Guía de implementación de seguridad en Microsoft SQL Server 2016

• Guías CCN-STIC

• La Guía CCN-STIC-575 puede consultarse en la parte pública del portal del CCN-CERT.
• La configuración de permisos y cuentas de servicio, la protección de archivos, configuración de red, autenticación, autorización y protección de datos, cifrado de datos, auditoría y registro son los principales contenidos incluidos en el nuevo documento.
• El propósito de esta guía es proporcionar los procedimientos para la implementación, establecer la configuración y realizar tareas de administración maximizando las condiciones de seguridad del servicio Microsoft SQL Server 2016 en su versión Standard, Enterprise o Datacenter en un servidor miembro de una infraestructura de dominio.

Ya está disponible, en la parte pública del portal del CCN-CERT, la Guía CCN-STIC-575 de implementación de seguridad en Microsoft SQL Server 2016 sobre Microsoft Windows Server 2016. El objetivo principal de este documento es proporcionar los procedimientos para la implementación, establecer la configuración y realizar tareas de administración maximizando las condiciones de seguridad del servicio Microsoft SQL Server 2016 en su versión Standard, Enterprise o Datacenter en un servidor miembro de una infraestructura de dominio.

El escenario en el que se basa el documento tiene las siguientes características técnicas:

• Un único bosque de Directorio Activo.
• Un único dominio dentro del bosque de Directorio Activo.
• Nivel funcional del bosque y del domino en Windows Server 2016.
• Un controlador de dominio basado en Windows Server 2016.
• Un servidor miembro del dominio basados en Windows Server 2016 Standard.
• La instalación de SQL Server 2016 se realiza en modo limpio, es decir no se contemplan procedimientos de migración desde versiones anteriores.
• No se contemplan mecanismos de alta disponibilidad ni balanceo de carga en el escenario planteado.

En cuanto a los contenidos que se incluyen en la guía, algunos de los más destacados son los mecanismos para la implementación de la solución y la aplicación de configuraciones, la descripción de la seguridad en Microsoft SQL Server 2016, una guía paso a paso y otra de administración, una lista de comprobación y consideraciones en implementaciones con firewall.

El documento dispone de las siguientes configuraciones divididas en dos grandes anexos, los cuales se definen a continuación:

• Anexo A: En este anexo se define la configuración necesaria para adaptar los sistemas Microsoft Windows Server 2016 en su versión Standard con el rol de Exchange Server 2016 a las necesidades requeridas por el Esquema Nacional de Seguridad (ENS). Se encuentra disponible en la parte pública del portal del CCN-CERT.
• Anexo B: En este anexo se define la configuración necesaria para adaptar los sistemas Microsoft Windows Server 2016 en su versión Standard con el rol de SQL Server 2016 a las necesidades requeridas en los entornos clasificados. Este documento se puede consultar en la parte privada.

CCN-CERT (21/05/2019)

Guía CCN-STIC-575

Publicada la guía CCN-STIC 647C sobre seguridad en conmutadores HPE Aruba

• Guías CCN-STIC

• Este documento se encuentra disponible en la parte privada del portal del CCN-CERT.
• Entre los principales contenidos de esta guía se encuentran informaciones previas a la configuración del equipo, la seguridad en el acceso a la administración, los servicios de red del equipo, el control de tráfico y seguridad en los puertos de red, los sistemas de control de acceso, la protección frente a ataques y un resumen de recomendaciones.
• El objetivo de la Guía CCN-STIC-647C es analizar los mecanismos de seguridad disponibles para proteger los entornos de sistemas de información y comunicaciones que emplean switches HPE Aruba con sistema operativo ArubaOS-Switch.

El CCN-CERT del Centro Criptológico Nacional ha publicado en su portal web una nueva guía sobre seguridad en conmutadores HPE Aruba. Concretamente, la Guía CCN-STIC-647C, que se puede consultar en la parte privada del portal, recoge los mecanismos de seguridad disponibles para proteger los entornos de sistemas de información y comunicaciones que emplean switches HPE Aruba con sistema operativo ArubaOS-Switch.

A lo largo de este documento, cuyo objetivo principal es establecer un marco que permita incrementar la seguridad de un equipo, se ofrecen consejos y recomendaciones sobre la activación o desactivación de servicios y funcionalidades de los equipos de red con el fin de establecer una configuración lo más segura posible.

Entre los principales contenidos que recoge la guía se encuentran informaciones previas a la configuración del equipo, la seguridad en el acceso a la administración, los servicios de red del equipo, el control de tráfico y seguridad en los puertos de red, los sistemas de control de acceso y la protección frente a ataques.

Por último, el documento incluye un apartado en el que se resumen las principales recomendaciones de seguridad presentadas en la guía para la configuración de un equipo desde cero.

CCN-CERT (20/05/2019)

Guía CCN-STIC-647C

I Encuentro del Esquema Nacional de Seguridad

• El Museo de la Casa de la Moneda, en Madrid, acogerá el encuentro el próximo 18 de junio.
• El evento, organizado por el Centro Criptológico Nacional, en colaboración con Ministerio de Política Territorial y Función Pública (Secretaria General de Administración Digital) y  la Fundación Círculo de Tecnologías para la Defensa y la Seguridad, lleva por título Tendencias y Políticas de Seguridad.
• El objetivo del encuentro es hacer balance de las mejoras que ha supuesto la implantación y adecuación del ENS a la seguridad del Sector Público; analizar el nivel de madurez alcanzado y, sobre todo, evaluar cuáles deben ser las siguientes medidas a adoptar para conseguir una implementación de seguridad.

La Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos estableció el Esquema Nacional de Seguridad que, aprobado mediante Real Decreto 3/2010, de 8 de enero, tenía por objeto determinar la política de seguridad en la utilización de medios electrónicos en su ámbito de aplicación y estaba constituido por los principios básicos y los requisitos mínimos que permitían una protección adecuada de la información. En total, 75 medidas de seguridad, recopiladas en tres grandes áreas: marco organizativo, operaciones y medidas de protección.

Hoy, en 2019, tras más de nueve años de recorrido, es momento de hacer balance de las mejoras que ha supuesto la implantación y adecuación del ENS a la seguridad del Sector Público; analizar el nivel de madurez alcanzado y, sobre todo, evaluar cuáles deben ser las siguientes medidas a adoptar para conseguir una implementación de seguridad real y no solo en la demostración del cumplimiento (seguridad legal).

Por este motivo, el Centro Criptológico Nacional, en colaboración con el Ministerio de Política Territorial y Función Pública (Secretaria General de Administración Digital) y la Fundación Círculo de Tecnologías para la Defensa y la Seguridad, organiza el "I Encuentro del Esquema Nacional de Seguridad, ENS" que, en esta ocasión, lleva por título Tendencias y Políticas de Seguridad.

El evento, que tendrá lugar el próximo 18 de junio, en la sede del Museo de la Casa de la Moneda, en la FNMT de Madrid, pretende reunir a toda la Comunidad del CCN en torno al Esquema Nacional de Seguridad y de todas aquellas medidas necesarias para cumplir con el mandato global de la Estrategia Nacional de Ciberseguridad, recientemente aprobada: garantizar en España el uso seguro y fiable del ciberespacio, protegiendo los derechos y las libertades de los ciudadanos y promoviendo el progreso socio económico.

CCN (20-05-2019)

Más información