Mirage 文件门户在 Windows Server 2008 或更高版本操作系统上运行。必须保护此主机免遭普通操作系统漏洞的损害。
使用间谍软件筛选器、入侵检测系统和企业策略要求的其他安全措施。
确保所有安全措施均为最新，其中包括操作系统修补程序。
表 1.
代码 MFP01 的保护配置
| 配置元素 |
描述 |
| 代码 |
MFP01 |
| 名称 |
使 Mirage 文件门户保持得到正确修补。 |
| 描述 |
通过持续更新操作系统修补程序，操作系统漏洞便可得到缓解。 |
| 风险或控制 |
如果攻击者获得系统的访问权限，并重新分配对 Mirage 文件门户的特权，则攻击者就可以访问通过 Mirage 文件门户传输的所有文件。 |
| 建议级别 |
企业版 |
| 状况或步骤 |
根据行业标准指导原则或适用的内部准则，采用一个系统以使 Mirage 文件门户的修补程序保持最新。 |
表 2.
代码 MFP02 的保护配置
| 配置元素 |
描述 |
| 代码 |
MFP02 |
| 名称 |
在 Mirage 文件门户主机上提供操作系统保护。 |
| 描述 |
通过提供操作系统级别的保护，操作系统漏洞便可得到缓解。此类保护包括防病毒、反恶意软件以及其他类似措施。 |
| 风险或控制 |
如果攻击者获得系统的访问权限，并重新分配对 Mirage 文件门户的特权，则攻击者就可以访问通过 Mirage 文件门户传输的所有文件。 |
| 建议级别 |
企业版 |
| 状况或步骤 |
根据行业标准指导原则或适用的内部准则提供操作系统保护，例如防病毒软件。 |
表 3.
代码 MFP03 的保护配置
| 配置元素 |
描述 |
| 代码 |
MFP03 |
| 名称 |
限制特权用户登录。 |
| 描述 |
应尽可能减少有权以管理员身份登录到 Mirage 文件门户的特权用户数量。 |
| 风险或控制 |
如果未授权的特权用户获得 Mirage 文件门户的访问权限，则该系统就会面临文件下载遭受未授权修改的风险。 |
| 建议级别 |
企业版 |
| 状况或步骤 |
为某些人创建特定的特权登录帐户。这些帐户应属于本地管理员组。 |
表 4.
代码 MFP04 的保护配置
| 配置元素 |
描述 |
| 代码 |
MFP04 |
| 名称 |
实施管理密码策略。 |
| 描述 |
为所有 Mirage 文件门户设置密码策略。密码中应包括某些参数。
|
| 风险或控制 |
如果未授权的特权用户获得 Mirage 文件门户的访问权限，则该系统就会面临未授权修改的风险。 |
| 建议级别 |
企业版 |
| 状况或步骤 |
为 Mirage 文件门户设置密码策略。 |
表 5.
代码 MFP05 的保护配置
| 配置元素 |
描述 |
| 代码 |
MFP05 |
| 名称 |
移除不必要的网络协议。 |
| 描述 |
Mirage 文件门户只使用 IPv4 通信。应删除其他服务，例如 NFS、Samba 服务器、Novell IPX 的文件和打印机共享，等等。 |
| 风险或控制 |
如果启用了不必要的协议，Mirage 文件门户更容易受到网络攻击。 |
| 建议级别 |
企业版 |
| 状况或步骤 |
在 Mirage 文件门户操作系统的控制面板或管理工具中，移除或卸载不必要的协议。 |
表 6.
代码 MFP06 的保护配置
| 配置元素 |
描述 |
| 代码 |
MFP06 |
| 名称 |
禁用不必要的服务。 |
| 描述 |
Mirage 文件门户需要最少数量的操作系统服务。一旦禁用不必要的服务，安全性就会提高。这样可以防止这些服务在系统引导时自动启动。 |
| 风险或控制 |
如果正在运行不必要的服务，Mirage 文件门户将更容易受到网络攻击。 |
| 建议级别 |
企业。 |
| 状况或步骤 |
确认没有启用服务器角色。禁用所有不需要的服务。在 Server 2008 上，有许多默认会启动但非必需的 Windows 服务。应该禁用这些服务。
- 应用程序体验
- 应用程序管理
- 证书传播
- COM+ 事件系统
- DHCP 客户端
- 分布式链接跟踪客户端
- 分布式事务处理协调器
- 诊断策略服务
- IPsec 策略代理
- 后台打印程序
- 系统事件通知
|
Mirage 文件门户通常部署在 DMZ 或内部数据中心内，以控制潜在的有害网络（如 Internet）上的浏览器访问和用户数据。在 DMZ 或内部数据中心内，务必使用防火墙来控制网络协议访问。
表 7.
代码 MFP07 的保护配置
| 配置元素 |
描述 |
| 代码 |
MFP07 |
| 名称 |
在 DMZ 中使用外部防火墙控制网络访问。 |
| 描述 |
Mirage 文件门户通常部署在 DMZ 内。您必须对允许的协议和网络端口进行控制，才能按照要求尽可能减少与 Mirage 文件门户的通信。Mirage 文件门户会自动发送请求至数据中心内的 Mirage 管理服务器，确保所有转发的流量都是以经过身份验证的用户名义进行的。 |
| 风险或控制 |
允许不必要的协议和端口可能会增加恶意用户攻击的可能性，尤其是用于 Internet 网络通信的协议和端口。 |
| 建议级别 |
在 Mirage 文件门户的任一侧配置防火墙，以便尽可能减少浏览器和 Mirage 数据存储之间所需的协议和网络端口数量。 应将 Mirage 文件门户部署在隔离网络上，以限制帧广播的范围。此配置有助于防止内部网络中的恶意用户监视 Mirage 文件门户与 Mirage 管理服务器之间的通信。 您可能希望使用网络交换机上的高级安全功能，以防止恶意监视 Mirage Gateway 与 Mirage 服务器之间的通信，并防止发生监视攻击，如 ARP Cache Poisonin。 |
| 参数或对象配置 |
有关 DMZ 部署所需的防火墙规则的详细信息，请参见《VMware Mirage 安装指南》。 |
表 8.
代码 MFP08 的保护配置
| 配置元素 |
描述 |
| 代码 |
MFP08 |
| 名称 |
不要在 Mirage 文件门户上使用默认的自签名服务器证书。 |
| 描述 |
如果是首次安装 Mirage 文件门户，则必须准备好签名证书，HTTPS 服务器才能工作。Mirage 文件门户和 HTTPS 服务器要求使用由商业证书颁发机构 (CA) 或组织 CA 签名的 SSL 服务器证书。 |
| 风险或控制 |
使用自签名证书会使 SSL/TSL 连接更容易遭受中间人攻击的风险。向可信 CA 申请签名证书，可降低此类攻击的可能性。 |
| 建议级别 |
企业版 |
| 状况或步骤 |
有关设置 Mirage 文件门户证书的详细信息，请参见《VMware Mirage 安装指南》。 |
| 测试 |
使用漏洞扫描工具连接 Mirage 文件门户。验证是否已获得正确 CA 的签名。 |
