ハードニングに関するガイドライン

このセクションでは、Flowmonを安全にデプロイし、潜在的な攻撃対象領域を削減するための推奨手順について説明します。Flowmonは、CIS手法の関連サブセットを遵守してこれを反映した安全な方法で設定したオペレーティングシステムを含むアプライアンスとして提供されます。各Flowmonリリースは脆弱性に対してテスト済みです。本書に記載する推奨事項に従うことで、Flowmonアプライアンスのセキュリティが確実に維持されます。

ハードニングに関するガイドライン

対象	説明	設定方法
WebGUIのデフォルトパスワード	adminユーザのパスワードを変更します。	[Configuration Center] > [システム] > [ユーザ]
SSHコンソールのデフォルトパスワード	flowmonユーザのパスワードを変更します。	SSHを使用してFlowmonにログインし(PuTTyを使用するなどして)、sysconfigコマンドを実行して対話型設定ユーティリティを開きます。
iDRACのデフォルトパスワード	お使いのハードウェアベースのFlowmonアプライアンスにiDRAC管理インターフェースが装備されている場合は、デフォルトのユーザ認証情報を変更します。	iDRAC管理インターフェースにログインし、ログイン認証情報を変更します。
Admin権限	必要な場合を除き、admin権限を持つユーザを作成しないでください。通常のユーザに対してConfiguration Centerへのアクセス権を付与しないでください。	[Configuration Center] > [システム] > [ユーザ]
SNMPコミュニティ文字列	Flowmonアプライアンスには、コミュニティ文字列「public」が事前設定されたSNMPv2が付属しています。このコミュニティ文字列を変更してください。SNMPv3に切り替えることもできます。	[Configuration Center] > [システム] > [システム] > [SNMP]
ID管理	FlowmonをLDAPに接続して、独立したユーザアカウントを避けて中央認証サービスを提供することができます。	[Configuration Center] > [システム] > [システム] > [LDAP]
SSL証明書	Flowmonには、WebGUIへの安全なアクセスのための自己署名証明書が付属しています。この証明書を、認証局を使用して生成した信頼できる証明書に置き換えてください。	[Configuration Center] > [システム] > [セキュリティ] > [証明書管理]
リモートアクセスの制限	「アクセス制限の設定」を行うことで、事前定義されたIPアドレスのサブネットの管理インターフェースにアクセスを制限することができます。	[Configuration Center] > [リモートアクセス]
Webセキュリティヘッダー	Webベースのユーザインターフェースの追加セキュリティヘッダーを制御できます。	[Configuration Center] > [システム] > [セキュリティ] > [セキュリティヘッダー]
FIPS (連邦情報処理規格)	FIPSモードを有効にすると、システムはこの規格に準拠した暗号アルゴリズムとモジュールのみを使用するようになります。	[Configuration Center] > [システム] > [セキュリティ] > [FIPS設定]
定期的な更新	services.flowmon.comからの定期的な更新パッケージのダウンロードを有効にします。新しいパッケージがインストール可能になったことを管理者に知らせる通知を有効にします。Flowmonを常に最新の状態に保ちます。	[Configuration Center] > [バージョン]
管理VLAN	Flowmon管理インターフェースを、アクセス制限した専用の管理VLANに接続することができます。	環境に応じて、Flowmonシステムの外部で設定されます。

ルートアクセス

Progress Softwareは、Flowmonアプライアンスへのルートアクセスをお客様に提供しておりません。ルートアカウントは、Progress Softwareがテクニカルサポートおよびメンテナンスを提供するためのサービスアカウントとしてのみ提供されています。Flowmonアプライアンスを許可なく改変すると、アプライアンスの機能性が低下し、今後ソフトウェアを更新できなくなる可能性があります。アプライアンスの操作は、ルート権限のある認定サポートスタッフのみが行う必要があります。ルートアカウントはパスワードで保護されており、リモートSSHアクセスが制限されています。お客様はルートアカウントへのアクセス権のあるユーザを完全制御できます。

以下のオプションを使用して、ルートアカウントにログインすることができます。

• ローカルコンソールを通じて直接ルートとして(Flowmonアプライアンスへの物理アクセス、またはFlowmonアプライアンスをホストするハイパーバイザへのアクセスが必要です)
• iDRACサーバ管理コンソールを通じて直接ルートとして(お客様の完全管理対象のiDRAC管理コンソールへのアクセスが必要です)
• ローカルコンソール、iDRACサーバ管理コンソール、またはSSHコンソールを通じてコマンドラインインターフェース(CLI)からsuユーティリティを使用(flowmonユーザが適切に認証され、flowmonユーザに付与されたアクセスが完全管理されている場合)