ArcGIS Enterprise -toteutusopas

Seuraavassa kuvataan ArcGIS Enterprisen parhaat toteutuskäytännöt.

Sovelluksen suojausasetukset

Seuraavia parhaita käytäntöjä suositellaan ArcGIS Enterprisen vahvistettuja esiintymiä varten. Käyttötilanteen mukaan on suositeltavaa, että asiakkaat käyttävät seuraavia sovellustason asetuksia ArcGIS Enterprise -toteutuksessaan:

• ArcGIS Enterprise -toteutuksessa on edellytettävä HTTPS-protokollaa.
  • Siirrettävät tiedot on salattava ja suojattava HTTPS-protokollalla.
• Älä paljasta ArcGIS Server Manager-, Server Admin- tai Portal Admin -käyttöliittymiä julkisuuteen.
  • Tämä voidaan saavuttaa ottamalla käyttöön Web Adaptor tai käänteinen välityspalvelin.
• Poista käytöstä Palvelut- ja Portaali-hakemistot tuotantojärjestelmissä.
  • Palvelut-hakemisto voi olla hyödyllinen kehitystyökalu. Esri suosittelee kuitenkin, että poistat käytöstä tuotantojärjestelmien Palvelut-hakemiston, jos et halua, että käyttäjät selaavat palveluluetteloasi, etsivät palvelujasi web-haun avulla tai luovat pyyntöjä palveluihisi HTML-lomakkeiden kautta.
• Poista käytöstä palvelun kyselytoiminnot (mahdollisuuksien mukaan).
  • Jos kyselytoimintoja ei tarvita tietyssä palvelussa, poista ne käytöstä. Näin saat vähennettyä hyökkäyksille alttiita järjestelmän osia.
• Poista ArcGIS Serverin sivuston pääkäyttäjän ensisijainen tili (PSA) käytöstä tai alenna tai poista Portal for ArcGISin alkuperäinen järjestelmänvalvojan tili (IAA).
  • Oletustilien poistaminen käytöstä varmistaa yhden käyttöpolun yrityksen identiteettivarastossa määritetyille pääkäyttäjille ja erittelee vastuut selkeämmin.
• Rajoita kaupallisten tietokantojen käyttöä verkkosivustoissasi.
  • Älä salli julkisille käyttäjille suoraa (tai epäsuoraa) pääsyä yritystietokantaan. File Geodatabase voi olla hyödyllinen välittäjä, ja se voi auttaa mahdollisten SQL-injektiohyökkäysten minimoimisessa.
• Ota käyttöön standardoidut SQL-kyselyt.
  • Ota tämä suojausasetus käyttöön ArcGIS Enterprise -sovelluksessa suojautuaksesi tehokkaammin SQL-injektiohyökkäyksiltä.
• Rajoita toimialueiden välisiä pyyntöjä.
  • Rajoita ArcGIS Server -palvelujen käyttö vain niihin sovelluksiin, joita isännöidään luotetuissa toimialueissa.
• Käytä ArcGIS Online -tulostuspalvelua ArcGIS Server -tulostuspalvelun sijasta julkisissa sovelluksissa (jotka ovat käytettävissä yrityksen palomuurin ulkopuolelta).
  • Tämä mahdollistaa kuormittamattomat pyynnöt pilvipalvelujen infrastruktuuriin ja estää suoraan sisäiseen ArcGIS Server -palvelimeen kohdistuvat Web-palvelupyynnöt.
  • Jos ArcGIS Server -tulostuspalvelua on käytettävä palomuurin ulkopuolelta, ota julkinen ArcGIS Enterprise aina käyttöön demilitarisoidulla vyöhykkeellä (DMZ-vyöhykkeellä) äläkä palomuurin sisäpuolella luotetussa verkossa.

Lisätietoja on ArcGIS Serverin suojausta koskevissa parhaissa käytännöissä ja Portal for ArcGISin parhaissa suojauskäytännöissä.

Suojauspäivitykset

Tavalliset suojauskorjaukset sisältävät korjauksia lievän riskitason haavoittuvuuksista suuren riskitason haavoittuvuuksiin, ja korjauksia julkaistaan ArcGIS Enterprise -tuotteiden pitkäaikaisen tuen (LTS) versioille, jotka ovat vielä Yleinen saatavuus- ja Laajennettu tuki -vaiheissa. Riski määritetään sisäisen pisteytyksen avulla käyttämällä CVSSv3.1-kaavaa. Esri-tuotteiden elinkaaren määrityksissä kuvataan tuen eri vaiheet, ja Update to ArcGIS Enterprise Product Lifecycle -blogijulkaisussa kuvataan STS- ja LTS-versiot.

Kriittisiä, todistetusti hyödynnettävissä olevia haavoittuvuuksia esiintyy Esrin tuotteissa harvoin. Kun Esri-ohjelmistossa havaitaan kriittinen, todistetusti hyödynnettävissä oleva haavoittuvuus, Esri voi julkaista korjauksen kaikille sen ArcGIS-ohjelmiston tuetuille versioille, jota ongelma koskee, niiden tuen vaiheesta tai pitkän aikavälin LTS-versioiden saatavuudesta riippumatta.

ArcGIS Enterprisea varten julkaistut korjauspaketit ovat kumulatiivisia, ja ne sisältävät kaikki aikaisemmat korjauspaketit, jotka on julkaistu sille ArcGIS Enterprise -versiolle, jota varten korjaus on tarkoitettu.

Todennus

Todennukseen liittyy yhteydenmuodostusyrityksen tunnistetietojen tarkistus asiakkaan henkilöllisyyden varmistamiseksi.

• Edellytä ArcGIS Enterprise -palvelujen todennusta käyttämällä joko GIS-tason tai Web-tason todennusta. Jos käytössä on Portal for ArcGIS, joka on liitetty ArcGIS Server -palvelimeen, asiakkaat voivat hyödyntää organisaatiokohtaista kirjautumista SAML 2.0:n tai OpenID Connectin avulla.
  • GIS-tason todennus – käyttää ArcGIS-tunnusten mallitodennusta ja sisäistä käyttäjävarastoa.
  • Web-tason todennus – käyttää mitä tahansa Web-palvelimen tukemaa todennusta, kuten integroitua Windows-todennusta, tai hyödyntää organisaation olemassa olevaa julkisten avainten hallintajärjestelmää (PKI).
  • Organisaatiokohtaiset kirjautumiset — jos Portal for ArcGIS on hajautettu ArcGIS Serverissä ArcGIS Enterprise -käyttöönoton osana, voit käyttää myös SAML-kirjautumista tai OpenID Connectia.
    • Integroi SAML 2.0 -identiteetin tarjoajan (IdP) tai OpenID Connectin kanssa, jotta voit tarjota Web-kertakirjautumismahdollisuuden..
    • SAML ja OpenID Connect ovat avoimia standardeja, joiden avulla valtuustietoja voi vaihtaa turvallisesti identiteetin tarjoajan ja palvelimen tarjoajan välillä (tässä tapauksessa Portal for ArcGIS:n kanssa).

Valtuutus

Valtuutus on prosessi, jossa asiakkaan käyttöoikeudet tarkistetaan ennen resurssin käyttöä tai tietyn toiminnon suoritusta.

• Toteuta rooliin perustuva käytönhallinta (RBAC).
  • Käytä vähimmäiskäyttöoikeuksien mallia roolien hallinnassa ArcGIS Enterprisessä.
  • Määritä vain käyttöoikeudet, joilla käyttäjä voi toteuttaa tarvittavat toiminnot.
• ArcGIS Servern oletusroolit ovat seuraavat:
  • Pääkäyttäjä
  • Julkaisija
  • Käyttäjä
• Jos käytössä on Portal for ArcGIS, on suositeltavaa käyttää mukautettuja rooleja pienimpien mahdollisten oikeuksien periaatetta noudattaen. Näin käyttöoikeudet voidaan määrittää tarkemmin.

Salaus

Salauksessa tietoja muunnetaan siten, etteivät henkilöt, joilla ei ole käytössään salauksen purkuavainta, voi lukea tietoja.

• Salaa siirtyvä aineisto ottamalla HTTPS-salaus käyttöön ArcGIS Enterprisessä.
  • Käytä TLS 1.2 -suojausta.
  • Käytä olemassa olevaa varmenneinfrastruktuuria ja varmenteita, jotka on allekirjoittanut luotettava kolmannen osapuolen varmenteen myöntäjä.
• Salaa käyttämätön aineisto (mahdollisuuksien mukaan) erityisesti arkaluonteisten aineistoryhmien tapauksessa.
  • Harkitse tietokantojen tapauksessa TDE (Transparent Data Encryption) -salausta.
  • Harkitse tiedostojen tietovarastojen tapauksessa täyttä levyn salausta.
• Käytä vahvoja salausalgoritmeja.
  • Salaustekniikat muuttuvat jatkuvasti, ja vanhemmat algoritmit muuttuvat helposti riskialttiiksi.
  • Seuraa standardointielimien suosituksia, kuten NIST:n suosituksia.

Kirjaus ja tarkistus

Kirjaus tarkoittaa kiinnostavien tapahtumien tallennusta järjestelmässä. Tarkistuksessa tutkitaan kyseiset lokit sen varmistamiseksi, että järjestelmä toimii halutulla tavalla, tai tiettyyn, tiettyä ilmennyttä tapahtumaa koskevaan kysymykseen vastaamista varten.

• Kirjaa kiinnostavia tapahtumia, kuten se, kuka julkaisee palveluja.
• Varmista lokikirjaus koko järjestelmässä sovellus-, käyttöjärjestelmä-, ja verkkotasolla.
• Varmista, että lokit tarkastetaan organisaation määrittämin aikavälein.
• Suojaustietojen ja tapahtumien hallintajärjestelmän (SIEM) käytöstä on hyötyä automaattisen korreloinnin helpottamisessa.

Tiukennus

Tiukennus on prosessi, jossa järjestelmät määritetään suojatusti mahdollisimman monen suojausriskin poistamiseksi. Hyökkäyksille alttiita määritetyn järjestelmän osa-alueita voidaan vähentää seuraavasti:

• Tiukentamalla sovellustason suojausta, kuten edellä mainituissa ohjeissa on kuvattu.
• Poistamalla tarpeettomat ohjelmistot.
• Poistamalla tarpeettomat palvelut käytöstä.
• Tutustumalla muihin sovelluskohtaisiin tietoturvan kehittämisohjeisiin, jollainen on esim. Esri ArcGIS Server STIG.
• Käyttöjärjestelmätoimittajien peruskäytännöillä käyttäen esimerkiksi Microsoft Security Compliance Toolkit -työkalua.
• Käymällä läpi itsenäiset tietoturvaohjeet, kuten CIS Security Benchmarks.

ArcGIS Server -suojauksen validointi

ServerScan.py-komentosarja sijaitsee hakemistossa <ArcGIS Server installation location>/tools/admin. Suorita komentosarja komentorivillä tai shell-ikkunassa. Voit määrittää parametrit komentosarjaa suorittaessasi.

Jos suoritat serverScan.py-komentosarjan määrittämättä parametreja, sinua pyydetään määrittämään parametrit manuaalisesti tai valitsemaan oletusarvot. Jos haluat käyttää tunnusta, sinun on määritettävä se parametrina komentosarjan suorittamisen yhteydessä.

Tarkistus luo HTML-muotoisen raportin, jossa on lueteltu kaikki edellä mainitut, määritetystä sivustosta ArcGIS Server löydetyt ongelmat.

Oletusarvon mukaan raportti tallennetaan samaan kansioon, jossa komentosarja suoritetaan, ja nimetään muodossa serverScanReport_[hostname]_[date].html.

Portal for ArcGIS -suojauksen validointi

PortalScan.py-komentosarja sijaitsee hakemistossa <Portal for ArcGIS installation location>\tools\security. Suorita komentosarja komentorivillä tai shell-ikkunassa. Voit määrittää yhden tai usean parametrin komentosarjaa suorittaessasi.

Jos suoritat portalScan.py-komentosarjan määrittämättä parametreja, sinua pyydetään määrittämään parametrit manuaalisesti tai valitsemaan oletusarvot. Jos haluat käyttää tunnusta, sinun on määritettävä se parametrina komentosarjan suorittamisen yhteydessä.

Tarkistus luo HTML-muotoisen raportin, jossa on lueteltu kaikki edellä mainitut, määritetystä portaalista löydetyt ongelmat.

Oletusarvon mukaan raportti tallennetaan samaan kansioon, jossa komentosarja suoritetaan, ja nimetään muodossa portalScanReport_[hostname]_[date].html.

Lisäresurssit

Lisätietoja parhaista käytännöistä ArcGIS Server -sovelluksen osalta on tuotteen dokumentaatiossa.