El Centro Criptológico Nacional (CCN) ha hecho públicos durante este mes de agosto varias guías relativas al Esquema Nacional de Seguridad. Estos documentos forman parte del conjunto de normas desarrolladas por el Centro Criptológico Nacional para la implementación del ENS (CCN-STIC-800) y teniendo como objeto la protección de los servicios prestados a los ciudadanos y entre las diferentes administraciones.
La Guía CCN-STIC 870A Implementación del ENS en Windows Server 2012 R2. tiene como propósito proporcionar plantillas de seguridad para la aplicación de medidas que garanticen dicha seguridad, en un escenario de implementación del Esquema Nacional de Seguridad y en servidores que tengan instalado Windows Server 2012 R2 bajo un entorno de dominio, en cualquiera de sus versiones.
La Guía CCN-STIC 870B Implementación del ENS en Windows Server 2012 R2 Servidor Independiente tiene como propósito proporcionar plantillas de seguridad para la aplicación de medidas que garanticen dicha seguridad, en un escenario de implementación del Esquema Nacional de Seguridad y en servidores que tengan instalado Windows Server 2012 R2 y a través de una configuración de seguridad sólida. Se incluyen, además, operaciones básicas de administración para la aplicación de las mismas, así como una serie de recomendaciones para su uso.
Ambas guías contienen una descripción del ENS, de la naturaleza de las medidas y de las plantillas de seguridad, así como los mecanismos para la aplicación de configuraciones y una guía paso a paso son algunos de los capítulos de este documento. Junto a ellos, una explicación de la implementación de cortafuegos con seguridad avanzada y una lista de comprobación para verificar el grado de cumplimiento de un servidor con respecto a las condiciones de seguridad que se establecen en estas guías.
La Guía CCN-STIC 860 Seguridad del Servicio OWA en Microsoft Exchange Server 2010 ofrece la información y mecanismos para la protección del servicio de Outlook Web App (OWA), proporcionado por el servicio de Microsoft Exchange Server y que permite el acceso a los buzones de correo electrónico a través de un servicio web. No obstante estas garantías de acceso, así como la publicación del mismo, constituyen el hecho de que sea un servicio altamente expuesto que puede ser atacado con el objeto no solo de conseguir acceso a la información existente en dicho servicio, sino como un intento de obtener credenciales con las cuales acceder a la organización.
El documento proporciona una guía de buenas prácticas para la protección de la infraestructura, así como los mecanismos que garanticen el fortalecimiento del servicio OWA. Se incluye además:
- Definición de las condiciones de funcionalidad del servicio de OWA.
- Se referencian los riesgos a los que se enfrenta un servicio Web como OWA.
- Se incorporan mecanismos para la implementación, de forma automática, de las configuraciones de seguridad susceptibles de ello.
- Mecanismos de revisión. Se establecen mecanismos de revisión de componentes de OWA para Microsoft Exchange Server 2010.
- Se realiza una presentación de la estructura de ficheros empleados por Microsoft Exchange Server 2010.
- Permite verificar que se cumplen los mecanismos de seguridad definidos en la presente guía.
