Exportar (0) Imprimir
Expandir todo
Expandir Minimizar

Aspectos básicos de seguridad - Escenarios y procedimientos de Microsoft Systems Management Server 2003: seguridad

Aspectos básicos de seguridad

Publicado: enero 9, 4

La seguridad no es un estado absoluto. Los administradores deben dotar a la red de la seguridad necesaria para proteger los activos esenciales sin interrumpir la realización de las funciones diarias del negocio en modo alguno. En ocasiones es posible que un administrador suavice la aplicación de determinados principios de seguridad para cumplir las necesidades empresariales. Sin embargo, esto solamente debe hacerse con unos conocimientos claros sobre los posibles ataques, riesgos, vulnerabilidades y amenazas que implica esta decisión.

Vulnerabilidad Cualquier defecto de producto, proceso administrativo, acto o exposición física que hace a un equipo susceptible a ataques por parte de usuarios malintencionados.

Amenaza Cualquier actividad que representa un peligro potencial para los activos de la empresa.

Ataque Resultado del aprovechamiento de alguna vulnerabilidad del sistema con el fin de provocar daños en los activos de la empresa.

Riesgo Posibilidad de sufrir pérdidas. El riesgo es una parte fundamental de las operaciones. No es algo que deba temerse, sino algo que se debe aprender a administrar.

Esta guía le ayudará a evaluar las amenazas y vulnerabilidades en su entorno de SMS, así como a asignar prioridades a las acciones que puede llevar a cabo para reducir el riesgo. Al introducir software de administración de redes como Systems Management Server (SMS), debe asegurarse que la configuración de SMS en el entorno no introducirá un nivel de riesgo inaceptable.

En esta página

Utilice el proceso de administración de riesgos para determinar el nivel de riesgo aceptable en su entorno. Utilice el proceso de administración de riesgos para determinar el nivel de riesgo aceptable en su entorno.
Asegure físicamente sus equipos. Asegure físicamente sus equipos.
Realice un diseño de defensa integral. Realice un diseño de defensa integral.
Aplique protección contra administradores no autorizados. Aplique protección contra administradores no autorizados.
Asigne el menor número de permisos posible. Asigne el menor número de permisos posible.
Cree y mantenga una línea base segura para todos los sistemas. Cree y mantenga una línea base segura para todos los sistemas.
Use contraseñas seguras y frases cifradas. Use contraseñas seguras y frases cifradas.
Utilice métodos de autenticación seguros. Utilice métodos de autenticación seguros.

Utilice el proceso de administración de riesgos para determinar el nivel de riesgo aceptable en su entorno.

La administración de riesgo es el proceso de identificación y análisis de riesgos que conlleva a la creación de un plan para administrarlos. Debe identificarse el posible origen del riesgo, evaluar la posibilidad de que el riesgo se convierta en daños, asignar un nivel de prioridad al riesgo según el impacto que pueda tener en las prioridades empresariales y, por último, idear un plan que reduzca el riesgo. Todos los riesgos son diferentes y pueden causar daños a distintos niveles. El mayor riesgo relacionado con SMS proviene de su funcionalidad, que podría resultar secuestrada por un usuario no autorizado con el fin de distribuir software a todos los clientes SMS. SMS cuenta con la capacidad para instalar software mediante derechos administrativos, por lo que un atacante podría hacerse con el control de todos los clientes SMS. Adicionalmente, SMS cuenta con la capacidad de recuperar cualquier archivo de cualquier equipo cliente, lo que podría tener consecuencias graves en cuanto a seguridad y privacidad, según la naturaleza del documento.

caution.gif  Precaución
SMS no se diseñó para recopilar o transmitir información confidencial urgente. Existen vulnerabilidades en este sentido que podrían aprovecharse para causar daños. No utilice SMS para recopilar información confidencial.

Por el contrario, la naturaleza de los datos recopilados por SMS (inventario de hardware, inventario de software y operaciones de medición) no suele considerarse confidencial. De forma similar, la pérdida de la funcionalidad de SMS durante un breve período de tiempo como resultado de un ataque de denegación de servicio no causa, por lo general, un impacto catastrófico, al contrario que puede ocurrir con el correo electrónico, las comunicaciones de red, la luz y la electricidad.

Para ayudarle en la administración de riesgos, Microsoft ha desarrollado Microsoft Operations Framework (MOF). En las notas del producto, Microsoft Operations Framework Risk Management Discipline for Operations, se ofrece una explicación de los componentes y principios básicos de la disciplina de administración de riesgos por medio de MOF. Estas notas están disponibles en el sitio Web del Centro de descargas de Microsoft.

Asegure físicamente sus equipos.

Sin seguridad física, no hay seguridad. Un atacante que consigue acceso físico a un sistema del sitio SMS podría utilizar SMS para atacar a toda la base de clientes. Cualquier ataque físico potencial debe considerarse de alto riesgo y mitigarse correctamente. Los sistemas y el servidor del sitio deben almacenarse en una sala segura con acceso controlado. Los equipos que ejecutan las consolas de administración de SMS deberían guardarse en una sala cerrada para evitar el acceso no autorizado. Si esto no es posible, asegure los equipos cuando los administradores no estén presentes utilizando el sistema operativo para bloquear la estación de trabajo o mediante el uso de un protector de pantalla seguro. Para implementar el principio de privilegios mínimos, cree directivas que obliguen a los administradores de SMS a iniciar la sesión en consolas de administración remotas por medio de una cuenta de usuario con derechos mínimos y, a continuación, utilizar Ejecutar como para iniciar la consola de administración de SMS.

La seguridad física de clientes SMS es más difícil de conseguir, ya que, generalmente, deben permanecer accesibles para los usuarios finales. Para mitigar la amenaza, limite el acceso a su oficina a empleados e invitados autorizados. Si dispone de equipos cliente afectados por un nivel de riesgo alto, guárdelos en una oficina cerrada e implemente medidas de seguridad adicionales, como carcasas bloqueadas y cables antirrobo.

Los clientes SMS pueden ser equipos móviles. Aconseje a los usuarios de equipos portátiles sobre prácticas de seguridad eficaces como, por ejemplo, el uso de un sistema de bloqueo cada vez que usen el equipo, aunque aseguren que no perderán el portátil de vista ni un momento. En caso de pérdida o robo de un equipo portátil, asegúrese de contar con procedimientos establecidos en la empresa para evitar el acceso a la red por medio de dicho equipo.

Realice un diseño de defensa integral.

SMS tiene la capacidad de interactuar con multitud de sistemas, por lo que debe pensar con detenimiento en las diferentes capas de seguridad que se necesitan en su red y el modo en que estas capas se relacionarán con SMS. La seguridad del perímetro es importante pero si se confía únicamente en servidores de seguridad, por ejemplo, el nivel de riesgo puede aumentar considerablemente en caso de posibles ataques contra éstos. El diseño de redes para proteger clientes poco seguros contra clientes más seguros proporciona una capa de defensa adicional. Si necesita utilizar el cliente heredado SMS, puede aislarlos en una red aparte. La adición de servidores de seguridad personales a equipos cliente proporciona otra capa de protección, al igual que el uso de software antivirus, y puede utilizarse SMS para implementar y mantener el software. La formación de los usuarios en cuanto a seguridad de equipos constituye un componente fundamental de la estrategia de seguridad de redes.

Tenga en cuenta que los servidores de seguridad personales como Windows Firewall en Microsoft Windows® XP SP2 pueden configurarse para bloquear tráfico externo, incluido SMS. El uso de controles estrictos puede ser útil a la hora de bloquear ataques pero, al mismo tiempo, podrían bloquearse funciones válidas de administración de redes, como la distribución de software. Para obtener más información, consulte la sección sobre servidores de seguridad en equipos cliente incluida más adelante en este manual.

Aplique protección contra administradores no autorizados.

SMS no cuenta con defensa alguna ante un administrador no autorizado que se disponga a utilizar SMS para atacar la red. Los administradores no autorizados constituyen un alto riesgo de seguridad. Entre los numerosos ataques que podría llevar a cabo un administrador no autorizado se incluyen los siguientes:

  • Uso de la función de distribución de software para instalar y ejecutar software malicioso automáticamente en todos los equipos cliente SMS de la empresa.

  • Habilitación y configuración de herramientas remotas SMS para tomar el control remoto de un cliente SMS sin el permiso adecuado.

  • Configuración de intervalos de sondeo rápidos y de cantidades enormes de inventario para crear ataques de denegación de servicio contra clientes y servidores.

  • Ejecución de la herramienta de monitor de red para llevar a cabo operaciones de rastreo de paquetes no autorizado.

No es posible anular todo acceso administrativo a SMS porque quedaría inservible. Audite toda actividad administrativa y revise los registros de auditoría con regularidad. Convierta en requisito la comprobación del historial de los administradores de SMS antes de ofrecer un contrato e incluya la realización de comprobaciones periódicas en las condiciones de empleo. Los trabajos de alta seguridad suelen requerir vacaciones forzadas, ya que resulta más fácil descubrir actividades administrativas no autorizadas durante la ausencia del administrador.

Asigne el menor número de permisos posible.

El principio de privilegios mínimos implica la asignación de los permisos mínimos necesarios para completar una tarea específica. Por ejemplo, para la distribución de software, configure los derechos de acceso a paquetes de forma que solamente los encargados de la instalación de software autorizados tengan que acceder a los archivos en los puntos de distribución. Conceda a los usuarios permisos de acceso al mínimo de instancias o clases necesarias en la seguridad de objetos SMS. No incluya cuentas en grupos que les otorguen acceso a más recursos de los necesarios. Si puede utilizarse una cuenta no administrativa para llevar a cabo una tarea determinada, no use una cuenta con derechos administrativos.

Exija la separación de funciones para limitar la exposición administrativa.

No todos los administradores necesitan acceso administrativo completo a SMS. Puede aplicar permisos de seguridad a colecciones para determinar los administradores que podrán llevar a cabo ciertas funciones en una colección específica. Por ejemplo, si un administrador de red se ocupa de los servidores y otro es responsable de los equipos de escritorio en un sitio, cree colecciones separadas y asigne permisos a la instancia o clase en consecuencia.

Si aún no ha diseñado e implementado una jerarquía de SMS, puede diseñar los sitios de modo que se limite la esfera administrativa de control. Puede colocar los servidores y los clientes en sitios separados y asignar acceso administrativo al sitio oportunamente. De hacerlo así, asegúrese de no colocar un sitio sobre otro en la jerarquía. Los sitios principales pueden imponer paquetes de software, colecciones y configuraciones en sitios secundarios aunque los permisos de objetos no se hayan concedido explícitamente en estos últimos.

Considere la separación de funciones de los administradores de paquetes y avisos. La distribución de software malicioso resultará más fácil si se permite a la misma persona crear paquetes y avisos. Puede controlar quién se responsabilizará de la distribución de paquetes a puntos de distribución mediante la asignación de los permisos de lectura y distribución de seguridad de objetos SMS para paquetes (sin asignar el permiso de modificación para cambiar el paquete). Puede controlar y restringir los permisos relacionados con avisos sobre software para cada colección o con cada aviso.

Cree y mantenga una línea base segura para todos los sistemas.

Una línea base segura es una descripción detallada del método de configuración y administración de un equipo. Describe todos los valores de configuración relevantes para la seguridad de los equipos. Una línea base segura incluye los elementos siguientes:

  • Configuración de servicios y aplicaciones. Por ejemplo, solamente los usuarios especificados cuentan con los permisos necesarios para iniciar un servicio o ejecutar una aplicación.

  • Configuración de los componentes de sistemas operativos. Por ejemplo, todos los archivos de muestra incluidos en IIS (Internet Information Services) deben eliminarse de los equipos.

  • Asignación de permisos y derechos. Por ejemplo, únicamente los administradores cuentan con permisos para modificar archivos del sistema operativo.

  • Procedimientos administrativos. Por ejemplo, la contraseña de administrador debe cambiarse cada 30 días.

Use los sistemas operativos más seguros.

Su entorno gozará de la misma seguridad que el sistema operativo menos seguro en la red. Aunque SMS es compatible con Microsoft Windows® 98 y Microsoft Windows NT® 4.0 como clientes, estos sistemas operativos no son tan seguros como Microsoft Windows 2000, Microsoft Windows XP o Microsoft Windows Server™ 2003. La decisión de actualizar la totalidad de la base de clientes queda fuera del alcance de la implementación de SMS en su entorno pero es un aspecto que debería considerar seriamente como parte de su estrategia global de seguridad. Si las vulnerabilidades que introducen estos sistemas operativos crean un nivel de riesgo inaceptable, tendrá que llevar a cabo la actualización lo antes posible. Una vez que su entorno haya quedado libre de equipos con Windows 98 o Windows NT 4.0, podrá utilizar el cliente avanzado SMS, que proporciona características de seguridad adicionales.

Utilice las plantillas de seguridad de Windows.

Windows 2003 puede hacer uso de plantillas de seguridad para ofrecer un entorno seguro. Microsoft ha creado orientación normativa sobre la utilización de estas plantillas en entornos heredados, empresariales y de alta seguridad. Si desea obtener más información sobre plantillas de seguridad de Windows Server 2003, consulte la Guía de seguridad de Windows Server 2003

Si utiliza las plantillas de seguridad de Windows, use también las plantillas de seguridad de SMS.

Las plantillas de seguridad de Windows incluyen la plantilla de línea de base de servidores miembro, que sirve para configurar los equipos de un modo muy seguro con la mayoría de los servicios deshabilitados. Agrupe los equipos que ejecutan SMS en una unidad organizativa (OU) aparte y aplique la plantilla de SMS para que tenga preferencia sobre la plantilla de seguridad de Windows. La plantilla de seguridad de SMS debe ser la última en aplicarse, de forma que puedan entrar en efecto la mayoría de los valores de configuración de Windows sin interrumpir el funcionamiento de los servicios y la configuración de SMS requeridos.

Si desea obtener más información sobre plantillas de seguridad de SMS, consulte el Apéndice F: plantillas de seguridad de SMS.

Use un sistema de archivos seguro.

Todas las particiones de todos los sistemas del sitio SMS deben usar NTFS. Se recomienda encarecidamente que los clientes que ejecutan Windows 2000 o versiones posteriores utilicen únicamente particiones NTFS. FAT no se considera un sistema de archivos seguro.

Aplique actualizaciones de seguridad según se necesiten.

Puede utilizar la función de actualización de software de SMS para realizar actualizaciones en clientes SMS. Manténgase informado sobre actualizaciones para sistemas operativos y SMS; suscríbase al servicio de notificación de seguridad para recibir avisos relacionados con las actualizaciones de seguridad más recientes.

important.gif  Importante
*SP SMS 2003 SP1 es compatible con equipos virtuales que ejecutan Microsoft Virtual PC. Si los equipos virtuales se conectan a la red, también deben aplicarse a ellos todas las actualizaciones de seguridad críticas. SMS puede implementar revisiones en el equipo virtual por medio de la función de actualización de software; sin embargo, se perderán los efectos de estas revisiones si se apaga el equipo virtual sin guardar los cambios. SMS no detecta los cambios realizados en el equipo virtual e informará de la actualización del cliente. *SP

Audite los cambios en la línea base segura.

Todas las empresas necesitan procesos de control sobre la administración de configuración y cambios autorizados. Habilite la auditoría y revise los registros periódicamente para detectar cambios no autorizados en la línea de base del sistema operativo aprobada. Ejecute Microsoft Baseline Security Analyzer (MBSA) o una herramienta similar en busca de vulnerabilidades de configuración conocidas.

Use contraseñas seguras y frases cifradas.

Incluso las medidas de seguridad más estrictas del mundo pueden resultar totalmente inútiles si se usa una contraseña que no es lo suficientemente segura. Las contraseñas no seguras constituyen un riesgo innecesario en el entorno de red. Si los usuarios experimentan dificultades a la hora de recordar contraseñas que son lo suficientemente complejas, considere la implementación de tarjetas inteligentes o la autenticación biométrica. Las frases cifradas, en las que se combinan varias palabras, pueden resultar más fáciles de recordar, pero suelen ser más largas y más difíciles de averiguar.

Use siempre contraseñas seguras de 15 caracteres como mínimo para todas las cuentas de servicio y administradores de SMS. Nunca utilice contraseñas en blanco. Si desea obtener más información sobre contraseñas, consulte las notas del producto “Account Passwords and Policies” en TechNet.

De forma automática, SMS crea determinadas cuentas y genera contraseñas seguras para las mismas. Si se implementa en su empresa la directiva de seguridad Las contraseñas deben cumplir los requerimientos de complejidad, las contraseñas generadas por SMS cumplirán los requisitos de complejidad predeterminados exigidos por el filtro integrado Passfilt.dll.

caution.gif  Precaución
Si modifica el filtro de contraseñas predeterminado, es posible que las contraseñas generadas por SMS de forma automática no se ajusten a las reglas del filtro, con lo que podría fallar el proceso de creación de cuentas. SMS intentará generar una contraseña cinco veces; si no lo consigue, se mostrará un mensaje de estado. Como ejemplos de reglas del filtro de contraseñas con las que SMS podría ser incompatible, pueden mencionarse aquellas que exigen el uso de un tipo determinado de carácter entre los caracteres tercero y sexto o las que no permiten la utilización de signos de puntuación.

Utilice métodos de autenticación seguros.

El método predeterminado de autenticación de redes para servicios en Windows 2000, Windows XP y Windows Server 2003 es el protocolo de la versión 5 de Kerberos. Se trata de un protocolo estándar en el sector que se usa con una contraseña o una tarjeta inteligente para llevar a cabo el inicio de sesión interactivo. Alternativamente, puede utilizar la autenticación NTLM, que es un protocolo de autenticación de desafío/respuesta capaz de proporcionar compatibilidad con versiones de Windows anteriores a Windows 2000.

El protocolo de Kerberos ofrece más ventajas que la autenticación NTLM. La arquitectura de Kerberos permite la especificación de métodos de seguridad adicionales o alternativos. Adicionalmente, el proceso predeterminado de clave secreta compartida puede complementarse con pares de claves pública/privada mediante el uso de tarjetas inteligentes. Por medio del protocolo de Kerberos, cada una de las partes en los extremos de la red puede verificar que la parte en el otro extremo es realmente la parte que afirma ser. Aunque NTLM permite a los servidores comprobar la identidad de los clientes, NTLM no permite a los clientes verificar la identidad de un servidor, ni a un servidor verificar la identidad de otro. La autenticación NTLM se diseñó para un entorno de red en que se presupone la autenticidad de los servidores. Éste no es el caso en el protocolo de la versión 5 de Kerberos.

Si desea obtener más información sobre Kerberos y la autenticación NTLM, consulte la sección “Windows Security Collection” de la referencia técnica de Windows Server 2003 en microsoft.com.

Durante la implementación de SMS, evalúe su entorno de dominios actual en busca de posibles riesgos. Aunque no cuente con los recursos necesarios para actualizar al servicio de directorios Microsoft Active Directory® inmediatamente, si su entorno de dominios actual introduce un nivel de riesgo inaceptable en su empresa, la actualización debe llevarse a cabo cuanto antes.

  • Escenarios y procedimientos de Microsoft Systems Management Server 2003: seguridad


¿Te ha resultado útil?
(Caracteres restantes: 1500)
Gracias por sus comentarios
Mostrar:
© 2014 Microsoft