Search <book_title>...

Guide de sécurité et de chiffrement de Veritas NetBackup™

Last Published: 2018-03-28

Product(s): NetBackup (8.1.1)

NetBackup Access Control (NBAC)

La fonctionnalité NetBackup Access Control (NBAC) incorpore NetBackup Product Authentication and Authorization à NetBackup et renforce la sécurité pour les serveurs maître, les serveurs de médias et les clients.

Se reporter à Sécurité et chiffrement NetBackup.

Les points importants à propos de NBAC incluent :

L'authentification et l'autorisation sont utilisées conjointement.
NBAC utilise des identités d'authentification à partir d'une source approuvée pour identifier de manière fiable les parties impliquées. Des décisions d'accès peuvent alors être prises pour la manipulation de NetBackup en fonction de ces identités. Notez que les services de sécurité de NetBackup sont maintenant intégrés.
NetBackup Product Authentication and Authorization se compose du courtier racine, du courtier d'authentification, du moteur d'autorisation et de l'interface utilisateur graphique.
Oracle, Oracle Archiver, DB2, Informix, Sybase, SQL Server, SAP et EV Migrator ne sont pas pris en charge avec NBAC.
NBAC n'est pas pris en charge sur les appliances.
La sauvegarde de catalogue NetBackup est prise en charge avec NBAC.

Le tableau suivant décrit les composants de NetBackup qui sont utilisés dans la sécurité.

Tableau : Composants de NetBackup utilisés dans la sécurité

Composant	Description
Courtier racine	Le serveur maître NetBackup est le courtier racine dans une installation de data center. Il n'y a aucune disposition pour l'utilisation d'un autre courtier racine. La recommandation est de permettre la confiance entre les courtiers racine. Le courtier racine authentifie le courtier d'authentification. Le courtier racine n'authentifie pas les clients.
Courtier d'authentification	Authentifie le serveur maître, le serveur de médias, l'interface utilisateur graphique et les clients en établissant les informations d'authentification avec chacun d'entre eux. Le courtier d'authentification authentifie également un utilisateur lorsqu'il actionne une invite de commande. Il peut y avoir plus d'un courtier d'authentification dans une installation de data center. Le courtier d'authentification peut parfois être associé au courtier racine.
Moteur d'autorisation	Communique avec le serveur maître et le serveur de médias pour déterminer les autorisations d'un utilisateur authentifié. Ces autorisations déterminent la fonctionnalité disponible pour un serveur donné. Le moteur d'autorisation enregistre également les groupes d'utilisateurs et les autorisations. Seul un moteur d'autorisation est requis dans une installation de data center. Le moteur d'autorisation communique également sur le WAN pour autoriser d'autres serveurs de médias dans un environnement de data center multiple.
interface utilisateur graphique	Spécifie une console d'administration à distance qui reçoit les informations d'authentification des courtiers d'authentification. L'interface utilisateur graphique peut utiliser les informations d'authentification pour accéder à la fonctionnalité sur les clients, les serveurs de médias et les serveurs maîtres.
MSEO	Spécifie le MSEO (Media Server Encryption Option), une appliance de logiciel qui chiffre des données enregistrées sur bande par le serveur de médias (chiffrement de données au repos). Le MSEO est une alternative au chiffrement latéral client qui peut réduire la charge de traitement de l'UC sur le client.
Serveur maître	Communique avec le courtier racine, le courtier d'authentification, l'interface utilisateur graphique, le moteur d'autorisation, le serveur de médias et les clients.
Administrateur NetBackup	Désigne un utilisateur qui a reçu des autorisations d'administrateur pour accéder et gérer la fonctionnalité NetBackup depuis le data center.
Serveur de médias	Le serveur de médias communique avec le serveur maître, le courtier racine et le courtier d'authentification, le moteur d'autorisation, le MSEO et les clients 1 à 6. Le serveur de médias enregistre des données déchiffrées sur la bande pour le client 5 et les données chiffrées sur la bande pour le client 6.
Clients	Spécifie que les clients 1 à 4 sont les types standard de NetBackup. Le client 5 est un type de serveur Web situé dans la zone démilitarisée. Le client 6 est un type de client chiffré côté client également situé dans la zone démilitarisée. Tous les types de client sont gérés par le serveur maître et leurs données peuvent être sauvegardées sur une bande par le serveur de médias. Les clients 5 et 6 communiquent avec NetBackup uniquement à l'aide de ports NetBackup via le pare-feu interne. Le client 5 reçoit également des connexions Internet en utilisant seulement des ports réservés au HTTP via le pare-feu externe.
Bandes	La sécurité des bandes dans NetBackup peut être augmentée en ajoutant ce qui suit : Chiffrement côté client MSEO (Media Server Encryption Option) Chiffrement des données au repos Des bandes de données décryptées et cryptées sont produites dans le data center. Les données de bande non chiffrées sont écrites pour les clients 1 à 5 et stockées sur site dans le data center. Les bandes chiffrées sont écrites pour le client 6 et sont transportées hors site dans un centre de sauvegarde pour reprise après incident.
Chiffrement	Spécifie que le chiffrement de NetBackup peut augmenter la sécurité en fournissant ce qui suit : Une meilleure confidentialité des données La perte de bande physique n'est pas aussi critique si toutes les données sont effectivement chiffrées La meilleure stratégie de contrôle de risque Pour plus d'informations sur le chiffrement : Se reporter à Questions importantes sur la sécurité du chiffrement.
Sécurité des données transmises par câble	Inclut la communication entre les serveurs maître, les serveurs de médias, les clients et la communication à l'aide des ports par les pare-feux et via WAN. Pour plus d'informations sur les ports : Se reporter à Ports TCP/IP de A propos de NetBackup. La part de données transmises par câble de NetBackup permet d'accroitre la sécurité comme suit : NetBackup Access Control (NBAC) Les daemons classiques de NetBackup utilisent l'authentification lorsque NBAC est activé. Les daemons de CORBA utilisent des canaux entièrement chiffrés prenant en charge la confidentialité et garantissant l'intégrité des données. Pare-feux Désactivation des ports inutilisés dans NetBackup et dans d'autres produits : Se reporter à Activant ou désactivant des affectations aléatoires de port. Les ports dédiés PBX et VNETD permettent d'accroitre la sécurité NetBackup. Ensemble de ports centraux à surveiller et ouvrir via des pare-feux.
Sécurité du pare-feu	Spécifie que la prise en charge du pare-feu de NetBackup peut aider à augmenter la sécurité. Voici des points importants concernant la sécurité du pare-feu : Veritas recommande l'utilisation de la protection à l'aide du pare-feu et de la détection d'intrusion pour NetBackup Du point de vue de NetBackup, la protection à l'aide d'un pare-feu fait référence à la sécurité générale du réseau. Elle se concentre sur la réduction des verrous potentiels qu'un pirate peut tenter d'obtenir. Il peut être utile de vérifier un blocage éventuel des ports NFS, telnet, FTP et de messagerie. Ces éléments ne sont pas strictement nécessaires pour l'utilisation de NetBackup et peuvent constituer une "porte ouverte" aux accès indésirables. Sécurisez le serveur maître autant que possible Les pare-feux peuvent inclure des pare-feux internes et externes, comme suit : Le pare-feu interne permet à NetBackup d'accéder au client de serveur Web n° 5 et au client chiffré n° 6 dans la zone démilitarisée. Vous ne pouvez activer que les ports NetBackup sélectionnés et les ports de certaines applications pour transmettre des données par le biais du pare-feu interne depuis et vers la zone démilitarisée. Les ports HTTP sont ouverts dans le pare-feu externe et ne sont pas autorisés à traverser le pare-feu interne. Le pare-feu externe permet aux utilisateurs externes d'accéder au client de serveur Web 5 situé dans la zone démilitarisée depuis Internet par le biais des ports HTTP. Les ports NetBackup sont ouverts pour que le client de serveur Web 5 puisse communiquer via le pare-feu interne avec NetBackup. Les ports NetBackup ne peuvent pas passer par le pare-feu externe pour se connecter à Internet. Seuls les ports HTTP du client de serveur Web 5 peuvent passer par le pare-feu externe pour se connecter à Internet.
Zone démilitarisée (DMZ)	Spécifie que la zone démilitarisée (DMZ) augmente la sécurité comme suit : la zone démilitarisée est une zone dans laquelle le nombre de ports qui sont permis pour les hôtes spécifiques est fortement commandé la zone démilitarisée se trouve entre les pare-feu externe et interne. Dans cet exemple, la zone commune est le serveur Web. Le pare-feu externe bloque tous les ports sauf les ports Web HTTP (standard) et HTTPS (sécurisés). Le pare-feu interne bloque tous les ports sauf les ports NetBackup et ports de base de données. la zone démilitarisée bloque l'accès Internet externe vers le serveur NetBackup interne et les informations de la base de données. La zone démilitarisée fournit une zone de fonctionnement "sûre" pour le client de serveur Web 5 et pour le client chiffré 6 entre les pare-feux interne et externe. Le client de serveur Web 5 de la zone démilitarisée peut échanger des données avec NetBackup via le pare-feu interne en utilisant les ports NetBackup affectés. Le client de serveur Web 5 peut également communiquer sur Internet par le biais du pare-feu externe en utilisant uniquement des ports HTTP. Figure : Exemples de pare-feux et de zone démilitarisée affiche un exemple de pare-feux interne et externe avec la zone démilitarisée.

Le schéma suivant affiche un exemple du pare-feu interne et externe avec zone démilitarisée.

Figure : Exemples de pare-feux et de zone démilitarisée