Oracle® DIVAnet

Sicherheitshandbuch

Release 2.0

E74313-01

März 2016

Oracle DIVAnet - Sicherheitshandbuch, Release 2.0

E74313-01

Copyright © 2016, Oracle und/oder verbundene Unternehmen. Alle Rechte vorbehalten.

Primärer Autor:  Lou Bonaventura

Diese Software und zugehörige Dokumentation werden im Rahmen eines Lizenzvertrages zur Verfügung gestellt, der Einschränkungen hinsichtlich Nutzung und Offenlegung enthält und durch Gesetze zum Schutz geistigen Eigentums geschützt ist. Sofern nicht ausdrücklich in Ihrem Lizenzvertrag vereinbart oder gesetzlich geregelt, darf diese Software weder ganz noch teilweise in irgendeiner Form oder durch irgendein Mittel zu irgendeinem Zweck kopiert, reproduziert, übersetzt, gesendet, verändert, lizenziert, übertragen, verteilt, ausgestellt, ausgeführt, veröffentlicht oder angezeigt werden. Reverse Engineering, Disassemblierung oder Dekompilierung der Software ist verboten, es sei denn, dies ist erforderlich, um die gesetzlich vorgesehene Interoperabilität mit anderer Software zu ermöglichen.

Die hier angegebenen Informationen können jederzeit und ohne vorherige Ankündigung geändert werden. Wir übernehmen keine Gewähr für deren Richtigkeit. Sollten Sie Fehler oder Unstimmigkeiten finden, bitten wir Sie, uns diese schriftlich mitzuteilen.

Wird diese Software oder zugehörige Dokumentation an die Regierung der Vereinigten Staaten von Amerika bzw. einen Lizenznehmer im Auftrag der Regierung der Vereinigten Staaten von Amerika geliefert, dann gilt Folgendes:

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government.

Diese Software oder Hardware ist für die allgemeine Anwendung in verschiedenen Informationsmanagementanwendungen konzipiert. Sie ist nicht für den Einsatz in potenziell gefährlichen Anwendungen bzw. Anwendungen mit einem potenziellen Risiko von Personenschäden geeignet. Falls die Software oder Hardware für solche Zwecke verwendet wird, verpflichtet sich der Lizenznehmer, sämtliche erforderlichen Maßnahmen wie Fail Safe, Backups und Redundancy zu ergreifen, um den sicheren Einsatz dieser Software oder Hardware zu gewährleisten. Oracle Corporation und ihre verbundenen Unternehmen übernehmen keinerlei Haftung für Schäden, die beim Einsatz dieser Software oder Hardware in gefährlichen Anwendungen entstehen.

Oracle und Java sind eingetragene Marken von Oracle und/oder ihren verbundenen Unternehmen. Andere Namen und Bezeichnungen können Marken ihrer jeweiligen Inhaber sein.

Intel und Intel Xeon sind Marken oder eingetragene Marken der Intel Corporation. Intel und Intel Xeon sind Marken oder eingetragene Marken der Intel Corporation. Alle SPARC-Marken werden in Lizenz verwendet und sind Marken oder eingetragene Marken der SPARC International, Inc. UNIX ist eine eingetragene Marke von The Open Group.

Diese Software oder Hardware und die Dokumentation können Zugriffsmöglichkeiten auf oder Informationen über Inhalte, Produkte und Serviceleistungen von Dritten enthalten. Sofern nicht ausdrücklich in einem Vertrag mit Oracle vereinbart, übernehmen die Oracle Corporation und ihre verbundenen Unternehmen keine Verantwortung für Inhalte, Produkte und Serviceleistungen von Dritten und lehnen ausdrücklich jegliche Art von Gewährleistung diesbezüglich ab. Sofern nicht ausdrücklich in einem Vertrag mit Oracle vereinbart, übernehmen die Oracle Corporation und ihre verbundenen Unternehmen keine Verantwortung für Verluste, Kosten oder Schäden, die aufgrund des Zugriffs oder der Verwendung von Inhalten, Produkten und Serviceleistungen von Dritten entstehen.

Inhalt

Titel und Copyrightinformationen

Vorwort

- Zielgruppe

- Barrierefreie Dokumentation

1 Überblick

- Produktüberblick

- DIVAnet ClientAdapter Service

- DIVAnet ManagerAdapter Service

- DIVAnet DbSync Service

- DIVAnet-Benutzeroberfläche (DIVAnetUI)

- Allgemeine Sicherheitsgrundsätze

- Software muss immer auf dem neuesten Stand sein

- Netzwerkzugriff muss auf kritische Services begrenzt sein

- Wenn möglich, muss das Prinzip der niedrigsten Berechtigungsstufe verwendet werden

- Überwachen der Systemaktivität

- Sicherheitsinformationen müssen immer auf dem neuesten Stand sein

2 Sichere Installation

- Ihre Umgebung

- Welche Ressourcen müssen geschützt werden?

- DIVAnet-Server

- Datenbank

- DIVArchive-Quellen, -Ziele und Archivmedien

- Konfigurationsdateien und Einstellungen

- Vor wem müssen die Ressourcen geschützt werden?

- Was geschieht, wenn der Schutz bei strategischen Ressourcen versagt?

- Empfohlene Deployment-Technologien

- DIVAnet-Installation

- Verbinden mit DIVArchive

- Schützen von Datenträgersystemen

- Konfiguration nach Abschluss der Installation

3 Sicherheitsfunktionen

- Das Sicherheitsmodell

- Authentifizierung

- Zugriffskontrolle

- Konfigurieren von SSL/TLS

- Privater Keystore

- Öffentlicher Keystore

A Prüfliste für sicheres Deployment

Vorwort

Das Oracle DIVAnet - Sicherheitshandbuch beinhaltet Informationen zum Oracle DIVAnet-Produkt und erläutert die allgemeinen Prinzipien der Anwendungssicherheit.

Zielgruppe

Dieses Handbuch richtet sich an Personen, die an der Verwendung der Sicherheitsfunktionen und der sicheren Installation und Konfiguration von DIVAnet beteiligt sind.

Barrierefreie Dokumentation

Informationen über Eingabehilfen für die Dokumentation finden Sie auf der Oracle Accessibility Program-Webseite unter http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc.

Zugang zum Oracle-Support

Oracle-Kunden mit einem gültigen Oracle-Supportvertrag haben Zugriff auf elektronischem Support über My Oracle Support. Weitere Informationen erhalten Sie unter http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info oder unter http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs, falls Sie eine Hörbehinderung haben.

1 Überblick

Dieses Kapitel enthält einen Überblick zum Produkt Oracle DIVAnet 2.0 und Erläuterungen allgemeiner Grundsätze sicherer Anwendungen.

Produktüberblick

Oracle DIVAnet bietet einen einheitlichen Überblick über archivierte Inhalte auf mehreren, verteilten Oracle DIVArchive-Systemen. Oracle DIVArchive ist ein skalierbares Content Storage Management-System, das die Archivierung in Bandbibliotheken und Datenträgersystemen unterstützt. DIVAnet ermöglicht ein einfaches Verschieben von Inhalten zwischen DIVArchive-Sites und von Quell- und Zielservern und -datenträgern von Kunden. Es führt Aufgaben in den Bereichen Disaster Recovery, Verteilung von Inhalten, Zugriffskontrolle, Performance und Inhaltsverfügbarkeit aus.

DIVAnet besteht aus den folgenden Hauptkomponenten:

DIVAnet ClientAdapter Service

Anwendungsclients, die die DIVArchive-API oder die DIVAnet-GUI verwenden möchten, bauen eine Verbindung zum DIVAnet ClientAdapter Service auf. Dieser DIVAnet-Service akzeptiert Web- und Socket-Verbindungen von Anwendungen und verarbeitet die Anforderungen. Ein ClientAdapter wird auf jeder Site konfiguriert, auf der Anwendungen ausgeführt werden, die sich lokal auf der Site mit DIVArchive- und DIVAnet-Installationen befinden.

DIVAnet ManagerAdapter Service

Der DIVAnet ManagerAdapter Service dient als Brücke zwischen DIVAnet und Oracle DIVArchive Manager. Er muss konfiguriert werden, um anderen DIVAnet-Systemen Remote-Zugriff zu ermöglichen.

DIVAnet DbSync Service

Der DIVAnet DbSync Service ist dafür zuständig, Assetinformationen aus mehreren DIVArchive-Sites zu synchronisieren und die Informationen in der DIVAnet-Datenbank zu speichern. DbSync führt eine Remote-Kommunikation mit ManagerAdapter-Services auf mehreren Sites durch, um Informationen zu archivierten Objekten zu synchronisieren. DbSync wird in der Regel zusammen mit dem ClientAdapter bereitgestellt. Sowohl der DbSync-Service als auch der ClientAdapter benötigen Direktzugriff auf die DIVAnet-Datenbank.

DIVAnet-Benutzeroberfläche (DIVAnetUI)

DIVAnetUI ist eine GUI-Anwendung, mit der Benutzer DIVAnet-Anforderungen überwachen sowie DIVAnet-Assets (archivierte DIVA-Objekte) auf mehreren DIVArchive-Sites anzeigen, kopieren und löschen können. Alle Anforderungen auf DIVAnet-Ebene können überwacht werden, unabhängig davon, ob sie über die API oder über die UI selbst ausgegeben wurden. Sie können auch Assetinformationen für alle konfigurierten DIVArchive-Sites anzeigen, unabhängig davon, ob das Asset über DIVAnet archiviert wurde. DIVAnetUI bietet flexible Möglichkeiten zur Abfrage von sowohl Anforderungs- als auch Assetinformationen.

Allgemeine Sicherheitsgrundsätze

In den folgenden Abschnitten werden die Grundsätze beschrieben, die für eine sichere Verwendung von Anwendungen unerlässlich sind.

Software muss immer auf dem neuesten Stand sein

Die DIVAnet-Version, die Sie ausführen, muss immer auf dem neuesten Stand sein. Sie können die aktuellen Versionen der Software unter Oracle Software Delivery Cloud herunterladen:

https://edelivery.oracle.com/

Netzwerkzugriff muss auf kritische Services begrenzt sein

Standardmäßig verwendet DIVAnet die folgenden TCP/IP-Ports:

- tcp/9801 ist der Standard-WebService-Port, der von DIVAnet ClientAdapter verwendet wird

- tcp/7101 ist der Standard-API-Socket-Port, der von DIVAnet ClientAdapter verwendet wird (Sie können andere Ports konfigurieren)

- tcp/9800 ist der Standard-WebService-Port, der von DIVAnet ManagerAdapter verwendet wird

Hinweis:
Diese Ports müssen nicht alle für einen externen Zugriff zugänglich gemacht werden und basieren auf Konfiguration und Verwendung.

Wenn möglich, muss das Prinzip der niedrigsten Berechtigungsstufe verwendet werden

DIVAnet-Services sollten nicht als admin oder SuperUser ausgeführt werden. Führen Sie die Services als ein anderer Betriebssystembenutzer (als der Administratorbenutzer der Anwendung) aus, um die Gesamtsicherheit des Systems zu erhöhen. Firewalls müssen den Portzugriff weitestgehend einschränken. DIVAnet umfasst Funktionen zur Zugriffskontrolle (kurz in Zugriffskontrolle erläutert), mit denen Benutzer und Systeme auf die jeweils niedrigstmögliche Berechtigungsstufe eingeschränkt werden.

Überwachen der Systemaktivität

Sie müssen die Systemaktivität überwachen, um festzustellen, wie gut DIVAnet arbeitet und ob ungewöhnliche Aktivitäten protokolliert werden. Prüfen Sie die Protokolldateien im Ordner $DIVANET_HOME\Program\log\.

Sicherheitsinformationen müssen immer auf dem neuesten Stand sein

Unter folgender Adresse haben Sie Zugriff auf mehrere Quellen mit Sicherheitsinformationen und Alerts für eine Vielzahl an Softwareprodukten:

http://www.us-cert.gov

Sie bleiben hinsichtlich der Sicherheit vor allem dann auf dem neuesten Stand, wenn Sie das neueste Release der DIVAnet-Software ausführen.

2 Sichere Installation

In diesem Kapitel wird der Planungsprozess für eine sichere Installation beschrieben. Außerdem werden mehrere empfohlene Deployment-Topologien für die Systeme beschrieben.

Ihre Umgebung

Zum besseren Verständnis der Sicherheitsanforderungen müssen die folgenden Fragen gestellt werden:

Welche Ressourcen müssen geschützt werden?

In der Production-Umgebung können zahlreiche Ressourcen geschützt werden. Berücksichtigen Sie bei der Bestimmung der Sicherheitsstufe den zu sichernden Ressourcentyp.

Bei der Verwendung von DIVAnet müssen folgende Ressourcen geschützt werden:

DIVAnet-Server

DIVAnet wird auf einem Server installiert, der mit mindestens einem Datenträger (entweder einem lokalen oder einem direkt mit dem DIVAnet-System verbundenen Remote-Datenträger) verknüpft ist. Ein unabhängiger Zugriff auf diese Datenträger (nicht über DIVAnet) stellt ein Sicherheitsrisiko dar. Diese Form des externen Zugriffs kann von einem Rogue-System stammen, das von diesen Datenträgern liest oder darauf schreibt, oder von einem internen System, das unbeabsichtigt Zugriff auf diese Datenträgergeräte gewährt.

Datenbank

Zum Aufbau von DIVAnet-Systemen werden Datenbanksoftware und Datenressourcen verwendet. Die Daten werden in der Regel auf lokalen oder Remote-Datenträgern vorgehalten, die mit den DIVAnet-Systemen verbunden sind. Ein unabhängiger Zugriff auf diese Datenträger (nicht über DIVAnet) stellt ein Sicherheitsrisiko dar. Diese Form des externen Zugriffs kann von einem Rogue-System stammen, das von diesen Datenträgern liest oder darauf schreibt, oder von einem internen System, das unbeabsichtigt Zugriff auf diese Datenträgergeräte gewährt.

DIVArchive-Quellen, -Ziele und Archivmedien

DIVAnet verwendet DIVArchive-Quellen und -Ziele sowie DIVA-Archivierungssysteme (Datenträger oder Band) zur Verarbeitung von Anforderungen. Unbefugter unabhängiger Zugriff auf diese Serverdatenträger und Systemmedien, die in der Regel durch DIVArchive-Systeme gesteuert werden, stellt ein Sicherheitsrisiko dar. Die Quellen/Ziele, die als temporäre Datenspeicher für DIVAnet-Kopiervorgänge verwendet werden, müssen zugriffsbeschränkt sein. Sie sollten diese Quellen/Ziele ausschließlich für DIVAnet-Vorgänge reservieren und außerdem sicherstellen, dass Übertragungen verschlüsselt oder über ein vertrauenswürdiges Netzwerk initiiert werden.

Konfigurationsdateien und Einstellungen

Die Konfigurationseinstellungen des DIVAnet-Systems müssen vor Betriebssystembenutzern ohne Administratorrechte geschützt werden. Im Allgemeinen werden diese Einstellungen automatisch von Betriebssystembenutzern mit Administratorrechten geschützt. Es entsteht ein Sicherheitsrisiko, wenn andere Betriebssystembenutzer als der Administrator in Konfigurationsdateien schreiben können.

Vor wem müssen die Ressourcen geschützt werden?

Im Allgemeinen müssen die auf einem konfigurierten System im vorherigen Abschnitt beschriebenen Ressourcen vor sämtlichen Zugriffen geschützt werden. Dazu gehören auch Zugriffe aus externen Rogue-Systemen über WAN oder FC-Fabric. Administratorenzugriffe sind davon nicht betroffen.

Was geschieht, wenn der Schutz bei strategischen Ressourcen versagt?

Die Ursachen für das Versagen des Schutzes strategischer Ressourcen können von unberechtigten Zugriffen (Datenzugriffe, die nicht den normalen DIVAdirector-Vorgängen entsprechen) bis hin zu Datenbeschädigungen (versehentliches Löschen von Assets oder Schreiben auf Datenträger oder Band außerhalb der normalen Berechtigungen) reichen.

Empfohlene Deployment-Technologien

In diesem Abschnitt werden Installation und Konfiguration einer sicheren Infrastrukturkomponente beschrieben.

Informationen zum Installieren von DIVAnet finden Sie im Oracle DIVAnet Guide in der DIVAnet 2.0-Dokumentationsbibliothek unter:

https://docs.oracle.com/en/storage/#csm

Beachten Sie bei der Installation und Konfiguration von DIVAnet Folgendes.

DIVAnet-Installation

Installieren Sie nur die DIVAnet-Komponenten, die Sie benötigen. Beispiel: Wenn Sie von einem System nur DIVAnetUI ausführen möchten, deaktivieren Sie die Option DIVAnet Services in der Liste der zu installierenden Komponenten. Die Standardberechtigungen und Eigentümer des DIVAnet-Installationsverzeichnisses sollten nach der Installation nicht ohne vorherige gründliche Überlegung der Auswirkungen auf die Sicherheit geändert werden.

Verbinden mit DIVArchive

Oracle empfiehlt, zur Erhöhung der Systemsicherheit die ManagerAdapter-Komponente auf dem DIVArchive Manager-System zu installieren. Wird kein externer Zugriff auf den DIVArchive Manager-Port benötigt, wird empfohlen, den Port über Firewallsoftware zu blockieren. Darüber hinaus ist es oft unnötig, einen externen Netzwerkzugriff auf den DIVAnet DbSync WebService-Port zu gestatten.

Wenn Sie eine Verbindung zu einer Remote-DIVArchive-Instanz über ein WAN herstellen, achten Sie darauf, die Verbindung über ein vertrauenswürdiges Netzwerk aufzubauen. Außerdem sollten Sie die Site über SSL/TLS mit dem ManagerAdapter-Port der Remote-Site verbinden.

Schützen von Datenträgersystemen

Verweigern Sie mit FC-Zoning den Zugriff auf die DIVAnet-Datenträger, die über Fibre Channel an Server angeschlossen sind, die keinen Zugriff auf die Datenträger benötigen. Verwenden Sie einen separaten FC-Switch, um eine physische Verbindung nur mit den Servern herzustellen, die den Zugriff benötigen.

Auf SAN RAID-Datenträger kann im Allgemeinen zu administrativen Zwecken mit TCP/IP oder eher mit HTTP zugegriffen werden. Sie müssen die Datenträger vor externen Zugriffen schützen, indem Sie den Systemverwaltungszugriff auf SAN RAID-Datenträger auf vertrauenswürdige Domains beschränken. Ändern Sie außerdem das Standardpasswort auf den Festplattenarrays.

Konfiguration nach Abschluss der Installation

Gehen Sie nach jeder Installation von DIVAnet-Komponenten durch die Prüfliste für sicheres Deployment in Anhang A, Prüfliste für sicheres Deployment.

3 Sicherheitsfunktionen

Zur Vermeidung möglicher Sicherheitsrisiken müssen sich Benutzer von DIVAnet mit der Authentifizierung und Autorisierung des Systems befassen.

Diese Sicherheitsrisiken können durch ordnungsgemäße Konfiguration und Befolgen der Prüfliste nach Abschluss der Installation in Anhang A, Prüfliste für sicheres Deployment minimiert werden.

Das Sicherheitsmodell

Die folgenden kritischen Sicherheitsfunktionen bieten Schutz vor Sicherheitslücken:

- Authentifizierung – Dadurch wird sichergestellt, dass nur berechtigten Personen Zugriff auf System und Daten gewährt wird.

- Autorisierung – Der Zugriff auf Systemberechtigungen und -daten wird kontrolliert. Diese Funktion baut auf der Authentifizierung auf, um zu gewährleisten, dass Benutzer nur den für sie vorgesehenen Zugriff erhalten.

Authentifizierung

DIVAnet-Services können über mehrere Methoden eine Authentifizierung ausführen:

- SSL/TLS-Zertifikate – Beim Herstellen einer ausgehenden Verbindung zu einem Remote-DIVAnet-Service konsultiert DIVAnet einen Zertifikats-Truststore. Dadurch wird sichergestellt, dass DIVAnet eine Verbindung zu authentischen DIVAnet-Services herstellt. Um eine sichere Verbindung vom DIVAnet ClientAdapter zu einer DIVArchive-Instanz aufzubauen, müssen Sie die Verbindung über den ManagerAdapter mit dem <ConnectionType> WebServices herstellen.

- Zugriffsregeln – Zugriffsregeln, die streng genommen eine Art der Zugriffskontrolle darstellen, können eingehende Verbindungen anhand der eingehenden IP-Adressen filtern. Diese Funktion ist nötig, um sicherzustellen, dass nur zugelassene Systeme entsprechenden Zugriff auf DIVAnet-Services erhalten.

WARNUNG:

DIVAnet-Services verwenden Datenbankpasswörter als Teil ihrer Konfiguration. Passwörter müssen umgehend nach der Installation und danach (mindestens) alle 180 Tage geändert werden. Nach der Änderung müssen Sie die Passwörter an einem sicheren Ort offline aufbewahren und Oracle Support bei Bedarf vorlegen können.

Zugriffskontrolle

Mit Zugriffsregeln können Sie die Vorgänge einschränken, die bestimmte Benutzer oder Systeme im verteilten Archivsystem ausführen dürfen. Zugriffsregeln können auf folgende Arten ausgeführt werden:

- ClientAdapter-/MultiDiva-Modus – Schränkt ein, welche Arten von DIVAnet-Anforderungen ausgeführt werden können.

- ManagerAdapter – Schränkt ein, welche Arten von DIVArchive-Anforderungen zur Erfüllung einer DIVAnet-Anforderung (möglicherweise von einem Remote-System) ausgeführt werden können.

Zugriffsregeln können sich auf Anforderungen auswirken, die über die DIVAnetUI oder über eine API-Socket-Verbindung (möglicherweise über ein MAM- oder Automatisierungssystem) ausgelöst wurden.

Für eine DIVAnet-Anforderung können Zugriffsregeln auf DIVAnet-Ebene oder auf DIVArchive-Ebene ausgeführt werden. Auf DIVAnet-Ebene verarbeitet der ClientAdapter die Anforderung dort, wo sie empfangen wurde. Auf DIVArchive-Ebene verarbeitet ein Remote-ManagerAdapter DIVArchive-Anforderungen, die zur Erfüllung der DIVAnet-Anforderung ausgegeben werden.

Oracle empfiehlt, einen Satz Regeln mit den für die Erfüllung Ihrer Anwendungsanforderungen größtmöglichen Einschränkungen zu erstellen. Beispiel: Wenn globale Löschvorgänge nur von Administratoren ausgeführt werden müssen, stellen Sie sicher, dass anderen Benutzern der Zugriff auf diese Funktionalität verweigert wird. Wenn eine Gruppe von Systembenutzern nur Zugriff auf eine begrenzte Liste von Quellen und Zielen benötigt, stellen Sie sicher, dass diese Benutzer nur Anforderungen zu diesen jeweiligen Quellen und Zielen ausgeben können.

Überlegen Sie auch, welche Sites zur Erfüllung von Anforderungen benötigt werden. Beispiel: Wenn Benutzer auf der lokalen Site keinen Grund haben, Kopiervorgänge vorzunehmen, bei denen weder die Quell- noch die Zielsite die lokale Site sind (dies ist mit DIVAnet möglich), konfigurieren Sie diese Regeln in der ClientAdapter-Konfiguration.

Erwägen Sie auch bestimmte Konstrukte in Anforderungen, die Sie generell ausschließen möchten. Beispiel: Wenn Objekte nicht nur mit dem Objektnamen (ohne Kategorie) adressiert werden müssen, schließen Sie alle Anforderungen aus, bei denen die Kategorie nicht angegeben ist.

Darüber hinaus enthält jedes ClientAdapter WorkflowProfile die Liste gültiger Nachrichten, die durch Anforderungen, die dem WorkflowProfile zugewiesen sind, verarbeitet werden können. Im MultiDiva-Modus können Sie dadurch bestimmte Nachrichten von der Verarbeitung ausschließen (einschließlich Informationsnachrichten).

Oracle empfiehlt, zu Anfang die in der Datei AccessRules.xml.ini definierten Standardregeln zu verwenden, auch wenn Sie keine eigenen Zugriffsregeln definieren. Weitere Informationen zu den Funktionen der DIVAnet-Zugriffskontrolle finden Sie im Oracle DIVAnet Guide unter:

https://docs.oracle.com/en/storage/#csm

Konfigurieren von SSL/TLS

DIVAnet enthält an zwei Stellen Zertifikatdaten: in einem privaten Keystore, der für auf dem lokalen System gehostete Webservices verwendet wird, und in einem öffentlichen Keystore, mit dem per Remote-Zugriff aufgerufene Webservices verifiziert werden. Mit dem Java Keytool-Utility können Sie das Passwort des Keystores ändern und Zertifikate hinzufügen und löschen.

Weitere Informationen zum Erstellen von Keystores finden Sie unter:

http://docs.oracle.com/javase/8/docs/technotes/guides/security/jsse/JSSERefGuide.html#CreateKeystore

Nur die DIVAnet-Webservicesverbindungen verwenden SSL/TLS. In diesem Release wird für Verbindungen zu DIVArchive oder DIVAnet über eine DIVArchive-API-Socket-Verbindung nicht SSL/TLS verwendet.

Privater Keystore

Private Key-Daten zu DIVAnet-Zertifikaten werden gespeichert in:

$DIVANET_HOME\Program\divanet\lib\diva129.jks

In diesem Keystore muss genau ein Zertifikat enthalten sein. Dieses Zertifikat wird für Webservices verwendet, die von Services gehostet werden, die über dieses $DIVANET_HOME-Verzeichnis ausgeführt werden. Es wird empfohlen, das mitgelieferte Zertifikat durch ein neues Zertifikat zu ersetzen und für jede DIVAnet-Site in Ihrem Netzwerk ein eigenes Zertifikat zu verwenden.

Sie müssen das Passwort dieses Keystores ändern. Speichern Sie die Passwortinformationen in einer neuen Datei namens $DIVANET_HOME\Program\divanet\lib\diva129.properties, und geben Sie den DIVAnet-Services Lesezugriff auf diese Datei, nicht jedoch gelegentlichen Benutzern des Systems. Verwenden Sie folgendes Format für die Datei:

keystorePassword=[newpassword]

Öffentlicher Keystore

Diese gelegentlich auch als Truststore bezeichneten Daten befinden sich in:

$DIVANET_HOME\Java\lib\security\cacerts2

Diese Zertifikatdaten werden in ausgehenden Webserviceaufrufen (einschließlich DIVAnetUI) verwendet. In diesen Keystore können mehrere Public Keys geladen werden.

Wenn Sie zum privaten DIVAnet Keystore ein neues selbstsigniertes Zertifikat hinzugefügt haben, exportieren Sie das Zertifikat mit dem Keytool-Utility. Alle Anwendungen (DIVAnet-Services, DIVAnetUI usw.), die auf dieser Site WebServices aufrufen, sollten das exportierte Zertifikat dann in ihren eigenen öffentlichen Keystore aufnehmen.

A Prüfliste für sicheres Deployment

1. Legen Sie starke Passwörter für den Administrator sowie für alle weiteren Betriebssystemkonten fest, denen DIVAnet-Administrator- oder Servicerollen zugewiesen sind. Dies umfasst:

- divanet, Oracle-Benutzer-IDs, sofern verwendet

- Alle Verwaltungskonten auf dem Datenträger

2. Verwenden Sie kein Betriebssystemkonto eines lokalen Administrators. Weisen Sie stattdessen anderen Benutzerkonten Rollen nach Bedarf zu.

3. Verwenden Sie für jede DIVAnet-Installation Website-spezifische Zertifikate, und definieren Sie ein starkes Passwort für die Oracle-Datenbank und den privaten Keystore. Legen Sie ein starkes Passwort für die Anmeldung des Oracle-Datenbankbenutzers fest.

4. Installieren Sie auf allen DIVAnet-Systemen Firewallsoftware, und wenden Sie die DIVAnet-Standardportregeln an. Schränken Sie den Zugriff auf das DIVAnet API-Socket (tcp 7101) auf IPs ein, für die ein Zugriff über Firewallregeln erforderlich ist. Führen Sie diesen Schritt mit den DIVAnet-Zugriffsregeln aus.

5. Installieren Sie Betriebssystem- und DIVAnet-Updates in regelmäßigen Abständen, da diese Sicherheitspatches enthalten.

6. Installieren Sie ein Antivirenprogramm, und schließen Sie die DIVAdirector-Prozesse und -Speicherung aus Performancegründen aus.

7. Best Practices schreiben eine Trennung von FC-Datenträgern und FC-Bandlaufwerken entweder physisch oder durch FC-Zoning vor, sodass Datenträger und Bandgeräte nicht denselben HBA-Port verwenden. Durch diese Sicherheitsmethode wird ein versehentliches Überschreiben wichtiger Daten verhindert.

8. Konfigurieren Sie eine angemessene Reihe von Backups für die DIVAnet-Konfiguration und Datenbank. Mithilfe von Backups, die Teil eines Sicherheitskonzepts sind, können Daten, die unabsichtlich oder durch Unbefugte gelöscht wurden, wiederhergestellt werden. Ihr Backup sollte richtlinienkonform sein, wenn es an einem anderen Speicherort abgelegt wird. Backups müssen in demselben Maße wie DIVAnet-Datenträger gesichert werden.

Oracle - Rechtliche Hinweise

Copyright-Hinweis

Copyright © 1994-2016, Oracle und/oder verbundene Unternehmen All rights reserved. Alle Rechte vorbehalten.

Lizenzeinschränkungen/Haftungsausschluss bei Folgeschäden

Diese Software und zugehörige Dokumentation werden im Rahmen eines Lizenzvertrages zur Verfügung gestellt, der Einschränkungen hinsichtlich Nutzung und Offenlegung enthält und durch Gesetze zum Schutz geistigen Eigentums geschützt ist. Sofern nicht ausdrücklich in Ihrem Lizenzvertrag vereinbart oder gesetzlich geregelt, darf diese Software weder ganz noch teilweise in irgendeiner Form oder durch irgendein Mittel zu irgendeinem Zweck kopiert, reproduziert, übersetzt, gesendet, verändert, lizenziert, übertragen, verteilt, ausgestellt, ausgeführt, veröffentlicht oder angezeigt werden. Reverse Engineering, Disassemblierung oder Dekompilierung der Software ist verboten, es sei denn, dies ist erforderlich, um die gesetzlich vorgesehene Interoperabilität mit anderer Software zu ermöglichen.

Gewährleistungsausschluss

Die Informationen in diesem Dokument können jederzeit und ohne vorherige Ankündigung geändert werden. Sollten Sie Fehler oder Unstimmigkeiten in der Dokumentation finden, bitten wir Sie, uns diese schriftlich mitzuteilen.

Hinweis zu eingeschränkten Rechten

Wird diese Software oder zugehörige Dokumentation an die Regierung der Vereinigten Staaten von Amerika bzw. einen Lizenznehmer im Auftrag der Regierung der Vereinigten Staaten von Amerika geliefert, dann gilt Folgendes:

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government.

Hinweis für potenziell gefährliche Anwendungen

Diese Software oder Hardware ist für die allgemeine Anwendung in verschiedenen Informationsmanagementanwendungen konzipiert. Sie ist nicht für den Einsatz in potenziell gefährlichen Anwendungen bzw. Anwendungen mit einem potenziellen Risiko von Personenschäden geeignet. Falls die Software für solche Zwecke verwendet wird, verpflichtet sich der Lizenznehmer, sämtliche erforderlichen Maßnahmen wie Fail Safe, Backups und Redundancy zu ergreifen, um den sicheren Einsatz dieser Software oder Hardware zu gewährleisten. Oracle Corporation und ihre verbundenen Unternehmen übernehmen keinerlei Haftung für Schäden, die beim Einsatz dieser Software oder Hardware in gefährlichen Anwendungen entstehen.

Markenhinweis

Oracle und Java sind eingetragene Marken der Oracle Corporation und/oder ihrer verbundenen Unternehmen. Andere Namen und Bezeichnungen können Marken ihrer jeweiligen Inhaber sein.

Intel und Intel Xeon sind Marken oder eingetragene Marken der Intel Corporation. Alle SPARC-Marken werden in Lizenz verwendet und sind Marken oder eingetragene Marken der SPARC International, Inc. AMD, Opteron, das AMD-Logo und das AMD Opteron-Logo sind Marken oder eingetragene Marken der Advanced Micro Devices. UNIX ist eine eingetrageneMarke von The Open Group in den USA und anderen Ländern.

Haftungsausschluss bei Inhalten, Produkten und Serviceleistungen Dritter

Diese Software oder Hardware und die Dokumentation können Zugriffsmöglichkeiten auf oder Informationen über Inhalte, Produkte und Serviceleistungen von Dritten enthalten. Sofern nicht ausdrücklich in einem Vertrag mit Oracle vereinbart, übernehmen die Oracle Corporation und ihre verbundenen Unternehmen keine Verantwortung für Inhalte, Produkte und Serviceleistungen von Dritten und lehnen ausdrücklich jegliche Art von Gewährleistung diesbezüglich ab. Sofern nicht ausdrücklich in einem Vertrag mit Oracle vereinbart, übernehmen die Oracle Corporation und ihre verbundenen Unternehmen keine Verantwortung für Verluste, Kosten oder Schäden, die aufgrund des Zugriffs oder der Verwendung von Inhalten, Produkten und Serviceleistungen von Dritten entstehen.

Hinweis zu Alpha- und Betaentwurf der Dokumentation

Falls diese Dokumentation als Entwurf (Pre-Production) zu betrachten ist, gilt:

Diese Dokumentation ist als Entwurf (Pre-Production) zu betrachten. Sie dient ausschließlich zu Präsentationszwecken und zur vorläufigen Verwendung. Diese Dokumentation bezieht sich nicht notwendigerweise auf die Hardware, auf der Sie die Software einsetzen. Bitte beachten Sie, dass Oracle und/oder verbundene Unternehmen für vorläufige Dokumentation keinerlei Gewährleistung übernehmen und keine Verantwortung für Verluste, Kosten oder Schäden übernehmen, die auf die Nutzung dieser Dokumentation zurückzuführen sind.

Hinweis zu privatem Alpha- und Betaentwurf der Dokumentation

Falls diese Dokumentation als privater Entwurf (Pre-Production) zu betrachten ist, gilt:

Die in diesem Dokument enthaltenen Angaben dienen ausschließlich der Informationsweitergabe im Rahmen Ihrer Funktion als Mitglied des Customer Advisory Boards oder entsprechend den Bedingungen Ihres Betatestvertrags. Dieses Dokument stellt keine Verpflichtung zur Bereitstellung von Materialien, Code oder Funktionalität dar und darf nicht als Grundlage einer Kaufentscheidung herangezogen werden. Entwicklung, Freigabe und zeitliche Herausgabe der in diesem Dokument beschriebenen Funktionen oder Funktionalität liegen im alleinigen Ermessen von Oracle.

Dieses Dokument enthält in elektronischer oder gedruckter Form Informationen, die ausschließliches Eigentum von Oracle sind. Ihr Zugriff auf und die Verwendung von diese(n) vertraulich zu behandelnden Materialien unterliegt den in Ihrem mit Oracle abgeschlossenen Oracle-Rahmenvertrag, Oracle-Lizenz- und -Servicevertrag, Oracle PartnerNetwork-Vertrag, Oracle-Distributionsvertrag oder einem anderen Lizenzvertrag festgelegten Geschäftsbedingungen, zu deren Einhaltung Sie sich verpflichtet haben. Dieses Dokument und die darin enthaltenen Informationen dürfen ohne vorherige schriftliche Genehmigung von Oracle weder veröffentlicht, vervielfältigt, reproduziert oder an Personen weitergegeben werden, die nicht Mitarbeiter von Oracle sind. Dieses Dokument ist nicht Bestandteil Ihres Lizenzvertrags und wird auch nicht Bestandteil einer vertraglichen Vereinbarung mit Oracle oder deren Tochtergesellschaften oder verbundenen Unternehmen.

Barrierefreie Dokumentation

Informationen zu Oracles Verpflichtung zur Barrierefreiheit erhalten Sie über die Website zum Oracle Accessibility Program http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc.

Zugriff auf Oracle-Support

Oracle-Kunden mit einem gültigen Oracle-Supportvertrag haben Zugriff auf elektronischen Support über My Oracle Support. Weitere Informationen erhalten Sie unter http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info oder unter http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs, falls Sie eine Hörbehinderung haben.