Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Considerazioni relative alla sicurezza
## Protezione della macchina virtuale dello strumento di rilevamento
La **sicurezza delle VM di Discovery Tool è fondamentale** perché lo strumento di rilevamento archivia tutte le credenziali, i log e i dati dei clienti sulla VM dello strumento di rilevamento.
Lo strumento di rilevamento VM ha l'accesso ssh disabilitato per impostazione predefinita ed è accessibile solo dal client. `vCenter UI -> "Launch Web Console"`
Lo strumento di rilevamento VM viene fornito con una password di accesso predefinita («password») per l'utente «discovery».
+ Si consiglia di aggiornare questa password immediatamente dopo la distribuzione.
+ È **necessario** aggiornare la password se si desidera abilitare ssh utilizzando il comando `enablessh` dopo l'accesso tramite vCenter. `Launch Web Console` Tieni presente che ogni volta che viene chiamato questo comando, devi resettarlo.
## Protezione delle credenziali
**Best practice generali per la gestione delle credenziali**
+ Archivia le credenziali in modo sicuro
+ Ruota regolarmente tutte le credenziali
+ Usa gestori di password o casseforti sicuri
+ Monitora l'utilizzo delle credenziali
+ Segui il principio del privilegio minimo e concedi solo le autorizzazioni minime necessarie
**Credenziali SNMP v2**
+ Usa stringhe di community complesse e non predefinite
+ Evita stringhe comuni come «public» o «private»
+ Tratta le stringhe della community come password
**Credenziali SNMP v3**
+ Abilita sia l'autenticazione che la privacy
+ Utilizza protocolli di autenticazione avanzati (preferibilmente SHA rispetto a MD5)
+ Utilizza protocolli di crittografia avanzati (AES preferito rispetto a DES)
+ Utilizza password complesse sia per l'autenticazione che per la privacy
+ Usa nomi utente univoci (evita nomi comuni)
**Credenziali WinRM**
+ Evitare di disabilitare il controllo dei certificati WinRM.
+ Si consiglia di creare un account di servizio dedicato con autorizzazioni minime richieste.
+ Evita di utilizzare account di amministratore di dominio o amministratore locale a meno che non sia necessaria la raccolta di SQL Server. La raccolta SQL Server richiede l'accesso come amministratore locale perché esegue query su più namespace WMI e utilizza comandi con privilegi elevati. Per le metriche del sistema operativo senza SQL Server Discovery, è sufficiente un account non amministratore con Remote Management Users, Performance Monitor Users e accesso in lettura WMI. `root\cimv2` Per i dettagli relativi ai singoli moduli, vedere[Autorizzazioni richieste per lo strumento di rilevamento](discovery-tool-permissions.md).
**Hyper-V credenziali**
+ Utilizza account di servizio dedicati con autorizzazioni di Hyper-V gestione minime.
+ Evita di utilizzare account di amministratore di dominio.
+ Hyper-V le credenziali supportano l'autenticazione NTLM (solo HTTPS) e Kerberos.
+ Lo strumento di rilevamento archivia le credenziali crittografate a riposo utilizzando SQLCipher.
**Credenziali Oracle**
+ Utilizza un account di servizio dedicato in sola lettura con solo SELECT\_CATALOG\_ROLE. Non utilizzare i privilegi DBA, SYSDBA o SYSOPER.
+ Lo strumento di rilevamento esegue solo operazioni di lettura e non scrive mai nel database Oracle.
+ Lo strumento di rilevamento non accede alle visualizzazioni di Diagnostics Pack o Tuning Pack, quindi non è richiesta alcuna licenza Oracle aggiuntiva.
+ Ruota regolarmente la password dell'account del servizio Oracle e aggiorna la credenziale nello strumento di scoperta.
## Archiviazione delle credenziali
Lo strumento di rilevamento crittografa le credenziali archiviate a riposo utilizzando una chiave di crittografia del database. Su sistemi con systemd 250 o versioni successive, questa chiave viene crittografata utilizzando systemd-creds. Nei sistemi più vecchi, la chiave viene archiviata come file protetto da autorizzazioni. In entrambi i casi, un utente malintenzionato con accesso root all'host dello strumento di rilevamento potrebbe accedere alla chiave di crittografia e decrittografare le credenziali archiviate. Limita l'accesso all'host dello strumento di rilevamento e trattalo come un sistema privilegiato nel tuo ambiente.
## Usare la Auto-Connect funzionalità con cautela
Lo strumento di rilevamento utilizza due meccanismi per assegnare le credenziali ai server durante la *OS-level raccolta*: connessione automatica e manuale. OS-level la raccolta include i moduli Network, SQL Server, Oracle Database e OS Metrics. Questi moduli si connettono a singoli server da tutte le fonti, incluse VM VMware, Hyper-V VM e server importati.
**Manuale**: un server può essere associato manualmente a una credenziale specifica. In questo caso, lo strumento di scoperta utilizza solo quella credenziale, indipendentemente dal successo o dal fallimento. È necessario monitorare manualmente lo stato della raccolta per quel server e apportare modifiche.
**Auto-connect**: se nessuna credenziale è associata manualmente al server, lo strumento di rilevamento utilizza il meccanismo di connessione automatica per quel server. Ciò significa:
+ All'inizio di ogni round di raccolta, lo strumento di rilevamento ottiene un elenco di credenziali disponibili per quel server (in base ai tipi di sistema operativo) e configurate anche per essere «connettibili automaticamente».
+ Lo strumento di rilevamento verifica quindi tutte le credenziali rispetto al server in un ciclo.
+ Se viene trovata una credenziale funzionante, il ciclo di raccolta per il server ha esito positivo. Lo strumento di scoperta la ricorda e la prova per primo la prossima volta.
+ Se non viene trovata alcuna credenziale funzionante, il ciclo di raccolta per il server non è riuscito.
+ Modulo di rete: il server utilizza una pianificazione di backoff, iniziando il prossimo round di raccolta tra 3 minuti, 30 minuti, 2 ore e 6 ore dopo ogni errore (simile al backoff esponenziale).
+ Raccolta SQL Server: lo strumento di rilevamento non riprova. Effettua un tentativo per server ogni giorno.
**Impacts/Risks**:
Usa la connessione automatica solo quando sei sicuro che i rischi siano mitigati nel tuo sistema:
**Rischio 1**: con la connessione automatica configurata su più credenziali errate, provarle automaticamente contro i server potrebbe innescare il blocco degli account per gli ambienti di produzione in cui sono configurate le politiche di blocco. Ad esempio, un data center può impostare il blocco delle proprie macchine virtuali dopo 3 tentativi di accesso SSH falliti. In questo caso, se la connessione automatica è configurata per 3 credenziali SSH errate, si verificherebbero blocchi legittimi degli account. Se si verificano blocchi su più sistemi, i processi aziendali critici potrebbero risentirne, causando potenzialmente guasti a cascata nei sistemi dipendenti. Inoltre, i Security Operations Center potrebbero subire tempeste di allarmi in caso di errori di autenticazione di massa, generando incidenti di sicurezza falsi positivi che esauriscono le risorse e possono mascherare attacchi reali.
**Rischio 2**: un utente con accesso allo strumento di rilevamento (conosce la password dello strumento di rilevamento) può utilizzare credenziali del sistema operativo con forza bruta su tutti i server, configurando un gran numero di credenziali di test e utilizzando la connessione automatica per trovare quelle di successo.
**Mitigazioni:**
Seguire queste linee guida:
+ Assicurati che la password dello strumento di rilevamento sia adeguatamente protetta e nota solo agli attori autorizzati
+ Assicurati che vengano inserite le credenziali corrette per l'ambiente se sono in atto politiche di blocco. Consigliamo di configurare solo credenziali funzionanti note anche se le policy di blocco degli account sono assenti per garantire un carico operativo minimo sulle singole macchine virtuali.
+ "Auto-connect" è una funzionalità opzionale. Non selezionatela e utilizzate l'assegnazione manuale delle credenziali se il blocco degli account rappresenta un problema per l'ambiente.
## Sicurezza dell'importazione in formato CSV
Quando importi server utilizzando un file CSV, considera le seguenti implicazioni di sicurezza:
+ Il file CSV potrebbe contenere nomi host o indirizzi IP di server interni. Trattali come dati sensibili.
+ Le `oracle_credential_name` colonne `os_credential_name` e fanno riferimento alle credenziali preconfigurate utilizzando un nome descrittivo. Il file CSV non contiene segreti.
+ All-or-nothing convalida: se una riga del file CSV non è valida, l'intero caricamento viene rifiutato. In questo modo si evitano importazioni parziali che potrebbero creare confusione.
+ I server importati sono immediatamente visibili nell'inventario e idonei alla raccolta. Assicurati che le credenziali del sistema operativo e Oracle abbiano un ambito corretto prima dell'importazione.
## Considerazioni sulla revoca dell'accesso
Quando si revoca l'accesso, l'eliminazione è limitata alla fonte specifica:
+ La revoca dell'accesso a vCenter elimina solo i dati vCenter. Non influisce sui Hyper-V dati del server né li importa.
+ La revoca dell' Hyper-V accesso elimina solo i dati. Hyper-V Non influisce su VMware o sui dati del server importati.
+ L'eliminazione dei server importati li rimuove dall'inventario, ma i dati di raccolta a valle (rete, database, metriche del sistema operativo) vengono conservati.
+ Per rimuovere tutti i dati di inventario specifici dell'origine, è necessario revocare o eliminare ogni fonte in modo indipendente. I dati di raccolta a valle (rete, database, metriche del sistema operativo) vengono conservati anche dopo la revoca di tutte le fonti.