Recherche dans <book_title>…

Guide de sécurité et de chiffrement NetBackup™

Last Published: 2024-05-14

Product(s): NetBackup (10.4)

NetBackup Access Control (NBAC)

La fonctionnalité NetBackup Access Control (NBAC) intègre NetBackup Product Authentication and Authorization à NetBackup et renforce la sécurité des serveurs principaux, des serveurs de médias et des clients.

Se reporter à Sécurité et chiffrement NetBackup.

Les points importants à propos de NBAC incluent :

L'authentification et l'autorisation sont utilisées conjointement.
NBAC utilise des identités d'authentification à partir d'une source approuvée pour identifier de manière fiable les parties impliquées. Des décisions d'accès peuvent alors être prises pour la manipulation de NetBackup en fonction de ces identités. Notez que les services de sécurité de NetBackup sont maintenant intégrés.
NetBackup Product Authentication and Authorization se compose du courtier racine, du courtier d'authentification, du moteur d'autorisation et de l'interface utilisateur graphique.
Oracle, Oracle Archiver, DB2, Informix, Sybase, SQL Server, SAP et EV Migrator ne sont pas pris en charge avec NBAC.
NBAC n'est pas pris en charge sur les appliances.
La sauvegarde de catalogue NetBackup est prise en charge avec NBAC.

Le tableau suivant décrit les composants de NetBackup qui sont utilisés dans la sécurité.

Tableau : Composants de NetBackup utilisés dans la sécurité

Composant	Description
Courtier racine	Le serveur principal NetBackup est le courtier racine d'une installation de data center. Il n'existe aucune disposition prévoyant l'utilisation d'un autre courtier racine. La recommandation est de permettre la confiance entre les courtiers racine. Le courtier racine authentifie le courtier d'authentification. Le courtier racine n'authentifie pas les clients.
Courtier d'authentification	Authentifie le serveur principal, le serveur de médias, l'interface utilisateur graphique et les clients en établissant les informations d'authentification avec chacun d'entre eux. Le courtier d'authentification authentifie également un utilisateur lorsqu'il actionne une invite de commande. Une installation de data center peut comporter plusieurs courtiers d'authentification. Le courtier d'authentification peut parfois être associé au courtier racine.
Moteur d'autorisation	Communique avec le serveur principal et le serveur de médias pour déterminer les autorisations d'un utilisateur authentifié. Ces autorisations déterminent la fonctionnalité disponible pour un serveur donné. Le moteur d'autorisation enregistre également les groupes d'utilisateurs et les autorisations. Un seul moteur d'autorisation est nécessaire dans une installation de data center. Le moteur d'autorisation communique également sur le WAN pour autoriser d'autres serveurs de médias dans un environnement de data center multiple.
interface utilisateur graphique	Spécifie une console d'administration à distance qui reçoit les informations d'authentification des courtiers d'authentification. L'interface utilisateur graphique peut ensuite utiliser les informations d'authentification pour accéder à la fonctionnalité sur les clients, les serveurs de médias et les serveurs principaux.
Serveur principal	Communique avec le courtier racine, le courtier d'authentification, l'interface utilisateur graphique, le moteur d'autorisation, le serveur de médias et les clients.
Administrateur NetBackup	Désigne un utilisateur qui a reçu des autorisations d'administrateur pour accéder et gérer la fonctionnalité NetBackup depuis le data center.
Serveur de médias	Communique avec le serveur principal, le courtier racine, le courtier d'authentification, le moteur d'autorisation, et les clients 1 à 6. Le serveur de médias enregistre des données non chiffrées sur bande pour le client 5 et des données chiffrées sur bande pour le client 6.
Clients	Spécifie que les clients 1 à 4 sont les types standard de NetBackup. Le client 5 est un type de serveur Web situé dans la zone démilitarisée. Le client 6 est un type de client chiffré côté client également situé dans la zone démilitarisée. Tous les types de clients sont gérés par le serveur principal et leurs données sont sauvegardées sur bande via le serveur de médias. Les clients 5 et 6 communiquent avec NetBackup uniquement à l'aide de ports NetBackup via le pare-feu interne. Le client 5 reçoit également des connexions Internet en utilisant seulement des ports réservés au HTTP via le pare-feu externe.
Bandes	La sécurité des bandes dans NetBackup peut être augmentée en ajoutant ce qui suit : Chiffrement côté client Chiffrement des données au repos Les bandes de données chiffrées et non chiffrées sont produites dans le data center. Les données des bandes non chiffrées sont enregistrées pour les clients 1 à 5 et stockées sur site dans le data center. Les bandes chiffrées sont écrites pour le client 6 et sont transportées hors site dans un centre de sauvegarde pour reprise après incident.
Chiffrement	Spécifie que le chiffrement de NetBackup peut augmenter la sécurité en fournissant ce qui suit : Une meilleure confidentialité des données La perte de bande physique n'est pas aussi critique si toutes les données sont effectivement chiffrées La meilleure stratégie de contrôle de risque Pour plus d'informations sur le chiffrement : Se reporter à Questions importantes sur la sécurité du chiffrement.
Sécurité des données transmises par câble	Inclut la communication entre les serveurs principaux, les serveurs de médias et les clients, et la communication à l'aide de ports via des pare-feux et des WAN. Pour plus d'informations sur les ports, consultez le Guide de référence des ports réseau NetBackup : La part de données transmises par câble de NetBackup permet d'accroître la sécurité comme suit : NetBackup Access Control (NBAC) Les daemons classiques de NetBackup utilisent l'authentification lorsque NBAC est activé. Les daemons de CORBA utilisent des canaux entièrement chiffrés prenant en charge la confidentialité et garantissant l'intégrité des données. Pare-feux Désactivation des ports inutilisés dans NetBackup et dans d'autres produits : Les ports dédiés PBX et VNETD permettent d'accroitre la sécurité NetBackup. Ensemble de ports centraux à surveiller et ouvrir via des pare-feux. Remarque : La communication entre NetBackup 8.1 et les hôtes de version ultérieure est sécurisée. Se reporter à Communication sécurisée dans NetBackup.
Sécurité du pare-feu	Spécifie que la prise en charge du pare-feu de NetBackup peut aider à augmenter la sécurité. Voici des points importants concernant la sécurité du pare-feu : Il est recommandé d'utiliser la protection à l'aide du pare-feu et de la détection d'intrusion pour NetBackup. Du point de vue de NetBackup, la protection à l'aide d'un pare-feu fait référence à la sécurité générale du réseau. Elle se concentre sur la réduction des verrous potentiels qu'un pirate peut tenter d'obtenir. Il peut être utile de vérifier un blocage éventuel des ports NFS, telnet, FTP et de messagerie. Ces éléments ne sont pas strictement nécessaires pour l'utilisation de NetBackup et peuvent constituer une "porte ouverte" aux accès indésirables. Sécurisez le serveur principal autant que possible Les pare-feux peuvent inclure des pare-feux internes et externes, comme suit : Le pare-feu interne permet à NetBackup d'accéder au client de serveur Web n° 5 et au client chiffré n° 6 dans la zone démilitarisée. Vous ne pouvez activer que les ports NetBackup sélectionnés et les ports de certaines applications pour transmettre des données par le biais du pare-feu interne depuis et vers la zone démilitarisée. Les ports HTTP sont ouverts dans le pare-feu externe et ne sont pas autorisés à traverser le pare-feu interne. Le pare-feu externe permet aux utilisateurs externes d'accéder au client de serveur Web 5 situé dans la zone démilitarisée depuis Internet par le biais des ports HTTP. Les ports NetBackup sont ouverts pour que le client de serveur Web 5 puisse communiquer via le pare-feu interne avec NetBackup. Les ports NetBackup ne peuvent pas passer par le pare-feu externe pour se connecter à Internet. Seuls les ports HTTP du client de serveur Web 5 peuvent passer par le pare-feu externe pour se connecter à Internet.
Zone démilitarisée (DMZ)	Spécifie que la zone démilitarisée (DMZ) augmente la sécurité comme suit : la zone démilitarisée est une zone dans laquelle le nombre de ports qui sont permis pour les hôtes spécifiques est fortement commandé la zone démilitarisée se trouve entre les pare-feu externe et interne. Dans cet exemple, la zone commune est le serveur Web. Le pare-feu externe bloque tous les ports sauf les ports Web HTTP (standard) et HTTPS (sécurisés). Le pare-feu interne bloque tous les ports sauf les ports NetBackup et ports de base de données. la zone démilitarisée bloque. la zone démilitarisée bloque l'accès Internet externe vers le serveur NetBackup interne et les informations de la base de données. La zone démilitarisée fournit une zone de fonctionnement "sûre" pour le client de serveur Web 5 et pour le client chiffré 6 entre les pare-feux interne et externe. Le client de serveur Web 5 de la zone démilitarisée peut échanger des données avec NetBackup via le pare-feu interne en utilisant les ports NetBackup affectés. Le client de serveur Web 5 peut également communiquer sur Internet par le biais du pare-feu externe en utilisant uniquement des ports HTTP. Figure : Exemples de pare-feux et de zone démilitarisée affiche un exemple de pare-feux interne et externe avec la zone démilitarisée.

Le schéma suivant affiche un exemple du pare-feu interne et externe avec zone démilitarisée.

Figure : Exemples de pare-feux et de zone démilitarisée