INFORME N GTI INFORME TÉCNICO PREVIO DE EVALUACIÓN DE SOFTWARE

Transcripción

1 INFORME N GTI INFORME TÉCNICO PREVIO DE EVALUACIÓN DE SOFTWARE 1. Nombre del Área El área encargada de la evaluación técnica para la adquisición de licencias de software para el registro y seguimiento de eventos de auditoría del Servicio de Directorio Activo 1, es el Departamento de Soporte Técnico de la Gerencia de Tecnologías de Información (GTI) de esta Superintendencia. 2. Nombre y Cargo del Responsable de la Evaluación El analista responsable de la evaluación es el Sr. Ramón Saavedra Viteri, Administrador de Sistemas Operativos del Departamento de Soporte Técnico de la Gerencia de Tecnologías de Información (GTI). 3. Fecha La fecha del presente informe es el 12 de octubre de Justificación La Superintendencia de Banca, Seguros y Administradoras Privadas de Fondos de Pensiones (SBS) utiliza el servicio de Directorio Activo para la administración, autenticación y delegación de permisos y funciones para los usuarios de su red de datos. El Servicio de Directorio Activo es primordial e indispensable para el funcionamiento de la plataforma Microsoft. Actualmente, no se cuenta con una solución de seguimiento de eventos, que permita realizar una auditoría en tiempo real de todos los cambios realizados en el Directorio Activo, tales como altas, bajas y modificación de usuarios, permisos de seguridad sobre recursos de red, delegación de funciones sobre grupos y usuarios, entre otras. Así mismo, esta solución permitirá identificar las posibles anomalías en lo que se refiere a cambios no autorizados y, de esta manera, tomar las acciones correctivas correspondientes. Mediante la Resolución Ministerial Nº PCM, se aprobó el uso obligatorio en entidades públicas de la Norma Técnica Peruana NTP-ISO/ IEC 17799:2007 EDI. Tecnología de la Información. Código de Buenas Prácticas para la Gestión de la Seguridad de la Información. 2a. Edición, la cual recomienda el uso de procedimientos y herramientas de registro y auditoría en los sistemas operativos de soporte informático, tales como el Directorio Activo. En este contexto, la Gerencia de Tecnologías de Información (GTI) manifiesta la necesidad de adquirir un producto que permita realizar la auditoría del servicio de directorio activo de la institución, en cumplimiento de la normatividad vigente. 1 Término utilizado por Microsoft para referirse al de servicio de directorio en una red distribuida de computadoras.

2 5. Alternativas Sobre la base de la experiencia del personal de la Gerencia de Tecnologías de Información (GTI), a las investigaciones realizadas a través de Internet y a la información proporcionada por los fabricantes de software; se ha considerado que los siguientes programas constituyen las mejores alternativas para su implementación en la SBS: Alternativa 1: Quest ChangeAuditor Alternativa 2: NetIQ Change Guardian Alternativa 3: Prism EventTracker 6. Análisis Comparativo Técnico Para realizar este análisis, se procedió en aplicación de la Sección N 3 de la Guía de Evaluación de Software, aprobada por Resolución Ministerial N PCM: a) Propósito de la Evaluación Determinar los atributos o características mínimas para el producto final a adquirir. b) Identificar el Tipo de Producto Herramienta para registrar (auditar) los cambios que se realizan en el Directorio Activo. c) Especificación del Modelo de Calidad Se aplica el Modelo de Calidad de Software descrito en la Parte I de la Guía de Evaluación de Software aprobada por Resolución Ministerial N PCM. d) Selección de Métricas Las métricas fueron seleccionadas sobre la base del análisis de los requerimientos del área usuaria y a la información técnica de los productos señalados en el numeral 5. Alternativas. Atributos Internos y Externos (Características Técnicas) Debe ser capaz de capturar y registrar los cambios de información sin la necesidad de los registros de auditoría nativos del sistema operativo, es decir no debe depender del registro de eventos del sistema operativo. Rastrear la actividad de los usuarios y administradores con información detallada que incluya el qué, quién, cuándo, dónde y por qué de los eventos registrados. Deberá registrar desde qué computador se realizó el cambio. Los eventos registrados deben contener los valores originales (antes del cambio) y los valores actuales (después del cambio). Enviar inmediatamente una alerta cuando ítems críticos son cambiados o cuando los patrones de cambio ocurren. Debe tener la capacidad de modificar la criticidad de un ítem. Ofrecer la posibilidad de habilitar o deshabilitar eventos generados, en caso de que se requiera excluir cuentas seguras o de alto tráfico de ser auditadas. Centralizar la administración del software en una única consola, basada en cliente-servidor o interfaz Web. Los eventos deben seguir un flujo en tiempo real, permitiendo ser mostrados inmediatamente por la consola y almacenados en la base de datos que el producto use como repositorio. Debe permitir controlar quién puede iniciar y detener los agentes del producto. Registro y seguimiento de los eventos sobre grupos incluidos dentro de otros grupos (grupos anidados). Auditar eventos de cambio como creación, eliminación, movimiento y renombramiento de objetos seleccionados de ADAM (Active Directory Application Mode) y AD LDS (Active Directory Lightweight Directory Services).

3 Atributos Internos y Externos (Características Técnicas) Registro y seguimiento de cambios en los principales componentes del Directorio Activo, tales como Schema, Sites, Domain Naming e inclusive el servicio DNS. Debe proporcionar reportes, incluyendo una colección completa de informes de cumplimiento (compliance), así como la capacidad de crear rápidamente reportes personalizados. Los reportes deben ser exportables en varios formatos, tales como PDF, XLS, CSV y HTML. Para la evaluación, se definió la siguiente métrica: Descripción Puntaje No cumple 0 Cumple regularmente 3 Cumple satisfactoriamente 5 Requerimiento Debe ser capaz de capturar y registrar los cambios de información sin la necesidad de los registros de auditoría nativos del sistema operativo, es decir, no debe depender del registro de eventos del sistema operativo. Rastrear la actividad de los usuarios y administradores con información detallada que incluya el qué, quién, cuándo, dónde y por qué de los eventos registrados. Registrar desde qué computador se realizó el cambio en el Directorio Activo. Los eventos registrados deben contener los valores originales (antes del cambio) y los valores actuales (después del cambio). Enviar inmediatamente una alerta cuando ítems críticos son cambiados o cuando los patrones de cambio ocurren. Debe tener la capacidad de modificar la criticidad de un ítem. Ofrecer la posibilidad de habilitar o deshabilitar eventos generados en caso de que se requiera excluir cuentas seguras o de alto tráfico de ser auditadas. Centralizar la administración del software en una única consola, basada en cliente-servidor o interfaz Web. Los eventos deben seguir un flujo en tiempo real, permitiendo ser mostrados inmediatamente por la consola y almacenados en la base de datos que el producto use como repositorio. Debe permitir controlar quién puede iniciar y detener los agentes del producto. Registro y seguimiento de los eventos sobre grupos incluidos dentro de otros grupos (grupos anidados). Auditar eventos de cambio como creación, eliminación, movimiento y renombramiento de objetos seleccionados de ADAM (Active Directory Application Mode) y AD LDS (Active Directory Lightweight Directory Services). Registro y seguimiento de cambios en los principales componentes del Directorio Activo, tales como Schema, Quest ChangeAuditor NetIQ Change Guardian Prism EventTracker

4 Requerimiento Sites, Domain Naming e inclusive el servicio DNS. Quest ChangeAuditor NetIQ Change Guardian Prism EventTracker Debe proporcionar reportes, incluyendo una colección completa de informes de cumplimiento (compliance), así como la capacidad de crear rápidamente reportes personalizados. Los reportes deben ser exportables en varios formatos, tales como PDF, XLS, CSV y HTML Total Análisis Comparativo de Costo Beneficio Costos Para determinar los costos, se solicitaron cotizaciones de las tres alternativas, las cuales incluyen: Instalación y capacitación. Mantenimiento del producto por un (01) año. Los valores incluyen el IGV. Nº Alternativa Proveedor Marca Valor 01 Quest ChangeAuditor QSoft Group Quest Software S/.37, NetIQ Change Guardian TSNet S.A. Net IQ S/.60, Prism EventTracker System Database Prism Microsystem S/.64, Beneficios El uso de una solución que permita hacer un seguimiento de los eventos en el Servicio de Directorio Activo, permitirá auditar, reportar y alertas ante cualquier cambio en la plataforma. Así mismo, permitirá cumplir con la normatividad vigente, en lo que a las buenas prácticas de seguridad se refiere. Adicionalmente, se reducirán considerablemente las horas-hombre en el monitoreo de los cambios en el Directorio Activo y se podrán tomar acciones correctivas en el menor tiempo posible. 8. Conclusiones Las conclusiones de la evaluación realizada son las siguientes: Para definir el requerimiento, se determinaron las características técnicas mínimas de la solución de registro y seguimiento de eventos de auditoría del Servicio de Directorio Activo. Para asegurar un adecuado nivel de soporte del software a adquirir, se requiere de un Servicio Anual de Mantenimiento, que permita garantizar la permanente disponibilidad de la versión licenciada y asegurar las actualizaciones a nuevas versiones.

5 9. Firmas Por las razones anteriormente expuestas, se recomienda la adquisición de una solución de registro y seguimiento de eventos de auditoría para el Servicio de Directorio Activo de la plataforma Microsoft de la red datos de la SBS. Igor Sakuma Carbonel Gerente de Tecnologías de Información Ramón Saavedra Viteri Administrador de Sistemas Operativos