Recomendaciones a los administradores de servidores y servicios electrnicos.

Responsable de Seguridad Informtica 30 de julio de 2012

Informacin del documento:

Tipo Nivel de Criticidad Versin Fecha Propietario Responsable de actualizacin Recomendacin Criticidad Baja 1.0 30/07/2012 Prosecretara de Informtica Fernando Menzaque

Revisin histrica:
Versin Fecha Actualiz Motivo de modicacin 1.0 07/05/2012 Fernando Menzaque Inicio del documento

Universidad Nacional de Crdoba - Seguridad de la Informacin Recomendaciones a los administradores de servidores y servicios.

versin: fecha:

1.0 30/07/2012

ndice
1. Objetivo 2. Alcance 3. Responsabilidades 3.1. Propietario . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3.2. Administradores de servidores y servicios. . . . . . . . . . . . . . . . . . . . . . . . . . 4. Rgimen de Revisin y Actualizacin 5. Desarrollo 5.1. Administradores de servidores y aplicaciones. . . . . . . . . . 5.1.1. Instalacin, conguracin y actualizacin de sistemas. 5.1.2. Administracin de la seguridad. . . . . . . . . . . . . 5.1.3. Registro de eventos y copias de resguardo. . . . . . . 5.1.4. Usuarios y administracin de claves. . . . . . . . . . . 5.2. Administradores de Servidores. . . . . . . . . . . . . . . . . . 5.2.1. Instalacin y actualizacin de los sistemas. . . . . . . 5.2.2. Administracin de aplicaciones y servicios. . . . . . . 5.2.3. Administracin de la seguridad. . . . . . . . . . . . . 5.2.4. Mantenimiento. . . . . . . . . . . . . . . . . . . . . . 5.3. Administradores de aplicaciones. . . . . . . . . . . . . . . . . 3 3 3 3 3 3 3 3 3 4 4 4 5 5 5 5 5 5

. . . . . . . . . . .

. . . . . . . . . . .

. . . . . . . . . . .

. . . . . . . . . . .

. . . . . . . . . . .

. . . . . . . . . . .

. . . . . . . . . . .

. . . . . . . . . . .

. . . . . . . . . . .

. . . . . . . . . . .

. . . . . . . . . . .

. . . . . . . . . . .

. . . . . . . . . . .

. . . . . . . . . . .

Universidad Nacional de Crdoba - Seguridad de la Informacin Recomendaciones a los administradores de servidores y servicios.

versin: fecha:

1.0 30/07/2012

1.

Objetivo

Describir un conjunto de acciones y buenas prcticas en la administracin de los servidores y servicios electrnicos de la UNC.

2.

Alcance

Este documento se aplica a todos los servidores y servicios, instalados en la red de la UNC o no, y a todos los administradores de dichos servicios.

3.
3.1.

Responsabilidades
Propietario
El Responsable de Seguridad Informtica es el propietario de este documento.

3.2.

Administradores de servidores y servicios.

Seguir las recomendaciones expresadas en este documento.

4.

Rgimen de Revisin y Actualizacin

El presente documento ser revisado a lo sumo semestralmente y actualizado en el caso de detectarse la necesidad de efectuar modicaciones que permitan mantenerlo actualizado en relacin a la realidad de la estructura funcional y del ambiente informtico. Por otra parte, se realizarn las modicaciones que sean necesarias fuera de las revisiones programadas en el caso que se produjeran cambios que lo requieran.

5.

Desarrollo

La inclusin de un equipo o servicio en red de datos de la UNC implica el conocimiento de las recomendaciones que se especican en el presente documento y en todos los documentos complementarios de la Polticas de Seguridad de la Informacin.

5.1.

Administradores de servidores y aplicaciones.

A continuacin se listan un conjunto de recomendaciones para los administradores de servidores y aplicaciones. 5.1.1. Instalacin, conguracin y actualizacin de sistemas. Documentar el proceso de instalacin. Mantener el sistema con las ltimas actualizaciones de seguridad instaladas. 3

Universidad Nacional de Crdoba - Seguridad de la Informacin Recomendaciones a los administradores de servidores y servicios.

versin: fecha:

1.0 30/07/2012

Documentar que actualizaciones no se incluirn y porqu. Congurar los servidores y servicios siguiendo las recomendaciones y procedimientos elaboradas por la Prosecretara de Informtica que se encuentran en las pginas recomendaciones y procedimientos. 5.1.2. Administracin de la seguridad. Elaborar un procedimiento para la vericacin de la calidad de las claves o utilizar el procedimiento denido por la Prosecretara de Informtica. Conguracin de John de Ripper. Elaborar una lista de los usuarios autorizados a acceder como administrador y los puntos de acceso al sistema. Vericar, peridicamente, la calidad de las contraseas de los usuarios. Elaborar y poner en funcionamiento un mecanismo de inicializacin de claves. Utilizar un sistema de control de versiones para los archivos de conguracin y para las aplicaciones que considere importantes. No instalar servicios que no vayan a usar. Elaborar, documentar y poner en prctica un procedimiento de vericacin de los registros de eventos. Por ejemplo fail2ban. 5.1.3. Registro de eventos y copias de resguardo. Mantener en funcionamiento un registro de eventos. Congurar el registro centralizado de eventos. Ver Registro Centralizado. Guardar los registros de eventos por un perodo no inferior a 6 meses. Elaborar una poltica de copias de resguardo. Realizar las copias de resguardo y las pruebas de recuperacin. Elaborar un plan de continuidad de los servicios. 5.1.4. Usuarios y administracin de claves. Entregar una copia de las claves de administracin al Responsable del Unidad Organizativa, cada vez que se produzca una modicacin. Llevar un registro actualizado de los responsables de cada cuenta. Instruir a los usuarios sobre la poltica de uso de los sistemas informticos. Establecer una poltica de generacin de clave de acceso para nuevos usuarios. Elaborar un procedimiento para el cambio de claves. Impedir el acceso a todos los usuarios cuya clave de accesos sea considerada insegura.

Universidad Nacional de Crdoba - Seguridad de la Informacin Recomendaciones a los administradores de servidores y servicios.

versin: fecha:

1.0 30/07/2012

5.2.
5.2.1.

Administradores de Servidores.
Instalacin y actualizacin de los sistemas. Utilizar un sistema operativo cuya poltica de distribucin de actualizaciones de seguridad facilite el cumplimiento de la Poltica de Seguridad de la Informacin y las normas complementarias.1 Elaborar un procedimiento para la actualizacin del sistema operativo. Aplicar, con una periodicidad no mayor a un mes, todas las actualizaciones de seguridad recomendadas para el sistema operativo.

5.2.2.

Administracin de aplicaciones y servicios. Elaborar y mantengan actualizado un listado con las aplicaciones instaladas. Llevar un registro de los responsables de cada aplicacin instalada en su servidor, en particular de los dominios de correo electrnico y de las aplicaciones web. Informar, con la anticipacin suciente, a los responsables de las aplicaciones cuando se realizarn las actualizaciones del sistema operativo y las tareas de mantenimiento preventivo.

5.2.3.

Administracin de la seguridad. Mantener una lista actualizada de los usuarios con acceso a las funciones de administracin del los servidores. Mantener un registro actualizado de los permisos de acceso al servidor. El registro debe contener como mnimo los siguientes datos: Perodo de autorizacin. Quin otorg la autorizacin. Objeto de la autorizacin. Punto de acceso al sistema. Sincronizar los relojes con el servidor ntp de la UNC.

5.2.4.

Mantenimiento. Elaborar y lleven a cabo un cronograma de mantenimiento preventivo en el equipo.

5.3.

Administradores de aplicaciones.
Utilizar un sistema de control de versiones. Coordinar con el administrador del servidor el proceso de actualizacin de su aplicacin.

Los administradores de aplicaciones deben:

listado de los sistemas operativos recomendados por la UNC ser elaborado y actualizado por el Responsable de Seguridad Informtica y podr ser consultado en la pgina de recomendaciones.

1 El