iseries IBM SecureWay: iseries 400 e Internet

Transcripción

1 iseries IBM SecureWay: iseries 400 e Internet

2

3 iseries IBM SecureWay: iseries 400 e Internet

4 Copyright International Business Machines Corporation 1999,2000. Reserados todos los derechos.

5 Contenido Parte 1. IBM SecureWay: iseries e Internet Capítulo 1. Noedades de V5R Capítulo 2. Para imprimir este tema Capítulo 3. iseries 400 y la seguridad en Internet Capítulo 4. Planificación de la seguridad en Internet La seguridad basada en la defensa por capas Política y objetios de seguridad Ejemplo: Planificación de e-business de la Compañía de juguetes JKL Capítulo 5. Nieles de seguridad del sistema iseries 400 para la disponibilidad de Internet Capítulo 6. Opciones de seguridad de la red Cortafuegos Normas de paquete de iseries Elección de opciones de seguridad de red para iseries Capítulo 7. Opciones de seguridad de aplicaciones Seguridad del sericio web Seguridad de Jaa en Internet Seguridad de correo electrónico Seguridad de FTP Capítulo 8. Opciones de seguridad de transmisiones Utilización de certificados digitales para SSL SSL para garantizar un acceso seguro a Telnet SSL para Client Access Express seguro Redes priadas irtuales (VPN) para asegurar las comunicaciones priadas Capítulo 9. Terminología de seguridad en Internet Copyright IBM Corp. 1999,2000 iii

6 i iseries: IBM SecureWay: iseries 400 e Internet

7 Parte 1. IBM SecureWay: iseries e Internet El acceso a Internet desde la LAN es un paso adelante en la eolución de la red para el que deberá oler a ealuar los requisitos de seguridad. Afortunadamente, el sistema iseries 400 incluye soluciones de software integradas y una arquitectura de sistema que le permitirá diseñar una buena defensa contra los intrusos y las brechas de seguridad potenciales en Internet. El uso correcto de estas ofertas de seguridad del sistema iseries permitirá a los clientes, empleados y business partners obtener la información que necesiten para trabajar en un entorno seguro. Puede utilizar la información contenida en este documento para conocer cuáles son las amenazas de seguridad más conocidas, y cómo se relacionan estos riesgos con Internet y sus objetios de e-business. Asimismo, puede aprender a ealuar estos riesgos y a sopesarlos con las entajas de utilizar las distintas opciones de seguridad que ofrece iseries. Por último, puede determinar cómo desea utilizar esta información para desarrollar un plan de seguridad de la red que se ajuste a las necesidades de su compañía, y asegurar así su política de seguridad Si desea obtener más información sobre los riesgos de seguridad en Internet y las soluciones de seguridad de iseries que se pueden utilizar para proteger los sistemas y recursos, consulte la siguiente información: Noedades de V5R1 Utilice esta información para conocer los cambios y adiciones a la oferta de seguridad en Internet de iseries que se incluyen en V5R1. Para imprimir este tema Utilice esta información para acceder a una ersión en Adobe Acrobat de este tema e imprimirlo. iseries y seguridad en Internet Utilice esta información para tener una isión general de las posibilidades de la seguridad de iseries en e-business y las ofertas de seguridad de iseries que hay disponibles. Planificación de la seguridad en Internet Utilice esta información para crear una política de seguridad que responda a sus necesidades de seguridad de e-business e Internet. Nieles de seguridad del sistema iseries para la disponibilidad de Internet Utilice esta información para determinar qué sistema de seguridad debe tener instalado antes de conectarse a Internet. Opciones de seguridad de la red Utilice esta información para conocer las medidas de seguridad que se deben implantar a niel de red para proteger los recursos internos. Opciones de seguridad de aplicaciones Utilice esta información para conocer los riesgos de seguridad en Internet más comunes para muchos de los sericios y aplicaciones de Internet, y las medidas disponibles para gestionarlos. Opciones de seguridad de transmisiones Utilice esta información sobre las medidas de seguridad que se pueden implantar para proteger los datos mientras fluyen a traés de una red poco fiable como Internet. Conozca las medidas de seguridad de las conexiones de Capa de sockets segura (SSL), Client Access Express y Red priada irtual (VPN). iseries Opciones de seguridad en Internet Utilice esta bree descripción de las opciones de seguridad de iseries para elegir la mejor protección de los sistemas y recursos, según el uso que tenga preisto hacer de Internet y los planes de e-business. Nota: Si no está familiarizado con la terminología de seguridad e Internet, consulte la terminología de seguridad común mientras trabaja con este manual. Copyright IBM Corp. 1999,2000 1

8 2 iseries: IBM SecureWay: iseries 400 e Internet

9 Capítulo 1. Noedades de V5R1 En V5R1 se han añadido arias mejoras a la oferta de seguridad de iseries 400. En la siguiente lista se describen algunas de las mejoras de seguridad y funciones más importantes: Mejoras del Gestor de certificados digitales (DCM) Ahora puede utilizar DCM para crear y gestionar certificados que se pueden utilizar para firmar objetos y asegurar su integridad, así como para proporcionar pruebas de origen para los objetos. También se pueden crear y gestionar los certificados de erificación de firma correspondientes, que el usuario u otros pueden utilizar para autenticar la firma de un objeto firmado y garantizar que los datos del objeto no se han alterado para erificar la prueba de origen del objeto. También se puede utilizar DCM, o las API correspondientes, para firmar un objeto o erificar la firma de un objeto. Sistema operatio con firma digital A partir de V5R1, OS/400 y IBM LPP incluirán una firma digital de IBM. Los usuarios podrán erificar que los programas de IBM no han sido modificados desde que fueron firmados por IBM. La erificación de firma digital se puede realizar en el momento de restaurar el sistema o ejecutando el mandato CHKOBJITG. También pueden encontrarse arias API que permiten a los clientes y a los business partners firmar digitalmente y erificar las aplicaciones. Nueas normas para las contraseñas de perfil de usuario (QPWDLVL 2 y 3) La longitud de la contraseña de perfil de usuario se ha aumentado para permitir entre 1y128 caracteres. Las contraseñas distinguen mayúsculas de minúsculas, y permiten blancos intercalados; por ejemplo: Esta es mi nuea Contraseña. Los blancos de cola se eliminan y una contraseña no puede estar formada sólo por blancos. Mejoras en las contraseñas de perfil de usuario Utilice el nueo alor del sistema QPWDLVL para establecer una de las 4 opciones de control del niel de contraseña del sistema: PWDLVL 0 Este alor permite contraseñas con una longitud de 10 bytes, y permite retener contraseñas Netserer. Este es el alor por omisión. PWDLVL 1 Este alor permite contraseñas con una longitud de 10 bytes, y elimina las contraseñas Netserer. PWDLVL 2 Este alor permite contraseñas con una longitud de 128 caracteres, y retiene las contraseñas que se ajustan al formato anterior de contraseña y al nueo. PWDLVL 3 Este alor permite contraseñas con una longitud de 128 caracteres, y elimina los formatos anteriores de contraseña. Soporte de coprocesador criptográfico PCI IBM para un almacenamiento de claes más seguro Si el sistema tiene instalado un Coprocesador criptográfico PCI IBM , puede utilizarlo para almacenar las claes de certificados digitales de forma más segura. Si utiliza DCM para crear o renoar certificados, puede elegir entre almacenar la clae directamente en el coprocesador, o utilizar la clae maestra del coprocesador para cifrar la clae priada y almacenarla en un archio especial de almacenamiento de claes. Asimismo, si utiliza el coprocesador para el almacenamiento de claes, puede aumentar el rendimiento SSL (Capa de sockets segura) de las aplicaciones habilitadas con SSL. Esto se debe a que el coprocesador se encarga de la tarea de descifrar la clae priada para presentarla al protocolo de enlace SSL. Asimismo, también se puede realizar el balance de cargas del proceso de protocolo de enlace SSL entre arias tarjetas Soporte de certificados VPN (Red priada irtual) Antes de V5R1, los seridores IKE (Intercambio de claes en Internet) VPN podían autenticarse mutuamente utilizando una clae compartida preiamente. El uso de claes compartidas preiamente es menos seguro, ya que se debe comunicar manualmente la clae al administrador al otro extremo de la red VPN. Por ello, hay una posibilidad de que esta clae quede expuesta a otros usuarios durante el proceso de comunicación de la clae. En V5R1 se puede eitar este riesgo ya que se utilizan certificados digitales para autenticar los extremos, en lugar de utilizar una clae compartida preiamente. Utilice el Gestor de certificados digitales (DCM) para gestionar los certificados que utiliza el seridor IKE para establecer una conexión VPN dinámica. Copyright IBM Corp. 1999,2000 3

10 Mejoras en las aplicaciones habilitadas con SSL (Capa de sockets segura) Existen arias mejoras de SSL para V5R1. Ahora puede configurarse el seridor iseries FTP (Protocolo de transferencia de archios) para que utilice SSL, a fin de garantizar unas sesiones de comunicaciones más seguras. El cliente iseries Telnet también da soporte a SSL. Puede configurar el seridor FTP y el seridor Telnet para que utilicen certificados digitales para la autenticación de clientes. Asimismo, OS/400 da soporte a la cifra AES de 128 bits en V5R1. AES es un nueo algoritmo de cifrado más rápido que sustituye al algoritmo DES. Mejoras en el Protocolo simple de transferencia de correo (SMTP) SMTP proporciona ahora soporte restringido basado en Asunto, Remitente y Dirección IP. Asistente de configuración en Internet El último release disponible como archio descargable del reconocido asistente de configuración en Internet está ahora disponible directamente en Operations Naigator. Este asistente se puede utilizar para configurar una conexión a Internet para el sistema iseries, y asegurarla con normas de filtro generadas automáticamente. Mejoras en la retención de datos para la creación de programas Los programas creados para sistemas iseries V5R1 o posterior contienen información que permite oler a crear los programas en el momento de restaurarlos, si fuera necesario. La información necesaria para oler a crear el programa permanece dentro del programa, incluso cuando se ha eliminado la obserabilidad del programa. Si se detecta un error de alidación del programa en el momento de restaurarlo, el programa se olerá a crear para corregir el error de alidación del programa. La acción de oler a crear el programa en el momento de restaurarlo no es nuea para los sistemas iseries V5R1. En los anteriores releases, los errores de alidación del programa que aparecían en el momento de restaurarlo se reproducían en el programa que se olía a crear, si era posible (si existía la obserabilidad en el programa restaurado). La diferencia con los programas del sistema iseries V5R1 o posterior es que la información necesaria para oler a crear el programa permanece, incluso si se ha eliminado la obserabilidad del programa. De esta forma, cualquier programa de V5R1 o posterior en el que se detecte un error de alidación se olerá a crear en el momento de restaurarlo, y se eliminará la alteración que producía el error de alidación. 4 iseries: IBM SecureWay: iseries 400 e Internet

11 Capítulo 2. Para imprimir este tema Puede er o descargar la ersión PDF de este documento para consultarlo o imprimirlo. Para er los archios PDF debe tener Adobe Acrobat Reader instalado. Puede descargar una copia desde la página web de Adobe. Para er o descargar la ersión PDF, seleccione IBM SecureWay: iseries e Internet (416 KB o 60 páginas). Para guardar el PDF en la estación de trabajo para realizar consultas o imprimirlo: 1. Abra el PDF en el naegador (pulse el enlace anterior). 2. En el menú del naegador, seleccione Archio. 3. Seleccione Guardar como Desplácese hasta el directorio en el que desee guardar el PDF. 5. Seleccione Guardar. Copyright IBM Corp. 1999,2000 5

12 6 iseries: IBM SecureWay: iseries 400 e Internet

13 Capítulo 3. iseries 400 y la seguridad en Internet Como propietario de iseries 400 interesado en las distintas opciones de conexión de los sistemas a Internet, una de las primeras cuestiones que se planteará es cómo puedo empezar a utilizar Internet en mis negocios?. La segunda pregunta será qué debo saber sobre seguridad e Internet?. El objetio de este manual es ayudarle a responder a esta pregunta. La respuesta a la pregunta qué debo saber sobre seguridad e Internet?, es que depende de cómo desee utilizar Internet. Los problemas de seguridad relacionados con Internet son muchos. Los problemas releantes para cada usuario dependerán del uso que desee hacer de Internet. El primer uso que se hace de Internet suele ser proporcionar a los usuarios de la red interna acceso a la web y al correo electrónico de Internet. También puede ser interesante transferir información confidencial de un sitio a otro. Por último, es posible que desee utilizar Internet para el comercio electrónico o para crear una extranet entre su compañía y otros business partners o distribuidores. Antes de empezar a utilizar Internet, debería pensar cuáles son sus objetios y cómo desea implantarlos. Tomar decisiones sobre el uso y la seguridad de Internet puede ser una cuestión compleja. Consulte la página Ejemplo: planificación de e-business de la Compañía de juguetes JKL cuando aya a desarrollar su propio plan de utilización de Internet. (Nota: Si no está familiarizado con la terminología de seguridad e Internet, consulte la terminología de seguridad común mientras trabaja con este manual). Una ez determinado el uso que desee hacer de Internet para e-business, así como las cuestiones de seguridad y las ofertas, funciones y herramientas de seguridad disponibles, puede desarrollar una política y unos objetios de seguridad. Son arios los factores que afectan a las opciones que se elijan en el desarrollo de la política de seguridad. Cuando se amplía una organización a Internet, la política de seguridad es la piedra angular para asegurar que los sistemas y recursos son seguros. Características de seguridad de los sistemas iseries 400 Además de las distintas ofertas de seguridad específicas para proteger el sistema en Internet, iseries 400 incluye características importantes de seguridad de sistemas, como las siguientes: Seguridad integrada, muy difícil de sortear, comparado con los paquetes de software de seguridad incorporada que ofrecen otros sistemas. Arquitectura basada en objetos, que dificulta técnicamente la creación y propagación de irus. En un sistema iseries, un archio no puede hacerse pasar por un programa, ni un programa puede cambiar otro programa. Las características de seguridad de iseries necesitan del uso de interfaces proporcionadas por el sistema para acceder a los objetos. No se puede acceder a un objeto directamente a partir de su dirección en el sistema. No se puede tomar un desplazamiento y conertirlo en, o fabricar, un puntero. La manipulación de punteros es una técnica común utilizada por los hackers en otras arquitecturas de sistema. Flexibilidad, que permite configurar la seguridad del sistema para dar respuesta a sus requisitos específicos. Puede utilizar el Technical Studio Security Adisor, recomendaciones de seguridad se ajustan a sus necesidades. para determinar qué Oferta de seguridad aanzada de iseries iseries también ofrece arias ofertas de seguridad específicas que se pueden utilizar para aumentar la seguridad del sistema al conectarse a Internet. Dependiendo del uso que haga de Internet, podrá aproechar las entajas de estas ofertas: Las Redes priadas irtuales (VPN) son una extensión de la intranet priada de una empresa a traés de una red pública como Internet. Puede utilizar una VPN para crear una conexión priada segura, creando básicamente un túnel priado en una red pública. VPN es una característica integrada de OS/400 disponible en la interfaz de Operations Naigator. Copyright IBM Corp. 1999,2000 7

14 Las Normas de paquete es una característica integrada de OS/400 disponible en la interfaz de Operations Naigator. Esta característica permite configurar filtros de paquetes IP y normas NAT (Traducción de direcciones de red) para controlar el flujo del tráfico TCP/IP dentro y fuera del sistema iseries. La seguridad de comunicaciones de las aplicaciones de Capa de sockets segura (SSL) permite configurar las aplicaciones para que utilicen SSL para establecer conexiones seguras entre las aplicaciones de seridor y sus clientes. SSL se desarrolló originalmente para asegurar las aplicaciones de seridor y los naegadores web, pero se pueden habilitar otras aplicaciones para que lo utilicen. Ahora son muchas las aplicaciones de seridor iseries que están habilitadas para SSL, incluidos el seridor HTTP de IBM para iseries, Client Access Express, el Protocolo de transferencia de archios (FTP), Telnet, etc. Una ez determinado el uso que desee hacer de Internet, así como las cuestiones de seguridad y las ofertas, funciones y herramientas de seguridad disponibles, ya está preparado para desarrollar una política y unos objetios de seguridad. Son arios los factores que afectan a las opciones que se elijan en el desarrollo de la política de seguridad. Cuando se amplía una organización a Internet, la política de seguridad constituye la piedra angular para garantizar la seguridad de un sistema. Nota: Si desea obtener información más detallada sobre cómo empezar a utilizar Internet en sus negocios, consulte en línea estos temas del Information Center y los libros rojos de IBM: Conexión a Internet AS/400 Internet Security: Protecting Your AS/400 from HARM on the Internet (SG ). 8 iseries: IBM SecureWay: iseries 400 e Internet

15 Capítulo 4. Planificación de la seguridad en Internet Cuando se estudia el uso que se a a hacer de Internet, se deben planificar detenidamente las necesidades de seguridad en Internet. Debe reunirse toda la información disponible sobre la planificación del uso de Internet y documentar la información de la red interna. A partir de los resultados obtenidos se podrán ealuar con precisión las necesidades de seguridad. Por ejemplo, debe documentarse y describir aspectos como los siguientes: La configuración de la red actual. Información sobre la configuración del seridor de correo electrónico y DNS La conexión al Proeedor de sericios de Internet (ISP) Qué sericios desea utilizar en Internet. Qué sericios desea proporcionar a los usuarios de Internet. Al documentar este tipo de información se puede determinar cuáles son los riesgos de seguridad y cuáles las medidas necesarias para minimizarlos. Por ejemplo, es posible que le interese que los usuarios internos utilicen Telnet para conectarse a sistemas principales de una ubicación de inestigación especial. Los usuarios internos necesitan este sericio para mejorar el desarrollo de nueos productos de la compañía. Sin embargo, está preocupado por el flujo a traés de Internet de datos confidenciales sin protección. Si la competencia captura y explota estos datos, la compañía podría enfrentarse a graes riesgos económicos. Una ez identificadas las necesidades de uso (Telnet) y los riesgos asociados (exposición de información confidencial), ya se puede determinar qué medidas adicionales de seguridad se deben implementar para garantizar la confidencialidad de los datos en este uso (Habilitación de Capa de sockets segura (SSL)). Para obtener ayuda en el desarrollo de la planificación del uso de Internet y la seguridad, consulte los siguientes temas: La seguridad basada en la defensa por capas proporciona información sobre los problemas asociados a la creación de un plan de seguridad global. Política y objetios de seguridad proporciona información para ayudarle a entender mejor los problemas asociados con la creación de un plan de seguridad global. Ejemplo: planificación de e-business de la Compañía de juguetes JKL proporciona un modelo práctico del uso típico de Internet en una compañía y los planes de seguridad que se pueden utilizar para crear su propio modelo. Aunque el producto ha dejado de mantenerse, puede ser de gran utilidad adaptar y utilizar las hojas de trabajo de planificación del IBM Firewall para AS/400 para documentar los nueos planes. Estas hojas de trabajo pueden ayudarle a reunir información importante sobre el uso que se tiene preisto hacer de Internet y la configuración de la red interna, así como también para ealuar las necesidades de seguridad. Puede acceder a estas hojas de trabajo en el tema Iniciación al cortafuegos del Information Center de V4R5 AS/400. Independientemente de si decide utilizar o no un cortafuegos, gran parte de la información que se necesita para planificar la estrategia de seguridad en Internet es la misma. Copyright IBM Corp. 1999,2000 9

16 La seguridad basada en la defensa por capas La política de seguridad define qué es lo que desea proteger y qué espera de los usuarios del sistema. Proporciona una base para la planificación de seguridad al diseñar nueas aplicaciones o ampliar la red actual. Describe las responsabilidades del usuario como, por ejemplo, la protección de la información confidencial y la creación de contraseñas no triiales. Nota: Debe crear y establecer una política de seguridad en su compañía que minimice los riesgos de la red interna. Las características de seguridad inherentes de iseries 400, si se configuran correctamente, permiten minimizar muchos de los riesgos. No obstante, cuando se conecta el sistema iseries a Internet, se deben proporcionar medidas de seguridad adicionales que garanticen la seguridad de la red interna. El uso del acceso a Internet en actiidades empresariales llea asociado muchos riesgos. Siempre que se crea una política de seguridad, se deben sopesar los sericios que se ofrecen con el control del acceso a las funciones y los datos. En los sistemas en red, la seguridad es más difícil, ya que el canal mismo de comunicaciones está abierto a posibles ataques. Algunos sericios de Internet son más ulnerables a ciertos tipos de ataques que otros. Por lo tanto, es fundamental entender los riesgos que supone cada sericio que desee utilizar o proporcionar. Además, el conocimiento de los posibles riesgos de seguridad ayuda a determinar un conjunto claro de objetios de seguridad. Internet se e amenazada por algunos indiiduos que se dedican a ulnerar la seguridad de las comunicaciones en Internet. En la siguiente lista se describen algunos de los riesgos de seguridad más típicos con los que se puede encontrar: Ataques pasios: En un ataque pasio, el autor superisa simplemente el tráfico de la red para intentar conocer algunos secretos. Estos ataques se pueden basar en la red (rastreo los enlaces de comunicaciones) o en el sistema (sustitución de un componente del sistema con un programa Caballo de Troya que captura datos subrepticiamente). Los ataques pasios son los más difíciles de detectar. Siempre debe presuponer que alguien puede estar escuchando todo lo que eníe por Internet. Ataques actios: En un ataque actio, el autor intenta abrirse paso a traés de sus defensas para entrar en los sistemas de la red. Hay arios tipos de ataques actios: En los intentos de acceso al sistema, el atacante intenta explotar los agujeros de seguridad para acceder a un cliente o sistema y controlarlo. En los ataques de usurpación, el atacante intenta abrirse paso a traés de sus defensas haciéndose pasar por un sistema de confianza, o un usuario le persuade para que le eníe información secreta. En los ataques de negatia de sericio, el atacante intenta interferir en las operaciones, o detenerlas, redireccionando el tráfico o bombardeando el sistema con basura. En los ataques criptográficos, el atacante intentará adiinar o robar las contraseñas, o utilizará herramientas especializadas para intentar descifrar los datos cifrados. Varias capas de defensa Como los riesgos potenciales de Internet se pueden producir a arios nieles, deberá configurar medidas de seguridad que ofrezcan arias capas de defensa contra estos riesgos. En general, cuando se conecte a Internet, no debe cuestionarse si hay alguna posibilidad de que se produzcan intrusiones o ataques de negatia de sericio. En su lugar, debe dar por seguro que sí sufrirá estos problemas de seguridad. De esta forma, la mejor defensa es un ataque proactio y deliberado. El uso de un enfoque por capas al planificar la estrategia de seguridad de Internet garantiza que el atacante que penetre en una de las capas de defensa será detenido en la capa siguiente. La estrategia de seguridad debe proporcionar unas medidas que ofrezcan protección en las siguientes capas del modelo informático de red tradicional. En general, la seguridad debe planificarse desde el niel más básico (seguridad del sistema) al niel más complejo (seguridad de transacciones). 10 iseries: IBM SecureWay: iseries 400 e Internet

17 Seguridad a niel de sistema Las medidas de seguridad del sistema representan la última línea de defensa contra un problema de seguridad debido a Internet. Por lo tanto, el primer paso en una estrategia completa de seguridad en Internet debe ser la correcta configuración de los alores básicos de seguridad del sistema iseries. Seguridad a niel de red Las medidas de Seguridad de red controlan el acceso al sistema iseries y a otros sistemas en red. Cuando se conecta la red a Internet, debe asegurarse de que dispone de las medidas correctas de seguridad a niel del red para proteger los recursos internos de la red contra la intrusión y el acceso no autorizado. El medio más común para garantizar la seguridad de la red es un cortafuegos. El Proeedor de sericios de Internet (ISP) puede y debe proporcionar una parte importante del plan de seguridad de la red. El sistema de seguridad de la red debe incluir las medidas de seguridad que proporcionará el ISP como, por ejemplo, las normas de filtrado para la conexión del direccionador del ISP o las precauciones del Sericio de nombres de dominios (DNS) público. Seguridad a niel de aplicaciones Las medidas de Seguridad a niel de aplicaciones controlan la forma de interacción de los usuarios con las distintas aplicaciones. En general, se deben configurar alores de seguridad para cada una de las aplicaciones que utilice. Sin embargo, se debe prestar especial atención a la seguridad de las aplicaciones y los sericios que se utilizan desde o hacia Internet. Estas aplicaciones y sericios son los más ulnerables al abuso de usuarios no autorizados que deseen acceder a los sistemas en red. Las medidas de seguridad que decida utilizar deberán cubrir la exposición del cliente y del seridor. Seguridad a niel de transmisión Las medidas de Seguridad a niel de transmisión protegen la comunicación de datos dentro de la red y entre arias redes. Cuando se realizan comunicaciones en una red tan poco fiable como Internet, no se puede controlar el flujo del tráfico desde el origen hasta el destino. El tráfico y los datos que llea fluyen a traés de distintos seridores que están fuera de su control. A menos que se establezcan unas medidas de seguridad como, por ejemplo, la configuración de las aplicaciones para que utilicen la Capa de sockets segura (SSL), los datos direccionados estarán a disposición de cualquiera que desee erlos y utilizarlos. Las medidas de seguridad a niel de transmisión protegen los datos mientras fluyen entre los otros límites de niel de seguridad. Cuando se desarrolla una política de seguridad completa en Internet, se debe diseñar indiidualmente una estrategia de seguridad para cada capa. Asimismo, se debe describir cómo interactuará cada conjunto de estrategias con las otras, para ofrecer así una red de seguridad integral en su compañía. Capítulo 4. Planificación de la seguridad en Internet 11

18 Política y objetios de seguridad La política de seguridad Cada sericio de Internet que utilice o proporcione supone un riesgo para el sistema iseries y la red a la que esté conectado. La política de seguridad es un conjunto de normas que se aplican a las actiidades del sistema y a los recursos de comunicaciones que pertenecen a una organización. Estas normas tratan áreas como la seguridad física, personal, administratia y de la red. La política de seguridad define qué es lo que desea proteger y qué espera de los usuarios del sistema. Proporciona una base para la planificación de seguridad al diseñar nueas aplicaciones o ampliar la red actual. Describe las responsabilidades del usuario como, por ejemplo, la protección de la información confidencial y la creación de contraseñas no triiales. La política de seguridad también debe describir cómo se a a superisar la efectiidad de las medidas de seguridad. Esta superisión permite descubrir si hay alguien intentando sortear la defensa. Para desarrollar una política de seguridad, debe definir primero los objetios de la seguridad. Una ez creada la política de seguridad, el siguiente paso es poner en práctica las normas que contiene. Este paso incluye la formación de empleados y la mejora necesaria de software y hardware para implementar estas normas. Asimismo, cuando se realizan cambios en el entorno informático, se debe actualizar la política de seguridad. De esta forma se cubren los posibles riesgos que puedan implicar estos cambios. Puede encontrar un ejemplo de una política de seguridad para la compañía de juguetes JKL en el tema Seguridad básica de sistema y planificación del iseries Information Center. Los objetios de seguridad Cuando se crea y se desarrolla una política de seguridad, se deben tener claros los objetios. Los objetios de seguridad entran dentro de una o arias de estas categorías: Protección de recursos El esquema de protección de recursos garantiza que sólo los usuarios autorizados podrán acceder a los objetos del sistema. La capacidad de asegurar todo tipo de recursos del sistema es una de las entajas de iseries. Primero se deben definir con precisión las distintas categorías de usuarios que pueden acceder al sistema. Asimismo, cuando se crea la política de seguridad, se debe definir el tipo de autorización de acceso que se a a ofrecer a estos grupos de usuarios. Autenticación Es la confianza o erificación de que el recurso (humano o artificial) al otro extremo de la sesión es realmente el que dice ser. Una autenticación conincente defiende el sistema contra riesgos de seguridad como las imitaciones, en las que el remitente o receptor utiliza una identidad falsa para acceder al sistema. Tradicionalmente, los sistemas han utilizado contraseñas y nombres de usuario para la autenticación; los certificados digitales pueden ofrecer un método más seguro de autenticación, a la ez que proporcionan otras entajas de seguridad. Cuando se enlaza un sistema a una red pública como Internet, la autenticación de usuario toma nueas dimensiones. Una diferencia importante entre Internet y una intranet es la posibilidad de confiar en la identidad del usuario que inicia la sesión. Por lo tanto, debe considerar seriamente utilizar unos métodos más exhaustios de autenticación que los tradicionales procedimientos de conexión con nombre de usuario y contraseña. Los usuarios autenticados deben tener distintos tipos de permisos, según su niel de autorización. Autorización Es la garantía de que la persona o sistema al otro extremo de la sesión tiene permiso para llear a cabo la petición. La autorización es el proceso de determinar quién o qué 12 iseries: IBM SecureWay: iseries 400 e Internet

19 puede acceder a los recursos del sistema o ejecutar determinadas actiidades en un sistema. Normalmente, la autorización se realiza en el contexto de la autenticación. Integridad Es la garantía de que la información entrante es la misma que la que se ha eniado. Para entender la integridad, se deben entender primero los conceptos de integridad de los datos e integridad del sistema. Integridad de los datos: Los datos están protegidos contra cambios no autorizados o manipulaciones. La integridad de los datos los defiende contra riesgos de seguridad como la manipulación, donde alguien intercepta y modifica la información sin estar autorizado. Además de proteger los datos que están almacenados en la red, se necesita seguridad adicional para garantizar la integridad de los datos cuando éstos entran en el sistema proenientes de fuentes no fiables. Cuando los datos que entran en el sistema proienen de una red pública, son necesarios métodos de seguridad para: Proteger los datos para que no se puedan husmear o interpretar, normalmente cifrándolos. Asegurar que las transmisiones no han sido alteradas (integridad de los datos). Demostrar que se ha producido la transmisión (No repudio). En el futuro, es posible que sea necesario el equialente electrónico del correo certificado. Integridad del sistema: El sistema proporciona resultados coherentes con el rendimiento esperado. Para los sistemas iseries, la integridad del sistema es el componente de seguridad más superisado, ya que es parte fundamental de la arquitectura del iseries. Por ejemplo, la arquitectura del iseries dificulta enormemente a los intrusos la imitación o el cambio del programa de un sistema operatio si se utiliza un niel de seguridad de 40 o 50. No repudio No repudio es la prueba de que se ha producido una transacción, o que se ha eniado o recibido un mensaje. La utilización de certificados digitales y criptografía de claes públicas para firmar transacciones, mensajes y documentos da soporte al No repudio. El remitente y el receptor están de acuerdo en que el intercambio ha tenido lugar. La firma digital de los datos es una prueba suficiente. Confidencialidad Es la garantía de que la información más sensible permanece priada y no es isible para los escuchas intrusos. La confidencialidad es fundamental para la seguridad total de los datos. El cifrado de los datos con certificados digitales y la Capa de sockets segura (SSL) permite asegurar la confidencialidad al transmitir datos entre arias redes no fiables. La política de seguridad debe estudiar los métodos para proporcionar confidencialidad a la información dentro de la red así como a la información que sale de ella. Actiidades de seguridad de auditoría Es la superisión de eentos de seguridad importantes para ofrecer un registro de accesos satisfactorios y no satisfactorios (denegados). Los registros de accesos satisfactorios informan de quién está haciendo qué en el sistema. Los registros de accesos no satisfactorios (denegados) informan de que alguien está intentando abrirse paso a traés de la seguridad del sistema o de que alguien tiene dificultades para acceder al sistema. El conocimiento de los objetios de seguridad permite crear una política de seguridad que dé respuesta a todas las necesidades de seguridad de Internet y de la red. Consulte el ejemplo de e-business de la Compañía de juguetes JKL para aprender a definir los objetios y crear la política de seguridad. El plan de seguridad y el uso de Internet que hace la compañía del ejemplo es representatio de la mayoría de implementaciones reales en el mundo. Capítulo 4. Planificación de la seguridad en Internet 13

20 Ejemplo: Planificación de e-business de la Compañía de juguetes JKL Este ejemplo describe una empresa típica, la Compañía de juguetes JKL, que ha decidido ampliar sus objetios comerciales mediante el uso de Internet. Aunque la compañía es ficticia, sus planes de utilizar Internet para e-business y las necesidades de seguridad resultantes son representatios de muchas de las compañías del mundo real. La Compañía de juguetes JKL es un empresa fabricante de juguetes, pequeña pero en rápido crecimiento, con productos como cuerdas de saltar, cometas o peluches de leopardo. El presidente de la compañía está contento con el crecimiento de la empresa y con las posibilidades que el nueo sistema iseries le ofrece para aliiar la carga de dicho crecimiento. Sharon Jones, directora de contabilidad, es la responsable de la administración y seguridad del sistema iseries. La Compañía de juguetes JKL ha utilizado con éxito su política de seguridad para las aplicaciones internas durante un año. La compañía tiene preisto ahora configurar una intranet para compartir de forma más eficaz la información interna. La compañía también tiene preisto empezar a utilizar Internet para ampliar sus objetios comerciales. Uno de estos objetios es crear una presencia corporatia en el mercado de Internet, e incluir un catálogo en línea. También desean utilizar Internet para transmitir información confidencial desde sitios remotos a la oficina central. Además, la compañía desea ofrecer acceso a Internet a los empleados del laboratorio de diseño para la inestigación y el desarrollo. Por último, la compañía espera que los clientes utilicen su sitio web para realizar compras directas en línea. Sharon está desarrollando un informe sobre los riesgos potenciales de seguridad de estas actiidades y las medidas de seguridad que debería utilizar la compañía para minimizar estos riesgos. Sharon será la responsable de actualizar la política de seguridad de la compañía y poner en práctica las medidas de seguridad que la compañía decida utilizar. Los objetios de esta mayor presencia en Internet son los siguientes: Promoer la presencia de una imagen corporatia general como parte de una campaña conjunta de publicidad. Proporcionar un catálogo de productos en línea para los clientes y el personal de entas. Mejorar el sericio al consumidor. Proporcionar a los empleados acceso a Internet y correo electrónico. Una ez comprobada la seguridad básica de los sistemas iseries, la Compañía de juguetes JKL ha decidido adquirir y utilizar un producto cortafuegos para garantizar la protección de la red. El cortafuegos protegerá la red interna de los muchos riesgos potenciales que supone Internet. A continuación se ofrece una ilustración de la configuración de red/internet de la compañía. 14 iseries: IBM SecureWay: iseries 400 e Internet

21 Como se muestra en el diagrama, la Compañía de juguetes JKL tiene dos sistemas iseries principales. Uno de los sistemas se utiliza para el desarrollo (JKLDEV) y el otro para las aplicaciones de producción (JKLPROD). Los dos sistemas utilizan información y aplicaciones fundamentales. Por lo tanto, no se sienten seguros al ejecutar las aplicaciones de Internet en estos sistemas. En su lugar, han añadido un nueo sistema iseries (JKLINT) para ejecutar estas aplicaciones. La compañía ha ubicado el nueo sistema en una red de perímetro, utilizando un cortafuegos entre ella y la red interna principal de la compañía para asegurar una separación más eficaz entre la red e Internet. Esta separación disminuye los riesgos de Internet a los que son ulnerables los sistemas internos. Al designar este nueo sistema iseries como seridor sólo de Internet, la compañía también disminuye la complejidad de la gestión de la seguridad de la red. La compañía no ejecutará aplicaciones fundamentales en el nueo sistema iseries. Durante esta etapa de planificación de e-business, el nueo sistema proporcionará sólo un sitio web público estático. No obstante, la compañía desea implantar medidas de seguridad para proteger el sistema y el sitio web público que ejecuta, y eitar así las interrupciones del sericio y otros ataques posibles. Por lo tanto, la compañía protegerá el sistema con normas de filtrado de paquetes y normas de traducción de direcciones de red (NAT), así como medidas básicas de seguridad más potentes. A medida que la compañía desarrolle aplicaciones públicas más aanzadas (por ejemplo, un sitio web de comercio electrónico o el acceso a una extranet) se implantarán medidas de seguridad más aanzadas. Capítulo 4. Planificación de la seguridad en Internet 15

22 16 iseries: IBM SecureWay: iseries 400 e Internet

23 Capítulo 5. Nieles de seguridad del sistema iseries 400 para la disponibilidad de Internet Las medidas de seguridad del sistema representan la última línea de defensa contra un problema de seguridad debido a Internet. Por lo tanto, el primer paso en una estrategia global de seguridad en Internet debe ser la correcta configuración de los alores básicos de seguridad del sistema iseries 400. Debe realizar las siguientes acciones para garantizar que la seguridad del sistema cumple los requisitos mínimos: Defina el niel de seguridad (alor de sistema QSECURITY) como 50. Un niel de seguridad de 50 proporciona el máximo niel de protección de la integridad, que es lo recomendable para proteger el sistema en entornos de alto riesgo como Internet. Nota: Si tiene un sistema orientado básicamente a las transacciones o una aplicación que realiza un uso intensio del Sistema de archios integrado, un niel de seguridad de 50 puede disminuir el rendimiento del sistema o la aplicación. Si desea obtener más información sobre cada niel de seguridad de iseries, consulte Consejos y herramientas para asegurar el sistema iseries. Nota: Si está ejecutando un niel de seguridad menor de 50, es posible que tenga que actualizar los procedimientos de funcionamiento o las aplicaciones. Consulte la información del manual Referencia de seguridad de iseries, antes de cambiar a un niel de seguridad más alto. Configure los alores del sistema releantes para la seguridad para que sean tan restrictios como los alores recomendados. Puede utilizar el Asistente de seguridad de Operations Naigation o el Technical Studio Security Adisor para compara sus alores con los recomendados. Compruebe que ninguno de los perfiles de usuario, incluidos los perfiles de usuario suministrados por IBM, tenga contraseñas por omisión. Utilice el mandato ANZDFTPWD (Analizar contraseñas por omisión) para comprobar si tiene contraseñas por omisión. Utilice la autorización sobre objetos para proteger los recursos importantes del sistema. Aplique un enfoque restrictio al sistema. Esto es, restrinja por omisión los recursos del sistema a todos los usuarios (PUBLIC *EXCLUDE), por ejemplo, las bibliotecas y los directorios. Permita acceder sólo a unos pocos usuarios a estos recursos restringidos. El acceso restringido mediante menús no es suficiente en un entorno de Internet. Debe configurar una autorización sobre objetos en el sistema. Puede encontrar más información sobre las autorizaciones sobre objetos en el capítulo Operations Naigator de Consejos y herramientas para asegurar el sistema iseries. Para configurar estos requisitos mínimos de seguridad del sistema, puede utilizar el Security Adisor (disponible en el sitio web de Technical Studio de iseries) o el Asistente de seguridad (disponible en la interfaz de Operations Naigator). El Security Adisor de Technical Studio proporciona un conjunto de recomendaciones de seguridad a partir de sus respuestas a una serie de preguntas. A continuación, puede utilizar estas recomendaciones para configurar los alores de seguridad del sistema que necesita. El Asistente de seguridad también proporciona recomendaciones a partir de sus respuestas a una serie de preguntas. A diferencia del Security Adisor, puede hacer que el asistente utilice las recomendaciones para configurar los alores de seguridad del sistema en su lugar. Las características de seguridad inherentes del iseries, si se configuran y gestionan correctamente, permiten minimizar muchos de los riesgos. No obstante, cuando se conecta el sistema iseries a Internet, se deben proporcionar medidas de seguridad adicionales para garantizar la seguridad de la red interna. Copyright IBM Corp. 1999,

24 Una ez comprobado que el sistema iseries dispone de una buena seguridad general del sistema, ya está listo para configurar medidas adicionales de seguridad, como parte del plan de seguridad global para el uso de Internet. 18 iseries: IBM SecureWay: iseries 400 e Internet

25 Capítulo 6. Opciones de seguridad de la red Cuando se conecta a una red no fiable, la política de seguridad debe describir un esquema de seguridad exhaustio, incluidas las medidas de seguridad que se implementarán a niel de red. La instalación de un cortafuegos es uno de los mejores medios para desplegar un conjunto completo de medidas de seguridad en la red. Asimismo, el Proeedor de sericios de Internet (ISP) puede y debe proporcionar una parte importante del plan de seguridad de la red. El sistema de seguridad de la red debe incluir las medidas de seguridad que proporcionará el Proeedor de sericios de Internet (ISP) como, por ejemplo, las normas de filtrado para la conexión del direccionador del ISP o las precauciones del Sericio de nombres de dominios (DNS) público. Aunque el cortafuegos representa una de las mejores líneas de defensa del plan general de seguridad, no debe ser la única línea de defensa. Como los riesgos potenciales de Internet se pueden producir a arios nieles, deberá configurar medidas de seguridad que ofrezcan arias capas de defensa contra estos riesgos. Aunque el cortafuegos proporciona una gran protección contra algunos tipos de ataques, sólo es una parte de la solución total de seguridad. Por ejemplo, el cortafuegos no puede proteger necesariamente los datos que se enían por Internet con aplicaciones como el correo SMTP, FTP y TELNET. A menos que se cifren estos datos, cualquiera en Internet puede acceder a ellos mientras iajan a su destino. Se recomienda utilizar un producto cortafuegos como línea principal de defensa siempre que se conecte el sistema iseries o la red interna a Internet. Aunque ya no se puede adquirir el IBM Firewall para AS/400, y ya no está disponible el soporte del cortafuegos, existen en el mercado otros productos que se pueden utilizar. Si desea obtener más información sobre la transición de un IBM Firewall para AS/400 existente a otros productos, o sobre las características de seguridad de red de iseries, consulte Todo lo que debe saber para migrar del IBM Firewall para AS/400 (SG ). Como los productos cortafuegos del mercado proporcionan una amplia gama de tecnologías de seguridad de red, la Compañía de juguetes JKL ha decidido utilizar uno en el ejemplo de seguridad de e-business para proteger su red. No obstante, su cortafuegos no ofrece ninguna protección para el nueo seridor iseries de Internet. Por lo tanto, han decidido implementar la característica de iseries Normas de paquete para crear normas de filtrado y NAT para controlar el tráfico del seridor de Internet. Acerca de las normas de paquete de iseries Las normas de filtrado de paquetes permiten proteger los sistemas informáticos rechazando o aceptando paquetes IP, según los criterios que se definan. Las normas NAT permiten ocultar información interna del sistema a usuarios externos. Para ello, sustituyen una dirección IP por otra dirección IP pública. Aunque las normas NAT y de filtrado de paquetes IP constituyen una tecnología básica de seguridad de la red, no pueden ofrecer el mismo niel de seguridad que un cortafuegos totalmente funcional. Debe analizar detenidamente las necesidades y los objetios de seguridad para decidirse entre un producto cortafuegos completo o la característica de normas de paquete de iseries. Consulte el tema Selección de las opciones de seguridad de la red de iseries si necesita ayuda para decidir qué enfoque se adecua más a sus necesidades de seguridad. Copyright IBM Corp. 1999,

26 Cortafuegos Un cortafuegos es un bloqueo entre una red interna segura y una red poco fiable como Internet. La mayoría de compañías utilizan un cortafuegos para conectar la red interna segura a Internet, aunque también se puede utilizar el cortafuegos para asegurar una red interna frente a otra. El cortafuegos proporciona un único punto controlado de contacto (denominado punto de estrangulamiento) entre la red interna segura y la red de no confianza. El cortafuegos: Permite a los usuarios de la red interna utilizar los recursos que se encuentran fuera de la red. Impide que los usuarios no autorizados de la red externa utilicen los recursos de la red interna. Cuando se utiliza un cortafuegos como pasarela a Internet (o a otras redes), se reduce considerablemente el riesgo de la red interna. El uso del cortafuegos también facilita la administración de la seguridad de la red, ya que sus funciones ejecutan muchas de las directrices de la política de seguridad. Cómo funciona un cortafuegos Para entender cómo funciona un cortafuegos, imagine que la red es un edificio al que se quiere controlar el acceso. El edificio tiene una recepción como único punto de entrada. En esta recepción, se encuentran recepcionistas para dar la bienenida a los isitantes, guardias de seguridad para igilar a los isitantes, cámaras para grabar las acciones de los isitantes y lectores de identificadores para autenticar los isitantes que entran en el edificio. Estas medidas pueden funcionar correctamente para controlar el acceso al edificio. Sin embargo, si una persona no autorizada consigue entrar en el edificio, no se dispondrá de ningún medio para proteger el edificio de las acciones del intruso. No obstante, si superisa los moimientos del intruso, podrá detectar cualquier actiidad sospechosa del mismo. Componentes del cortafuegos Un cortafuegos es un compendio de hardware y software que, si se utiliza conjuntamente, eita el acceso no autorizado a una parte de la red. Un cortafuegos está formado por los siguientes componentes: Hardware. El hardware del cortafuegos normalmente consiste en un sistema independiente o un dispositio dedicado a ejecutar las funciones de software del cortafuegos. Software. El software del cortafuegos proporciona una amplia ariedad de aplicaciones. En términos de seguridad de la red, el cortafuegos proporciona estos controles de seguridad a traés de arias tecnologías: Filtros de paquetes de Protocolo de Internet (IP) Sericios de Traducción de direcciones de red (NAT) Seridor SOCKS Seridores proxy para distintos sericios como, por ejemplo, HTTP, Telnet y FTP, entre otros Sericios de transmisión de correo Sericios de nombres de dominio (DNS) de particiones Registros cronológicos Superisión en tiempo real Nota: Algunos cortafuegos proporcionan sericios de Red priada irtual (VPN) para configurar sesiones cifradas entre el cortafuegos y los cortafuegos de otros sistemas. Utilización de las tecnologías de cortafuegos Los seridores proxy de cortafuegos, los seridores SOCKS o las normas NAT se pueden utilizar para proporcionar a los usuarios internos un acceso seguro a los sericios de Internet. Los seridores proxy y SOCKS interrumpen las conexiones TCP/IP en el cortafuegos para ocultar información de la red interna a la red de no confianza. Los seridores también proporcionan funciones adicionales de registro cronológico. 20 iseries: IBM SecureWay: iseries 400 e Internet