Atributos de seguridad de red en Trusted Extensions

Un sistema Trusted Extensions se instala con un conjunto predeterminado de plantillas de seguridad que se utilizan para definir las propiedades de etiquetas de los hosts remotos. En Trusted Extensions, se asignan atributos de seguridad a los hosts con etiquetas y sin etiquetas de la red mediante una plantilla de seguridad. Los hosts que no tienen una plantilla de seguridad asignada no pueden comunicarse con los hosts que están configurados con Trusted Extensions. Las plantillas se almacenan de manera local.

Los hosts se pueden agregar a una plantilla de seguridad según la dirección IP o como parte de un rango de direcciones IP. Para obtener una explicación más detallada, consulte Mecanismo de reserva de la red de confianza.

Cada tipo de host tiene su propio conjunto de atributos de seguridad adicionales, tanto necesarios como opcionales. Los siguientes atributos de seguridad están especificados en las plantillas de seguridad:

• Tipo de host: define si los paquetes tienen etiquetas de seguridad CIPSO o no tienen ningún tipo de etiquetas.

• Etiqueta predeterminada: define el nivel de confianza del host sin etiquetas. En esta etiqueta, el host o la puerta de enlace de recepción de Trusted Extensions leen los paquetes que se envían mediante un host sin etiquetas.

  El atributo de la etiqueta predeterminada es específico del tipo de host unlabeled. Para obtener detalles, consulte Etiqueta predeterminada en plantillas de seguridad.

• DOI: es un entero positivo, distinto de cero, que identifica el dominio de interpretación. El DOI se utiliza para indicar qué conjunto de codificaciones de etiqueta se aplica a una comunicación o entidad de red. Las etiquetas con DOI diferentes están separadas, incluso si son idénticas en todo lo demás. En los hosts unlabeled, el DOI se aplica a la etiqueta predeterminada. En Trusted Extensions, el valor predeterminado es 1.

• Etiqueta mínima: define el nivel más bajo del rango de acreditación de etiquetas. Los hosts y las puertas de enlace del próximo salto no reciben paquetes que estén por debajo de la etiqueta mínima que está especificada en la plantilla correspondiente.

• Etiqueta máxima: define el nivel más alto del rango de acreditación de etiquetas. Los hosts y las puertas de enlace del próximo salto no reciben paquetes que estén por encima de la etiqueta máxima que está especificada en la plantilla correspondiente.

• Conjunto de etiquetas auxiliares: es opcional. Especifica un conjunto discreto de etiquetas de seguridad para una plantilla de seguridad. Además su rango de acreditación determinado por la etiqueta máxima y la etiqueta mínima, los hosts que se agregan a una plantilla con un conjunto de etiquetas auxiliares pueden enviar y recibir paquetes que coincidan con cualquiera de las etiquetas del conjunto. El número máximo de etiquetas auxiliares que se puede especificar es cuatro.

Tipo de host y nombre de plantilla en plantillas de seguridad

Trusted Extensions admite dos tipos de host en las bases de datos de la red de confianza y proporciona dos plantillas predeterminadas:

• Tipo de host CIPSO: diseñado para los host que ejecutan sistemas operativos de confianza. Trusted Extensions suministra la plantilla denominada cipso para este tipo de host.

  El protocolo de opción de seguridad de IP común (CIPSO) se utiliza para especificar las etiquetas de seguridad que se transfieren en el campo de opciones IP. Las etiquetas CIPSO se obtienen automáticamente de la etiqueta de datos. El tipo de etiqueta 1 se utiliza para transferir la etiqueta de seguridad CIPSO. Esta etiqueta se utiliza para realizar comprobaciones de seguridad en el nivel IP y para asignar una etiqueta a los datos del paquete de red.

• Tipo de host sin etiquetas: está diseñado para los hosts que utilizan protocolos de redes estándar, pero que no admiten opciones de CIPSO. Trusted Extensions suministra la plantilla denominada admin_low para este tipo de host.

  Se asigna este tipo de host a los hosts que ejecutan el SO Oracle Solaris u otros sistemas operativos sin etiquetas. Este tipo de host proporciona una etiqueta y una acreditación predeterminadas para aplicar a las comunicaciones con el host sin etiquetas. Además, se puede especificar un rango de etiquetas o un conjunto de etiquetas discretas para permitir el envío de paquetes a una puerta de enlace sin etiquetas para el posterior reenvío.

---

Precaución - La plantilla admin_low brinda un ejemplo para la creación de plantillas sin etiquetas con etiquetas específicas del sitio. Mientras que la plantilla admin_low es necesaria para la instalación de Trusted Extensions, es posible que los atributos de seguridad sean demasiado liberales para el funcionamiento normal del sistema. Conserve las plantillas proporcionadas sin modificaciones para el mantenimiento del sistema y el soporte técnico.

---

Etiqueta predeterminada en plantillas de seguridad

Las plantillas para el tipo de host sin etiquetas especifican una etiqueta predeterminada. Esta etiqueta se utiliza para controlar las comunicaciones con los hosts cuyos sistemas operativos no reconocen etiquetas, como los sistemas Oracle Solaris. La etiqueta predeterminada que está asignada refleja el nivel de confianza adecuado para el host y los usuarios.

Debido a que las comunicaciones con los hosts sin etiquetas se limitan esencialmente a la etiqueta predeterminada, estos hosts también se denominan hosts de una sola etiqueta. Una razón técnica para llamar a estos hosts "de una sola etiqueta" es que estos hosts no tienen etiquetas admin_high ni admin_low.

Dominio de interpretación en plantillas de seguridad

Las organizaciones que utilizan el mismo dominio de interpretación (DOI) deben acordar entre sí para interpretar la información de la etiqueta y otros atributos de seguridad de la misma manera. Cuando Trusted Extensions realiza una comparación de etiquetas, se efectúa una comprobación para determinar si el DOI es igual.

Un sistema Trusted Extensions aplica la política de etiquetas en un valor DOI. Todas las zonas de un sistema Trusted Extensions deben operar en el mismo DOI. Un sistema Trusted Extensions no proporciona el tratamiento de excepciones en los paquetes que se recibieron de un sistema que utiliza un DOI diferente.

Si su sitio utiliza un valor DOI diferente del valor predeterminado, debe utilizar este valor en cada plantilla de seguridad, como se describe en Cómo configurar el dominio de interpretación.

Rango de etiquetas en plantillas de seguridad

Los atributos de la etiqueta mínima y la etiqueta máxima se utilizan para establecer el rango de etiquetas para los hosts con etiquetas y sin etiquetas. Estos atributos se utilizan para realizar lo siguiente:

• Establecer el rango de etiquetas que pueden utilizarse cuando se establece la comunicación con un host CIPSO remoto

  Para poder enviar un paquete a un host de destino, la etiqueta del paquete debe estar dentro del rango de etiquetas asignado en la plantilla de seguridad del host de destino.

• Establecer un rango de etiquetas para los paquetes que se reenvían mediante una puerta de enlace CIPSO o una sin etiquetas

  Puede especificarse el rango de etiquetas en la plantilla para un tipo de host sin etiquetas. El rango de etiquetas habilita el host para reenviar los paquetes que no están necesariamente en la etiqueta del host, pero se encuentran dentro de un rango de etiquetas especificado.

Etiquetas auxiliares en plantillas de seguridad

El conjunto de etiquetas auxiliares define un máximo de cuatro etiquetas discretas en que el host remoto puede aceptar, enviar o reenviar paquetes. Este atributo es opcional. De manera predeterminada, no hay ningún conjunto de etiquetas auxiliares definido.