System Center 2012 R2 DPM Güvenlik Planlaması

02.28.2014, Makale, System Center Data Protection Manager, by Mustafa Kara, .

Okuma Süresi: 2 dakika

SCDPM 2012 R2 network üzerinde yüksek ayrıcalıklı bir sunucu olarak çalışır. DPM sunucunun güvenliğini sağlamak için, DPM sunucu mimarisini oluşturan Active Directory Domain Services, SQL Server, SQL Server Reporting Servislerinin güvenlik özelliklerinin doğru yapılandırılması gerekmektedir.

DPM sunucu güvenlik mimarisini korumak için:

Tüm varsayılan güvenlik ayarları kabul edilmeli
DPM sunucu üzerine gereksiz yazılımlar yüklenmemeli
DPM kurulduktan sonra güvenlik ayarları değiştirilmemeli. Özellikle SQL Server , IIS ve DCOM ayarları veya DPM sunucu kurulumu sırasında oluşturulan local user ve gruplar değiştirilmemeli.
Uzak SQL Server Local System olarak çalıştırılmamalı.

DPM sunucu üzerine gereksiz yazılımların yüklenmesi ve default güvenlik ayarlarının değiştirilmesi DPM güvenliği tarafında ciddi tehlikelere neden olabilir.

Antivirüs yazılımlarının yapılandırılması

DPM sunucu en popüler antivirüs yazılımları ile uyumludur. Ancak antivirüs yazılımları DPM server performansını etkileyebilir ve düzgün yapılandırılmazsa ise DPM serverin korumuş olduğu Replika ve Recovery Pointlerin bozulmasına neden olabilir.

Virüsler için Real-Time izleme yapılandırılma:

DPM Server üzerindeki performans kayıplarını önlemek için Microsoft Data Protection Manager\DPM\bin klasörünün içerisinde Dpmra.exe çalışmaktadır real-time monitoring kapsamında bulundurulmaması gerekir. Hatta Windows\Microsoft.net\Framework\v2.0.50727. ‘de bulunan csc.exe’de real time monitoring’den hariç tutulmalıdır.

Firewall yapılandırması:

Network yapılandırmasına bağlı olarak, DPM server, korunan bilgisayarlar ve domain controller’ler arasında iletişim kurulan portları firewall tarafında yapılandırmak gerekir. Aşağıdaki tabloda DPM sunucu ve iletişim kuruduğu diğer sistemler arası yapılandırılması gereken portlar belirtilmiştir.

Protokol	Port	Açılama
DCOM	135/TCP Dynamic	DPM sunucu ve Agentler arası karşılıklı.
TCP	5718/TCP 5719/TCP	DPM sunucu ve Agentler arası karşılıklı.
DNS	53/UDP	DPM sunucu ve Domain Controller arası ve Agentler ile Domain Controller Arası.
Kerberos	88/UDP 88/TCP	DPM sunucu ve Domain Controller arası ve Agentler ile Domain Controller Arası.
LDAP	389/TCP 389/UDP	DPM sunucu ve Domain controller arası.
NetBIOS	137/UDP 138/UDP 139/TCP 445/TCP	DPM ve Agentler, DPM ve Domain Controller, Agentler ve Domain Controller arası.

Uygun Kullanıcı Ayrıcalıklarının Verilmesi

DPM sunucu kurulumuna geçmeden önce DPM sunucu üzerindeki belli görevlerin gerçekleştirilebilmesi için uygun kullanıcı haklarının verilmiş olması gerekmektedir.

Aşağıdaki tabloda belli görevleri gerçekleştirmek için kullanıcı üzerinde verilmesi gereken yetkiler belirtilmiştir

Görev	Gerekli Yetki
DPM sunucuyu Active Directory’e dahil etmek	Domain Administrator Account veya domaine bilgisayar ekleme yetkisine sahip bir kullanıcı
DPM sunucuyu yüklemek	DPM server üzerinde Administrator hesabı.
Bilgisayar üzerine DPM agent yüklemek	Agent yüklenecek bilgisayar üzerindeki local administrator grubuna üye bir domain hesabı
DPM administrator konsolunu açmak	DPM server üzerinde Administrator hesabı.
End-user-recovery etkinleştirmek için ADDS schema extend etmek	Domainde schema administrator yetkisine sahip kullanıcı
End-user-recovery için AD içerisinde OU oluşturmak	Domain administrator yetkisine sahip bir kullanıcı
DPM server OU içeriğini değiştirme izni vermek	Domain administrator yetkisine sahip bir kullanıcı
DPM server üzerinde end-user-recovery özelliğini etkinleştirmek	DPM server üzerinde Administrator hesabı.
Client bilgisayarı üzerinde recovery point client yazılımını yüklemek	Kullanıcı bilgisayarı üzerinde local administrator yetkisi
Kullanıcı bilgisayarında korunan datanın önceki sürümlerine erişmek	DPM server üzerindeki korunan paylaşıma erişim yetkisi olan kullanıcı hesabı
Share point Services datalarını recovery etmek	Windows Share Point Services farm administrator account, aynı zamanda agent yüklü olan front-end web serverler üzerinde administrator yetkisi.