Oracle® DIVAdirector

Guía de seguridad

Versión 5.3

E71136-01

Diciembre de 2015

Guía de seguridad de Oracle DIVAdirector, Versión 5.3

E71136-01

Copyright © 2015, Oracle y/o sus filiales. Todos los derechos reservados.

Autor Principal:  Lou Bonaventura

Este software y la documentación relacionada están sujetos a un contrato de licencia que incluye restricciones de uso y revelación, y se encuentran protegidos por la legislación sobre la propiedad intelectual. A menos que figure explícitamente en el contrato de licencia o esté permitido por la ley, no se podrá utilizar, copiar, reproducir, traducir, emitir, modificar, conceder licencias, transmitir, distribuir, exhibir, representar, publicar ni mostrar ninguna parte, de ninguna forma, por ningún medio. Queda prohibida la ingeniería inversa, desensamblaje o descompilación de este software, excepto en la medida en que sean necesarios para conseguir interoperabilidad según lo especificado por la legislación aplicable.

La información contenida en este documento puede someterse a modificaciones sin previo aviso y no se garantiza que se encuentre exenta de errores. Si detecta algún error, le agradeceremos que nos lo comunique por escrito.

Si este software o la documentación relacionada se entrega al Gobierno de EE.UU. o a cualquier entidad que adquiera las licencias en nombre del Gobierno de EE.UU. entonces aplicará la siguiente disposición:

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government.

Este software o hardware se ha desarrollado para uso general en diversas aplicaciones de gestión de la información. No se ha diseñado ni está destinado para utilizarse en aplicaciones de riesgo inherente, incluidas las aplicaciones que pueden causar daños personales. Si utiliza este software o hardware en aplicaciones de riesgo, usted será responsable de tomar todas las medidas apropiadas de prevención de fallos, copia de seguridad, redundancia o de cualquier otro tipo para garantizar la seguridad en el uso de este software o hardware. Oracle Corporation y sus filiales declinan toda responsabilidad derivada de los daños causados por el uso de este software o hardware en aplicaciones de riesgo.

Oracle y Java son marcas comerciales registradas de Oracle y/o sus filiales. Todos los demás nombres pueden ser marcas comerciales de sus respectivos propietarios.

Intel e Intel Xeon son marcas comerciales o marcas comerciales registradas de Intel Corporation. Todas las marcas comerciales de SPARC se utilizan con licencia y son marcas comerciales o marcas comerciales registradas de SPARC International, Inc. AMD, Opteron, el logotipo de AMD y el logotipo de AMD Opteron son marcas comerciales o marcas comerciales registradas de Advanced Micro Devices. UNIX es una marca comercial registrada de The Open Group.

Este software o hardware y la documentación pueden proporcionar acceso a, o información sobre contenidos, productos o servicios de terceros. Oracle Corporation o sus filiales no son responsables y por ende desconocen cualquier tipo de garantía sobre el contenido, los productos o los servicios de terceros a menos que se indique otra cosa en un acuerdo en vigor formalizado entre Ud. y Oracle. Oracle Corporation y sus filiales no serán responsables frente a cualesquiera pérdidas, costos o daños en los que se incurra como consecuencia de su acceso o su uso de contenidos, productos o servicios de terceros a menos que se indique otra cosa en un acuerdo en vigor formalizado entre Ud. y Oracle.

Contenido

Título e Información de Copyright

Prólogo

- Destinatarios

- Accesibilidad a la documentación

1 Visión general

- Visión general del producto

- Servidor de DIVAdirector

- Web de DIVAdirector

- Base de datos de DIVAdirector

- Servicio de transcodificador de DIVAdirector

- Servicio de gestor de tareas de DIVAdirector

- Servicio API de DIVAdirector

- Principios generales de seguridad

- Mantenga el software actualizado

- Restrinja el acceso de red a los servicios críticos

- Ejecute el sistema como usuario ADMIN y utilice el principio de menor privilegio donde sea posible

- Supervise la actividad del sistema

- Manténgase actualizado sobre la información de seguridad más reciente

2 Instalación segura

- Comprensión del entorno

- ¿Qué recursos necesitan protección?

- Disco de datos principales

- Disco de base de datos y discos de copias de seguridad

- Archivos y valores de configuración

- ¿De quién se protegen los recursos?

- ¿Qué sucede si falla la protección de los recursos estratégicos?

3 Funciones de seguridad

- El modelo de seguridad

A Lista de comprobación de despliegue seguro

Prólogo

En la guía de seguridad de DIVAdirector de Oracle se incluye información sobre el producto DIVAdirector y se explican los principios generales de la seguridad de la aplicación.

Destinatarios

Esta guía está destinada a cualquier persona que se encargue de la utilización de funciones de seguridad y de la instalación y la configuración seguras de DIVAdirector.

Accesibilidad a la documentación

Para obtener información sobre el compromiso de Oracle con la accesibilidad, visite el sitio web del Programa de Accesibilidad de Oracle en http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc.

Acceso a My Oracle Support

Los clientes de Oracle que hayan contratado servicios de soporte electrónico pueden acceder a ellos mediante My Oracle Support. Para obtener información, visite http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info o, si tiene alguna discapacidad auditiva, visite http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs.

1 Visión general

En este capítulo, se brinda una visión general del producto DIVAdirector y se explican los principios generales de la seguridad de la aplicación.

Visión general del producto

Oracle DIVAdirector es una herramienta que se utiliza para interactuar con sistemas Oracle DIVArchive existentes. La interfaz de usuario (IU) se entrega en formato de gráficos mediante un explorador web. DIVAdirector consta de los siguientes componentes principales:

Servidor de DIVAdirector

El servidor de DIVAdirector proporciona interfaces con DIVArchive mediante la API C++ para todas las operaciones requeridas por la web de DIVAdirector. También sincroniza la información de objetos detectados almacenada en DIVArchive en su propia base de datos. Supervisa las carpetas de entrega configuradas para proxies, metadatos y operaciones, y mantiene el historial de todas las carpetas de entrega y operaciones de IU.

Web de DIVAdirector

El módulo web de DIVAdirector proporciona una interfaz de usuario basada en web, lo cual permite a los usuarios buscar objetos detectados en DIVArchive, administrar los derechos de acceso de los usuarios, agregar metadatos para los activos, reproducir proxies de objetos y realizar operaciones, por ejemplo, de restauración y de supresión y restauración parcial, en elementos agregados a las ubicaciones de trabajo o a las listas de tomas. También brinda a los usuarios la capacidad de examinar archivos de manera local y de archivar contenido en el sistema DIVArchive.

Base de datos de DIVAdirector

DIVAdirector utiliza PostgreSQL para almacenar toda la información de valores de configuración, historial de operaciones, usuarios, proxies, metadatos y activos de DIVArchive.

Servicio de transcodificador de DIVAdirector

El servicio de transcodificador de DIVAdirector es un servicio aparte que es llamado por DIVAdirector para transcodificar clips de alta resolución a proxies de baja resolución que luego aparecen en la IU de la web de DIVAdirector.

Servicio de gestor de tareas de DIVAdirector

El servicio de gestor de tareas de DIVAdirector es una aplicación de servicio de ventanas visible en el cuadro de diálogo estándar de gestor de control de servicios. Esta aplicación se encarga de ejecutar las tareas que puedan ser de larga ejecución en un proceso en segundo plano.

Servicio API de DIVAdirector

Este servicio expone los puntos finales para la funcionalidad común de DIVAdirector. Inicialmente, solo un pequeño subjuego de la lógica de DIVAdirector se incluirá en este servicio. Los puntos finales expuestos mediante este servicio seguirán creciendo a medida que la funcionalidad migra gradualmente de la web de DIVAdirector.

Principios generales de seguridad

En las siguientes secciones se describen los principios fundamentales necesarios para utilizar cualquier aplicación de manera segura.

Mantenga el software actualizado

Mantenga actualizada la versión de DIVAdirector que ejecuta. Puede encontrar las versiones actuales del software para descargar en Oracle Software Delivery Cloud:

https://edelivery.oracle.com/

Restrinja el acceso de red a los servicios críticos

DIVAdirector utiliza los siguientes puertos TCP/IP:

- tcp/7680 para comandos de la interfaz de usuario

- tcp/8080 para el servidor HTTP

Para las versiones de DIVAdirector posteriores a 5.3.0 se requieren tres puertos adicionales:

- tcp/9763: integración con el servicio DIVArchiveWS

- tcp/9876: integración con el servicio DIVArchiveWS

- tcp/6543: integración con el servicio API de DIVAdirector

Nota:
Los números de puerto mencionados anteriormente son actuales, sin embargo, es probable que cambien en el futuro.

Ejecute el sistema como usuario ADMIN y utilice el principio de menor privilegio donde sea posible

DIVAdirector proporciona un usuario superadministrador por defecto cuya contraseña se debe cambiar después del primer inicio de sesión. Luego, este usuario puede crear otros usuarios con diferentes permisos de grupo para acceso y operaciones.

Si no se cambia la contraseña por defecto, el sistema puede ser víctima de actividades maliciosas. La contraseña por defecto de la cuenta de superadministrador se debe cambiar inmediatamente después de la instalación y la configuración, y, a partir de ese momento, cada 180 días (como mínimo). Después de realizar el cambio, debe guardar las contraseñas en una ubicación segura, fuera de línea, donde solo pueda acceder el soporte de Oracle, si fuera necesario.

Supervise la actividad del sistema

Puede supervisar la actividad del sistema para determinar el grado de eficiencia con el que está funcionando DIVAdirector. Los logs se ubican en C:\Program Files (x86)\DIVAdirector 5\cmg-server y C:\Program Files (x86)\DIVAdirector 5\www\logs.

Manténgase actualizado sobre la información de seguridad más reciente

Puede acceder a varias fuentes de información de seguridad. Para obtener información de seguridad y alertas para una gran variedad de productos de software, consulte:

http://www.us-cert.gov

La mejor manera de mantenerse actualizado en cuanto a la seguridad es ejecutar la versión más reciente del software de DIVAdirector.

2 Instalación segura

En este capítulo, se detallan los procesos de planificación para lograr una instalación segura y se describen varias topologías de despliegue recomendadas para los sistemas.

Comprensión del entorno

Para comprender mejor las necesidades de seguridad, debe hacerse las siguientes preguntas:

¿Qué recursos necesitan protección?

Puede proteger muchos de los recursos en el entorno de producción. Tenga en cuenta el tipo de recursos que desea proteger cuando determine el nivel de seguridad que va a proporcionar. Cuando utilice DIVAdirector, proteja los siguientes recursos:

Disco de datos principales

Existen carpetas proxy que contienen clips de baja resolución. En general, se encuentran en discos locales o remotos conectados al sistema DIVAdirector. El acceso independiente a estos discos (no por medio de DIVAdirector) presenta un riesgo de seguridad. Este tipo de acceso externo podría ser desde un sistema no fiable que lee estos discos o escribe en ellos, o desde un sistema interno que accidentalmente proporciona acceso a estos dispositivos de disco.

Disco de base de datos y discos de copias de seguridad

Existen recursos de discos de base de datos y de discos de copia de seguridad que se usan para conformar DIVAdirector. En general, son discos locales o remotos conectados a los sistemas DIVAdirector. El acceso independiente a estos discos (no por medio de DIVAdirector) presenta un riesgo de seguridad. Este tipo de acceso externo podría ser desde un sistema no fiable que lee estos discos o escribe en ellos, o desde un sistema interno que accidentalmente proporciona acceso a estos dispositivos de disco.

Archivos y valores de configuración

Los valores de configuración de los sistemas DIVAdirector deben estar protegidos de usuarios que no sean administradores en el nivel del sistema operativo. En general, estos valores de configuración están protegidos automáticamente por usuarios administradores en el nivel del sistema operativo. Tenga en cuenta que si habilita la opción de escritura de los archivos de configuración para usuarios del sistema operativo que no sean administradores, se genera un riesgo para la seguridad. Los archivos confidenciales abarcan todos los archivos de configuración de la aplicación incluidos en el directorio de instalación, entre ellos:

- www\Web.config

- Api\Oracle.DIVAdirector.Api.exe.config

- TaskManager\Oracle.DIVAdirector.TaskManager.exe.config

- cmgserver\cmgserver.ini

¿De quién se protegen los recursos?

En general, los recursos descritos en la sección anterior deben estar protegidos del acceso de todos los usuarios que no sean administradores en un sistema configurado, o de un sistema externo no fiable que pueda acceder a estos recursos por medio de tejido de FC o WAN.

¿Qué sucede si falla la protección de los recursos estratégicos?

Los fallos de protección de recursos estratégicos pueden incluir desde el acceso inadecuado (acceso a datos más allá de las operaciones normales de DIVAdirector) hasta daños en los datos (escritura en el disco o cinta más allá de los permisos normales).

3 Funciones de seguridad

Para evitar amenazas de seguridad potenciales, los clientes que utilizan DIVAdirector deben preocuparse por la autenticación y autorización del sistema.

Estas amenazas de seguridad pueden minimizarse con una configuración apropiada y siguiendo la lista de comprobación posterior a la instalación en Apéndice A, Lista de comprobación de despliegue seguro.

El modelo de seguridad

Las funciones de seguridad críticas que ofrecen protección frente a las amenazas de seguridad son:

- Autenticación: permite garantizar que solo las personas autorizadas tengan acceso al sistema y a los datos.

- Autorización: permite controlar el acceso a los privilegios y los datos del sistema. Esta función se basa en la autenticación para garantizar que las personas obtengan solo el acceso apropiado.

A Lista de comprobación de despliegue seguro

1. Establezca contraseñas seguras para la cuenta de administrador y cualquier otra cuenta del sistema operativo que tenga roles de servicio o administrador de DIVArchive o DIVAdirector asignados.

2. No utilice una cuenta de sistema operativo de administrador local, en cambio, asigne roles según sea necesario a otras cuentas de usuario.

3. Establezca una contraseña segura para el usuario administrador de DIVAdirector. Cambie inmediatamente la contraseña instalada por defecto por una contraseña segura. Puede hacerlo desde la pantalla de configuración Admin (Administrador), Personal (Personal) de DIVAdirector.

4. Instale un firewall en el sistema y aplique las reglas por defecto de los puertos DIVAdirector.

5. Instale actualizaciones del sistema operativo y de DIVAdirector periódicamente, puesto que estas incluyen parches de seguridad.

6. Instale un antivirus y excluya el almacenamiento y los procesos de DIVAdirector por motivos de rendimiento.

Disposiciones legales de Oracle

Disposición de Copyright

Copyright © 1994-2016, Oracle y/o sus filiales. Todos los derechos reservados.

Garantía de restricciones de licencia/Exención de responsabilidad de daños consecuenciales

Este software y la documentación relacionada están sujetos a un contrato de licencia que incluye restricciones de uso y revelación, y se encuentran protegidos por la legislación sobre la propiedad intelectual. A menos que figure explícitamente en el contrato de licencia o esté permitido por la ley, no se podrá utilizar, copiar, reproducir, traducir, emitir, modificar, conceder licencias, transmitir, distribuir, exhibir, representar, publicar ni mostrar ninguna parte, de ninguna forma, por ningún medio. Queda prohibida la ingeniería inversa, desensamblaje o descompilación de este software, excepto en la medida en que sean necesarios para conseguir interoperabilidad según lo especificado por la legislación aplicable.

Exención de responsabilidad de la garantía

La información contenida en este documento puede someterse a modificaciones sin previo aviso y no se garantiza que se encuentre exenta de errores. Si detecta algún error, le agradeceremos que nos lo comunique por escrito.

Disposición de derechos restringidos

Si este software o la documentación relacionada se entrega al Gobierno de EE.UU. o a cualquier entidad que adquiera las licencias en nombre del Gobierno de EE.UU. entonces aplicará la siguiente disposición:

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government.

Disposición de aplicaciones peligrosas

Este software o hardware se ha desarrollado para uso general en diversas aplicaciones de gestión de la información. No se ha diseñado ni está destinado para utilizarse en aplicaciones de riesgo inherente, incluidas las aplicaciones que pueden causar daños personales. Si utiliza este software o hardware en aplicaciones de riesgo, usted será responsable de tomar todas las medidas apropiadas de prevención de fallos, copia de seguridad, redundancia o de cualquier otro tipo para garantizar la seguridad en el uso de este software o hardware. Oracle Corporation y sus filiales declinan toda responsabilidad derivada de los daños causados por el uso de este software o hardware en aplicaciones de riesgo.

Disposición de marca registrada

Oracle y Java son marcas registradas de Oracle y/o sus filiales. Todos los demás nombres pueden ser marcas comerciales de sus respectivos propietarios.

Intel e Intel Xeon son marcas comerciales o marcas comerciales registradas de Intel Corporation. Todas las marcas comerciales de SPARC se utilizan con licencia y son marcas comerciales o marcas comerciales registradas de SPARC International, Inc. AMD, Opteron, el logotipo de AMD y el logotipo de AMD Opteron son marcas comerciales o marcas comerciales registradas de Advanced Micro Devices. UNIX es una marca comercial registrada de The Open Group.

Exención de responsabilidad sobre el contenido, los productos y los servicios de terceros

Este software o hardware y la documentación pueden proporcionar acceso a, o información sobre contenidos, productos o servicios de terceros. Oracle Corporation o sus filiales no son responsables y por ende desconocen cualquier tipo de garantía sobre el contenido, los productos o los servicios de terceros a menos que se indique otra cosa en un acuerdo en vigor formalizado entre Ud. y Oracle. Oracle Corporation y sus filiales no serán responsables frente a cualesquiera pérdidas, costos o daños en los que se incurra como consecuencia de su acceso o su uso de contenidos, productos o servicios de terceros a menos que se indique otra cosa en un acuerdo en vigor formalizado entre Ud. y Oracle.

Disposición de la documentación en borradores Alfa y Beta

Si este documento se encuentra en estado previo a la publicación:

Esta documentación se encuentra en estado previo a producción y tiene una finalidad exclusivamente demostrativa y preliminar. Puede que no sea específica del hardware en el que se esté utilizando el software. Ni Oracle Corporation ni sus filiales son responsables de ofrecer cualquier tipo de garantía sobre esta documentación y renuncian explícitamente a ello; además no se harán responsables de las pérdidas, los costos o los daños en los que se incurra como consecuencia del uso de esta documentación.

Disposición privada de la documentación en borradores Alfa y Beta

Si este documento se encuentra en estado privado previo a la publicación:

La información incluida en este documento se proporciona a efectos únicamente informativos y debería tenerla en cuenta tan solo en calidad de miembro del comité asesor del cliente o conforme al acuerdo firmado sobre prueba de versiones beta. No supone compromiso alguno de entrega de ningún material, código o funcionalidad, ni debe constituir base alguna para la adopción de decisiones de compra. El desarrollo, lanzamiento y plazo de puesta a disposición de cualesquiera funciones o funcionalidades descritas en este documento quedará a la sola discreción de Oracle.

Este documento, en cualquier formato, software o impreso, contiene información protegida que es propiedad exclusiva de Oracle. Su acceso y uso de este material confidencial está sujeto a los términos y condiciones de su Acuerdo Marco Oracle, Acuerdo de Licencia y Servicios Oracle, Acuerdo Oracle PartnerNetwork, Acuerdo de Distribución Oracle u otro acuerdo de licencia formalizado entre Ud. y Oracle y que usted se obliga a cumplir. Este documento y la información que contiene no podrán ser revelados, copiados, reproducidos ni distribuidos a ninguna persona ajena a Oracle sin el consentimiento previo por escrito de Oracle. Este documento no forma parte de su acuerdo de licencia ni se puede incorporar a ningún acuerdo contractual con Oracle ni sus subsidiarias o filiales.

Accesibilidad a la documentación

Para obtener información acerca del compromiso de Oracle con la accesibilidad, visite el sitio web del Programa de Accesibilidad de Oracle en http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc.

Acceso a Oracle Support

Los clientes de Oracle que hayan adquirido servicios de soporte disponen de acceso a soporte electrónico a través de My Oracle Support. Para obtener información, visite http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info o http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs si tiene problemas de audición.