Níže jsou popsány osvědčené postupy pro nasazení ArcGIS Enterprise.
Nastavení zabezpečení aplikace
Níže naleznete seznam doporučených postupů pro posílení zabezpečení instance ArcGIS Enterprise. V závislosti na konkrétním případu použití doporučujeme použít následující nastavení na úrovni aplikace pro implementaci ArcGIS Enterprise:
- Vyžadujte protokol HTTPS v rámci celé implementace ArcGIS Enterprise.
- Pomocí protokolu HTTPS zajistěte šifrování a ochranu přenášených dat.
- Nezpřístupňujte veřejnosti rozhraní ArcGIS Server Manager, Server Admin nebo Portal Admin.
- Toho lze dosáhnout použitím aplikace Web Adaptor nebo reverzního proxy serveru.
- Vypněte produkčním systémům adresáře služeb a Portal.
- Adresář služeb může být užitečným vývojovým nástrojem; Společnost Esri však doporučuje zakázat adresář služeb pro produkční systémy, pokud nechcete, aby uživatelé procházeli váš seznam služeb, nalézali vaše služby ve vyhledávání na webu nebo žádali o vaše služby prostřednictvím HTML formulářů.
- Zakažte na službách dotazovací operace (je-li to možné).
- Pokud nejsou dotazovací operace vyžadovány konkrétní službou, zakažte je, abyste minimalizovali prostor pro možný útok.
- Zakažte účet primárního správce (PSA) ArcGIS Server a odeberte nebo smažte výchozí účet administrátora (IAA) Portal for ArcGIS.
- Zakázáním výchozích účtů zajistíte jednotnou přístupovou cestu pro správce identifikované v úložišti podnikových identit.
- Omezte používání komerčních databází jako podklad pro vaše webové stránky.
- Zabraňte veřejným uživatelům v přímém (i nepřímém) přístupu do enterprise databáze. Souborová geodatabáze představuje užitečný spojovací článek a pomáhá chránit vůči potenciálním útokům prostřednictvím injektáže SQL.
- Povolte standardizované dotazy SQL.
- Povolením této služby zabezpečení v ArcGIS Enterprise poskytnete lepší ochranu vůči útokům prostřednictvím SQL injektáže.
- Omezte požadavky z jiných domén.
- Omezte používání zdrojů ArcGIS Enterprise pouze na aplikace hostované na povolených důvěryhodných doménách.
- U aplikací určených veřejnosti (aplikací nacházejících se mimo korporátní prostředí chráněného bránou firewall) používejte službu tisku ArcGIS Online namísto služby tisku ArcGIS Server.
- To umožňuje přesměrování zátěže požadavků na cloudovou infrastrukturu a zabraňuje to dotazům webových služeb zasílaným přímo do interního prostředí služby ArcGIS Server.
- Pokud službu tisku ArcGIS Server potřebujete používat externě, nasaďte vždy prostředí ArcGIS Enterprise určené veřejnosti do podsítě DMZ, nikoli vnitřně do důvěryhodné sítě.
Podrobnosti naleznete v části Osvědčené postupy zabezpečení pro ArcGIS Server a Osvědčené postupy zabezpečení pro Portal for ArcGIS.
Aktualizace zabezpečení
Řešení středně až vysoce rizikových zranitelností je součástí standardních bezpečnostních opravných souborů (záplat), vydávaných pro dlouhodobě podporované (LTS) verze produktů ArcGIS Enterprise, které jsou stále ve fázi všeobecné dostupnosti a rozšířené podpory. Riziko se stanovuje podle interního hodnocení pomocí vzorce CVSSv3.1. Fáze podpory najdete v Definicích životního cyklu produktu Esri a v příspěvku na blogu Aktualizace životního cyklu produktu ArcGIS Enterprise najdete popis vydání s krátkodobou (STS) a dlouhodobou (LTS) podporou.
Kritická a prokazatelně zneužitelná ohrožení jsou u produktů Esri výjimkou. V případě, že se u softwaru společnosti Esri objeví kritické a prokazatelně zneužitelné ohrožení, může společnost Esri vydat opravný soubor pro všechny aktuálně podporované verze ohroženého softwaru ArcGIS nehledě na fázi jejich podpory nebo dostupnosti vydání s dlouhodobou podporou (LTS).
Bezpečnostní záplaty vydané pro ArcGIS Enterprise jsou kumulativní a zahrnují všechny předchozí bezpečnostní záplaty vydané pro verzi ArcGIS Enterprise, na kterou se záplata vztahuje.
Ověřování
Proces ověřování zahrnuje ověření přihlašovacích údajů během pokusu o přihlášení a jeho cílem je potvrdit totožnost klienta.
- Požadujte ověření ke službám ArcGIS Enterprise použitím ověřování na úrovni GIS nebo na webové úrovni. Pokud vaši zákazníci využívají službu Portal for ArcGIS federovanou s vaší službou ArcGIS Server, mohou také využít přihlašovací údaje specifické pro organizaci používající protokol SAML 2.0 nebo OpenID Connect.
- Vrstvové GIS ověřování: používá model ověřování prostřednictvím tokenů ArcGIS a vestavěného úložiště uživatelů.
- Ověřování ve webové vrstvě používá jakékoli existující ověřovací mechanismy webových serverů, jako je například integrované ověřování systému Windows (IWA) nebo použití stávající infrastruktury veřejných klíčů (PKI) organizace.
- Přihlášení specifická pro organizaci: je-li služba Portal for ArcGIS federována se službou ArcGIS Server v rámci nasazení ArcGIS Enterprise, lze použít také přihlášení SAML nebo Open ConnectID.
- Integrujte prostředí s poskytovatelem identit SAML 2.0 (IdP) nebo OpenID Connect za účelem poskytnutí možnosti jednotného webového přihlášení.
- SAML a OpenID Connect jsou otevřené standardy bezpečné výměny dat mezi poskytovatelem identit a poskytovatelem serveru (v tomto případě služby Portal for ArcGIS).
Autorizace
Autorizace je proces, při kterém jsou před udělením přístupu ke zdroji nebo provedením určité funkce ověřena povolení klienta.
- Používejte systém řízení přístupu na základě role (RBAC).
- Při správě rolí v rámci prostředí ArcGIS Enterprise používejte model přiřazování nejnižší možné úrovně oprávnění.
- Přiřazujte uživatelům pouze oprávnění, která potřebují k vykonávání přidělených funkcí.
- Výchozí role existující v rámci prostředí ArcGIS Server jsou následující:
- Administrátor
- Vydavatel
- Uživatel
- Je-li používána služba Portal for ArcGIS, doporučujeme použít vlastní role založené na principu nejnižšího oprávnění pro detailnější definování přístupu uživatelů.
Šifrování
Při šifrování jsou data přeměněna tak, aby nebyla čitelná osobami bez přístupu k dešifrovacímu klíči.
- Šifrujte přenášená data povolením protokolu HTTPS pro ArcGIS Enterprise.
- Použijte TLS 1.2.
- Využijte existující certifikační infrastrukturu a certifikáty podepsané důvěryhodnými certifikačními autoritami třetích stran.
- Šifrujte uložená data (je-li to možné), především pokud jde o citlivé datové sady.
- V případě databází zvažte použití technologie TDE (Transparent Data Encryption).
- V případě úložišť souborů zvažte šifrování celého disku.
- Používejte silné šifrovací algoritmy.
- Kryptografie se neustále vyvíjí a starší algoritmy již nemusí být nadále bezpečné.
- Sledujte doporučení orgánů spravujících standardy, jako je například NIST.
Vytváření protokolů a postupy kontrol
Vytváření protokolů zahrnuje zaznamenávání významných událostí v rámci systému. Postupy kontrol zahrnují kontrolu těchto záznamů za účelem ověření, že váš systém funguje správně, nebo zodpovězení určitých otázek týkajících se konkrétních transakcí.
- Vytvářejte protokoly významných událostí, například informací o tom, kdo publikuje služby.
- Zajistěte, aby vytváření protokolů probíhalo v rámci celého systému na úrovních aplikace, operačního systému a sítě.
- Ujistěte se, že jsou protokoly kontrolovány v intervalu definovaném organizací.
- Použití systému správy bezpečnostních informací a událostí (SIEM) napomáhá automatické korelaci.
Posílení zabezpečení
Posílení zabezpečení je proces bezpečné konfigurace systému za účelem zmírnění co největšího počtu bezpečnostních rizik. Prostor pro útok na jednotlivých systémech je možné minimalizovat následujícími způsoby:
- Implementujte posílení zabezpečení na úrovni aplikací, jako jsou například výše zmíněná doporučení.
- Odstraňte nepotřebný software.
- Zakažte nepotřebné služby.
- Konzultujte další směrnice k posílení zabezpečení specifických aplikací, jako je například příručka Esri ArcGIS Server STIG.
- Výchozí zásady dodavatele OS, použití nástrojů jako je například Microsoft Security Compliance Toolkit.
- Seznamte se s nezávislými bezpečnostními směrnicemi, jako je například dokument CIS Security Benchmarks.
Ověření zabezpečení ArcGIS Server
Skript serverScan.py je umístěn v adresáři <ArcGIS Server installation location>/tools/admin. Skript spustíte z příkazového řádku nebo shellu. Při spuštění skriptu můžete nastavit parametry.
Pokud spustíte skript serverScan.py bez nastavení parametrů, budete vyzváni k jejich ručnímu zadání nebo výběru výchozí hodnoty. Pokud chcete použít token, musíte jej při spuštění skriptu poskytnut jako parametr.
Skript poté vytvoří zprávu ve formátu HTML, která obsahuje všechny výše uvedené problémy, které byly nalezeny na určené ArcGIS Server site.
Ve výchozím nastavení je zpráva s názvem serverScanReport_[hostname]_[date].html uložena ve stejné složce, v jaké spouštíte skript.
Ověření zabezpečení Portal for ArcGIS
Skript serverScan.py je umístěn v <Portal for ArcGIS installation location>\tools\security adresáři. Skript spustíte z příkazového řádku nebo shellu. Při spouštění skriptu můžete zadat jeden nebo více parametrů.
Pokud spustíte skript portalScan.py bez nastavení parametrů, budete vyzváni k jejich ručnímu zadání nebo výběru výchozí hodnoty. Pokud chcete použít token, musíte jej při spuštění skriptu poskytnut jako parametr.
Skript poté vytvoří zprávu ve formátu HTML, která obsahuje všechny výše uvedené problémy, které byly nalezeny na určeném portálu.
Ve výchozím nastavení je zpráva s názvem portalScanReport_[hostname]_[date].html uložena ve stejné složce, v jaké spouštíte skript.
Další zdroje
Další informace o osvědčených postupech pro ArcGIS Server naleznete v dokumentaci.