StorageTek SL150 Modular Tape Library

セキュリティーガイド

E40924-03

2015 年 6 月

StorageTek SL150 Modular Tape Library セキュリティーガイド

E40924-03

著作権 © 2012, 2015, Oracle and/or its affiliates. All rights reserved.

著者:  James Ries

執筆協力者:  Lino Pereira, Brad Wilkin

協力者:

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクルまでご連絡ください。

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government.

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション (人的傷害を発生させる可能性があるアプリケーションを含む) への用途を目的として開発されていません。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性 (redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、Oracle Corporation およびその関連会社は一切の責任を負いかねます。

Oracle および Java はオラクルおよびその関連会社の登録商標です。その他の社名、商品名等は各社の商標または登録商標である場合があります。

Intel、Intel Xeon は、Intel Corporation の商標または登録商標です。すべての SPARC の商標はライセンスをもとに使用し、SPARC International, Inc. の商標または登録商標です。AMD、Opteron、AMD ロゴ、AMD Opteron ロゴは、Advanced Micro Devices, Inc. の商標または登録商標です。UNIX は、The Open Group の登録商標です。

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。適用されるお客様と Oracle Corporation との間の契約に別段の定めがある場合を除いて、Oracle Corporation およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。適用されるお客様と Oracle Corporation との間の契約に定めがある場合を除いて、Oracle Corporation およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

目次

表のリスト

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

1 概要

- 製品の概要

- セキュリティー

- 一般的なセキュリティー原則

- ソフトウェアを最新に維持する

- ネットワークアクセスを制限する

- セキュリティー情報を最新に維持する

2 セキュアなインストール

- 環境を理解する

- 保護する必要があるリソースはどれか

- だれからリソースを保護するか

- 戦略的リソースの保護が失敗した場合に何が起こるか

- ライブラリのセキュリティー保護

- インストール構成

- ユーザー (admin) パスワードを割り当てる

- パスワード管理を適用する

- ブラウザ UI 認証

3 セキュリティー機能

4 再展開

A セキュアな配備のためのチェックリスト

B 参照情報

表のリスト

- 2-1 SL150 ネットワークポート

はじめに

このドキュメントでは、オラクル社の StorageTek SL150 Modular Tape Library のセキュリティー機能について説明します。

対象読者

このガイドは、オラクル社の StorageTek SL150 Modular Tape Library のセキュアなインストールと構成およびそのセキュリティー機能の使用に関与するすべてのユーザーを対象にしています。

ドキュメントのアクセシビリティについて

オラクルのアクセシビリティについての詳細情報は、Oracle Accessibility Program の Web サイト (http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc) を参照してください。

Oracle Support へのアクセス

サポートをご契約のお客様には、My Oracle Support を通して電子支援サービスを提供しています。詳細情報は (http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info) か、聴覚に障害のあるお客様は (http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs) を参照してください。

1 概要

このセクションでは、オラクル社の StorageTek SL150 Modular Tape Library の概要を説明し、テープライブラリのセキュリティーの一般原則について説明します。

製品の概要

StorageTek SL150 Modular Tape Library はオラクル社の 3U から 21U の 19 インチラックマウント型モジュラ自動テープライブラリです。これは、設置されたテープドライブのいずれかを通じて、30 から 300 の LTO テープカートリッジ、1 から 20 の LTO ファイバチャネルドライブまたは SAS テープドライブ、およびブリッジドライブファイバまたは SAS ポート制御パスのストレージ容量を提供します。

セキュリティー

すべてのテープライブラリ製品は、一般的なネットワークまたはユーザーアクセスのない制御されたサーバー環境内で使用するように設計され、ドキュメント化されています。これは、最高の機能を提供し、一般的なインターネットとライブラリを操作する内部エンティティーのどちらの危険からも保護します。

一般的なセキュリティー原則

すべての製品をセキュアに使うために、次の原則が重要になります。

ソフトウェアを最新に維持する

優れたセキュリティー実践の原則の 1 つは、すべてのソフトウェアバージョンとパッチを最新に維持することです。2015 年 4 月以降にリリースされた SL150 ファームウェアバージョンは、次のとおりです。

2012 年 6 月 v1.00 (RTA 0.1.0.0.0)
2012 年 9 月 v1.03 (RTA 0.1.0.3.0)
2012 年 10 月 v1.50 (RTA 0.1.5.0.0)
2013 年 1 月 v1.82 (RTA 0.1.8.2.0)
2013 年 8 月 v2.0 (RTA 0.2.0.0.0)
2013年 10 月 v2.01(RTA 0.2.0.1.0)
2014 年 4 月 v2.25 (RTA 0.2.2.5.0)
2015 年 6 月 v2.50 (RTA 0.2.5.0.0)

ネットワークアクセスを制限する

ライブラリは、データセンターのファイアウォールの背後に置いてください。ファイアウォールにより、これらのシステムへのアクセスが、既知のネットワークルートに確実に制限され、必要に応じてモニターおよび制限されます。代わりとして、ファイアウォールルーターは複数の独立したファイアウォールに置き換わるものです。可能な場合、ライブラリに接続を許可されているホストを識別し、ほかのすべてのホストをブロックすることをお勧めします。

セキュリティー情報を最新に維持する

Oracle では、ソフトウェアおよびドキュメントを絶えず改善しています。リリースごとにこのドキュメントのリビジョンを確認してください。

2 セキュアなインストール

このセクションでは、セキュアなインストールの計画プロセスについて説明し、システムの推奨される導入トポロジーをいくつか紹介して、ライブラリをセキュリティー保護する方法を説明します。

環境を理解する

セキュリティーニーズをよりよく理解するには、次の質問を尋ねる必要があります。

保護する必要があるリソースはどれか

本番環境の多くのリソースを保護できます。実現する必要があるセキュリティーのレベルを決定する際に、保護を必要とするリソースを考慮します。

だれからリソースを保護するか

ライブラリは、インターネット上のすべてのユーザーと権限のないイントラネットユーザーから保護する必要があります。

戦略的リソースの保護が失敗した場合に何が起こるか

場合によっては、セキュリティースキームの障害は簡単に検出され、不便なだけと見なされることがあります。あるいは、障害によって、ライブラリを使用する会社や個々のクライアントに多大な損害を与える可能性もあります。各リソースのセキュリティーの影響を理解することで、それらを正しく保護するために役立ちます。

ライブラリのセキュリティー保護

デフォルトで、ライブラリは表2-1 SL150 ネットワークポート に示すポートを使用します。トラフィックでこれらのポートを使用することを許可し、未使用のすべてのポートをブロックするように、ファイアウォールを構成してください。

表2-1 SL150 ネットワークポート

ポート

種類

説明

22

TCP

SSH CLI アクセス – インバウンドステートフル

開発テストおよびデバッグ専用、フィールドでは使用不可

25

TCP

認証なしの SMTP

67

DHCP

クライアント - アウトバウンド

68

DHCP

クライアント - インバウンド

80

HTTP

リモートユーザーインタフェース用 WebLogic ポート

123

NTP

Network Time Protocol (有効な場合)

161

UDP

SNMP ライブラリエージェントリクエスト - インバウンドステートフル

162

UDP

SNMP ライブラリの TRAP および INFORM 通知 - TRAP の場合アウトバウンドステートレス、INFORM の場合アウトバウンドステートフル

465

TCP

SSL または TLS 認証を用いた SMTP

443

HTTPS

リモートユーザーインタフェース用 WebLogic ポート (HTTPS)

546

DHCPv6

IPv6 DHCP クライアント - アウトバウンド

547

DHCPv6

IPv6 DHCP クライアント - インバウンド

33200 - 33500

traceroute

ソフトウェア開発で使用

上記の表に従って、ライブラリで使用するための有効なポート番号が予約または推奨されます。正当なポート番号は数値 1 から始まります (ゼロは正当なポート番号ではありません)。

SNMP を構成する場合、機密性、整合性、および認証機能のため、SNMPv2c より SNMPv3 を使用することを強くお勧めします。

SMTP を構成する場合、SSL や認証なしのオプションではなく、TLS 認証を使用することを強くお勧めします。

インストール構成

このセクションでは、インストール時に実行する必要があるセキュリティー構成の変更について説明します。

ユーザー (admin) パスワードを割り当てる

最初の電源投入時に、ローカルオペレーターパネルでセットアップウィザードが自動的に実行され、基本構成情報が取得されます。これには管理者アカウントのユーザー名とパスワード、ネットワーク設定、およびその他の基本設定が含まれます。

セットアップウィザードが完了するまで、ライブラリは動作可能になりません。

インストールする人がセットアップウィザードルーチンの最初のステップとして入力する必要のあるログインアカウントが、製品出荷とともに提供されています。セットアップウィザードを完了する前に、ユーザーは新しいパスワードを入力する必要があります。

初期セットアップウィザードが完了し、ライブラリの電源が完全に投入されたら、すべてのライブラリ設定について、ブラウザユーザーインタフェース (BUI) からライブラリ構成を追加で変更できます。

パスワード管理を適用する

パスワード長、履歴、複雑さなどの基本的なパスワード管理規則をすべてのパスワードに適用する必要があります。SL150 のパスワードは 8 - 128 文字で、少なくとも 1 つの数字または特殊文字を含む必要があります。デフォルトのパスワードを再利用せず、インストール時に変更してください。

注記:
マスクされた状態で表示される文字の数は、入力された文字の数を正確に示しているわけではありません。

ブラウザ UI 認証

バージョン 2.50 より下位のファームウェアレベルでの CVE-2014-3566 を軽減するために、リモートユーザーインタフェースへのアクセスに使用するブラウザ設定は TLS 1.0 以上に保つように制限してください。バージョン 2.50 のライブラリファームウェアは、SSLv3 に自動ネゴシエーションされません。

3 セキュリティー機能

このセクションでは、製品に備えられている特定のセキュリティーメカニズムについて説明します。

ライブラリはそれ自体を保護するための内部ファイアウォールを備えています。これをライブラリを保護するための唯一のセキュリティー対策にしないでください。ライブラリは、その機能を使用するサーバーからのアクセスのみを許可するセキュリティー保護されたネットワーク上の物理的にセキュリティー保護されたデータセンターに配置します。これらで実行するサーバーとアプリケーションもセキュリティー保護してください。

すべてのユーザーに Admin 役割レベルを付与するのではなく、ユーザーアカウントを operator 役割レベルに制限するようにしてください。service ユーザー役割を適切に使用するようにしてください。必要に応じて service ユーザー役割アカウントを作成、有効化、または無効化してください。service の役割には、admin の役割と同程度の、operator よりも大きな特権があります。

調査のためにライブラリアクティビティーの履歴が必要な場合は、「アクティビティーログ」を確認し、さらに詳しく分析するためにエクスポートすることもできます。ユーザーインタフェースに関するアクティビティーログには、追跡調査のためにユーザーログイン、ホスト、または UI によって開始されたアクションが表示されることもあります。

4 再展開

このセクションでは、顧客データをすべてクリアするためにライブラリを出荷時のデフォルト状態に戻す方法について説明します。

お客様がライブラリを使用停止にする必要がある場合、すべてのお客様の構成情報を削除し、ライブラリを出荷時のデフォルト状態に戻す手順が用意されています。この手順を呼び出すには、ライブラリを「locate」モードにし、前面と背面の位置特定ボタンを 10 秒より長く同時に押し続けたあと、両方のボタンを放します。

位置特定ボタンを押し続けた時間が十分かどうかは、LED の点滅速度がゆっくりした点滅からすばやい点滅に変わることで判断できます。

A セキュアな配備のためのチェックリスト

次のセキュリティーチェックリストに、ライブラリのセキュリティー保護に役立つガイドラインを示します。

1. すべてのユーザーアカウントについてパスワード管理を適用します。

2. 物理的に近接する接続と、SCSI、UI、SNMP などのインタフェース経由の両方にアクセス制御を適用します。

3. ネットワークアクセスを制限します。

1. ファイアウォールを実装してください。

2. ファイアウォールが危害を受けないようにしてください。

3. システムアクセスをモニターしてください。

4. ネットワーク IP アドレスをチェックしてください。

5. サービスには、適切なパスワードを必要とする、またはアクセス制御がモニターされるツール (たとえば、ログ情報の自動ダウンロードやその他のアクセスを許可する SDP-2) が含まれている場合があります。

4. Oracle Tape Library の脆弱性を見つけた場合は、Oracle サービス、Oracle Tape Library エンジニアリング、またはアカウント担当者に問い合わせてください。

5. SMTP では SSL のような安全性の低いプロトコルを使ったり、認証なしにしたりする代わりに TLS を使用するようにしてください。

6. SNMP は、V2C 以下の機能ではなく、V3 レベルで設定するようにしてください。

B 参照情報

『SL150 ユーザーズガイド』は次の場所にあります。

http://www.oracle.com/technetwork/documentation/tape-storage-curr-187744.html#libraries

SL150 に関連するすべてのドキュメントは、部品番号 E35103-07 のオンラインドキュメントセットに含まれています。

オラクルの法律上の注意点について

コピーライトについて

Copyright © 1994-2016, Oracle and/or its affiliates.All rights reserved.

ライセンス制約の保証と結果的に生じる損害の免責

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

保証免責

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクルまでご連絡ください。

制限付権利について

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

危険な用途への使用について

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、Oracle Corporationおよびその関連会社は一切の責任を負いかねます。

商標と登録商標について

OracleおよびJavaはオラクルおよびその関連会社の登録商標です。その他の社名、商品名等は各社の商標または登録商標である場合があります。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXは、The Open Groupの登録商標です。

第三者のコンテンツ、製品、サービスに対する免責事項

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。適用されるお客様とOracle Corporationとの間の契約に別段の定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。適用されるお客様とOracle Corporationとの間の契約に定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

アルファ版およびベータ版ドラフト・ドキュメントについて

このドキュメントが試作版の場合:

このドキュメントは試作版であり、デモおよび暫定使用のみを目的としたものです。このソフトウェアを使用するハードウェアに限定するものではありません。Oracle Corporationおよびその関連会社は、このドキュメントに関して一切の責任を負わず、いかなる保証もいたしません。また、このドキュメントを使用したことによって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

非公開のアルファ版およびベータ版ドラフト・ドキュメントについて

このドキュメントが非公開の試作版の場合:

このドキュメントに含まれる情報は、情報の共有のみを目的としたものであって、顧客諮問委員会(Customer Advisory Board)のメンバーとしてのお客様の立場でのみ、またはお客様のベータ・トライアル契約のみに従って検討されるべきものとします。マテリアル、コード、または機能の提供をお約束するものではなく、購入決定を行う際の判断材料とすべきではありません。このドキュメントに記載されている特徴または機能の開発、リリースおよび時期については、オラクルの裁量により決定されます。

このドキュメントには、ソフトウェアまたは印刷物などの形式を問わず、オラクルが独占的な権利を有する財産的情報が含まれています。この機密資料へのアクセスと使用は、お客様とオラクルとの間で締結され、お客様が遵守に同意した、Oracle Master Agreement、Oracle License and Oracle Services Agreement (オラクル・ライセンスおよびサービスに関する契約書)、Oracle PartnerNetwork Agreement、Oracle Distribution Agreementまたはその他のライセンス契約の条件に従うものとします。このドキュメントとその内容の開示、コピー、複製および配布には、オラクルによる事前の承諾を必要とします。このドキュメントはライセンス契約の一部となるものではなく、オラクルおよびその子会社や関連会社との契約を構成するものではありません。

ドキュメントのアクセシビリティについて

オラクルのアクセシビリティについての詳細情報は、Oracle Accessibility ProgramのWebサイトhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc を参照してください。

Oracle Supportへのアクセス

サポートをご契約のお客様には、My Oracle Supportを通して電子支援サービスを提供しています。詳細情報はhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=infoか、聴覚に障害のあるお客様はhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=trsを参照してください。