Xerox FreeFlow Core, 4.0 SP3 ( ) Versión de libro 1.3 Octubre P Xerox FreeFlow Core Guía de seguridad

Transcripción

1 Xerox FreeFlow Core, 4.0 SP3 ( ) Versión de libro 1.3 Octubre P91103

2 2015 Xerox Corporation. Reservados todos los derechos. Xerox, Xerox con la marca figurativa y FreeFlow son marcas registradas de Xerox Corporation en los Estados Unidos y/o en otros países. Este software incluye software desarrollado por Adobe Systems Incorporated Adobe Systems Incorporated y sus licenciantes. Reservados todos los derechos. Adobe, el logotipo de Adobe, el logotipo de Adobe PDF, PDF Converter SDK y PDF Library son marcas comerciales o marcas registradas de Adobe Systems Incorporated en los Estados Unidos y/o en otros países. BR14707

3 Índice 1 Seguridad del conjunto de aplicaciones de Xerox FreeFlow Descripción general Conexiones de red de Cliente Autenticación de usuario Conexión de SQL Server Opción Enviar trabajo Carpetas activas Procesamiento de manifiesto Señales de estado y comandos JMF Envío de Nodos de flujo de trabajo Impresión Impresión de Cloud Notificación por correo electrónico Protección antivirus Actualización de software i

4 Índice ii

5 1 Seguridad del conjunto de aplicaciones de Xerox FreeFlow Descripción general Este documento contiene información de seguridad de. Para Xerox, la seguridad es fundamental y prioritaria. Como líder en el desarrollo de tecnología digital, Xerox se compromete a garantizar la seguridad de la información digital mediante la identificación de posibles vulnerabilidades y su resolución para disminuir los riesgos. Xerox proporciona aplicaciones de software con el mayor nivel de seguridad posible, en función de la información y las tecnologías disponibles, a la vez que mantiene el rendimiento, el valor, la productividad y la funcionalidad de los productos. Para comprobar que los componentes de cumplen los requisitos de seguridad correspondientes, se usan herramientas de análisis de vulnerabilidad y penetración comerciales. Las vulnerabilidades de las aplicaciones se tratan a partir de los resultados de análisis internos. Conexiones de red de Xerox FreeFlow Core necesita conectividad de red para el procesamiento de trabajos y para las interacciones de los usuarios. Los requisitos de seguridad para cada conexión de red se indican a continuación. 1-1

6 Seguridad del conjunto de aplicaciones de Xerox FreeFlow Cliente Si un navegador se conecta al sitio web de, se descargará un cliente Silverlight en el navegador. Para la descarga segura del cliente FreeFlow Core y la comunicación segura entre el cliente y FreeFlow Core, se utilizan conexiones HTTPS. Para activar las conexiones HTTPS, es necesario agregar un certificado a IIS según la funcionalidad de Windows. A menos que el usuario descargue archivos de trabajo, no se intercambiarán datos del usuario entre el cliente y el servidor de. El cliente recupera las propiedades del trabajo, que pueden incluir datos del usuario. Tabla 1. Configuración de firewall 80 HTTP Entrada El nº de puerto depende de la configuración del servidor IIS. 443 HTTP Entrada El nº de puerto depende de la configuración del servidor IIS. Autenticación de usuario Las credenciales introducidas en el cliente Silverlight se cifran antes de que se envíen a Xerox FreeFlow. Si la autenticación se realiza utilizando los usuarios de, las credenciales cifradas se guardan localmente. Si la autenticación se realiza utilizando Active Directory, las credenciales no se cifrarán antes de enviarse a Active Directory. La conexión a Active Directory se cifra según la configuración del sistema operativo. Si la autenticación se realiza a través de Active Directory, las credenciales no se guardan localmente. La conexión de la configuración de Core a Active Directory está cifrada según la configuración del sistema operativo. 1-2

7 Seguridad del conjunto de aplicaciones de Xerox FreeFlow Tabla 2. Configuración de firewall 80 HTTP Entrada El nº de puerto depende de la configuración del servidor IIS. 88 Kerberos Salida: autenticación de usuario Los números de puerto y los servicios dependen de la configuración de AD del servidor LDAP LDAP SSL LDAP GC LDAP GC SSL Salida: validación de grupos de AD durante la configuración de la autenticación de AD. Nota: los números de puerto y los servicios dependen de la configuración de AD del servidor. Conexión de SQL Server se comunica con SQL Server mediante Entity Framework de Microsoft. La comunicación cifrada entre y SQL Server está activada si SQL Server se ha configurado para usar las conexiones cifradas. Las credenciales cifradas de SQL Server se guardan localmente en el servidor Xerox FreeFlow Core. Para instalar un servidor SQL remoto sin privilegios administrativos de SQLS: Cree dos bases de datos vacías en la instancia SQLS - OapMasterDatabase - OapPlatformDatabase Asigne la propiedad de las bases de datos a una cuenta de servicio En la instalación de FreeFlow Core, utilice la misma cuenta de servicio para el administrador del sistema de SQL Si va a activar el uso de directorios compartidos de Windows o la conversión de MS Office, utilice la misma cuenta de servicio cuando realice los Procedimientos de instalación opcionales 1-3

8 Seguridad del conjunto de aplicaciones de Xerox FreeFlow Tabla 3. Configuración de firewall 1433 SQLS Entrada: conexiones de recepción de FreeFlow Core Salida: comunicación con el motor de base de datos de SQL Server El nº de puerto depende de la configuración del servidor SQLS Servicio de explorador SQLS Entrada: conexiones de recepción de FreeFlow Core Salida: comunicación con el motor de base de datos de SQL Server El servidor proporcionará al cliente el nº de puerto para la conexión. Opción Enviar trabajo La opción Enviar trabajo utiliza la conexión de cliente FreeFlow Core para el envío de trabajos (consulte Cliente Xerox FreeFlow Core). Tabla 4. Configuración de firewall 80 HTTP Entrada El nº de puerto depende de la configuración del servidor IIS. 443 HTTPS Entrada El nº de puerto depende de la configuración del servidor IIS. Carpetas activas Windows cifra automáticamente las conexiones de uso compartido de archivos para el uso compartido de carpetas activas locales y para acceder a las carpetas activas en las carpetas compartidas de Windows. 1-4

9 Seguridad del conjunto de aplicaciones de Xerox FreeFlow Tabla 5. Configuración de firewall 139, , 21 SMB FTP Entrada: uso compartido de carpetas activas mediante el uso compartido de archivos de Windows Salida: uso de carpetas activas en directorios compartidos Entrada: uso compartido de carpetas activas mediante FTP Procesamiento de manifiesto Durante el envío del manifiesto, recupera los archivos incluidos en el manifiesto. Es posible hacer referencia a estos archivos mediante URI de UNC, HTTP y FTP. Los URI de HTTP y FTP no son compatibles con el cifrado. Windows cifra automáticamente las conexiones UNC. Tabla 6. Configuración de firewall 139, , SMB FTP HTTP Salida: recuperación de archivos indicados en el manifiesto de directorios compartidos Salida: recuperación de archivos indicados en el manifiesto Salida: recuperación de archivos indicados en el manifiesto Señales de estado y comandos JMF Los comandos JMF admiten conexiones seguras. Sin embargo, para la recuperación de archivos JMF se utilizan conexiones sin cifrar. El envío de JMF con protección requiere el envío de un paquete MIME con archivos JMF, JDF y PDF. Las señales de estado de JMF utilizan una conexión no cifrada. Para el estado de JMF seguro utilice el comando JMF StatusQuery a través de una conexión segura. Para habilitar la comunicación HTTPS para los comandos JMF: Use la utilidad installjmfcertificate.bat en el directorio de instalación de Xerox FreeFlow Core para agregar un certificado al depósito de claves de Java. Reinicie el servicio del servidor FreeFlow Core JMF 1-5

10 Seguridad del conjunto de aplicaciones de Xerox FreeFlow Para probar la instalación, vaya a Si la comunicación JMF segura está configurada correctamente, el navegador mostrará la página de error Estado HTTP 404. Tabla 7. Configuración de firewall 7751 Varía JMF JMF Entrada: recepción de comandos JMF Salida: retorno de señales de estado de JMF El nº de puerto necesario es definido por el cliente, que solicita las señales de estado de JMF o el retorno de la señal de JMF sjmf Entrada: recepción de comandos JMF seguros Envío de La conexión entre Envío de y FreeFlow Core siempre está cifrada y requiere la instalación de un certificado. Para poder instalarlo en el servidor, el certificado se debe agregar a IIS según la funcionalidad de Windows. La aplicación Envío de FreeFlow Core y los complementos de MS Office utilizan la misma conexión segura para FreeFlow Core. Las credenciales cifradas se guardan localmente. Tabla 8. Configuración de firewall 443 HTTPS Entrada (en el servidor): aceptación de conexiones del cliente Envío de Xerox FreeFlow Core. Salida (en el cliente): envío de trabajos a Cloud. Nodos de flujo de trabajo Componentes de flujo de trabajo que recuperan o guardan archivos de trabajo que pueden usar URI de UNC, HTTP y FTP. Los URI de HTTP y FTP no son compatibles con el cifrado. Windows cifra automáticamente UNC. 1-6

11 Seguridad del conjunto de aplicaciones de Xerox FreeFlow Tabla 9. Configuración de firewall 139, , SMB FTP HTTP Salida: recuperación de archivos especificados en la configuración predefinida de componentes de flujo de trabajo. Salida: almacenamiento de archivos en los directorios compartidos. Salida: recuperación de archivos especificados en la configuración predefinida de componentes de flujo de trabajo. Salida: recuperación de archivos especificados en la configuración predefinida de componentes de flujo de trabajo. Impresión utiliza SNMP para determinar el tipo de DFE. Esto se realiza usando una conexión no cifrada. Las siguientes operaciones también utilizan una conexión no cifrada: Recuperación de la lista de las colas de DFE Recuperación de las capacidades de la impresora Recuperación del estado de trabajos Envío de las operaciones de trabajos Recuperación de información de contabilidad de trabajos El envío de la impresión puede cifrarse al conectarse a un DFE que está configurado para admitir una IPP segura. Para activar el envío de la impresión IPP segura: Agregue un certificado al servidor de impresión FreeFlow. Seleccione la opción Enable SSL/TSL (Activar SSL/TSL) en la configuración del servidor de impresión FreeFlow. Utilice Certificados de Core para recuperar un certificado del servidor de impresión FreeFlow. El mensaje El certificado se instaló correctamente indica que la IPP segura está configurada correctamente. Una vez configurada correctamente, la IPP segura se activa mediante la opción Impresión protegida en la configuración de destino de la impresora. 1-7

12 Seguridad del conjunto de aplicaciones de Xerox FreeFlow Tabla 10. Configuración de firewall 161, SNMP IPP Salida: identificación del tipo de DFE durante la configuración de destino de impresora. Salida: envío de trabajos a DFE, obtención del estado de trabajos y envío de comandos de trabajo al DFE. Impresión de Cloud La conexión entre el servidor de impresión Cloud y el cliente siempre está cifrada y requiere la instalación de un certificado. Para poder instalarlo en el servidor, el certificado se debe agregar a IIS según la funcionalidad de Windows. La conexión entre el cliente de impresión Cloud y el DFE no es compatible con una IPP segura. Las credenciales cifradas se guardan localmente. Tabla 11. Configuración de firewall 161, SNMP IPP HTTPS Salida: identificación del tipo de DFE durante la configuración de destino de impresora. Salida: envío de trabajos a DFE, obtención del estado de trabajos y envío de comandos de trabajo al DFE. Entrada (en el servidor): aceptación de conexiones del cliente de impresión Cloud. Salida (en el servidor): conexión al servidor de impresión Cloud. Notificación por correo electrónico Las notificaciones por correo electrónico pueden estar cifradas al conectarse a un servidor de correo compatible con el cifrado. Las credenciales cifradas se guardan localmente. 1-8

13 Seguridad del conjunto de aplicaciones de Xerox FreeFlow Tabla 12. Configuración de firewall 25, 2525, 465, 475, 587 SMTP Salida: envío de notificaciones por correo electrónico. El nº de puerto necesario y el uso de la conexión segura dependen de la configuración del servidor SMTP. 1-9

14 Seguridad del conjunto de aplicaciones de Xerox FreeFlow 1-10

15 2 Protección antivirus Xerox adopta precauciones especiales para garantizar que el software no incorpora ningún tipo de virus. Se recomienda adquirir una aplicación de software para la detección de virus aceptada por el sector informático. Para proteger el sistema, es preciso mantener actualizado el software de detección de virus. Para mejorar el rendimiento, se recomienda excluir los directorios de instalación de y MS SQL Server del análisis del antivirus. También puede excluir las carpetas de siguientes del análisis del antivirus: <Directorio de instalación de FreeFlow Core>\Platform\Spool <Directorio de instalación de FreeFlow Core>\Logs <Directorio de instalación de FreeFlow Core>\Platform\Logs <Directorio de instalación de FreeFlow Core>\Web\Logs <Directorio de instalación de FreeFlow Core>\Config <Directorio de instalación de FreeFlow Core>\Presets Carpetas activas FreeFlow Core 2-1

16 Protección antivirus 2-2

17 3 Actualización de software Se recomienda mantener actualizado todo el software instalado en el servidor de Xerox FreeFlow. Es preciso ejecutar Microsoft Update una vez al mes como mínimo. Los Service Packs del sistema operativo no deben instalarse a través de Microsoft Update hasta recibir la confirmación de compatibilidad. Xerox distribuye boletines mensuales, según sea necesario, con una lista de las actualizaciones que se deben excluir del sistema Xerox FreeFlow. Esta información también figura en el sitio web en Product Security Guidance ( del producto). Las actualizaciones de alta prioridad y de seguridad son muy importantes y siempre se deben instalar, a menos que se las excluya específicamente. 3-1

18 Actualización de software 3-2

19

20