Manual De MOVEit DMZ. v7.0

Transcripción

1 Manual De MOVEit DMZ v7.0

2 Contenido Contenido Introducción... 3 Iniciación Inicio de Sesión... 7 Información General Seguridad Regulaciones Privacidad/Seguridad/Auditoría ~2~

3 Introducción Introducción MOVEit DMZ Enterprise es un servidor seguro para transferir archivos. Es un componente vital de la línea MOVEit de productos de procesamiento seguro de archivos, almacenamiento y transferencia creada por Ipswitch, Inc. Estos productos ofrecen soluciones completas, integradas y basadas en normas, con el fin de garantizar el manejo seguro de información confidencial que incluye archivos financieros, historiales clínicos, documentos legales y datos personales. MOVEit DMZ almacena, maneja y distribuye información confidencial entre su organización y las entidades externas con cuidado y firmeza. Los navegadores Web y clientes FTP seguros de bajo costo o gratuitos pueden intercambiar archivos con MOVEit DMZ a través de conexiones encriptadas utilizando los protocolos HTTP sobre SSL (https), FTP sobre SSL (ftps) y FTP sobre SSH (sftp), de una manera fácil, rápida y segura. Además, todos los archivos recibidos por MOVEit DMZ están almacenados de una manera segura, utilizando el cifrado avanzado (AES) con certificación FIPS el estándar de cifrado de los gobiernos de los Estados Unidos y Canadá. Además, un interfaz Web ofrece una administración y monitoreo en línea de las actividades de MOVEit DMZ. Gracias al interfaz programable (a través de MOVEit DMZ API Windows y MOVEit DMZ API Java) MOVEit DMZ es compatible con las aplicaciones personalizadas. MOVEit DMZ incluye un plug-in del Asistente MOVEit opcional que funciona con Internet Explorer, Firefox y Mozilla para ayudar a los usuarios basados en la Web a cargar y descargar rápidamente archivos grandes o múltiples además de directorios de carpetas hacia y desde MOVEit DMZ. Las capacidades de Cifrado de la línea de los productos MOVEit son proporcionadas por MOVEit Crypto. El cifrado AES en el MOVEit Crypto tiene certificación FIPS 197. El módulo criptográfico entero obtuvo la certificación FIPS después de haber sido examinado rigurosamente por especialistas criptográficos del Instituto Nacional de Normas y Tecnología de los Estados Unidos (NIST) y la Dirección de Seguridad en las Comunicaciones (CSE) de Canadá. MOVEit DMZ también tiene un Certificado de Valor Neto (CoN) aprobado del Ejército de los Estados Unidos. Esta certificación implica una evaluación de cómo MOVEit DMZ cumple con los requisitos del Ejército para seguridad de red, integración, interoperabilidad y facilidad de administración y asistencia. Especificaciones Físicas El software MOVEit DMZ mismo reside en una plataforma Microsoft Windows Server 2003 reforzada contra amenazas provenientes de Internet y redes de confianza. Las organizaciones que necesitan respaldar grandes volúmenes de transferencias de archivos y/o numerosos usuarios pueden requerir hardware adicional, pero para muchas organizaciones las especificaciones mínimas recomendadas de ~3~

4 Introducción un MOVEit DMZ deben ser suficientes: 2 GHz Pentium-compatible CPU Disco Duro de 80 GB (Tamaño inferior solo para propósitos de prueba) 1 GB RAM Tarjeta de red para TCP/IP de 100/1000 Mb TCP Pueden encontrarse las recomendaciones más recientes de producción en nuestra Base de Conocimientos en línea. Especificaciones de la Red En la topología típica de una red, MOVEit DMZ se ubica en un segmento seguro de "DMZ" accesible para usuarios internos e externos. "DMZ" es una abreviación para la Zona Desmilitarizada - la red de "tierra de nadie" donde los anfitriones internos e externos pueden conectarse uno con otro. Predeterminadamente, las conexiones realizadas desde el segmento de la red DMZ no son confiables y normalmente no se permiten - a menos que haya una razón convincente. Los clientes Web y FTP seguro pueden cargar y descargar archivos a MOVEit DMZ desde las redes internas e externas. Por las razones de seguridad, MOVEit DMZ NO puede establecer conexiones con, o forzar archivos, a sistemas o redes interiores e exteriores. (Si se desea una solución de "forzar Proxy" o "Proxy almacenamiento-y-reenvió", puede utilizar MOVEit Central en conjunto con MOVEit DMZ.) Ventajas de Seguridad de MOVEit DMZ Sobre Otras Soluciones de "FTP Seguro" Existen tres "áreas" donde los archivos están en situaciones de riesgo mientras se transfieren entre una red externa (como por ejemplo la Internet) y su red interna: Cuando se transfieren a través de la INTERNET a un sistema en su DMZ. ~4~

5 Introducción Cuando están almacenados temporalmente en el sistema en su DMZ. Cuando se transfieren del sistema en su DMZ a un sistema en su red interna. La mayoría de los productos de transferencia de archivos Web y FTP se ubican en el sistema en la DMZ y utilizan SSL o SSH (estándar industrial) para las transferencias seguras entre la INTERNET y la DMZ. (MOVEit DMZ también.) Desafortunadamente, esto es todo lo que ofrecen la mayoría de productos; no pueden garantizar la seguridad de archivos almacenados en DMZ (en una situación de riesgo cuando la DMZ está pirateada) y fallan en asegurar los archivos que se encuentran transferidos entre la DMZ y MY ORG (en una situación de riesgo si el pirata pone un sniffer dentro de la DMZ). MOVEit DMZ garantiza la seguridad en todas las tres áreas utilizando transferencias encriptadas SSL/SSH para TODAS las transferencias y utilizando el cifrado avanzado (AES) con certificación FIPS para asegurar los archivos en el disco. Además, sólo MOVEit DMZ ofrece la integridad de lado-a-lado de archivos a través de FTP. En otras palabras, se puede comprobar que los archivos transferidos con un cliente FTP seguro o clientes Web compatibles con la verificación de integridad de archivos a través del sistema MOVEit, son idénticos en los 100% a los archivos de origen correspondientes, a través del uso de Hash criptográficos. (Cuando se combina con autenticación, la integridad completa del archivo proporciona no repudio.) Acceso al MOVEit DMZ Acceso del Cliente a MOVEit DMZ está disponible a través de varias interfaces, que incluyen HTTPS, FTP sobre SSL, y FTP sobre SSH. El interfaz Web incorporado permite acceso a cualquiera con el navegador Web (vea la lista completa de navegadores compatibles). Los administradores autorizados pueden configurar el servidor MOVEit DMZ desde ubicaciones autorizadas mientras los clientes y socios utilizan un portal más simple para mover archivos de y hacia el sistema MOVEit DMZ. A través del interfaz Web también está disponible, aunque opcional, el Wizard de Carga y Descarga de MOVEit, el cual, a través de la Web, facilita transferencias de archivos más rápidas y fiables que las que están normalmente disponibles a través de "HTTP estándar". El Wizard MOVEit es el único cliente basado en el navegador compatible con la verificación de la integridad del archivo. Un interfaz FTP seguro también está disponible en el servidor MOVEit DMZ para personas o programas con clientes FTP seguros. La línea MOVEit ofrece dos clientes gratis de línea de comandos, susceptibles a guiones, MOVEit Freely (FTP) y MOVEit Xfer (HTTPS), los cuales son compatibles con la verificación de integridad de archivos. Ipswitch también ofrece WS_FTP Professional, un cliente para transferir archivos Windows con un conjunto robusto de funciones, el cual también es compatible con la verificación de integridad de los archivos. Muchas otras compañías fabrican clientes FTP seguros para los equipos y servidores que también interactuarán con los servidores seguros FTP sobre SSL, y FTP sobre SSH de MOVEit DMZ. Para los departamentos IT que desean más control sobre el entorno de MOVEit DMZ de lo que ofrece el protocolo FTP, los productos MOVEit DMZ API proporcionan el acceso a MOVEit DMZ y una manera fácil de controlarlo a través de un objeto COM (para Windows) o clases Java (para *nix, Windows, IBM, etc.). MOVEit DMZ API también es compatible con transferencias de archivo con plena verificación de integridad y envía varias utilidades de línea de comando para los administradores que prefieren guiones en vez de programar. ~5~

6 Introducción Si desea la automatización entre desktop y servidor, o la capacidad de acceder al MOVEit DMZ como carpeta local, considere el MOVEit EZ. MOVEit EZ es una "aplicación de icono de bandeja" que sincroniza el contenido entre el equipo del usuario y MOVEit DMZ y programa las transferencias. Al acoplarse con MOVEit Central y las licencias adecuadas, MOVEit DMZ es compatible con la transferencia de archivos AS2 y AS3. (MOVEit DMZ puede usarse como servidor AS3 independiente, pero sin MOVEit Central no tiene cómo encriptar o descifrar mensajes específicos.) Ad Hoc Transfer El Módulo Ad Hoc Transfer, el cual requiere una licencia separada, ofrece una manera segura de realizar transferencia de archivos de una persona a otra. Los usuarios registrados de MOVEit DMZ pueden usar un navegador o un plug-in de Outlook para enviar archivos y/o un mensaje (el cual se llama 'paquete') a una dirección de correo electrónico. Redactar un paquete MOVEit que incluya archivos es como redactar un mensaje de correo electrónico con anexos. Sin embargo, hay diferencias. Los archivos anexados enviados como parte de un paquete se cargan en un servidor MOVEit DMZ. Se enviará una "notificación de paquete nuevo" a los destinatarios, para informarles que hay un paquete esperándolos. Los destinatarios pueden hacer clic en el enlace web contenido en esta notificación, iniciar sesión en MOVEit DMZ, y ver el paquete, donde pueden descargar los archivos. Si se ha activado, un destinatario también puede contestar un paquete y enviar anexos adicionales, los cuales también se cargarán al servidor para transferir archivos. El administrador de la organización puede establecer opciones que determinan quién puede enviar y recibir paquetes, aplicar cuotas de nivel de usuario y paquete, además de controlar los límites de expiración y descarga de paquetes. Pueden enviarse archivos grandes y varios anexos de manera rápida y segura, evitando las limitaciones de un servidor de correo. MOVEit Central Para más de diez transferencias de archivos programadas, para mover archivos inmediatamente de los servidores de MOVEit DMZ, o si se desea la conectividad con otros servidores, MOVEit Central es la mejor herramienta. MOVEit Central puede admitir miles de tareas de transferencias de archivos y se usa en trabajo de producción para trasladar cientos de miles de archivos al día en grandes centros de datos. MOVEit Central reconoce instantáneamente que un archivo ha llegado a MOVEit DMZ o al sistema de archivos Windows y puede empezar a transferir este archivo a su destinación final inmediatamente. MOVEit Central admite los protocolos seguros más populares utilizados en distintas industrias, como FTP, SSH, FTP mediante SSL, SMIME, PGP, correo electrónico y AS1/AS2/AS3. En pocas palabras, en conjunto con MOVEit DMZ, MOVEit Central completa un sistema de transferencia segura, el cual puede de manera segura, recibir, grabar y enviar archivos entre cualquier máquina compatible con el protocolo de transferencia segura. ~6~

7 Iniciación - Inicio de Sesión Iniciación - Inicio de Sesión La página de Inicio es la primera página que se muestra en el sitio MOVEit DMZ. Esta página contiene campos para su Nombre de usuario y Contraseña y un botón de "Inicio de sesión" para enviar esta información a MOVEit DMZ. Hacer clic en los iconos del teclado junto a los campos de nombre del usuario y contraseña abrirá un teclado con clics que puede usarse para introducir su información de autenticación. Si usa el teclado con clics puede prevenir que se registren las teclas pulsadas. Si está ingresando en el sitio MOVEit DMZ desde una computadora pública, es altamente recomendable usar el teclado con clics para introducir su nombre de usuario y contraseña. Si su organización utiliza idiomas múltiples, MOVEit DMZ proporcionará los vínculos para poder cambiar el idioma exhibido. Haciendo clic en uno de los vínculos cambiará la página de Inicio para que se muestre en el idioma escogido y también colocará un cookie para que se utilice este mismo idioma al iniciar la sesión la próxima vez. Cuando hace clic en el botón "Iniciar Sesión", el nombre de usuario y contraseña se transmiten en una manera segura (vía HTTPS) a MOVEit DMZ. Si falla su inicio de sesión, se mostrará un mensaje de error. Si intenta iniciar la sesión demasiadas veces en un periodo de tiempo breve, puede quedarse bloqueado del sistema. Si necesita asistencia, utilice el vínculo "Asistencia Técnica" en la página de Inicio para ponerse en contacto con alguien que le pueda ayudar. ~7~

8 Iniciación - Inicio de Sesión Si la sesión se inicia exitosamente, se le mostrará el siguiente mensaje de éxito. La página que aparece inmediatamente después de iniciar la sesión depende de cómo ha llegado a la página de inicio. Si ha escogido un vínculo desde su navegador Web o ha escrito un URL breve en su navegador, lo más probable es que ahora está viendo la Página Principal. Si hizo clic en un enlace de una notificación por correo electrónico, ahora está mirando un paquete o un archivo. Razones Comunes de Acceso Denegado Debido a las razones de seguridad el MISMO mensaje se le aparece a cualquiera quien falla en iniciar la sesión por los siguientes motivos. (Sólo se le avisará que el acceso ha sido denegado, y no PORQUE ha sido denegado.) 1. Nombre de Usuario es incorrecto 2. Contraseña es incorrecta 3. La cuenta ha sido suspendida (debido a demasiados intentos incorrectos de iniciar la sesión, el envejecimiento de la contraseña, o una acción manual del administrador) 4. No se permite a la cuenta ingresar desde esta dirección IP 5. La dirección IP ha sido bloqueada (debido a demasiados intentos de inicio falladas, muchas de ellas con diferentes nombres de usuarios) 6. El certificado del cliente no se ha provisto cuando se requiere uno, o se ha provisto un certificado de cliente incorrecto. Pedir un cambio de contraseña Algunas organizaciones pueden permitirle pedir un cambio automático de contraseña si ha olvidado la suya, para evitar ir y volver de la oficina de asistencia técnica. Si está activada esta opción, habrá un enlace "Pedir un cambio de contraseña" en la parte inferior de la página de entrada. ~8~

9 Iniciación - Inicio de Sesión Al hacer clic en este enlace se abrirá la página para pedir que se cambie la contraseña. Esta página le pedirá su nombre de usuario y le dará instrucciones para completar el proceso de cambio de contraseña. Una vez que introduzca su nombre de usuario y haga clic en el botón Pedir cambio de contraseña, se enviará un mensaje de correo electrónico a su dirección registrada, si su cuenta tiene una, ya sea con instrucciones para completar el cambio de contraseña o un aviso de que se denegó el cambio de contraseña. Certificados de clientes Su organización puede exigirle autenticar a MOVEit DMZ con un certificado de cliente SSL (X.509) ("cert cliente"). Esto es común cuando se requiere "autenticación de dos factores". Todos los certificados de clientes son "autofirmados" o "firmados por CA". La "CA" indica que una "Autoridad de certificación" ha firmado el certificado de cliente y garantiza la identidad del titular. Además, las CA se dividen en "CA comerciales" que venden servicios de firma y emisión de certificados de clientes al público en general (es decir, Thawte, GeoTrust, etc.) y "CA corporativas" que realizan las mismas funciones de certificado de clientes para sus propios usuarios. MOVEit DMZ es compatible con certificados autofirmados, certificados firmados por CA comerciales y por CA corporativas, pero sólo su organización puede decirle cuáles certificados de clientes aceptará para autenticación. Su certificado de cliente puede entregársele como archivo "*.pfx" con una contraseña o puede ser su responsabilidad pedir un certificado de cliente de una CA; reiteramos que sólo su organización sabe los detalles de este proceso. Diversos navegadores tienen distintas maneras de instalar certificados de clientes. Internet Explorer (IE) usa el Windows Certificate Store; usted puede instalar y administrar certificados de clientes a través del diálogo "Certificate" [certificado] de IE (ubicado en la ficha "Content" [contenido] en el menú "Tools" [herramientas] de IE7). Windows también ejecutará un asistente de importación de certificados de clientes que instalará automáticamente la mayoría de los certificados de clientes en IE si usted sólo hace do ble clic en el archivo de certificado de cliente "*.pfx". La línea de navegadores Mozilla/Firefox utiliza su propio almacenamiento de certificados de clientes. Para instalar certificados de clientes en estos navegadores debe usar el "Certificate Manager" [administrador de certificados] que contienen. En Mozilla (1.7), esta función se encuentra en el árbol de opciones "Privacy & Security" [privacidad y seguridad]. En Firefox (2.0), esta función se encuentra en la ficha de opciones "Encription" [encriptación] (botón "Ver certificados"). ~9~

10 Iniciación - Inicio de Sesión Diversos navegadores también tienen distintas maneras de seleccionar certificados de clientes para autenticación. La manera más común es que el navegador simplemente le pregunte (mediante un diálogo emergente) acerca de cuál certificado de cliente usar. Al conectar con un servidor MOVEit DMZ, puede pedírsele a través de su navegador que seleccione un certificado de cliente después de completar su nombre de usuario y contraseña o antes de ver la pantalla de ingreso. Sin embargo, la mayoría de los navegadores tienen opciones para presentar automáticamente un certificado de cliente si sólo tiene uno instalado o no le pedirá que elija un certificado de cliente si no presentó uno. En estos casos puede usar autenticación de certificado de cliente en segundo plano (en el caso de "un certificado, no preguntar") o para nada (en el caso de que "no hay certificados instalados, no preguntar"). Finalmente, la clave privada en el certificado de cliente puede estar protegida por contraseña. Si éste es el caso puede tener que escribir también la contraseña que creó cuando optó por proteger este certificado de cliente o almacén de claves. (Generalmente, dichas peticiones ocurren una vez por sesión.) ~10~

11 Información General - Seguridad Información General - Seguridad Las siguientes "características de seguridad" son funciones del programa MOVEit DMZ y son una adición a la integridad del sistema operativo y los servicios de aplicación asociados. Cifrado del Transporte Durante del transporte MOVEit DMZ utiliza SSL o SSH para encriptar las comunicaciones. El grado del cifrado utilizado durante de la transportación Web (p. ej. "128-bit") se puede configurar dentro del interfaz de MOVEit DMZ. El valor puede ser configurado por la organización. Para configurar este valor para cualquier organización, inicie la sesión como Administrador del Sistema, escoja la organización para cual el valor tiene que ser definido, y haga clic en el vínculo "Cambiar Req" para definir el valor. NOTA: Si escoge el valor mínimo de cifrado de la organización "Sistema" (#0), tendrá la oportunidad para aplicar su ajuste a TODAS las organizaciones en el sistema. Cifrado de Almacenamiento MOVEit DMZ almacena todos los archivos en el disco utilizando 256-BIT AES, validado para FIPS ( el nuevo estándar federal (EEUU) de cifrado. MOVEit Crypto, programa de cifrado en el cual se basa MOVEit DMZ, es solamente el décimo producto en ser examinado y validado con la certificación de los gobiernos de Estados Unidos y Canadá, como adecuado criptográficamente bajo las rigurosas normas FIPS MOVEit DMZ también sobreescribe los archivos apenas eliminados con bytes aleatorios para impedir que los archivos, aún los cifrados, permanezcan en el disco físico después de haber sido eliminados por los usuarios. Precauciones Durante el Intercambio Transporte-Almacenamiento Si los archivos recibidos por MOVEit DMZ fueran simplemente copiados a un búfer grande de memoria para texto sin cifrar, los programas troyanos podrían potencialmente "rastrear" los archivos confidenciales desde estos espacios. MOVEitDMZ reorganiza las partes de archivos recibidos en búferes más pequeños, los encripta y los escribe en el disco casi inmediatamente. Este proceso reduce la exposición total de dos maneras: 1) reduce la cantidad de información expuesta y 2) reduce el tiempo durante del cual la información está expuesta. (Esta técnica también rinde algunos beneficios importantes en cuanto a funcionamiento.) (Una pregunta frecuente de seguridad sobre este asunto es la siguiente "no sería mejor solamente almacenar el archivo utilizando SSL o SSH" una respuesta breve a esta seguridad es: SSL o SSH utiliza claves temporales negociadas cada vez el cliente establece una conexión nueva y necesitamos claves más permanentes para almacenamiento.) Verificación de Integridad Cuando se utilizan ciertos clientes de transferencia de archivo con un servidor MOVEit DMZ, se confirmará la integridad de los archivos transferidos. Todos los clientes seguros MOVEit de FTP, API y ~11~

12 Información General - Seguridad basados en la Web (incluyendo el Asistente de carga/descarga) admiten la verificación de integridad. Otros clientes de FTP también pueden aprovechar las verificaciones de integridad; vea FTP - Cómo verificar la interoperabilidad - integridad para obtener más información. Para realizar una verificación de integridad, tanto el cliente como el servidor obtienen una versión criptográfica del archivo transferido como parte del último paso de la transferencia. Si concuerdan los valores, ambos lados "saben" que el archivo transferido es completamente idéntico al original. Los resultados de la verificación de integridad se muestran al usuario del cliente de transferencia de archivo y además están almacenados para acceso inmediato en el servidor MOVEit DMZ. Transferencia Inmediata Desde el Servidor En conjunto con MOVEit Central, MOVEit DMZ permite las transferencias activadas por evento las cuales envían los archivos a los servidores internos tan pronto como llegan al servidor MOVEit DMZ que se conecta a la red Internet. Esto impide que aún los archivos encriptados permanezcan en el servidor por más tiempo de lo que es absolutamente necesario. Reinicio de la Transferencia MOVEit DMZ permite el reinicio de transferencia de archivos en ambos interfaces de HTTPS y FTPS. Además de ser útil durante las transferencias de archivos de varios gigabytes, esta función también es una función segura en el sentido de que hace las transferencias de archivos grandes menos susceptibles a ataques de denegación de servicio. Cuotas de Carpeta Se pueden definir cuotas ejecutables del tamaño de carpetas para impedir que se agote el espacio de almacenamiento del sistema. Cuotas de Usuario Se pueden definir cuotas ejecutables del tamaño para varios usuarios para prevenir que se agote el espacio de almacenamiento del sistema. Delegación de la Autoridad Los usuarios finales quienes son miembros de un grupo pueden ser designados como Administradores del Grupo. Estos usuarios podrán entonces administrar los usuarios, permisos de carpetas y libretas de direcciones en su grupo, sujeto a diversos parámetros establecidos por los administradores de la organización. Alerta Administrativa Las notificaciones de correo electrónico se envían automáticamente a los administradores cuando el usuario ha sido bloqueado, cuando durante de la verificación de consistencia interna se han encontrado errores en la base de datos, etc. Flujos de Trabajo Unidireccionales ~12~

13 Información General - Seguridad MOVEit DMZ se puede configurar para que nunca se permita a los usuarios descargar lo que acaban de cargar en el sistema. Esta configuración puede impedir que los usuarios empleen MOVEit DMZ como repositorio de información personal o restringida. (Otra manera común para manejar este escenario es a través del uso de las restricciones IP.) Envejecimiento de la Contraseña Se puede forzar que los usuarios cambien sus contraseñas periódicamente con las funciones del envejecimiento de la contraseña de MOVEit DMZ. Se avisará al usuario (vía correo electrónico) varios días antes de la expiración, y también recibirá una notificación de nuevo cuando su contraseña expira. Historial de la Contraseña MOVEit DMZ se puede configurar para que mantenga en memoria un cierto número de contraseñas y prevenir que los usuarios vuelvan a utilizar estas contraseñas. Requisitos de la Seguridad de la Contraseña Varios requisitos de la complejidad de la contraseña se pueden configurar en MOVEit DMZ, incluyendo los siguientes requisitos: número/letra, palabras de diccionario y longitud. Bloqueo de la Cuenta Si alguien intenta ingresar a una cuenta válida con una contraseña incorrecta demasiadas veces, su cuenta puede bloquearse y se notificará a los administradores por correo electrónico. Bloqueo de IP Una preocupación real de los administradores de cualquier recurso autenticado con bloqueo de cuentas es que alguien podrá obtener una lista de nombres de los usuarios válida y bloquearlos. Para mitigar este riesgo, MOVEit DMZ ofrece una función que no permite que un equipo con una dirección IP específica haga más solicitudes al sistema después de que MOVEit DMZ haya detectado demasiadas pruebas inválidas de iniciar sesión. También se notificará a los administradores cuando ocurra esto. Acceso IP/Nombre de Host Restringido Usuarios o clases de usuarios pueden ser restringidos a ciertos rangos de direcciones IP y/o nombres de Host. Registro de auditoría detallado con evidencia de alteraciones MOVEit DMZ registra no solamente los eventos como inicio y fin de sesión, sino también cambios de los permisos, adiciones de usuarios y otras acciones que afectan directamente la seguridad del sistema. Hay vistas en tiempo real de este seguimiento de auditoría así como herramientas de consulta detalladas en las páginas de Registros e Informes. Todas las entradas de registro se encadenan juntas criptográficamente de tal modo que sea evidente cualquier alteración (agregar, borrar o cambiar) en los registros de auditoría. ~13~

14 Información General - Seguridad Autenticación Remota Los clientes RADIUS y LDAP de MOVEit DMZ admiten cualquier servidor RADIUS y LDAP estándar, incluyendo el Servidor de Autenticación de Internet de Microsoft, BorderManager de Novell, Active Directory de Microsoft, edirectory de Novell, iplanet de Sun y Tivoli Access Manager (SecureWay) de IBM. Obscurecimiento de la Identidad y Versión del Producto Los nombres de los productos de MOVEit DMZ no se muestran a usuarios no autorizados a través de las interfaces SSH y FTP y también se los puede ocultar de los usuarios Web. Las versiones también están disponibles sólo a los usuarios autorizados. El hecho del Obscurecimiento de esta información impide que los hackers averigüen que es lo que están atacando sin que tengan que hacer muchas investigaciones. Certificados y Claves de Clientes Todas las interfaces importantes de MOVEit DMZ (SFTP, FTPS, HTTPS) son compatibles con el uso de certificados de clientes SSL (X.509) y claves de clientes SSH. Los certificados de clientes SSL y claves de clientes SSH generalmente están instalados en las máquinas individuales, pero los certificados de clientes SSL también están disponibles como tokens de hardware. Autenticación con Factores Múltiples Cuando se la utiliza con el nombre de usuario, la dirección IP, las claves y certificaciones/claves de cliente ofrecen autenticación con uno, dos o tres factores. Autenticación Externa Las organizaciones preocupadas por almacenamiento de combinaciones de los nombres de usuarios y hash en la base de datos protegida de MOVEit DMZ pueden utilizar la función de Autenticación Externa y mover todos los nombres de usuarios y claves (no administrativos) a los servidores RADIUS o LDAP. (El acceso a los nombres de usuarios administrativos se puede reservar para específicas direcciones IP internas.) Opciones de Amacenamiento Fuera de DMZ Hay dos maneras de almacenar los archivos cifrados de MOVEit DMZ en ubicaciones fuera de DMZ. La primera es a través de implementación de MOVEit DMZ Resilency y almacenar los datos en un lógico disco remoto. La segunda es instalar MOVEit DMZ en la existente red de área de almacenamiento (SAN). Protección de registro de pulsaciones de teclas "Teclado con clics" del navegador de la Web Para evitar que software y hardware que registran las teclas pulsadas capten las utilizadas para ingresar a un MOVEit DMZ usando un navegador de la Web, se proporciona un teclado con clics como método alternativo de entrada de datos. El mismo teclado protege también otros campos de contraseñas ~14~

15 Información General - Seguridad utilizados en toda la aplicación para proteger asimismo a otros usuarios. Protección de guiones Cross-Frame Para ayudar a prevenir ataques de guiones Cross-Frame contra MOVEit DMZ, la interfaz de web se impedirá a sí misma cargarse en un cuadro o ventana de iframe. Esto puede omitirse usando el indicador de solo contenido "contentonly", si la meta es integrar MOVEit DMZ con una aplicación de portal existente usando cuadros. ~15~

16 Información General - Reglamentaciones - Privacidad/Seguridad/Auditoría Información General - Reglamentaciones - Privacidad/Seguridad/Auditoría Esta guía contesta algunas preguntas referentes a la conformidad prevista de MOVEit DMZ con las leyes HIPAA, FDIC, OCC, G-L-B, California SB 1386, Canadiense PIPEDA, la industria de tarjetas de pago (Payment Card Industry, "PCI"), Sarbanes-Oxley (conocida también como "SARBOX") y otras reglamentaciones. Consulte con Ipswitch para saber la información más reciente acerca de cómo ayuda MOVEit a sus clientes preocupados de la seguridad a lograr sus estándares de privacidad y seguridad en transferencia de archivo y almacenamiento, así como requisitos pertinentes contractuales, industriales y reguladores. "Datos en Reposo" - MOVEit DMZ cumple este requisito a través de cifrar todos los archivos almacenados en el disco con el cifrado avanzado (AES) con certificación FIPS de 256-bytes. MOVEit Crypto (el módulo de cifrado que hace funcionar a MOVEit DMZ) es solamente el décimo producto en ser examinado, validado y certificado por los gobiernos de Estados Unidos y Canadá, bajo las rigurosas normas del FIPS "Datos en Movimiento" - MOVEit DMZ cumple este requisito a través de utilizar canales codificados (SSL o SSH) cuando se envía o recibe datos. "Seguimiento de auditoría con evidencia de alteraciones" - MOVEit DMZ mantiene un seguimiento de auditoría completo no sólo de cada transferencia de archivo sino también de cada acción administrativa. Todas las entradas se encadenan criptográficamente de tal modo que sea evidente una alteración al registro (es decir, agregar, borrar o cambiar entradas). Las "verificaciones de alteraciones" se ejecutan automáticamente y pueden ejecutarse también manualmente siempre que sea necesario. "Verificación de Integridad" - Clientes de transferencias de archivos MOVEit DMZ y MOVEit, incluyendo a Wizard de Carga/Descarga, EZ, Xfer, Freely, Central, API y API Java utilizan Hash criptográficos para verificar la integridad de los archivos en la cadena de transferencias. "No-rechazo" - Autenticación MOVEit y la verificación de la integridad permite probar que ciertas personas han enviado y/o recibido archivos específicos. "Entrega Garantizada" - Cuando se combina el no repudio de MOVEit con las funciones de reiniciar y reanudar transferencias, MOVEit cumple con los requisitos del concepto conglomerado, llamado "entrega garantizada". "Destrucción de Datos Obsoletos" - MOVEit DMZ sobrescribe todos los archivos eliminados con datos aleatorios de calidad criptográfica para prevenir el acceso en el futuro. Específicamente, MOVEit DMZ reúne los requisitos de NIST SP (borrado de datos). "Acceso Limitado Solo-Necesario" - Los permisos de usuarios/grupos de MOVEit DMZ permiten acceso solamente a los materiales a los cuales los usuarios deberían tener acceso. "Buena Protección de Contraseñas" - MOVEit DMZ requiere contraseñas fuertes, no les permite a los usuarios que vuelvan a utilizar las mismas contraseñas y periódicamente requiere cambios de contraseñas. "Buen Cifrado" - MOVEit DMZ utiliza SSL para la comunicación entre redes. Este protocolo "negociado" se puede utilizar para conectar con la STRENGTH de 128-bytes, la máxima disponible en el momento. MOVEit DMZ utiliza el cifrado avanzado (AES) con certificación FIPS de 256-bytes de MOVEit Crypto para almacenar datos en el disco. (Este algoritmo ha sido seleccionado por NIST para reemplazar DES, y es más rápido y más seguro que Triple-DES.) "Protección contra Denegación del Servicio" - MOVEit DMZ tiene resistencia contra ataques DOS causados por el agotamiento de recursos a través de verificación de credenciales u otros recursos ~16~

17 Información General - Reglamentaciones - Privacidad/Seguridad/Auditoría disponibles para usuarios anónimos. (Direcciones IP "fastidiosas" serán bloqueadas.) "Mejoras de seguridad" - La instalación de MOVEit DMZ incluye un procedimiento de varios pasos (TOTALMENTE documentados), el cual cubre el sistema operativo, el entorno de servicio Web, las permisiones y otras aplicaciones. "Contrafuegos" - MOVEit DMZ ofrece un manual detallado de configuración de contrafuegos para minimizar la confusión de los administradores. Además, MOVEit DMZ apoya el uso del IPSec nativo como contrafuegos (filtración de paquetes) para la segunda línea de defensa. "Custodia de Código" - El código fuente con las instrucciones de las versiones principales de MOVEit DMZ se guardan con terceros. "Revisión de código y Pruebas de Regresión" - Todo el código de MOVEit DMZ se pone a prueba a través de Revisión de código y el control de cambios se mantiene con la aplicación de SourceSafe de Microsoft. Las pruebas de regresión se hacen con cada versión con una batería de pruebas, la cual contiene miles de varias pruebas. "Autenticación con Factores Múltiples" - Cuando se la utiliza con el nombre de usuario, la dirección IP, las claves y certificaciones/claves de cliente ofrecen autenticación con uno, dos o tres factores. ~17~