La siguiente información describe las prácticas recomendadas a la hora de implementar ArcGIS Enterprise.
Ajustes de seguridad de la aplicación
Se recomiendan las siguientes prácticas para instancias afianzadas de ArcGIS Enterprise. En función de su caso de uso específico, se recomienda que aplique la siguiente configuración a nivel de aplicación a su implementación de ArcGIS Enterprise:
- Exija HTTPS en toda su implementación de ArcGIS Enterprise.
- Al exigir HTTPS, sus datos en tránsito están cifrados y protegidos.
- No exponga las interfaces de ArcGIS Server Manager, Server Admin ni Portal Admin al público.
- Esto se puede lograr implementando el Web Adaptor o un proxy inverso.
- Deshabilite los directorios de servicios y de portal de los sistemas de producción.
- El directorio de servicios puede ser una herramienta de desarrollo útil, aunque Esri recomienda deshabilitar el Directorio de servicios para los sistemas de producción cuando no desee que los usuarios naveguen por la lista de servicios, la búsqueda de sus servicios Web en una búsqueda, o hacer peticiones a sus servicios a través de formularios HTML.
- Deshabilite el servicio de operaciones de consulta (cuando sea factible).
- Si no se requieren operaciones de consulta para un servicio concreto, deben estar deshabilitadas para minimizar la superficie de ataque potencial.
- Deshabilite la cuenta de administrador principal del sitio (PSA) de ArcGIS Server y despoje o elimine la cuenta de administrador inicial (IAA) de Portal for ArcGIS.
- Al deshabilitar las cuentas predeterminadas, se garantiza una ruta de acceso singular para los administradores identificados en el almacén de identidades corporativas y se proporciona una responsabilidad adicional.
- Limite el uso de bases de datos comerciales en el sitio web.
- No permita que los usuarios públicos accedan directamente (o indirectamente) a la base de datos corporativa. Una geodatabase de archivos puede ser un intermediario útil y contribuir a reducir posibles ataques por inyección de SQL.
- Habilite las consultas SQL estandarizadas.
- Habilite esta opción de seguridad en ArcGIS Enterprise para proporcionar mayor protección contra los ataques por inyección de SQL.
- Restrinja las solicitudes entre dominios.
- Restrinja el uso de recursos de ArcGIS Enterprise a las aplicaciones alojadas únicamente en dominios permitidos de confianza.
- Utilice el servicio de impresión de ArcGIS Online en vez del servicio de impresión de ArcGIS Server en las aplicaciones de cara al público (accesibles fuera del firewall corporativo).
- Esto permite descargar las solicitudes en la infraestructura de nube y evitar las solicitudes de servicio Web directamente en un ArcGIS Server interno.
- Si tiene que utilizar el servicio de impresión de ArcGIS Server externamente, implemente siempre ArcGIS Enterprise orientado al público en DMZ y no internamente en una red de confianza.
Para obtener más información, consulte Prácticas recomendadas de seguridad para ArcGIS Server y Prácticas recomendadas de seguridad para Portal for ArcGIS.
Actualizaciones de seguridad
Las vulnerabilidades de nivel de riesgo moderado-alto se corrigen como parte de los parches de seguridad estándar, que se publican para las versiones de soporte a largo plazo (LTS) de productos de ArcGIS Enterprise que siguen en las fases de Disponibilidad general y Soporte ampliado. El riesgo se determina con una puntuación interna que utiliza la fórmula CVSSv3.1. Consulte las definiciones del ciclo de vida de los productos de Esri sobre las fases de soporte y la entrada de blog Actualizar a ciclo de vida del producto ArcGIS Enterprise que describe las versiones STS y LTS.
Es difícil encontrar en los productos de Esri vulnerabilidades críticas y que realmente se puedan explotar. En caso de descubrir vulnerabilidades de este tipo en el software de Esri, Esri puede publicar un parche para todas las versiones admitidas en esos momentos del software de ArcGIS afectado, independientemente de su fase de soporte o disponibilidad de versiones de soporte a largo plazo (LTS).
Los parches de seguridad publicados para ArcGIS Enterprise son acumulativos e incluyen todos los parches de seguridad anteriores publicados para la versión ArcGIS Enterprise a la que se dirige el parche.
Autenticación
La autenticación implica verificar las credenciales de un intento de conexión para confirmar la identidad del cliente.
- Exija la autenticación en los servicios de ArcGIS Enterprise utilizando la autenticación de nivel SIG o nivel web. Si utiliza Portal for ArcGIS federado con su ArcGIS Server, los clientes también tienen la opción de utilizar los inicios de sesión específicos de la organización utilizando SAML 2.0 u OpenID Connect.
- Autenticación en el nivel SIG: utiliza la autenticación del modelo de token de ArcGIS y el almacén de usuario integrado.
- Autenticación de nivel web: utiliza cualquier autenticación que admita el servidor web, como la Autenticación integrada de Windows o usa la infraestructura de clave pública (PKI) existente de una organización.
- Inicios de sesión específicos de organizaciones: si Portal for ArcGIS está federado con ArcGIS Server como parte de una implementación de ArcGIS Enterprise, también existe la opción de utilizar inicios de sesión de SAML o de Open ConnectID.
- Se puede integrar con un proveedor de identidad (IdP) SAML 2.0 u OpenID Connect para proporcionar un inicio de sesión web único.
- SAML y OpenID Connect son estándares abiertos para intercambiar de forma segura los datos de autenticación entre un IdP y un proveedor de servicios (en este caso, Portal for ArcGIS).
Autorización
La autorización es el proceso por el cual los permisos de los clientes se verifican antes de acceder a un recurso o realizar una función específica.
- Ejecute Control de acceso basado en roles (RBAC).
- Use un modelo de privilegios mínimos para administrar los roles en ArcGIS Enterprise.
- Asigne únicamente los privilegios necesarios para que un usuario realice las funciones requeridas.
- Los roles predeterminados que existen en ArcGIS Server son los siguientes:
- Administrador
- Publicador
- Usuario
- Si utiliza Portal for ArcGIS, se recomienda utilizar roles personalizados basados en un principio de privilegios mínimos para definir con más detalle el acceso del usuario.
Cifrado
El cifrado es el proceso de transformación de los datos de modo que sean ilegibles para los que no tienen acceso a la clave de descifrado.
- Cifre los datos en tránsito habilitando HTTPS en ArcGIS Enterprise.
- Utilice TLS 1.2.
- Utilice la infraestructura de certificados y los certificados existentes firmados por una autoridad de certificación externa de confianza.
- Cifre los datos sin actividad (según sea factible), especialmente los datasets confidenciales.
- Para las bases de datos, considere la posibilidad de utilizar el cifrado de datos transparente (TDE).
- Para los repositorios de archivos, considere la posibilidad de utilizar cifrado en el disco completo.
- Utilice algoritmos de cifrado potentes.
- El cifrado es un campo que cambia constantemente, y los algoritmos antiguos se seguirán considerando inseguros.
- Siga las recomendaciones de organismos de normalización como NIST.
Registro y auditoría
El registro implica grabar los eventos de interés de un sistema. La auditoría es la práctica de inspeccionar esos registros para asegurarse de que el sistema funciona de la forma deseada o para dar respuesta a una pregunta específica acerca de una transacción concreta que se ha producido.
- Registre eventos de interés, por ejemplo, quién publica servicios.
- Asegúrese de utilizar los registros en todo el sistema, en las capas de la aplicación, el sistema operativo y la red.
- Asegúrese de que los registros se revisan en un intervalo definido por la organización.
- El uso de una solución de gestión de información de seguridad y eventos (SIEM) es beneficioso para la correlación automática.
Endurecimiento
El endurecimiento es el proceso de configurar los sistemas de forma segura para reducir tantos riesgos de seguridad como sea posible. La superficie de ataque puede minimizarse en un sistema determinado si realiza lo siguiente:
- Implemente endurecimiento en el nivel de la aplicación, tal como se ha mencionado anteriormente en la guía.
- Elimine el software innecesario.
- Deshabilite los servicios innecesarios.
- Consulte guías de endurecimiento adicionales y específicas de la aplicación, por ejemplo, la STIG de ArcGIS Server de Esri.
- Políticas de línea base de proveedores de SO, con herramientas tales como el Kit de herramientas de cumplimiento de seguridad de Microsoft.
- Repase las guías de seguridad independientes, como el Banco de pruebas de seguridad de CIS.
Validación de seguridad de ArcGIS Server
El script serverScan.py se encuentra en el directorio <ArcGIS Server installation location>/tools/admin. Ejecute el script desde la línea de comandos o shell. Puede especificar parámetros al ejecutar el script.
Si el script serverScan.py se ejecuta sin especificar parámetros, se le pide que los introduzca manualmente o que seleccione un valor predeterminado. Para utilizar un token, debe proporcionarlo como un parámetro al ejecutar el script.
El escaneo genera un informe en formato HTML que enumera los problemas anteriores encontrados en el sitio de ArcGIS Server especificado.
De forma predeterminada, el informe se guarda en la misma carpeta donde ejecutó el script y se llama serverScanReport_[hostname]_[date].html.
Validación de seguridad de Portal for ArcGIS
El script portalScan.py se encuentra en el directorio <Portal for ArcGIS installation location>\tools\security. Ejecute el script desde la línea de comandos o shell. Puede especificar uno o varios parámetros al ejecutar el script.
Si ejecuta el script portalScan.py sin especificar parámetros, se le pide que los introduzca manualmente o que seleccione un valor predeterminado. Para utilizar un token, debe proporcionarlo como un parámetro al ejecutar el script.
El análisis genera un informe con formato HTML en el que se muestra una lista de los problemas anteriores que se han encontrado en el portal especificado.
De forma predeterminada, el informe se guarda en la misma carpeta donde ejecutó el script y se llama portalScanReport_[hostname]_[date].html.
Recursos adicionales
Puede encontrar información adicional sobre las prácticas recomendadas para ArcGIS Server en la documentación del producto.