Implementacin deSeguridad en Aplicaciones y Servidor de Exchange Server 2003

1
(No Transcript)
2
Implementación de Seguridad en Aplicaciones y
Servidor de Exchange Server 2003

• Nombre del presentador
• Puesto
• Compañía

3
Requisitos previos para la sesión

• Descripción de los fundamentos de seguridad de
  una red
• Experiencia práctica con Windows Server 2000 o
  Windows Server 2003
• Experiencia con las herramientas de
  administración de Windows
• Experiencia práctica con las herramientas de
  administración de SQL Server y Exchange Server

Nivel 300
4
Orden del día

• Introducción
• Protección de Exchange Server

5
Defensa en profundidad

• El uso de una solución en niveles
• Aumenta la posibilidad de que se detecten
  los intrusos
• Disminuye la posibilidad de que los intrusos
  logren su propósito

Directivas, procedimientos y concienciación
Seguridad física
ACL, cifrado
Datos
Refuerzo de las aplicaciones, antivirus
Aplicación
Refuerzo del sistema operativo, administración de
actualizaciones, autenticación, HIDS
Host
Red interna
Segmentos de red, IPSec, NIDS
Servidores de seguridad, sistemas de cuarentena
en VPN
Perímetro
Guardias de seguridad, bloqueos, dispositivos de
seguimiento
Programas de aprendizaje para los usuarios
6
Importancia de la seguridad en las aplicaciones

• Las defensas del perímetro proporcionan una
  protección limitada
• Muchas defensas basadas en hosts no son
  especificas de las aplicaciones
• En la actualidad, la mayor parte de los ataques
  se producen en el nivel de aplicación

7
Importancia de la seguridad en los datos

• Proteja los datos como última línea de defensa
• Configure los permisos de archivo
• Configure el cifrado de los datos
• Protege la confidencialidad de la información
  cuando la seguridad física se ve comprometida

8
Recomendaciones para los servidores de
aplicaciones
Configure el sistema operativo básico para que
sea seguro
Aplique los Service Packs y revisiones del
sistema operativo y de las aplicaciones
Instale o habilite únicamente los servicios
necesarios
Asigne únicamente los permisos necesarios para
realizar las tareas requeridas
Asigne los permisos mínimos a las cuentas de las
aplicaciones
Aplique los principios de defensa en profundidad
para aumentar la protección
9
Orden del día

• Introducción
• Protección de Exchange Server
• Protección de SQL Server 
• Seguridad en Small Business Server
• Seguridad en los datos

10
Dependencias de seguridad de Exchange

• La seguridad de Exchange depende de
• La seguridad del sistema operativo
• La seguridad de la red
• La seguridad de IIS (si se utiliza OWA)
• La seguridad del cliente (Outlook)
• La seguridad de Active Directory

Recuerde defensa en profundidad
11
Seguridad en los servidores Exchange

• Servidores de servicios de fondo de Exchange 2000
• Aplique la plantilla de seguridad de línea de
  base y la plantilla incremental de servicios de
  fondo de Exchange
• Servidores de aplicaciones para usuario de
  Exchange 2000
• Aplique la plantilla de seguridad de línea de
  base y la plantilla incremental de aplicaciones
  para usuario de Exchange
• Desmonte los almacenes privados y públicos
• Servidor OWA de Exchange 2000
• Aplique Bloqueo de seguridad de IIS, incluido
  URLScan
• Servidor de servicios de fondo de Exchange 2003
• Aplique plantillas de seguridad de protocolo
• Servidor OWA y de aplicaciones para usuario de
  Exchange 2003
• Bloqueo de seguridad de IIS y URLScan integrados
  con IIS 6.0
• Utilice el modo de aislamiento de aplicaciones

12
Aspectos de seguridad en los servidores Exchange

• Seguridad del acceso a los servidores Exchange
• Bloqueo del acceso no autorizado
• Seguridad en las comunicaciones
• Bloqueo y cifrado de las comunicaciones
• Bloqueo del correo no deseado
• Filtrado del correo entrante
• Restricciones de la retransmisión no ayude a los
  sistemas de envío de correo no deseado
• Bloqueo de los mensajes de correo electrónico no
  seguros
• Detección de virus
• Bloqueo de los archivos adjuntos

13
Configuración de la autenticación, parte 1

• Proteja la autenticación de los clientes Outlook
• Configure Exchange y Outlook 2003 para utilizar
  RPC sobre HTTPS
• Configure SPA para cifrar la autenticación para
  los clientes de protocolos Internet

Recuerde una autenticación segura no equivale a
cifrar los datos
14
Configuración de la autenticación, parte 2

• OWA admite varios métodos de autenticación

15
Seguridad en las comunicaciones

• Configure el cifrado RPC
• Configuración en el cliente
• Aplicación con el paquete de características 1
  de ISA Server
• Bloqueo del servidor de seguridad
• Publicación del servidor de correo con ISA
  Server
• Configure HTTPS para OWA
• Utilice S/MIME para el cifrado de los mensajes
• Mejoras de Outlook 2003
• Autenticación de Kerberos
• RPC sobre HTTPS

16
Cifrado de un mensaje
Active Directory Controlador de dominio
6
La clave privada del cliente 2 se utiliza para
descifrar la clave compartida que, a su vez, se
emplea para descifrar el mensaje
2
Se busca la clave pública del cliente 2
4
El mensaje se envía con S/MIME
1
SMTP VS1
SMTP VS 2
Mensaje nuevo
El mensaje llega cifrado
5
El mensaje se cifra con una clave compartida
3
Cliente 2
Cliente 1
17
Demostración 1Seguridad de Exchange
Configuración de la autenticación basada en
formulariosConfiguración del cifrado RPCUso de
ISA Server para publicar Exchange
18
Bloqueo de correo no deseado en Exchange 2000

• Cierre las retransmisiones abiertas
• Protéjase de la suplantación de direcciones
• Impida que Exchange resuelva los nombres de
  destinatario en cuentas GAL
• Configure búsquedas DNS inversas

19
Bloqueo de correo no deseado en Exchange 2003

• Utilice características adicionales en Exchange
  Server 2003
• Compatibilidad con listas de bloqueo en tiempo
  real
• Listas globales de direcciones rechazadas y
  aceptadas
• Filtrado de destinatarios entrantes y remitentes
• Protección mejorada contra la retransmisión
• Integración con Outlook 2003 y filtrado de correo
  no deseado de terceros

20
Demostración 2 Configuración de la protección
contra el correo no deseado de Exchange
Protección contra la retransmisión
21
Bloqueo de mensajes no seguros

• Implemente puertas de enlace antivirus
• Supervise los mensajes entrantes y salientes
• Actualice las firmas con frecuencia
• Configure la seguridad en los archivos adjuntos
  de Outlook
• La seguridad del explorador Web determina si los
  archivos adjuntos se pueden abrir en OWA
• Implemente ISA Server
• Message Screener puede bloquear los mensajes
  entrantes

22
Uso de permisos para proteger Exchange

• Modelos de administración

Centralizada
Descentralizada

• Delegación de permisos
• Creación de grupos administrativos
• Uso de funciones administrativas
• Delegación del control administrativo

23
Mejoras en Exchange Server 2003

• Muchas configuraciones son seguras de forma
  predeterminada
• Permisos más restrictivos
• Nuevas características de transporte de correo
• Nuevo Asistente para conexión a Internet
• Compatibilidad con la autenticación entre bosques

24
Defensa en profundidad
25
Diez principios fundamentales para proteger
Exchange
1
Instale el Service Pack más reciente
2
Instale todas las revisiones de seguridad
aplicables
3
Ejecute MBSA
4
Compruebe la configuración de la retransmisión
5
Deshabilite o proteja las cuentas conocidas
6
Utilice una solución antivirus en niveles
7
Utilice un servidor de seguridad
8
Evalúe ISA Server
9
Proteja OWA
10
Implemente una estrategia de copia de seguridad
26
Pasos siguientes

• Mantenerse informado sobre seguridad
• Suscribirse a boletines de seguridad
• http//www.microsoft.com/latam/technet/seguridad/
  boletines.asp
• Obtener las directrices de seguridad de Microsoft
  más recientes
• http//www.microsoft.com/latam/technet/seguridad/
  
• Obtener aprendizaje de seguridad adicional
• Buscar seminarios de aprendizaje en línea y
  presenciales
• http//www.microsoft.com/latam/technet/evento/def
  ault.asp
• Buscar un CTEC local que ofrezca cursos
  prácticos
• http//www.microsoft.com/spain/formacion/default.
  asp http//www.microsoft.com/latam/entrenamiento/d
  efault.asp

27
Para obtener más información

• Sitio de seguridad de Microsoft (todos los
  usuarios)
• http//www.microsoft.com/latam/seguridad
• Sitio de seguridad de TechNet (profesionales de
  IT)
• http//www.microsoft.com/latam/technet/seguridad/
• http//www.eu.microsoft.com/spain/technet/segurida
  d/default.asp
• Sitio de seguridad de MSDN (desarrolladores)
• http//msdn.microsoft.com/security (este sitio
  está en inglés)

28
Preguntas y respuestas
29
(No Transcript)