Guide de sécurité et de chiffrement NetBackup™

Configuration de la détection d'anomalies basée sur le moteur de risque

Le moteur de risque NetBackup détecte certaines anomalies système de façon proactive et envoie des alertes correspondantes. Il vous aide à prendre des actions correctives avant d'être confronté à une menace de sécurité dans votre environnement.

Vous pouvez configurer les options suivantes que le moteur de risque utilise pour détecter les anomalies pour les opérations données :

Utilisez cette option pour détecter lorsque des expirations d'images se produisent de manière inhabituelle ou suspecte.

Par défaut, le moteur de risque génère une anomalie système lorsqu'il détecte une tentative inhabituelle ou suspecte d'expiration d'images et autorise la poursuite de l'opération.

Cependant, pour plus de sécurité, vous pouvez configurer l'autorisation multi-personnes pour ce type de tentatives d'expiration d'images, afin de faire approuver l'opération par un approbateur MPA.

Remarques importantes sur l'option Détecter les expirations d'image suspectes

Sélectionnez Modifier et sélectionnez l'option Générer un ticket d'autorisation multi-personnes en cas de suppression suspecte d'images.

Se reporter à À propos de l'autorisation de plusieurs personnes.

Se reporter à Rôles et autorisations RBAC pour l'autorisation de plusieurs personnes.

Utilisez cette option pour protéger les opérations critiques telles que la modification des paramètres de sécurité globaux et la création de clé d'API. Lorsque vous sélectionnez cette option, vous devez vous réauthentifier en entrant le mot de passe à usage unique que vous voyez dans l'application d'authentification sur votre périphérique intelligent avant d'exécuter les opérations critiques spécifiées.

Vérifiez que vous avez configuré l'authentification multifacteur pour votre compte utilisateur. Si l'authentification multifacteur n'est pas configurée, vous n'êtes pas invité à vous réauthentifier.

Se reporter à Configuration de l'authentification multifacteur pour votre compte utilisateur.

Utilisez cette option pour détecter un possible détournement de session utilisateur par une source malveillante.

Le moteur de risque détecte si le même jeton de session utilisateur est utilisé par une autre adresse IP et envoie un maximum de 10 alertes par jour.

Sélectionnez Modifier et cochez la case pour arrêter la session utilisateur lorsque le moteur de risque détecte un détournement de session potentiel.

Utilisez cette option pour détecter lorsqu'un utilisateur tente de se connecter à l'interface utilisateur Web NetBackup d'une manière inhabituelle. NetBackup analyse les modèles de connexion de l'utilisateur. Il détermine des écarts par rapport à un modèle d'utilisateur typique.

Une alerte de notification est générée lorsqu'une connexion utilisateur inhabituelle est détectée. Pour plus de sécurité, vous pouvez configurer l'autorisation multi-personnes pour ce type de tentatives de connexions inhabituelles, afin de faire approuver l'opération par un approbateur MPA.

Si une tentative de connexion inhabituelle est détectée sur un hôte NetBackup antérieur à la version 11.0, la demande est rejetée. Effectuez l'opération sur un hôte NetBackup 11.0.

Si une demande de connexion inhabituelle est détectée dans la console d'administration NetBackup, la demande est rejetée. Exécutez l'opération à l'aide de l'interface utilisateur Web.

Si aucun des utilisateurs ne peut se connecter et est mis en attente en raison d'un modèle de connexion inhabituelle, l'administrateur NetBackup peut désactiver la détection de connexion inhabituelle pour permettre aux utilisateurs de se connecter à l'interface utilisateur Web NetBackup à l'aide de la commande suivante :

NBU_INSTALL_PATH/netbackup/bin/admincmd/nbseccmd -disableLoginAnomalyDetection

Les connexions utilisateur basées sur les types d'authentification suivants ne prennent pas en charge la détection d'anomalies de connexion : SAML, carte à puce et clés d'API.

Par défaut, une anomalie système est générée lorsque le moteur de risque détecte une suppression ou une mise à jour inhabituelle d'une politique. Une alerte est générée et l'opération se poursuit. Cependant, pour plus de sécurité, vous pouvez configurer l'autorisation multi-personnes pour ce type de tentatives de mise à jour ou de suppression de politiques, afin de faire approuver l'opération par un approbateur MPA.

Si l'option MPA est activée pour l'opération de politique au niveau global, cette fonction est désactivée.

2 alertes sont générées pour les mises à jour inhabituelles d'une politique pendant les prochaines 48 heures. Après la deuxième alerte, aucune alerte n'est générée pendant les 48 heures qui suivent, même si la politique est modifiée.

Si l'autorisation multi-personnes est activée, un ticket est généré suite à la modification d'une politique.

L'approbation de deux tickets consécutifs pour la même politique ne génère pas de nouveaux tickets pendant les 48 prochaines heures pour la même politique.

Pour examiner les tickets d'autorisation multi-personnes, assurez-vous qu'un ou plusieurs approbateurs d'autorisation multi-personnes sont disponibles dans votre environnement.