Recherche dans <book_title>…

Guide de sécurité et de chiffrement NetBackup™

Last Published: 2024-05-14

Product(s): NetBackup & Alta Data Protection (10.4)

Conditions préalables pour un hôte d'analyse

L'hôte d'analyse est un ordinateur hôte sur lequel l'outil de détection de malwares requis est configuré. Une fois l'outil intégré à NetBackup, NetBackup lance l'analyse sur l'hôte d'analyse.

Assurez-vous que les conditions préalables suivantes sont respectées :

Configuration minimale requise pour l'hôte d'analyse : processeur 8 cœurs et 32 Go de RAM.
L'outil de détection de malwares doit être installé et configuré.
Pour connaître les systèmes d'exploitation pris en charge par l'hôte d'analyse, consultez la liste de compatibilité logicielle.
Un partage de type client NFS ou SMB doit être configuré sur l'hôte d'analyse.
La signature NetBackup n'est pas requise sur l'hôte d'analyse. Les systèmes existants sur lesquels le client ou le serveur de médias NetBackup est installé peuvent également être utilisés comme hôtes d'analyse.
L'hôte d'analyse doit être accessible à partir du serveur de médias via SSH.
Remarque :
Une connexion SSH doit être établie entre le serveur de médias et l'hôte d'analyse .
L'outil antimalware extrait les archives à un emplacement temporaire à des fins d'analyse.
Sur un hôte d'analyse Linux, les archives sont extraites vers /tmp.
Sur un hôte d'analyse Windows, elles sont extraites vers %TEMP%.
Pour l'analyse d'archives, il est recommandé de prévoir 10 Go d'espace disque libre sur l'hôte d'analyse.
Remarque :
tous les autres outils d'analyse antimalware installés sur l'hôte d'analyse pour lesquels la protection lors de l'accès/en temps réel est activée peuvent interférer avec l'analyse de sauvegarde. Il est donc conseillé de désactiver les montages NFS/SMB de l'hôte d'analyse ou de les ajouter à la liste d'exclusion de l'outil d'analyse.
Sur un hôte d'analyse Windows, vous devez par exemple désactiver l'option de Protection en temps réel de Windows Defender lors d'une analyse antimalware.
Activez la prise en charge des caractères multioctets pour que l'hôte d'analyse Windows prenne en charge les caractères non latins.
Pour plus d'informations sur l'activation de la prise en charge des caractères multioctets dans Microsoft Windows Server 2019, consultez la page Retrieve Data in UTF-8 on Windows (Récupérer des données au format UTF-8 sous Windows).
Selon la plateforme, procédez comme suit :
(Windows)
- OpenSSH doit être configuré sur l'hôte d'analyse Windows. Créez la règle de pare-feu pour OpenSSH de sorte que l'hôte d'analyse soit accessible à partir du serveur de médias.
Remarques :
- Pour Windows 2016, obtenez OpenSSH depuis le référentiel GitHub. Pour Windows 2019, activez la fonction serveur d'OpenSSH. Pour plus d'informations, consultez la documentation Microsoft.
- Microsoft Visual C/C++ Redistributable est une dépendance supplémentaire si le serveur de médias est mis à jour vers la version 10.1.1 ou une version ultérieure.
  La DLL de bibliothèque d'exécution Visual C/C++ est requise pour exécuter l'utilitaire nbmalwareutil sur l'hôte d'analyse Windows. Vous pouvez obtenir la DLL d'exécution à partir de la page Derniers téléchargements Microsoft Visual C++ Redistributable pris en charge.
(Linux)
- Pour l'hôte d'analyse Linux, le shell de connexion par défaut doit être bash.
- Pour exécuter l'utilitaire de détection de malwares NetBackup sur l'hôte d'analyse, installez la bibliothèque libnsl.so.1 sur ce dernier. Si la dernière version du fichier de bibliothèque libnsl est présente (par exemple, /usr/lib64/libnsl.so.2), créez un fichier de lien symbolique /usr/lib64/libnsl.so.1 pointant vers le fichier /usr/lib64/libnsl.so.2.
  Exemple de création d'un fichier de lien symbolique :
  # cd /usr/lib64 # ln -sf libnsl.so.2 libnsl.so.1
  Remarque :
  Pour obtenir de l'aide sur l'installation du fichier de bibliothèque libnsl*, contactez l'administrateur du système d'exploitation.
- Pour un utilisateur non administrateur sous Windows : l'utilisateur non administrateur de l'hôte d'analyse Windows doit être ajouté au groupe d'administrateurs.
- Pour un utilisateur non racine sous Linux :
  - Autorisez la connexion ssh en tant qu'utilisateur non racine.
    Par exemple, ajoutez l'entrée Allow Users root scanuser au fichier /etc/ssh/sshd_config.
    Remarque :
    L'utilisateur d'analayse est un utilisateur non racine créé dans le système.
  - Accordez à l'utilisateur les autorisations de montage et de démontage. Ajoutez l'entrée d'autorisation utilisateur dans le fichier sodoers.
    Par exemple, dans le fichier /etc/sudoers, ajoutez l'un des éléments suivants :
    scanuser ALL=(ALL) NOPASSWD:ALL
    scanuser ALL=(ALL) NOPASSWD:/bin/umount, /bin/mount
  - Configurez l'outil de détection de malwares en tant qu'utilisateur non racine sur l'hôte d'analyse.
    Remarque :
    si l'analyse est effectuée par un utilisateur racine, modifiez l'autorisation du dossier /tmp/malware pour accorder des autorisations d'écriture à l'utilisateur non racine.
    Remarque :
    Par exemple : chmod a+rwx /tmp/malware

Conditions préalables pour la configuration de l'hôte d'analyse à l'aide d'Ansible

Configuration minimale requise pour l'hôte d'analyse : processeur 8 cœurs et 32 Go de RAM.
Pour connaître les systèmes d'exploitation pris en charge par l'hôte d'analyse, consultez la liste de compatibilité logicielle.
La signature NetBackup n'est pas requise sur l'hôte d'analyse. Les systèmes existants sur lesquels le client ou le serveur de médias NetBackup est installé peuvent également être utilisés comme hôtes d'analyse.
(Pour Linux) L'hôte d'analyse doit être accessible à partir du serveur de médias via SSH.
Remarque :
Une connexion SSH doit être établie entre le serveur de médias et l'hôte d'analyse.

Se reporter à Configuration de l'hôte d'analyse à l'aide d'Ansible.

Conditions préalables pour l'hôte d'analyse Windows pour le type de partage NFS

En cas de modification du mappage d'ID, réexécutez la validation des informations d'authentification de l'hôte d'analyse à partir de l'interface utilisateur Web.

Activez le mappage du fichier passwd local à l'aide de PowerShell :

C:\Users\Administrator> Set-NfsMappingStore -EnableUNMLookup  $True  -UNMServer localhost
C:\Users\Administrator> nfsadmin mapping
 
The following are the settings on localhost
 
Mapping Server Lookup       : Enabled
Mapping Server              : localhost
AD Lookup                   : Disabled
AD Domain                   :

L'entrée doit se présenter comme suit dans les fichiers respectifs (format de type de fichier) :
Remarque :
assurez-vous que les éléments scanuser et scangroup sont créés. scanuser doit faire partie de scangroup et du groupe d'administrateurs.
Dans le fichier C:\Windows\System32\drivers\etc\passwd :
```
scanuser:x:1001:1001:Description:C:\Users\scanuser
```
Dans le fichier C:\Windows\System32\drivers\etc\group :
```
scangroup:x:1001:1001
```
Redémarrez le client nfsadmin comme suit :
nfsadmin client stop
nfsadmin client start

Vérifiez le mappage d'ID (UID/GID) pour l'utilisateur en exécutant la commande suivante à l'aide de PowerShell :

Get-NfsMappedIdentity -AccountName scanuser -AccountType User

UserIdentifier      : 1001
GroupIdentifier     : 1001
UserName            : scanuser
PrimaryGroup        :
SupplementaryGroups :

Remarque :

Pour l'analyse des politiques VMware et des charges de travail cloud, le mappage d'UID et de GID doit être défini sur 0.

(Si l'hôte d'analyse est créé dans Azure ou AWS à partir d'images de marketplace) Activez l'accès racine pour l'hôte d'analyse comme suit :

Modifiez le mot de passe racine à l'aide de la commande suivante :
- sudo -i passwd
Modifiez le fichier /etc/ssh/sshd_config comme suit pour autoriser la connexion racine en tant qu'utilisateur racine :
```
"PermitRootLogin yes" 
"PasswordAuthentication yes"
```
Redémarrez le service à l'aide de la commande suivante :
- service sshd reload
Modifiez le fichier /etc/cloud/cloud.cfg comme suit pour activer l'utilisateur racine :
disable_root 0