Veritas NetBackup™ Appliance 安全指南
关于 NetBackup Appliance 操作系统安全
NetBackup Appliance 使用 Veritas 操作系统 (VxOS)，这是一个自定义的 Linux 操作系统。每个 NetBackup Appliance 软件版本均包含最新版本的 VxOS 和 NetBackup 软件。除了常规的安全修补程序和更新以外，VxOS 还包含以下安全功能和增强功能：
更新和调整过的基于 Red Hat Enterprise Linux (RHEL) 的操作系统平台，该平台可以在兼容和可靠的硬件平台上打包和安装所有必要的软件组件。
基于国家标准与技术研究院 (NIST) 和 RHEL 制定的安全标准加固 VxOS。Symantec Data Center Security (SDCS) 增强了安全性。
Symantec Data Center Security: Server Advanced (SDCS) 入侵防护与入侵检测软件，该软件通过隔离并沙盒化每个进程和所有系统文件加固了 VxOS 并保护备份数据。
使用行业认可的漏洞扫描程序对设备进行常规扫描。发现的所有漏洞均会在定期发布的设备软件中使用紧急工程二进制文件 (EEB) 进行修补。如果在版本计划之间的空档期确定了安全威胁，请与 Veritas 支持联系获取已知的解决方案。
删除或禁用了未使用的服务帐户。
VxOS 包含已编辑的内核参数以保护设备免受诸如拒绝服务 (DoS) 等攻击。例如，sysctl 设置
net.ipv4.tcp_syncookies已添加到/etc/sysctl.conf配置文件以实现 TCP SYN Cookie。禁用了不必要的 runlevel 服务。VxOS 使用 runlevels 确定应运行的服务，并允许在系统上执行特定工作。
禁用了 FTP、telnet 和 rlogin (rsh)。用法限于 ssh、scp 和 sftp。
注意:
从 NetBackup Appliance 版本 3.1.2 开始，已从 VxOS 中删除 telnet 软件包，以便在 NetBackup Appliance 上启用了 STIG 功能时符合 STIG 规范。
APPSOL-80036 and APPSOL89038, Jay Vasa - Sangria Teamtelnet协议不安全或未加密。使用未加密的传输介质可能会允许未经授权的用户窃取凭据。ssh软件包提供加密会话和更高的安全性，且包含在 VxOS 中。通过将
AllowTcpForwarding no和X11Forwarding no添加到/etc/ssh/sshd_config，从而禁用了对 SSH 的 TCP 转发。VxOS 中禁用了 IP 转发并且不允许在 TCP/IP 堆栈上路由。此功能可以防止某个子网上的主机将设备当作路由器使用以访问另一个子网上的主机。
NetBackup Appliance 不允许网络接口上的 IP 别名（配置多个 IP 地址）。此功能可以防止对同一 NIC 端口上多个网段的访问。
UMASK 值确定了新创建文件的文件权限。它指定了不应默认提供给新创建文件的权限。虽然大多数 UNIX 系统中 UMASK 的默认值是 022，但 NetBackup Appliance 的 UMASK 设置为 077。
搜索并修复了 VxOS 中找到的所有全局可写入文件的权限。
搜索并修复了 VxOS 中找到的所有孤立的和不属于任何人的文件和目录的权限。
从软件版本 3.1 开始，SMBv1 协议已禁用并替换为 SMBv2 协议。SMBv1 协议易受勒索软件（如
WannaCry、Petya）攻击，不再视为安全。SMBv2 如今是 NetBackup Appliance 的最低支持协议。