En este apéndice se explican los problemas de la política de seguridad del sitio, y se sugieren sitios web y manuales de referencia para obtener más información:
Cada sitio de Trusted Extensions es único y debe determinar su propia política de seguridad. Realice las siguientes tareas al crear y gestionar una política de seguridad.
Establezca un equipo de seguridad. El equipo de seguridad debe tener representación de la gerencia superior, la gerencia de personal, los administradores y la gerencia de sistemas informáticos, y la gerencia de utilidades. El equipo debe revisar las políticas y los procedimientos de los administradores de Trusted Extensions y recomendar las políticas de seguridad generales que se aplican a todos los usuarios del sistema.
Informe al personal de gestión y administración sobre la política de seguridad del sitio. Todo el personal que participa en la gestión y administración del sitio debe estar familiarizado con la política de seguridad. Las políticas de seguridad no se deben poner a disposición de los usuarios comunes porque esta información de la política está directamente relacionada con la seguridad de los sistemas informáticos.
Informe a los usuarios sobre la política de seguridad y el software Trusted Extensions. Todos los usuarios deben estar familiarizados con la Guía del usuario de Trusted Extensions . Debido a que los usuarios, generalmente, son los primeros en saber cuándo un sistema no está funcionando normalmente, el usuario debe familiarizarse con el sistema e informar sobre los problemas a un administrador del sistema. Un entorno seguro requiere que los usuarios notifiquen a los administradores del sistema inmediatamente si notan alguna de las siguientes irregularidades:
Una discrepancia en la fecha y hora del último inicio de sesión que se informa al principio de cada sesión
Un cambio poco común en los datos de un archivo
Una copia impresa legible perdida o robada
La incapacidad de utilizar una función de usuario
Aplique la política de seguridad. Si la política de seguridad no se respeta y no se aplica, los datos incluidos en el sistema en el que está configurado Trusted Extensions no estarán protegidos. Es preciso establecer procedimientos para registrar cualquier problema y las medidas que se han tomado para resolver los incidentes.
Revise periódicamente la política de seguridad. El equipo de seguridad debe llevar a cabo una revisión periódica de la política de seguridad y de todos los incidentes que se produjeron desde la última revisión. Los ajustes en esta política pueden ayudar a aumentar la seguridad.
El administrador de la seguridad debe diseñar la red de Trusted Extensions en función de la política de seguridad del sitio. La política de seguridad dicta las decisiones relacionadas con la configuración, como las siguientes:
Cuántas auditorías se realizan para todos los usuarios y para qué clases de eventos
Cuántas auditorías se realizan para los usuarios con roles y para qué clases de eventos
Cómo se gestionan, archivan y revisan los datos de la auditoría
Qué etiquetas se utilizan en el sistema y si las etiquetas ADMIN_LOW y ADMIN_HIGH estarán visibles para los usuarios comunes
Qué acreditaciones de usuario se asignan a las personas
Qué dispositivos (si los hay) se pueden asignar por qué usuarios comunes
Qué rangos de etiqueta se definen para los sistemas, las impresoras y otros dispositivos
Si Trusted Extensions se utiliza en una configuración evaluada o no
Considere la siguiente lista de directrices cuando desarrolle una política de seguridad para el sitio.
Asigne la etiqueta máxima de un sistema con Trusted Extensions para que no sea mayor que el nivel de máxima seguridad del trabajo que se está realizando en el sitio.
Registre de forma manual los cierres, los fallos de energía y los reinicios del sistema en un log del sitio.
Documente el daño en el sistema de archivos y analice todos los archivos afectados para verificar posibles infracciones de la política de seguridad.
Restrinja los manuales de funcionamiento y la documentación del administrador a aquellas personas que realmente tengan la necesidad de acceder a dicha información.
Informe y documente el comportamiento inusual o inesperado de cualquier software Trusted Extensions y determine la causa.
Si es posible, asigne, al menos, dos personas para administrar los sistemas en los que esté configurado Trusted Extensions. Asigne a una persona la autorización de administrador de la seguridad para tomar las decisiones relacionadas con la seguridad. Asigne a la otra persona la autorización de administrador del sistema para realizar las tareas de gestión del sistema.
Establezca una rutina de copia de seguridad regular.
Asigne autorizaciones sólo a los usuarios que las necesiten y que sepa que las usarán adecuadamente.
Asígneles privilegios sólo para los programas que necesitan para realizar su trabajo, y sólo una vez que se hayan examinado los programas y se haya comprobado que se les puede confiar el uso del privilegio. Revise los privilegios en los programas de Trusted Extensions existentes como guía para el establecimiento de privilegios en programas nuevos.
Revise y analice la información de auditoría con regularidad. Investigue los eventos irregulares para determinar la causa del evento.
Minimice el número de identificadores de administración.
Minimice el número de programas de setuid y setgid. Utilice autorizaciones, privilegios y roles para ejecutar el programa y para evitar el uso indebido.
Asegúrese de que un administrador verifique con regularidad que los usuarios comunes tengan un shell de inicio de sesión válido.
Asegúrese de que un administrador verifique con regularidad que los usuarios comunes tengan valores de ID de usuario válidos en lugar de valores de ID de administración del sistema.
Considere la siguiente lista de directrices cuando desarrolle una política de seguridad para el sitio.
Restrinja el acceso a los sistemas en los que está configurado Trusted Extensions. Las ubicaciones más seguras generalmente son cuartos interiores que no se encuentran en la planta baja.
Supervise y documente el acceso a los sistemas en los que esté configurado Trusted Extensions.
Sujete el equipo informático a objetos grandes como mesas y escritorios para impedir robos. Cuando fije un equipo a un objeto de madera, aumente la solidez del objeto agregando placas de metal.
Evalúe la posibilidad de utilizar medios de almacenamiento extraíbles para la información confidencial. Bloquee todos los medios extraíbles cuando no se estén utilizando.
Almacene los archivos y las copias de seguridad del sistema en una ubicación segura separada de la ubicación de los sistemas.
Restrinja el acceso físico a los medios de archivo y las copias de seguridad en la misma forma en que restringe el acceso a los sistemas.
Instale una alarma de alta temperatura en la instalación informática para indicar si la temperatura está fuera del rango de las especificaciones del fabricante. Un rango sugerido es de 10 °C a 32 °C (50 °F a 90 °F).
Instale una alarma de agua en la instalación informática para que indique si hay agua en el piso, en la cavidad del subsuelo y en el techo.
Instale una alarma de humo para indicar la presencia de fuego y un sistema de extinción de fuego.
Instale una alarma de humedad para indicar si hay mucha o poca humedad.
Si las máquinas no lo tienen, tenga en cuenta el aislamiento TEMPEST. El aislamiento TEMPEST puede ser adecuado para las paredes, el suelo y el techo de la instalación.
Permita que sólo técnicos certificados abran y cierren el equipo TEMPEST para garantizar su capacidad para aislar la radiación electromagnética.
Controle la existencia de huecos físicos que permitan la entrada a las instalaciones o a las salas que contienen equipo informático. Busque aberturas debajo de pisos elevados, en techos falsos, en el equipo de ventilación del techo y en paredes linderas entre las adiciones originales y secundarias.
Prohíba comer, beber y fumar en las instalaciones informáticas o cerca del equipo informático. Establezca las áreas donde estas actividades se pueden realizar sin poner en peligro el equipo informático.
Proteja los dibujos y diagramas arquitectónicos de la instalación informática.
Restrinja el uso de diagramas del edificio, mapas de piso y fotografías de la instalación informática.
Considere la siguiente lista de directrices cuando desarrolle una política de seguridad para el sitio.
Inspeccione los paquetes, los documentos y los medios de almacenamiento cuando lleguen al sitio protegido y antes de que lo abandonen.
Exija que todo el personal y los visitantes utilicen credenciales de identificación en todo momento.
Utilice credenciales de identificación que sean difíciles de copiar o falsificar.
Establezca qué áreas están prohibidas para los visitantes y márquelas claramente.
Acompañe a los visitantes en todo momento.
Dado que ningún equipo es completamente seguro, una instalación informática es tan segura como las personas que la utilizan. La mayoría de las acciones que infringen la seguridad se pueden resolver fácilmente con usuarios cuidadosos o equipos adicionales. Sin embargo, la siguiente lista proporciona ejemplos de los problemas que pueden producirse:
Los usuarios proporcionan contraseñas a otras personas que no deberían tener acceso al sistema.
Los usuarios anotan las contraseñas y, luego, las pierden o las dejan en ubicaciones inseguras.
Los usuarios definen sus contraseñas con palabras o nombres que se pueden adivinar fácilmente.
Los usuarios aprenden las contraseñas observando a otros usuarios escribir sus contraseñas.
Los usuarios no autorizados extraen o sustituyen el hardware, o lo sabotean físicamente.
Los usuarios se alejan de sus sistemas sin bloquear la pantalla.
Los usuarios cambian los permisos en un archivo para permitir que otros usuarios lo lean.
Los usuarios cambian las etiquetas de un archivo para permitir que otros usuarios lean el archivo.
Los usuarios desechan documentos confidenciales impresos sin destruirlos, o los usuarios dejan documentos confidenciales impresos en ubicaciones inseguras.
Los usuarios dejan las puertas de acceso sin traba.
Los usuarios pierden sus llaves.
Los usuarios no bloquean los medios de almacenamiento extraíbles.
Las pantallas de los equipos se pueden ver a través de ventanas exteriores.
Los cables de red tienen derivaciones.
Una intercepción electrónica captura las señales emitidas por el equipo informático.
Interrupciones, sobrevoltaje y picos de energía eléctrica destruyen los datos.
Terremotos, inundaciones, tornados, huracanes y relámpagos destruyen los datos.
La interferencia de la radiación electromagnética externa, como una mancha solar, desordena los archivos.
En las publicaciones del gobierno se describen detalladamente las normas, las políticas, los métodos y la terminología relacionados con la seguridad informática. Otras publicaciones de seguridad son útiles para entender cabalmente los problemas y las soluciones de seguridad de UNIX.
La Web también proporciona recursos. En particular, el sitio web de CERT alerta a las empresas y los usuarios sobre brechas de seguridad en el software. El sitio de SANS Institute ofrece formación, un amplio glosario de términos y una lista actualizada de las principales amenazas de Internet.
El gobierno estadounidense ofrece muchas de sus publicaciones en la Web. El Departamento de Seguridad Nacional de EE. UU. publica información de seguridad. Además, el Centro de Recursos de Seguridad Informática (CSRC) del Instituto Nacional de Estándares y Tecnología (NIST) publica artículos sobre seguridad informática. Los siguientes son algunos ejemplos de las publicaciones que se pueden descargar del sitio de NIST.
An Introduction to Computer Security: The NIST Handbook (Introducción a la seguridad informática: El manual de NIST). SP 800-12, octubre de 1995.
Standard Security Label for Information Transfer (Etiqueta de seguridad estándar para la transferencia de información). FIPS 188, septiembre de 1994.
Swanson, Marianne y Barbara Guttman. Generally Accepted Principles and Practices for Securing Information Technology Systems (Principios y prácticas generalmente aceptados para proteger los sistemas de tecnología de la información). SP 800-14, septiembre de 1996.
Tracy, Miles, Wayne Jensen y Scott Bisker. Guidelines on Electronic Mail Security (Directrices sobre la seguridad del correo electrónico). SP 800-45, septiembre de 2002. La sección E. 7 se refiere a la configuración segura de LDAP para el correo.
Wilson, Mark y Joan Hash. Building an Information Technology Security Awareness and Training Program (Programa de formación y consciencia sobre la seguridad de la tecnología de la información). SP 800-61, enero de 2004. Incluye un glosario útil.
Grace, Tim, Karen Kent y Brian Kim. Computer Security Incident Handling Guidelines (Directrices para el manejo de incidentes relacionados con la seguridad informática). SP 800-50, septiembre de 2002. La sección E. 7 se refiere a la configuración segura de LDAP para el correo.
Scarfone, Karen, Wayne Jansen y Miles Tracy. Guide to General Server Security (Guía para la seguridad general del servidor). SP 800-123, julio de 2008.
Souppaya, Murugiah, John Wack y Karen Kent. Security Configuration Checklists Program for IT Products (Programa de listas de comprobación de configuración de seguridad para productos de TI). SP 800-70, mayo de 2005.
Ingenieros de seguridad de Sun Microsystems. Fundamentos de seguridad de Solaris 10. Prentice Hall, 2009.
Garfinkel, Simson, Gene Spafford y Alan Schwartz. Practical UNIX and Internet Security, 3rd Edition (Seguridad práctica para Internet y UNIX, 3.ª edición). O'Reilly & Associates, Inc, Sebastopol, CA, 2006.
Nemeth, Evi, Garth Snyder, Trent R. Hein y Ben Whaley. Manual de administración del sistema UNIX y Linux (cuarta edición) Pearson Education, Inc. 2010.
Brunette, Glenn M. Toward Systemically Secure IT Architectures (Hacia arquitecturas de TI seguras desde el punto de vista sistemático). Especificaciones técnicas de Oracle archivadas, junio de 2006.
Kaufman, Charlie, Radia Perlman y Mike Speciner. Network Security: Private Communication in a Public World, 2nd Edition (Seguridad de la red: Comunicación privada en un mundo público, 2.ª edición). Prentice-Hall, 2002.
Pfleeger, Charles P. y Shari Lawrence Pfleeger. Seguridad en el área informática. Prentice Hall PTR, 2006.
Privacy for Pragmatists: A Privacy Practitioner's Guide to Sustainable Compliance (Privacidad para pragmáticos: Una guía práctica sobre la privacidad para la conformidad sostenible). Sun Microsystems, Inc, agosto de 2005.
Rhodes-Ousley, Mark, Roberta Bragg y Keith Strassberg. Network Security: The Complete Reference (Seguridad de la red: La referencia completa). McGraw-Hill/Osborne, 2004.
McClure, Stuart, Joel Scambray, George Kurtz. Hackers expuestos 7: Secretos y soluciones de la seguridad de redes, séptima edición. McGraw-Hill, 2012.
Stoll, Cliff. El huevo del cuco. Doubleday, 1989.