Procedimiento de inclusión de cliente con servicio web a los equipos WAF

Transcripción

1 Procedimiento de inclusión de cliente con servicio web a los equipos WAF PREPARADO POR: Alan Rodríguez APROBADO POR: Silvia Batista FECHA DE INICIO: 15 de mayo de 2017 ESTADO DEL DOCUMENTO: Final CONTROL DE VERSIÓN HISTORIAL DE CAMBIOS: Fecha Cambios Autores Versión 15/mayo/2017 Borrador inicial Alan Rodríguez 01 15/mayo/2017 Formato Silvia Batista, Alan Rodríguez 02 29/mayo/2017 Redacción Silvia Batista, Alan Rodríguez 03 7/junio/2017 Se incluye anexo Silvia Batista

2 Objetivo: Establecer procedimientos con las partes involucradas para esclarecer la secuencia de fases en cada caso nuevo a procesar Caso # 1 cliente está publicando servicio web en la Red Nacional MultiServicios y va a recibir la protección del equipo Web Application Firewall 1 RNMS asigna una red LAN para la institución cliente y transmite la información al NOC-SOC, el cual solicitará al proveedor de servicio de Internet la creación de la respectiva LAN 2 NOC-SOC informa a CSIRT Panamá sobre VLAN ID y la VLAN creada en el paso anterior 3 CSIRT Panamá configura conectividad entre LAN s 4 RNMS realiza contacto con el cliente a migrar para establecer fecha de implementación de WAF y aclarar consultas existentes 5 RNMS envía a CSIRT Panamá el Formulario AIG-052 Inclusión WAF 6 CSIRT Panamá configura el equipo WAF, se realizan pruebas de conexión respecto al servidor a proteger y se le notifica a la institución cliente para que realice dentro de 48 horas la aceptación del funcionamiento del servicio web con la protección WAF activa 7 Una vez recibida la aceptación de parte del cliente, el NOC-SOC procede a realizar el cambio de NAT para redirigir el tráfico web al WAF 2 6

3 Caso # 2 cliente publicará servicio web a través de la Red Nacional MutiServicios con el servicio de protección Web Application Firewall (WAF) incluido 1 RNMS envía a CSIRT Panamá el Formulario AIG-052 Inclusión WAF con la información que proporcionó el cliente 8 CSIRT Panamá configura el equipo WAF, se realizan pruebas de conexión respecto al servidor a proteger y se le notifica a la institución cliente para que realice dentro de 48 horas la aceptación del funcionamiento del servicio web con la protección WAF activa 2 Una vez recibida la aceptación de parte del cliente, el NOC-SOC procede a realizar el cambio de NAT para redirigir el tráfico web al WAF Lista de formularios necesarios (todos los casos): RNMS Formulario solicitud de reglas especiales (Cambio de NAT NOC-SOC) Formulario para creación/modificación de reglas del cortafuegos CSIRT Panamá (WAF) Formulario AIG-052 Inclusión WAF Correos electrónicos de involucrados: RNMS infornms@innovaciongobpa NOC-SOC noc-soc@rnmsgobpa CSIRT Panamá (WAF) servicios@certpa 3 6

4 Anexo: Instructivo del Formulario AIG-052 Formulario de Inclusión WAF El servicio de Protección de Web es brindado a todas aquellas entidades que mantengan sus servidores web en la Red Nacional Multiservicios y/o en la Nube Computacional Gubernamental Una vez la entidad interesada reciba el formulario de parte de la Dirección de Plataformas Tecnológicas de la AIG, el cliente procederá a completar la información solicitada en el mismo: 4 6

5 a) Completar los datos correspondientes al nombre de la institución, fecha de la solicitud, nombre del solicitante (aplica para cada uno de los contactos), números de contacto y dirección de correo electrónico b) Proveedor de Servicios, indicando el proveedor de servicio que le está brindando el medio de conectividad al servidor 5 6

6 c) Direccionamiento del sistema: se refiere a los datos del servidor web que será protegido con el servicio WAF Datos como el número de IP, la máscara y el Gateway deben ser completados d) Fase de desarrollo del sistema, indicar casilla la fase en la que se encuentra el sistema del servidor a proteger (producción, implementación, desarrollo) e) FQDN o lista de nombre de sitios web en el sistema, se debe indicar los nombres de o los sitios web en el servidor Ejemplo: f) Puertos y Servicios comunes, el solicitante debe seleccionar los puertos y servicios que estará utilizando g) Puertos y Servicios especiales, Se considera puerto especial todo puerto que no sea 80 (HTTP), 443 (HTTPS) o 22 (SSH) h) Información Pre requisitos de aseguramiento de aplicaciones, el solicitante indicará el tipo de sistema operativo que utiliza el servidor a proteger (Windows o Linux), especifica el tipo de servidor web que se utilizará (ejemplo: apache, apache struts, IIS, apache Tomcat), el tipo de base de datos a utilizar (ejemplo: MySQL, Oracle, MongoDB); indicar los Lenguajes, frameworks y aplicaciones (ejemplos: CGI, Joomla, WordPress, XML) i) Tamaño máximo por tipo de archivo soportado por la aplicación web, el solicitante debe indicar el tamaño de los archivos que soporta la aplicación (documentos, multimedia, otros) j) Descripción de otros requerimientos especiales, en esta sección el solicitante debe plasmar cualquier otro requerimiento que debe dar a conocer de su sistema 6 6