Aplicación de los requisitos de seguridad

A fin de garantizar que la seguridad del sistema no se vea comprometida, los administradores necesitan proteger las contraseñas, los archivos y los datos de auditoría. Los usuarios deben estar capacitados para hacer su parte del trabajo. Para cumplir con los requisitos de una configuración evaluada, siga las directrices descritas de esta sección.

Usuarios y requisitos de seguridad

Cada administrador de la seguridad del sitio debe garantizar que los usuarios reciban la formación necesaria sobre procedimientos de seguridad. El administrador de la seguridad necesita comunicar las siguientes reglas a los empleados nuevos y recordarlas a los empleados existentes con regularidad:

• No diga a nadie la contraseña.

  Cualquiera que conozca su contraseña puede acceder a la misma información que usted sin identificarse y, por lo tanto, sin tener que responsabilizarse.

• No escriba su contraseña en un papel ni la incluya en un correo electrónico.

• Elija contraseñas que sean difíciles de adivinar.

• No envíe su contraseña a nadie por correo electrónico.

• No deje su equipo desatendido sin bloquear la pantalla o cerrar sesión.

• Recuerde que los administradores no dependen del correo electrónico para enviar instrucciones a los usuarios. Nunca siga las instrucciones enviadas mediante correo electrónico por un administrador sin antes confirmar con el administrador.

  Tenga en cuenta que la información del remitente en el correo electrónico puede falsificarse.

• Dado que es responsable de los permisos de acceso a los archivos y directorios que crea, asegúrese de que los permisos de los archivos y directorios se hayan definido correctamente. No permita que los usuarios no autorizados lean o modifiquen un archivo, enumeren los contenidos de un directorio, o aumenten un directorio.

Es posible que en su sitio desee proporcionar sugerencias adicionales.

Uso del correo electrónico

Utilizar el correo electrónico para dar instrucciones a los usuarios de que realicen alguna acción resulta una práctica insegura.

Diga a los usuarios que no confíen en los correos electrónicos que contienen instrucciones que provienen presuntamente de un administrador. De este modo, se evita la posibilidad de que se envíen mensajes de correo electrónico falsos con el objeto de engañar a los usuarios para que cambien la contraseña a un valor determinado o para que la divulguen, lo que posteriormente podría ser utilizado para iniciar sesión y poner en riesgo el sistema.

Aplicación de la contraseña

El rol de administrador del sistema debe especificar un nombre de usuario y un ID de usuario únicos al crear una nueva cuenta. Cuando selecciona el nombre y el ID de una nueva cuenta, el administrador debe asegurarse de que tanto el nombre de usuario como el ID asociado no se encuentren duplicados en ninguna parte de la red ni se hayan utilizado previamente.

El rol de administrador de la seguridad tiene la responsabilidad de especificar la contraseña original para cada cuenta y de comunicar las contraseñas a los usuarios de cuentas nuevas. Debe tener en cuenta la siguiente información al administrar las contraseñas:

• Asegúrese de que las cuentas para los usuarios que pueden asumir el rol de administrador de la seguridad se hayan configurado de manera que la cuenta no se pueda bloquear. Esta práctica garantiza que al menos una cuenta siempre pueda iniciar sesión y asumir el rol de administrador de la seguridad para volver a abrir las cuentas de todos los demás si estas se bloquean.

• Comunique la contraseña al usuario de una cuenta nueva de modo tal que nadie más pueda enterarse de cuál es la contraseña.

• Cambie la contraseña de una cuenta ante la más mínima sospecha de que alguien que no debiera conocer la contraseña la haya descubierto.

• Nunca use los nombres de usuario o los ID de usuario más de una vez durante la vida útil del sistema.

  Al asegurarse de que los nombres de usuario y los ID de usuario no se vuelvan a utilizar, se evitan posibles confusiones respecto de lo siguiente:

  • Las acciones que realizó cada usuario en el análisis de los registros de auditoría

  • Los archivos que posee cada usuario en la restauración de archivos

Protección de la información

Como administrador, tiene la responsabilidad de configurar y mantener correctamente la protección del control de acceso discrecional (DAC) y del control de acceso obligatorio (MAC) para los archivos cuya seguridad es crítica. Entre los archivos críticos, se incluyen los siguientes:

• Archivo shadow: contiene contraseñas cifradas. Consulte shadow(4).

• Base de datos prof_attr: contiene definiciones de los perfiles de derechos. Consulte prof_attr(4).

• Base de datos exec_attr: contiene los comandos y las acciones que forman parte de los perfiles de derechos. Consulte exec_attr(4).

• Archivo user_attr: contiene los perfiles de derechos, los privilegios y las autorizaciones que están asignadas a los usuarios locales. Consulte user_attr(4).

• Pista de auditoría: contiene los registros de auditoría que el servicio de auditoría ha recopilado. Consulte audit.log(4)

---

Precaución - Dado que los mecanismos de protección para las entradas LDAP no están sujetos a la política de control de acceso que aplica el software de Trusted Extensions, las entradas LDAP predeterminadas no deben ampliarse, y sus reglas de acceso no deben modificarse.

---

Protección de contraseña

En los archivos locales, la protección que evita la visualización de las contraseñas se realiza mediante DAC, y la que evita su modificación, mediante DAC y MAC. Las contraseñas de las cuentas locales se actualizan en el archivo /etc/shadow, que solamente el superusuario puede leer. Para obtener más información, consulte la página del comando man shadow(4).

Administración de grupos

El rol de administrador del sistema necesita comprobar, en el sistema local y en la red, que todos los grupos tengan un único ID de grupo (GID, Group ID).

Cuando se elimina del sistema un grupo local, el rol de administrador del sistema debe garantizar que:

• Todos los objetos con el GID del grupo eliminado se eliminen o se asignen a otro grupo.

• A todos los usuarios que tienen el grupo eliminado como grupo principal se les asigne otro grupo principal.

Prácticas de eliminación de usuarios

Cuando se elimina una cuenta del sistema, el rol de administrador del sistema y el rol de administrador de la seguridad deben realizar las siguientes acciones:

• Eliminar los directorios principales de la cuenta en cada zona.

• Eliminar cualquier proceso o trabajo que pertenezca a la cuenta eliminada:

  • Eliminar cualquier objeto que pertenezca a la cuenta o asignar la propiedad a otro usuario.

  • Eliminar cualquier trabajo de at o batch planificado en nombre del usuario. Para obtener detalles, consulte las páginas del comando man at(1) y crontab(1).

• Nunca vuelva a usar el nombre de usuario (cuenta) ni el ID de usuario.