O Centro Criptolóxico Nacional actualizou a solución ROCÍO
, disponible en el portal del CCN-CERT, con el objetivo de facilitar la configuración de los dispositivos de red, enrutadores y conmutadores de Cisco, Aruba y Allied Telesus, así como de los cortafuegos Fortigate. Gracias a ROCÍO, se automatizan las tareas básicas de auditoría, permitiendo que los responsables de seguridad puedan comprobar, de un modo rápido, si su dispositivo está configurado adecuadamente.
A análise do cumprimento está baseado nas normas de seguridade recollidas en Guíalas CCN-STIC. En concreto, en guíalas CCN-STIC-641 Seguridade en Routers Cisco, CCN-STIC-643A Seguridade en Equipos de Comunicacións. Allied Telesis con sistema operativo AW+, CCN-STIC-644 Seguridade en equipos de comunicacións Switches Cisco, CCN-STIC-647C Seguridade en conmutadores HPE Aruba e CCN-STIC-650 Seguridade en devasa Fortigate. Nestes documentos explícase e ofrécese unha serie de pautas para conseguir unha configuración segura dos equipos de comunicacións.
Todo iso, baseado na comprobación dunha serie de regras, desenvolvidas polo CCN, sobre a configuración e os resultados de executar certos comandos nas consolas dos equipos (unhas regras que se actualizan periodicamente conforme os propios fabricantes desenvolven os seus sistemas operativos e crean novas funcionalidades).
A solución proporciónase como unha interface web na que se permite almacenar configuracións, seleccionar distintos paquetes de regras e xerar informes de cumprimento.
Para acceder ao servizo requírese instalar un certificado de seguridade no navegador, que debe solicitarse no correo de contacto rocio@ccn-cert.cni.es , indicando nome, teléfono de contacto e organismo solicitante.
ROCÍO é unha máis das solucións propias de auditoría do Centro Criptolóxico Nacional que, xunto con ANA ANA (Automatización e Normalización de Auditorias), PILAR (Análise e Xestión de Riscos), CLARA (Auditoría de Cumprimento ENS/STIC en Sistemas Windows) e INES (Informe de Estado de Seguridade no ENS), busca facilitar a análise de equipos e sistemas a todos os responsables de seguridade.
