Guia de implementação do ArcGIS Enterprise

Os seguintes detalhes descrevem melhores práticas ao implantar o ArcGIS Enterprise.

Configurações de segurança do aplicativo

As seguintes melhores práticas são recomendadas para instâncias de proteção do ArcGIS Enterprise. Dependendo do seu caso de uso específico, é recomendado que você aplique as seguintes configurações de nível do aplicativo na sua implementação do ArcGIS Enterprise:

• Requer HTTPS através da sua implementação do ArcGIS Enterprise.
  • Exibir HTTPS codifica e protege seus dados em trânsito.
• Não exponha interfaces do ArcGIS Server Manager, Server Admin ou Portal Admin ao público.
  • Isto pode ser realizado ao implantar um adaptor da web ou proxy reverso.
• Desabilite os diretórios do Portal e Serviços para sistemas de produção.
  • O Diretório de Serviços pode ser uma ferramenta de desenvolvimento útil; no entanto, a Esri recomenda que você desabilite o Diretório de Serviços para sistemas de produção quando não desejar que os usuários naveguem na sua lista de serviços, encontrem seus serviços em uma pesquisa na web ou façam solicitações aos seus serviços por meio de formulários HTML.
• Desabilite operações de consulta do serviço (onde possível).
  • Se operações de consulta não forem exigidas para um serviço em particular, elas deverão ser desabilitadas para minimizar a superfície de ataque potencial.
• Desative a conta do Administrador do Site Primário do ArcGIS Server (PSA) e degrade ou exclua a Conta do Administrador Inicial do Portal for ArcGIS (IAA).
  • A desativação das contas padrões garante um caminho de acesso singular para administradores identificados no armazenamento de identidade enterprise e fornece responsabilidade adicional.
• Limite o uso de bancos de dados comerciais em seu site da web.
  • Não permita acesso direito de usuários públicos (ou indiretos) no banco de dados enterprise. Um arquivo geodatabase pode ser um intermediário útil e ajudar a mitigar ataques de injeção de SQL potenciais.
• Habilitar consultas de SQL padronizadas.
  • Habilite esta opção de segurança no ArcGIS Enterprise para fornecer uma maior proteção contra ataques de injeção do SQL.
• Restringir pedidos de domínio cruzado.
  • Restrinja o uso de recursos do ArcGIS Enterprise somente para aplicativos hospedados em uma lista segura de domínios confiáveis.
• Utilize o serviço de impressão do ArcGIS Online em vez do ArcGIS Server para aplicativos voltados para o público (acessível fora do Firewall corporativo).
  • Isto ativa os pedidos offload para a infraestrutura de nuvem e evita pedidos do serviço da web diretamente para um ArcGIS Server interno.
  • Se você tiver que utilizar o serviço de impressão externamente do ArcGIS Server, sempre desenvolva o ArcGIS Enterprise voltado para o público no DMZ e não interiormente em uma rede confiável.

Para detalhes, consulte Segurança melhores práticas para ArcGIS Server e Melhores práticas de segurança do Portal for ArcGIS.

Atualizações de segurança

Vulnerabilidades de risco moderado a alto são tratadas como parte de correções de segurança padrão, que são lançadas para versões de suporte de longo prazo (LTS) dos produtos ArcGIS Enterprise que ainda estão nas fases de Disponibilidade Geral e Suporte Estendido. O risco é determinado através de pontuação interna utilizando a fórmula CVSSv3. Consulte as definições do ciclo de vida de produtos da Esri para as fases de suport e a postagem do blog Atualizar para Ciclo de Vida de Produtos da Esri descrevendo versões de STS e LTS.

Vulnerabilidades explanatórias críticas e comprovadas são raras em produtos da Esri. Quando uma vulnerabilidade crítica e explorável comprovada é descoberta no software da Esri, a Esri pode lançar um patch para todas as versões atualmente suportadas do software ArcGIS afetado, independentemente de sua fase de suporte ou disponibilidade de versões de suporte de longo prazo (LTS).

Os patches de segurança lançados para ArcGIS Enterprise são cumulativos e incluem todos os patches de segurança anteriores lançados para a versão ArcGIS Enterprise, os destinos do patch.

Autenticação

A autenticação envolve verificar as credenciais em uma tentativa de conexão para confirmar a identidade do cliente.

• Exige autenticação de serviços do ArcGIS Enterprise utilizando autenticação em série da web ou GIS. Se estiver usando o Portal for ArcGIS federado com seu ArcGIS Server, seus clientes também têm a opção de utilizar logins específicos da organização usando SAML 2.0 ou OpenID connect.
  • Autenticação em série do GIS—Utiliza autenticação de modelo do ArcGIS Token e o armazenamento de usuário embutido.
  • Autenticação em série da web—Utiliza qualquer autenticação suportada pelo servidor da web, como Autenticação Integrada do Windows ou utilize uma Infraestrutura de Chave Pública (PKI) existente da organização.
  • Logins específicos da organização—Se o Portal for ArcGIS estiver associado ao ArcGIS Server como parte de uma implantação do ArcGIS Enterprise, também há a opção de usar logins SAML ou Open ConnectID.
    • Integrar com Provedor de Identidade (IdP) do SAML ou OpenID Connect para fornecer Registro Único da Web.
    • SAML e OpenID connect são padrões abertos para troca segura de dados de autenticação entre um IdP e um provedor de servidor (neste caso, Portal for ArcGIS).

Autorização

A autorização é o processo pelo o qual as permissões de cliente são verificadas antes de acessar um recurso ou executar uma função específica.

• Executar Controle de Acesso Baseado em Papel (RBAC).
  • Utilize um modelo com menos privilégios para gerenciamento de papel no ArcGIS Enterprise
  • Somente atribua privilégios necessários para um usuário executar suas funções exigidas.
• Os papéis padrão que existem no ArcGIS Server são os seguintes:
  • Administrator
  • Publisher
  • Usuário
• Se estiver utilizando o Portal for ArcGIS, é recomendado que você utilize papéis personalizados com base em um princípio de menor privilégio para definir mais granularmente o acesso do usuário.

Criptografia

A criptografia é o processo de transformar dados de forma que sejam ilegíveis por aqueles sem acesso para uma chave de decodificação.

• Codifique dados em trânsito ativando HTTPS no ArcGIS Enterprise.
  • Utilize TLS 1.2.
  • Utilize infraestrutura de certificado existente e certificados assinados por uma autoridade de certificação de terceiros confiável.
• Codifique dados em repouso (se possível) particularmente para conjuntos de dados importantes.
  • Para Bancos de Dados, considere utilizar Criptografia de Dados Transparente (TDE).
  • Para repositórios de arquivo, considere utilizar criptografia de disco completa.
• Utilize algoritmos de criptografia fortes.
  • A criptografia é um campo em constante mudança, e algoritmos mais antigos continuarão a ser considerados inseguros.
  • Monitore corpos padrão como NIST para recomendações.

Registro e auditoria

O registro envolve gravar eventos de interesse a partir de um sistema. A auditoria é a prática de inspecionar estes logs para garantir que o seu sistema está funcionando da forma desejada ou para responder uma pergunta específica sobre uma transação em particular que aconteceu.

• Log de eventos de interesse como quem está publicando serviços.
• Garanta que o registro seja utilizado pelo sistema no aplicativo, sistema operacional, e camadas da rede.
• Garanta que os logs sejam revisados em um-intervalo definido da organização.
• O uso de uma Informações de Segurança e Gerenciamento de Evento (SIEM) é benéfico para ajudar em correlação automática.

Estabilização

Estabilização é o processo de configurar sistemas de forma segura para mitigar tantos riscos de segurança forem possíveis. A superfície de ataque pode ser minimizada em um sistema determinado pelo seguinte:

• Implementar um nível de aplicativo sólido como o guia mencionado acima.
• Remover software desnecessário.
• Desabilitar serviços desnecessários.
• Consultar aplicativoadicional-específico para enfatizar diretrizes, como o ArcGIS Server STIG da Esri.
• Políticas da Linha de Base do Fornecedor de SO, utilizando ferramentas como Microsoft Security Compliance Toolkit.
• Revisar diretrizes de segurança independentes, como CIS Security Benchmarks.

Validação de segurança do ArcGIS Server

O script Scan.pydo servidor está localizado no diretório <ArcGIS Server installation location>/tools/admin. Execute o script a partir da linha de comandos ou shell. Você pode especificar parâmetros ao executar o script.

Se você executar o script serverScan.py sem especificar quaisquer parâmetros, você será solicitado para inseri-los manualmente ou selecionar o valor padrão. Para utilizar um token, você deverá fornecê-lo como um parâmetro ao executar o script.

O escaneamento gere um relatório no formato de HTML que lista qualquer um dos problemas acima que foram localizados no site do ArcGIS Server especificado.

Por padrão, o relatório é salvo na mesma pasta onde você executa o script e é denominado serverScanReport_[hostname]_[date].html.

Validação de segurança do Portal for ArcGIS

O script portalScan.py está localizado no diretório <Portal for ArcGIS installation location>\tools\security . Execute o script a partir da linha de comandos ou shell. Você pode especificar um ou mais parâmetros ao executar o script.

Se você executar o script portalScan.py sem especificar quaisquer parâmetros, você será solicitado para inseri-los manualmente ou selecionar o valor padrão. Para utilizar um token, você deverá fornecê-lo como um parâmetro ao executar o script.

O escaneamento gere um relatório no formato de HTML que lista qualquer um dos problemas acima que foram localizados no portal especificado.

Por padrão, o relatório é salvo na mesma pasta onde você executa o script e é denominado portalScanReport_[hostname]_[date].html.

Recursos adicionais

Informações adicionais de melhores práticas do ArcGIS Server podem ser localizadas na documentação do produto.