Toto téma popisuje některé osvědčené postupy pro nasazení aplikace ArcGIS Desktop. Důležitá poznámka: produkty ArcGIS Desktop mají vlastní certifikaci v souladu s předpisy United States Government Configuration Baseline (USGCB, dříve FDCC). ArcGIS Pro (1.4.1 a vyšší verze) má také vlastní certifikaci USGCB. Další informace naleznete v části Dodržování standardů.
Ochranné prvky pro stolní počítače
Zvažte nasazení a nakonfigurování následujících řešení pro klienty využívající stolní počítače za účelem zmírnění potenciálního rizika:
- Antivirus
- Firewall
- Systémy detekce narušení (IDS)
Ověřování
Proces ověřování zahrnuje ověření přihlašovacích údajů během pokusu o přihlášení a jeho cílem je potvrdit totožnost klienta. Použít lze řešení ověřování pomocí jednotného přihlášení (SSO) nebo federované řešení.
- Pokud používáte aplikaci ArcGIS Desktop, lze pro jednotné přihlášení použít také Integrované ověřování systému Windows.
- Pokud používáte aplikaci ArcGIS Pro, přejděte do kapitoly Správa připojení k portálu prostřednictvím aplikace ArcGIS Pro.
Autorizace
Autorizace je proces, v rámci kterého se před udělením přístupu ke zdroji ověřují oprávnění klienta. Dochází k němu po úspěšném ověření. Je důležité zavést princip přiřazování oprávnění na nejnižší možné úrovni a řízení přístupu na základě role. Architektura aplikace ArcGIS Desktop tradičně zahrnuje interakci mezi klientským stolním počítačem a centralizovaným zdrojem, například systémem pro správu relačních databází (RDBMS). Je proto důležité zvážit, jakým způsobem jsou udělována oprávnění na úrovních databáze. Uživatelská oprávnění lze nastavit na různých úrovních, jako jsou například:
- Systém správy databází (DBMS)
- Oprávnění na této úrovni ovlivňují celý systém správy databází. Obecně se to týká pouze administrátorů databází, kteří mohou potřebovat přístup ke všem objektům v systému a mít možnost je spravovat.
- Databáze
- Oprávnění na této úrovni určují, co mohou určití uživatelé nebo skupiny uživatelů v rámci geodatabáze dělat.
- Verze geodatabáze
- Oprávnění lze používat ke správě přístupu k verzím geodatabází. Jde o zvláštní typ oprávnění, který se nenastavuje prostřednictvím DBMS. Další informace naleznete v kapitole Vytváření verzí a nastavování oprávnění.
- Datová sada
- Oprávnění datové sady určují, co mohou uživatelé dělat s konkrétní datovou sadou, například provádět příkazy Výběr, Aktualizovat, Vložit nebo Smazat. Další informace naleznete v kapitole Vytváření verzí a nastavování oprávnění.
Šifrování
Při šifrování jsou data přeměněna tak, aby nebyla čitelná osobami bez dešifrovacího klíče.
- Šifrujte přenášená data šifrováním veškeré příchozí a odchozí komunikace prostřednictvím protokolu HTTPS (TLS 1.2 a novější).
- Využijte existující certifikační infrastrukturu a důvěryhodné certifikáty podepsané důvěryhodnými certifikačními autoritami třetích stran
- Šifrujte uložená data (je-li to možné).
- V případě pracovních stanic zvažte šifrování celého disku.
- V případě databází zvažte použití technologie TDE (Transparent Data Encryption).
- V případě úložišť souborů zvažte šifrování celého disku.
- Ujistěte se, že používáte silné šifrovací algoritmy.
- Kryptografie se neustále vyvíjí a starší algoritmy již nemusí být bezpečné.
- Sledujte doporučení orgánů spravujících standardy, jako je například NIST.
Vytváření protokolů a postupy kontrol
Vytváření protokolů zahrnuje zaznamenávání významných událostí v rámci systému. Postupy kontrol zahrnují kontrolu těchto záznamů za účelem ověření, že systém funguje správně, nebo zodpovězení určitých otázek týkajících se konkrétních transakcí.
- Vytvářejte protokoly s událostmi, jako jsou úspěšná přihlášení, neúspěšná přihlášení a další události stanovené podle zásad organizace.
- Zvažte vytváření protokolů událostí na úrovni aplikace, operačního systému nebo sítě.
- Zvažte použití řešení vzdáleného systému správy bezpečnostních informací a událostí za účelem provádění analýzy a zjišťování korelace událostí. To pomůže při detekci potenciálně škodlivé činnosti.
Posílení zabezpečení
Posílení zabezpečení je proces bezpečné konfigurace systému za účelem zmírnění co největšího počtu bezpečnostních rizik. Prostor pro útok na jednotlivých systémech je možné minimalizovat následujícími způsoby:
- Implementací posílení zabezpečení na úrovní aplikací, jako jsou například výše zmíněná doporučení.
- Odstraněním nepotřebného softwaru.
- Zakázáním nepotřebných služeb.
- Použitím obrazu s posíleným zabezpečením. Produkty ArcGIS Desktop a ArcGIS Pro jsou certifikovány výrobcem podle předpisu United States Government Configuration Baseline (USGCB, dříve známého jako FDCC).