6 Guide de sécurité de VMware vrealize 6 VMware, Inc.

7 Référence de sécurité 1 Utilisez Référence de sécurité pour connaître les fonctionnalités de sécurité de votre installation et les mesures à prendre pour protéger votre environnement des attaques. Ce chapitre aborde les rubriques suivantes : «Ports et interfaces externes utilisés par le dispositif virtuel», page 7 «Fichiers de configuration de», page 9 «Clé publique, certificat et keystore de», page 10 «Fichier de licence et CLUF de», page 10 «Fichiers journaux de», page 11 «Recommandations relatives au pare-feu pour», page 12 «Comptes d'utilisateurs», page 13 «Correctifs et mises à jour de sécurité», page 14 Ports et interfaces externes utilisés par le dispositif virtuel Le fonctionnement de dépend de certains services, ports et interfaces externes. Ports de communication utilise plusieurs protocoles et ports de communication. Le trafic réseau de dispose de plusieurs sources. Poste de travail administrateur Poste de travail utilisateur Système envoyant des journaux Windows Agent Machine utilisée par un administrateur système pour gérer le dispositif virtuel à distance. Machine sur laquelle un utilisateur accède à l'interface Web de à l'aide d'un navigateur. Point de terminaison qui envoie des journaux à pour effectuer une analyse et une recherche. Les points de terminaison sont par exemple des hôtes ESXi, des machines virtuelles ou tout système doté d'une adresse IP. Agent qui réside sur une machine Windows et envoie des journaux et des événements Windows à à travers des API. VMware, Inc. 7

8 Guide de sécurité de VMware vrealize Nœud maître de Tout dispositif virtuel (maître ou travailleur) sur lequel résident les services. Le système d'exploitation de base du dispositif est SUSE 11 SP3. En mode cluster, est constitué de plusieurs nœuds, dont un nœud maître et plusieurs nœuds travailleurs. Lorsque vous effectuez une requête, elle se dirige d'abord vers le nœud maître. Ce dernier traite la requête, distribue le travail aux différents nœuds travailleurs, collecte et regroupe le résultat, puis vous renvoie ce résultat. Utilisez le nœud maître de pour configurer l'intégralité du système. En mode autonome, le seul nœud qui existe fait office à la fois de nœud maître et de nœud travailleur. Source Destination Port Protocole Description du service Poste de travail administrateur Poste de travail utilisateur Poste de travail utilisateur Système envoyant des journaux Système envoyant des journaux Windows Agent 22 TCP SSH : connectivité Secure Shell 80 TCP HTTP : interface Web 443 TCP HTTPS : interface Web 514 TCP, UDP Données Syslog 1514 TCP Données Syslog via SSL 9000 TCP API Ingestion de Log Insight serveur NTP 123 UDP NTPD : permet la synchronisation de l'heure NTP REMARQUE Le port est ouvert uniquement si vous décidez d'utiliser la synchronisation de l'heure NTP Serveur de messagerie Nœud maître de 59778, TCP Services 465 TCP SMTPS : service de messagerie MTP via SSL TCP Serveur de base de données Postgres REMARQUE Le port est ouvert uniquement sur le nœud maître de. Le serveur de base de données Postgres s'exécute sur le nœud maître. Nœud maître de Serveur DNS 53 TCP, UDP DNS 8 VMware, Inc.

9 Chapitre 1 Référence de sécurité Source Destination Port Protocole Description du service Nœud maître de Nœud maître de Nœud maître de Nœud maître de Serveur AD 389 TCP, UDP Active Directory REMARQUE Le port est ouvert uniquement si vous activez l'intégration d'active Directory. Serveur AD 636 TCP Active Directory via SSL REMARQUE Le port est ouvert uniquement si vous activez l'intégration d'active Directory. Serveur AD 3268 TCP Catalogue global Active Directory REMARQUE Le port est ouvert uniquement si vous activez l'intégration d'active Directory. Serveur AD 3269 TCP Protocole SSL de catalogue global Active Directory REMARQUE Le port est ouvert uniquement si vous activez l'intégration d'active Directory TCP Requête et réplication Cassandra 9042 TCP Requête Cassandra Les ports suivants sont ouverts, mais ne sont pas utilisés par ; ils peuvent être bloqués par un pare-feu en toute sécurité. Dans une prochaine version, ces ports seront fermés par défaut. Destination Port Protocole Description du service 111 TCP, UDP Service RPCbind qui convertit les numéros du programme RPC en adresses universelles Service Tomcat de dispositif 9007 TCP Services Tomcat Fichiers de configuration de Les paramètres de certains fichiers de configuration ont une incidence sur la sécurité dans. REMARQUE Toutes les ressources liées à la sécurité sont accessibles depuis le compte racine. La protection de ce compte est indispensable à la sécurité de. VMware, Inc. 9

10 Guide de sécurité de VMware vrealize Tableau 1 1. Fichiers de configuration de Fichier /usr/lib/loginsight/application/etc/jaas.conf /usr/lib/loginsight/application/etc/3rd_confi g/server.xml /usr/lib/loginsight/application/etc/loginsightconfig-base.xml /storage/core/loginsight/config/loginsightconfig.xml#number /storage/var/loginsight/apachetomcat/conf/tomcat-users.xml /usr/lib/loginsight/application/3rd_party/apach e-tomcat-*/conf/server.xml /usr/lib/loginsight/application/3rd_party/apach e-tomcat-*/conf/tomcat-users.xml Description Configuration du système par défaut pour. Configuration du système modifiée (par rapport la configuration par défaut) pour. Configuration pour l'intégration d'active Directory. Configuration du système pour le serveur Apache Tomcat. Configuration du système pour le serveur Apache Tomcat. Configuration du système pour le serveur Apache Tomcat. Informations utilisateur pour le serveur Apache Tomcat. Clé publique, certificat et keystore de La clé publique, le certificat et le keystore de se trouvent sur le dispositif virtuel. REMARQUE Toutes les ressources liées à la sécurité sont accessibles depuis le compte racine. La protection de ce compte est indispensable à la sécurité de. /usr/lib/loginsight/application/etc/public.cert /usr/lib/loginsight/application/etc/loginsight.pub /usr/lib/loginsight/application/etc/3rd_config/keystore /usr/lib/loginsight/application/etc/truststore /usr/lib/loginsight/application/3rd_party/apache-tomcat-*/conf/keystore Fichier de licence et CLUF de Le Contrat de Licence Utilisateur Final (CLUF) et le fichier de licence se trouvent sur le dispositif virtuel. REMARQUE Toutes les ressources liées à la sécurité sont accessibles depuis le compte racine. La protection de ce compte est indispensable à la sécurité de. Fichier Licence Licence Licence Fichier de clé de licence Contrat de Licence Utilisateur Final Emplacement /usr/lib/loginsight/application/etc/license/loginsight_dev.dlf /usr/lib/loginsight/application/etc/license/loginsight_cpu.dlf /usr/lib/loginsight/application/etc/license/loginsight_osi.dlf /usr/lib/loginsight/application/etc/license/loginsight_license.txt /usr/lib/loginsight/application/etc/license/eula.txt 10 VMware, Inc.

11 Chapitre 1 Référence de sécurité Fichiers journaux de Les fichiers contenant les messages système se trouvent sur le dispositif virtuel. Fichier /storage/var/loginsight/runtime.log /storage/var/loginsight/pi.log /storage/var/loginsight/usage.log /storage/var/loginsight/ui.log /storage/var/loginsight/watchdog_log* /storage/var/loginsight/vcenter_operations.log /storage/var/loginsight/loginsight_daemon_stdout.log /storage/var/loginsight/upgrade.log /storage/var/loginsight/apache-tomcat/logs/*.log /storage/var/loginsight/plugins/vsphere/li-vsphere.log /storage/var/loginsight/pgsql.log /var/log/firstboot/stratavm.log /storage/var/loginsight/phonehome.log /storage/var/loginsight/alert.log /storage/var/loginsight/systemalert.log /storage/var/loginsight/systemalert_worker.log Description Utilisé pour suivre l'ensemble des informations relatives au temps d'exécution associées à. Utilisé pour suivre les événements de début ou de fin de la base de données. Utilisé pour suivre l'ensemble des requêtes. Utilisé pour suivre les événements associés à l'interface utilisateur de. Utilisé pour suivre les événements de temps d'exécution du processus de surveillance, responsable du redémarrage en cas d'arrêt. Utilisé pour suivre les événements associés à l'intégration de vrealize Operations Manager. Utilisé pour la sortie standard du démon. Utilisé pour suivre les événements ayant lieu pendant la mise à niveau de. Utilisé pour suivre les événements du serveur Apache Tomcat. Utilisé pour suivre les événements associés à l'intégration avec vsphere. Utilisé pour suivre les événements du serveur Postgres. Utilisé pour suivre les événements ayant lieu au premier démarrage et à la première configuration du dispositif virtuel. Utilisé pour suivre les informations sur la collecte des données de trace envoyées à VMware (si l'option est activée). Utilisé pour suivre les informations sur les alertes définies par l'utilisateur ayant été déclenchées. Utilisé pour suivre les informations sur les alertes système envoyées par. Chaque alerte est répertoriée en tant qu'entrée JSON. Utilisé pour suivre les informations sur les alertes système envoyées par un nœud travailleur de. Chaque alerte est répertoriée en tant qu'entrée JSON. Messages de journaux relatifs à la sécurité Le fichier runtime.log contient des messages de journaux d'audit d'utilisateur au format suivant. [ :40: ] [http INFO / ] [com.vmware.loginsight.web.actions.misc.loginactionbean][user logged in: Name: admin Role: admin] VMware, Inc. 11

12 Guide de sécurité de VMware vrealize [ :39: ] [http INFO / ] [com.vmware.loginsight.web.actions.misc.loginactionbean][user logged out: Name: admin Role: admin] [ :39: ] [http WARN / ] [com.vmware.loginsight.web.actions.misc.loginactionbean][bad username/password attempt (username: myusername)] [ :40: ] [http INFO / ] [com.vmware.loginsight.web.actions.misc.loginactionbean][user logged in: Active Directory User: SAM=myusername, [ :40: ] [http INFO / ] [com.vmware.loginsight.web.actions.misc.loginactionbean][user logged in: Active Directory User: SAM=myusername, [ :40: ] [http INFO / ] [com.vmware.loginsight.web.actions.misc.loginactionbean][user logged in: Local User: Name=myusername, Role=user] [ :40: ] [http INFO / ] [com.vmware.loginsight.web.actions.misc.loginactionbean][user logged out: Local User: Name=myusername, Role=user [ :26: ] [http INFO / ] [com.vmware.loginsight.web.actions.settings.usersactionbean] [Created new user: Active Directory User: SAM=username, Domain=vmware.com, [ :44: ] [http INFO / ] [com.vmware.loginsight.web.actions.settings.usersactionbean] [Created new user: Local User: Name=username, Role=admin] [ :03: ] [http INFO / ] [com.vmware.loginsight.web.actions.settings.usersactionbean] [Removed users: [Active Directory User: SAM=username, Domain=vmware.com, [ :04: ] [http INFO / ] [com.vmware.loginsight.web.actions.settings.usersactionbean] [Removed users: [Local User: Name=username, Role=admin]] [http INFO / ] [com.vmware.loginsight.web.actions.settings.usersactionbean] [Created new group: (domain=vmware.com, group=vmware Employees, role=user)] [ :07: ] [http INFO / ] [com.vmware.loginsight.web.actions.settings.usersactionbean] [Removed groups: [(domain=vmware.com, group=vmware Employees, role=user)]] Recommandations relatives au pare-feu pour Pour protéger les informations sensibles rassemblées par, placez le ou les serveurs sur un segment de réseau de gestion protégé du reste de votre réseau interne par un pare-feu. Ports requis Les ports suivants doivent être ouverts au trafic réseau sur les sources qui envoient des données à. 12 VMware, Inc.

13 Chapitre 1 Référence de sécurité Port 514/UDP, 514/TCP 1514/TCP 9000/TCP Protocole Syslog Syslog-TLS (SSL) API Ingestion de Les ports suivants doivent être ouverts au trafic réseau qui utilise l'interface utilisateur de. Port 80/TCP 443/TCP Protocole HTTP HTTPS L'ensemble de ports suivant doit uniquement être ouvert sur un nœud maître pour un accès réseau depuis des nœuds travailleurs, pour une sécurité optimale. Port 16520:16580/TCP 59778/TCP 12543/TCP Protocole RPC Thrift Serveur log4j Serveur de base de données Comptes d'utilisateurs Pour administrer, vous devez définir un compte système et un compte racine. Utilisateur racine de utilise actuellement le compte d'utilisateur racine en tant qu'utilisateur du service. Aucun autre utilisateur n'est créé. Le mot de passe racine par défaut est vide, sauf si vous avez défini la propriété du mot de passe racine lors du déploiement. Vous devez modifier ce mot de passe lors de la première connexion à la console de. SSH est désactivé tant que le mot de passe racine n'a pas été défini. Le mot de passe racine doit répondre aux critères suivants. Il doit contenir au moins 8 caractères. Il doit contenir au moins une majuscule, une minuscule, un chiffre et un caractère spécial. Le même caractère ne doit pas être répété plus de trois fois. Utilisateur Admin de Lorsque vous démarrez le dispositif virtuel pour la première fois, crée le compte d'utilisateur Admin pour son interface utilisateur Web. Le mot de passe pour l'utilisateur Admin est vide par défaut. Vous devez modifier ce mot de passe dans l'interface utilisateur Web lors de la configuration initiale de. Prise en charge d'active Directory prend en charge l'intégration avec Active Directory. Une fois cette option configurée, peut authentifier ou autoriser un utilisateur à travers Active Directory. Reportez-vous à la rubrique Permettre l'authentification utilisateur à travers Active Directory du Guide d'administration de. VMware, Inc. 13

14 Guide de sécurité de VMware vrealize Privilèges attribués aux utilisateurs par défaut L'utilisateur du service dispose de privilèges racine. L'utilisateur Admin de l'interface d'utilisateur Web dispose des privilèges d'administrateur uniquement sur l'interface utilisateur Web de. Correctifs et mises à jour de sécurité Le dispositif virtuel utilise SUSE Linux Enterprise Server 11 (x86_64) version 11 et niveau de correctif 3 en tant que système d'exploitation invité. Vous pouvez exécuter le dernier correctif ou la dernière mise à jour de sécurité par le biais d'une méthode classique (par exemple, une mise à niveau RPM). Avant d'appliquer une mise à niveau ou un correctif au système d'exploitation invité, tenez compte des dépendances. Reportez-vous à «Ports et interfaces externes utilisés par le dispositif virtuel», page VMware, Inc.

15 Index C certificat 10 clé publique 10 CLUF 10 correctifs 14 F fichier de licence 10 fichiers de configuration 9 G glossaire 5 H HTTP 7 https 7 J journaux 11 journaux système 11 K keystore 10 L loginsight-config-base.xml 9 loginsight-config-projects.xml 9 loginsight.pub 10 logsight-config.xml 9 Public ciblé 5 public.cert 10 R recommandations relatives au pare-feu 12 référence de sécurité 7 S SE invité 14 sendmail 7 server.xml 9 services 7 smtp 7 SSH 13 SSH désactivé 13 sshd 7 syslog 7 T tcp 7 tomcat-users.xml 9 U udp 7 M magasin d'approbations 10 mises à jour de sécurité 14 mot de passe racine par défaut 13 N ntp 7 P ports 7 ports de pare-feu 12 ports requis 12 postgres 7 privilèges d'administrateur 13 privilèges racine 13 VMware, Inc. 15

16 Guide de sécurité de VMware vrealize 16 VMware, Inc.