OneFS 9.3 ve daha yeni Güvenlik ve Yapılandırma Rehberleri, Isilon düğümlerinde USB bağlantı noktalarının devre dışı bırakılmasını ve güvenlik amacıyla bir BIOS veya iDRAC parolasının yapılandırılmasını önerir. Ancak bu değişikliklerin uygulanması, belirli senaryolarda düğüme hizmet vermeyi zorlaştırır. Bu değişiklikler uygulanmadan önce, faydalar ve dezavantajlar dikkatli bir şekilde tartılmalı ve her kümeden sorumlu taraflar, bu değişikliklerin her kümenin kendi özel ortamında gerekli olup olmadığı konusunda bilinçli bir karar vermelidir. Karar verme sürecine yardımcı olmak için burada bazı avantaj ve dezavantajların ana hatlarını çiziyoruz.
Fayda -ları:
- Artırılmış Fiziksel Güvenlik: USB bağlantı noktalarının devre dışı bırakılması, yetkisiz fiziksel depolama aygıtlarının küme ile doğrudan etkileşime girmesini önler ve veri sızıntısı ihtimalini ortadan kaldırır. Güçlü bir BIOS parolası yapılandırmak, yetkisiz kişilerin bu değişikliği geri almasını önler.
- Kimlik Doğrulama Atlama Önlemesi: Düğümdeki USB bağlantı noktaları, düğümü alternatif bir işletim sistemi barındıran harici depolama aygıtından önyüklemek için kullanılabilir. Bu durum, saldırganların kümede kimlik doğrulama önlemlerini atlamasına ve normalde erişemeyecekleri verilere erişmesine veya bu verileri kurcalamasına olanak tanıyabilir. USB bağlantı noktalarının devre dışı bırakılması bunu önler.
- Daha Sıkı Uyumluluk Modu Bağlılığı: OneFS yeniden görüntü oluşturma aygıtından bir düğümü önyüklemek, saldırganların OneFS uyumluluk modu tarafından uygulanan belirli kısıtlamaları atlamasına olanak tanıyarak düğüm uyumluluk modundayken başka türlü çalıştırılamayacak komutları çalıştırabilir. USB bağlantı noktalarının devre dışı bırakılması bunu önler.
Dezavantaj -ları:
- Servis Kolaylığı Komplikasyonları: USB bağlantı noktası, düğümlere yeniden görüntü uygulama ve kaybolan yapılandırma bilgilerini geri yükleme gibi bakım işlemleri için servis personeli tarafından düzenli olarak kullanılır. Ayrıca, uyumluluk modu kümelerinde oluşabilecek bazı sorunlar için servis personelinin, sorunları çözmek üzere bir USB çubuğundan önyükleme yaparak uyumluluk modu kısıtlamalarını atlaması gerekir. USB bağlantı noktaları devre dışıyken bu servis görevlerinin çoğu gerçekleştirilemez.
- Artırılmış Servis Penceresi Süresi: Bir hizmet işlemi, devre dışı bırakılmış USB bağlantı noktalarına sahip bir düğümde USB bağlantı noktası erişimi gerektirirse hizmet görevlisinin, yapılandırılmışsa BIOS parolasını verecek bir kullanıcı temsilcisi bulması, BIOS'ta oturum açması ve USB bağlantı noktası erişimine izin vermek için ayarları değiştirmesi ve hizmet tamamlandıktan sonra bunu yeniden devre dışı bırakması için ek hizmet süresi gerekir. Servis işlemini gerçekleştirecek kişi, servisin ardından USB bağlantı noktalarını yeniden devre dışı bırakmayı unutursa tutarsız yapılandırma riski de ortaya çıkar ve bu durum güvende olma yanılgısına yol açabilir. Buna ek olarak, servis personeli, servis başlatılmadan önce servis verilen düğümün USB bağlantı noktalarını devre dışı bıraktığı konusunda proaktif olarak bilgilendirilmezse, servis personeli, depolama aygıtı arızalı veya bozuk olduğu için düğümün USB depolama aygıtından önyükleme yapmadığını varsayabilir ve bu da algılanan bu sorunu çözmeye çalışırken gereksiz sorun giderme süresinin artmasına neden olabilir.
- Diğer Parola Yönetimi Ek Yükleri: Güçlü bir BIOS parolası yapılandırılmışsa, bu parola izlenmeli, yönetilmeli ve ihtiyaç duyabilecek tüm servis personelinin kullanımına sunmak için önlemler alınmalıdır. Bu, özellikle parolanın kullanıcı tarafından atanan sorumlusunun parolayı sağlamak için müsait olmayabileceği saatler dışında erişim gerekiyorsa bir sorun olabilir.
Sonuç olarak, neredeyse tüm en iyi güvenlik uygulamaları ödünleşimleri içerir ve yalnızca kullanıcı, durumlarının kendi ortamlarında ve kullanım durumlarında uygulanmaya değer olup olmadığına karar verebilir. Kullanıcı, değerlendirmenin ardından avantajların dezavantajlardan daha ağır bastığına karar verirse USB bağlantı noktalarını devre dışı bırakma/yeniden etkinleştirme ve BIOS ve iDRAC parolalarını ayarlama adımları, Dell Destek sitesinden indirilebilen OneFS sürümüne özel OneFS sürümü için OneFS Güvenlik Yapılandırma Kılavuzunda (SCG) bulunabilir. Örneğin, OneFS 9.5 SCG, Dell Technologies Çevrimiçi Desteğe Erişmek veya Mevcut Bir Hesabı Yükseltmek İçin Kaydolma makalesinde bulunabilir.