IBM Endpoint Manager for Software Use Analysis Versão 9.0. Guia de Segurança

Transcrição

1 IBM Endpoint Manager for Software Use Analysis Versão 9.0 Guia de Segurança

2

3 IBM Endpoint Manager for Software Use Analysis Versão 9.0 Guia de Segurança

4 Guia de Segurança Esta edição se aplica à versão 9.0 do IBM Endpoint Manager for Software Use Analysis (número do produto 5725-F57) e todas as liberações e modificações subsequentes, até que seja indicado de outra forma em novas edições. Copyright IBM Corporation 2002, 2013.

5 Figuras Copyright IBM Corp. 2002, 2013 iii

6 iv IBM Endpoint Manager for Software Use Analysis: Guia de Segurança

7 Tabelas Copyright IBM Corp. 2002, 2013 v

8 vi IBM Endpoint Manager for Software Use Analysis: Guia de Segurança

9 Segurança É possível configurar diferentes recursos de segurança para proteger adequadamente recursos de negócios no modelo de dados ao usar o Software Use Analysis. Fluxo de Dados Há várias interações diferentes que ocorrem entre os componentes da infraestrutura do Software Use Analysis e entre o usuário e a ferramenta. Client computer - console Client computer - browser TCP (HTTP/HTTPS) ODBC connection-specific B A Web interface certificate TCP ( HTTP/HTTP S) TCP ( HTTP/HTTPS) Web Reports database Software Use Analysis server Federated user repository IBM Endpoint Manager server Endpoint Manager Client VM manager tool ODBC Endpoint Manager database Software scans, CIT catalog TCP (HTTPS) JDBC Web user Interface Core business logic REST API F TCP (HTTP/HTTPS) C TCP (HTTP) JDBC Firewall TCP ( HTTP/HTTPS) Software Use Analysis database Relay Internet TCP (HTTP) C D UDP E ICMP Fixlet servers Endpoint Manager Client Virtualization manager Virtualization manager Copyright IBM Corp. 2002,

10 Tráfego do navegador da web do Software Use Analysis (A) Porta Origem Por padrão, o navegador da web se conecta ao servidor do Software Use Analysis utilizando a porta 9081 (HTTPS). É possível desativar a conexão segura. O navegador da web se conecta ao servidor Software Use Analysis. Tráfego do Console do IBM Endpoint Manager (B) Porta Origem Controles de rede: Os consoles se conectam ao servidor raiz usando HTTPS para todas as interações O console do IBM Endpoint Manager se conecta ao serviço RootServer. Há uma "taxa de atualização" para cada usuário do console do IBM Endpoint Manager (padrão 15 segundos) Reunir, Postar, Fazer Download (C) Porta Origem Controles de rede: A porta é configurável pelo administrador do Gerenciador de Terminal no momento da instalação. O cliente do Gerenciador de Terminal inicia s o pedido para a retransmissão ou o servidor do Gerenciador de Terminal. v Limitação da largura de banda configurável para a retransmissão ou os clientes do Gerenciador de Terminal v Intervalo de reunião configurável. O padrão é 1 por dia por site do fixlet. v Tempo mínimo configurável para esperar entre posts. O padrão é 15 segundos. v Distribuição temporal configurável (downloads difundidos ao longo do tempo) por ação v A capacidade de configurar a "política" para evitar que os computadores façam download de arquivos se eles não são apontados para a retransmissão do Gerenciador de Terminal adequada Mensagem de Nova Informação de UDP (D) Porta Origem Controles de rede: A porta é configurável pelo administrador do Gerenciador de Terminal no momento da instalação. As mensagens de UDP são enviadas a partir do pai imediato dos clientes do Gerenciador de Terminal, as quais podem ser uma retransmissão ou um servidor do Gerenciador de Terminal. v v Limite configurável do número de mensagens UDP enviadas de uma vez a partir de uma retransmissão do Gerenciador de Terminal Limite configurável do período de tempo a aguardar após o envio de mensagens UDP a partir de uma retransmissão do Gerenciador de Terminal Seleção de Retransmissão do IBM Endpoint Manager (E) Porta O protocolo ICMP não utiliza uma porta. 2 IBM Endpoint Manager for Software Use Analysis: Guia de Segurança

11 Origem Cada cliente do Gerenciador de Terminal envia arredondamentos progressivos de pacotes ICMP para cada retransmissão com TTLs crescentes até uma retransmissão do Gerenciador de Terminal responda. Por exemplo, em uma rede de 2 retransmissões, uma de 1 hop e uma de 2 hops, o cliente do Gerenciador de Terminal envia uma mensagem ICMP para ambas com TTL 1 e recebe 2 mensagens de tempo excedido do roteador local. O cliente do Gerenciador de Terminal, em seguida, envia uma mensagem ICMP para ambas as retransmissões com TTL 2 e recebe uma mensagem de tempo excedido e uma mensagem de resposta. O cliente do Gerenciador de Terminal, então, escolhe a retransmissão que está um hop distante. Controles de rede v v v v A seleção automática de retransmissão pode ser desativada. Intervalo configurável para quando os clientes do Gerenciador de Terminal executam a seleção automática Limite configurável no número máximo de pacotes ICMP para enviar saída em um intervalo de tempo Limite configurável no número máximo de arredondamentos para enviar durante a seleção automática de retransmissão Novo Download de Dados a Partir de Servidores de Fixlet Externos da IBM (F) Porta 80 (geralmente); possivelmente 21, 443 Origem Controles de rede O servidor Gerenciador de Terminal se conecta aos servidores de fixlet da IBM Há um intervalo configurável que o servidor Gerenciador de Terminal verificaem busca de novas mensagens de Fixlet. Os seguintes protocolos de banco de dados são utilizados. v ODBC v JDBC Configurando Comunicações Seguras Administradores podem configurar o SSL e as portas TCP a partir da seção Configurações do Servidor da interface da web. Um certificado assinado e a chave privada para um certificado assinado pela autoridade de certificação (CA) são fornecidos com o servidor. Ao ativar o SSL, você pode utilizar a chave privada e o certificado que são fornecidos ou o sistema pode gerar um certificado autoassinado. Se você alterar as configurações de porta ou SSL, deverá reiniciar o servidor para que as mudanças entrem em vigor. Procedimento 1. Na barra de navegação superior, clique em Gerenciamento > Configurações do Servidor. 2. Selecione Utilizar SSL. A subseção Certificado é aberta. 3. Opcional: Selecione Usar TLS 1.2 Para utilizar o TLS 1.2, seu navegador deve suportar o TLS 1.2 e o TLS 1.2 deve estar ativado em seu navegador. 4. Forneça informações sobre o certificado de segurança. v Se você tiver um certificado que é fornecido por uma autoridade de certificação (CA): a. Selecione Importar uma chave privada e certificado codificados pelo PEM. Segurança 3

12 b. Clique em Procurar para localizar o certificado no sistema de arquivos do computador. c. Clique em Procurar para localizar a chave privada no sistema de arquivos do computador. d. No campo Senha da Chave Privada, insira a senha para a chave. e. Clique em Salvar. v Nota: O certificado e a chave devem ser codificados pelo PEM. Se desejar gerar e usar um certificado autoassinado: a. Selecione Gerar um certificado autoassinado. b. Especifique o nome comum do sujeito do certificado. O nome comum deve corresponder ao nome DNS do servidor Software Use Analysis. c. No campo Data de Expiração, insira a data de expiração do certificado. d. Clique em Salvar. Nota: Um certificado autoassinado contém uma chave pública, informações sobre o proprietário do certificado e a assinatura do proprietário. Ele possui uma chave privada associada, mas não verifica a origem do certificado por meio de uma autoridade de certificação de terceiros. 5. Reinicie o servidor. Gerando uma Nova Chave Privada e CSR para um Certificado Assinado por uma CA Uma chave privada e certificado assinado já são fornecidos com o servidor, para um certificado assinado pela autoridade de certificação (CA). Você pode gerar uma nova chave privada e um pedido de assinatura de certificado (CSR) para um certificado assinado pela CA. Você pode desejar gerar uma nova chave privada e CSR para um certificado assinado pela CA, por exemplo, se você não tiver uma infraestrutura de chave pública estabelecida (PKI). Sobre Esta Tarefa O CSR pode ser enviado para uma CA externa para assinatura ou você pode criar uma CA privada e usar sua CA privada para assinar o CSR. Uma CA privada pode ser criada em qualquer computador com um sistema operacional que suporta openssl. A vantagem de utilizar uma CA externa é que os certificados raízes de CAs públicas conhecidas são importadas, por padrão, em navegadores da web modernos. A vantagem de utilizar uma CA privada é que não há dependência de uma entidade externa para certificados e sem custo. Procedimento 1. Gere uma nova chave privada e uma solicitação de assinatura de certificado (CSR), abrindo um console de linha de comandos e inserindo os seguintes comandos: openssl genrsa -out key_name.key key_strength -sha256 Nota: Inclua a opção -des3 para ter uma chave protegida por senha, por exemplo: openssl genrsa -des3 -out key_name.key key_strength -sha256 4 IBM Endpoint Manager for Software Use Analysis: Guia de Segurança

13 openssl req -new -key key_name.key -out csr_name.csr Em que: csr_name É o nome do arquivo CSR que você deseja criar. key_name É o nome da nova chave. key_strength É a força da chave que é medida no número de bits. sha256 É o algoritmo hash da assinatura. Por exemplo: openssl genrsa -out privatekey.key sha256 openssl req -new -key privatekey.key -out csr.csr A solicitação de certificado é criada. As funções de CSR como um marcador provisório para o certificado assinado até que você importe o certificado para o keystore no painel Configurações do Servidor. O certificado agora deve ser assinado por uma CA para concluir o processo de geração de um certificado assinado para o servidor. O CSR pode ser enviado para uma CA externa para assinatura ou você pode criar uma CA privada. 2. Opcional: Crie uma CA privada e assine o CSR. Utilize esse procedimento se pretende criar e utilizar uma CA privada e não uma CA externa. a. Crie uma chave privada da CA e CSR, executando os seguintes comandos: mkdir ca openssl req -new -newkey rsa:key_strength -nodes -out path_to_csr.csr -keyout path_to_keyfi Em que: key_strength É a força da chave que é medida no número de bits. path_to_csr É o caminho para o CSR. path_to_keyfile É o caminho para o arquivo-chave da CA. Exemplo: openssl req -new -newkey rsa:2048 -nodes -out ca/ca.csr -keyout ca/ca.key -sha256 b. Assine o CSR da CA para formar um certificado para sua nova CA privada: openssl x509 -signkey path_to_keyfile.key -days number_of_days -req -in path_to_csr.csr -out path_to_ca_cert.arm -sha256 Em que: path_to_keyfile É o caminho para o arquivo-chave da CA. number_of_days É o número de dias que o certificado deve ser válido. path_to_ca_cert É o caminho para o arquivo de certificado de CA. Segurança 5

14 Exemplo: openssl x509 -signkey ca/ca.key -days req -in ca/ca.csr -out ca/ca.arm -sha256 c. Assine o CSR. É possível assinar um CSR apenas se você estiver utilizando uma CA privada. Nota: Se você utilizar uma CA externa, deverá enviar o CSR para o administrador da CA assinar. Execute o comando a seguir para assinar o CSR: openssl x509 -req -days in path_to_csr -CA ca/ca.arm -CAkey path_to_keyfile -out cert.ar Em que: path_to_csr É o caminho para o arquivo de Solicitação de Assinatura de Certificado que você criou. path_to_keyfile É o caminho para o arquivo-chave de CA que você criou. cert.arm É o certificado do servidor produzido. ca.arm É o certificado de CA que você deve utilizar para assinar o CSR. Por exemplo: openssl x509 -req -days in csr.csr -CA ca/ca.arm -CAkey ca/ca.key -out cert.arm -set_ser O arquivo recém-criado ca.arm contém o certificado raiz de sua CA privada. O certificado cert.arm e a chave privada privatekey.key agora podem ser importados no painel Configurações do Servidor. Autenticando Usuários com LDAP O IBM Endpoint Manager for Software Use Analysis 9.0 suporta a autenticação por meio de um servidor Lightweight Directory Access Protocol. Para usar esse recurso, você deve configurar o servidor do Software Use Analysis. Configurando o Servidor de Aplicativos para utilizar o LDAP Para utilizar o LDAP para autenticação de usuários do Software Use Analysis, é preciso criar um diretório a que o aplicativo seria vinculado. Antes de Iniciar Você deve ter a permissão Gerenciar Servidores de Diretório para executar esta tarefa. Procedimento 1. Na barra de navegação superior, clique em Gerenciamento > Servidores de Diretório. 2. Para criar uma conexão LDAP, clique em Novo. 3. Insira um nome para o novo diretório, selecione um servidor LDAP para autenticação em uma lista e insira o nome de uma Base de Procura. 4. Se os valores do servidor LDAP forem diferentes do padrão, selecione Outro na lista Servidor LDAP e insira valores de filtros e atributos do seu servidor LDAP. 5. Insira um nome e senha para o usuário autenticado. 6 IBM Endpoint Manager for Software Use Analysis: Guia de Segurança

15 6. Se o servidor LDAP utilizar o protocolo Secure Socket Layer, marque a caixa de opção SSL. Se nenhuma credencial de usuário for necessária, marque a caixa de opção Conexão Anônima. 7. Na área Host, forneça o nome do host em que está instalado o servidor LDAP. 8. Insira a Porta. 9. Para verificar se todas as entradas fornecidas são válidas, clique em Testar Conexão. 10. Clique em Criar. Você configurou um link de sistema para um sistema de autenticação. 11. Opcional: Para incluir um servidor de backup de LDAP, na guia Servidor Principal clique no link incluir servidor de backup. a. Insira o host e IP do servidor LDAP de backup. b. Clique em Testar Conexão para verificar se todas as entradas fornecidas são válidas. c. Clique em Salvar para confirmar as alterações. 12. Opcional: Para editar o diretório, clique em seu nome. Clique em Salvar para confirmar as alterações. 13. Opcional: Para excluir o diretório criado, clique em seu nome. Em seguida, no canto superior esquerdo da janela, clique em Excluir. Vinculando Usuários a Diretórios Para concluir um processo de autenticação pelo LDAP, é preciso criar um usuário que seja vinculado ao diretório criado. Antes de Iniciar Você deve ter a permissão Gerenciar Usuários para executar esta tarefa. Procedimento 1. Na barra de navegação superior, clique em Gerenciamento > Usuários. 2. Para criar um usuário, clique em Novo. 3. No campo Nome de Usuário, digite o nome de um usuário existente de um servidor LDAP. 4. Na lista, selecione um Grupo de Computadores aos quais o usuário seria designado. 5. Na lista Método de Autenticação, selecione o nome de um diretório LDAP. 6. Clique em Criar. 7. Opcional: Para excluir o usuário criado, clique em seu nome. Em seguida, no canto superior esquerdo da janela, clique em Excluir. Nota: O usuário excluído não poderá ser recriado. O que Fazer Depois Para confirmar a autenticação, efetue login no servidor do Software Use Analysis 9.0 com as credenciais do usuário LDAP que você criou no Software Use Analysis. Segurança 7

16 Retransmissões As retransmissões minimizam tanto as sobrecargas de envio quanto de recebimento de dados no servidor. Em vez de se comunicarem diretamente com um servidor, os clientes podem ser instruídos a se comunicarem com retransmissões designadas, reduzindo consideravelmente tanto a carga do servidor quanto o tráfego de rede entre cliente e servidor. Retransmissões funcionam: v Aliviando o tráfego de recebimento de dados. v Reduzindo o tráfego de envio de dados. v Reduzindo o congestionamento em conexões com pouca largura de banda. v Reduzindo a carga no servidor. Retransmissões são um requisito absoluto para qualquer rede com links lentos ou mais do que alguns poucos milhares. Para informações adicionais sobre Retransmissões, consulte Centro de informações do IBM Endpoint Manager. 8 IBM Endpoint Manager for Software Use Analysis: Guia de Segurança

17 Avisos Estas informações foram desenvolvidas para produtos e serviços oferecidos nos E.U.A. É possível que a IBM não ofereça os produtos, serviços ou recursos discutidos nesta publicação em outros países. Consulte um representante IBM local para obter informações sobre produtos e serviços disponíveis atualmente em sua área. Qualquer referência a produtos, programas ou serviços IBM não significa que apenas produtos, programas ou serviços IBM possam ser utilizados. Qualquer produto, programa ou serviço funcionalmente equivalente, que não infrinja nenhum direito de propriedade intelectual da IBM poderá ser utilizado em substituição a este produto, programa ou serviço. Entretanto, a avaliação e verificação da operação de qualquer produto, programa ou serviço não-ibm são de responsabilidade do Cliente. A IBM pode ter patentes ou solicitações de patentes pendentes relativas a assuntos tratados nesta publicação. O fornecimento desta publicação não lhe garante direito algum sobre tais patentes. Pedidos de licença devem ser enviados, por escrito, para: Gerência de Relações Comerciais e Industriais da IBM Brasil Av. Pasteur, Botafogo Rio de Janeiro, RJ CEP Para consultas sobre licença relacionadas a informações de Conjunto de Caracteres de Byte Duplo (DBCS), entre em contato com o Departamento de Propriedade Intelectual da IBM em seu país ou envie consultas sobre licença, por escrito, para: Intellectual Property Licensing Legal and Intellectual Property Law IBM Japan, Ltd , Shimotsuruma, Yamato-shi Kanagawa Japan O parágrafo a seguir não se aplica ao Reino Unido ou qualquer outro país onde tais provisões são inconsistentes com a lei local: A INTERNATIONAL BUSINESS MACHINES CORPORATION FORNECE ESTA PUBLICAÇÃO NO ESTADO EM QUE SE ENCONTRA, SEM GARANTIA DE NENHUM TIPO, SEJA EXPRESSA OU IMPLÍCITA, INCLUINDO, MAS NÃO SE LIMITANDO ÀS GARANTIAS IMPLÍCITAS DE NÃO-INFRAÇÃO, COMERCIALIZAÇÃO OU ADEQUAÇÃO A UM DETERMINADO PROPÓSITO. Alguns países não permitem a exclusão de garantias expressas ou implícitas em certas transações; portanto, esta disposição pode não se aplicar ao Cliente. Estas informações podem incluir imprecisões técnicas ou erros tipográficos. São feitas alterações periódicas nas informações aqui contidas; tais alterações serão incorporadas em futuras edições desta publicação. A IBM pode, a qualquer momento, aperfeiçoar e/ou alterar os produtos e/ou programas descritos nesta publicação, sem aviso prévio. Copyright IBM Corp. 2002,

18 Marcas Registradas Referências nestas informações a websites que não sejam da IBM são fornecidas apenas por conveniência e não representam de forma alguma um endosso a estes websites. Os materiais contidos nesses Web sites não fazem parte deste produto IBM e seu uso é de responsabilidade do Cliente. A IBM pode utilizar ou distribuir as informações fornecidas da forma que julgar apropriada sem incorrer em qualquer obrigação para com o Cliente. Licenciados deste programa que desejam obter informações sobre este assunto com objetivo de permitir: (i) a troca de informações entre programas criados independentemente e outros programas (incluindo este) e (ii) a utilização mútua das informações trocadas, devem entrar em contato com: Gerência de Relações Comerciais e Industriais da IBM Brasil Av. Pasteur, Botafogo Rio de Janeiro, RJ CEP Tais informações podem estar disponíveis, sujeitas a termos e condições apropriadas, incluindo em alguns casos o pagamento de uma taxa. O programa licenciado descrito nesta publicação e todo o material licenciado disponível são fornecidos pela IBM sob os termos do Contrato com o Cliente IBM, do Contrato Internacional de Licença de Programa IBM ou de qualquer outro contrato equivalente. As informações relativas a produtos não IBM foram obtidas dos fornecedores desses produtos, de seus anúncios publicados ou de outras fontes publicamente disponíveis. A IBM não testou estes produtos e não pode confirmar a precisão de seu desempenho, compatibilidade nem qualquer outra reivindicação relacionada a produtos não-ibm. Dúvidas sobre os recursos de produtos não-ibm devem ser encaminhadas diretamente a seus fornecedores. Estas informações contêm exemplos de dados e relatórios usados em operações de negócios diárias. Para ilustrá-las da forma mais completa possível, os exemplos incluem os nomes de indivíduos, empresas, marcas e produtos. Todos esses nomes são fictícios e qualquer semelhança com nome e endereços usados por uma empresa real é totalmente coincidência. IBM, o logotipo IBM e ibm.com são marcas ou marcas registradas da International Business Machines Corp., registrada em muitas jurisdições em todo o mundo. Outros nomes de produtos e serviços podem ser marcas registradas da IBM ou de outras empresas. Uma lista atual de marcas registradas IBM está disponível na web em Informações de Copyright e Marca Registrada no endereço Intel, o logotipo Intel, Intel Inside, o logotipo Intel Inside, Intel Centrino, o logotipo Intel Centrino, Celeron, Intel Xeon, Intel SpeedStep, Itanium e Pentium são marcas ou marcas registradas da Intel Corporation ou de suas subsidiárias nos Estados Unidos e/ou em outros países. Java e todas as marcas registradas e logotipos baseados em Java são marcas ou marcas registradas da Oracle e/ou de suas afiliadas. 10 IBM Endpoint Manager for Software Use Analysis: Guia de Segurança

19 Linux é uma marca registrada de Linus Torvalds nos Estados Unidos e/ou em outros países. Microsoft, Windows, Windows NT e o logotipo Windows são marcas registradas da Microsoft Corporation nos Estados Unidos e/ou em outros países. UNIX é uma marca registrada do The Open Group nos Estados Unidos e/ou em outros países. Avisos 11

20 12 IBM Endpoint Manager for Software Use Analysis: Guia de Segurança

21 Considerações sobre Política de Privacidade Os produtos de software IBM, incluindo as soluções de software como serviço, ( Ofertas de Software ), podem usar cookies ou outras tecnologias para coletar informações de uso do produto a fim de ajudar a melhorar a experiência do usuário final, customizar interações com o usuário final ou outros propósitos. Em muitos casos, nenhuma informação pessoal identificável é coletada pelas Ofertas de Software. Algumas de nossas Ofertas de Software podem permitir que você colete as informações pessoais identificáveis. Se esta Oferta de Software usar cookies para coletar informações pessoais identificáveis, informações específicas sobre o uso de cookies dessa oferta serão apresentadas a seguir. Esta Oferta de Software não usa cookies ou outras tecnologias para coletar informações pessoais identificáveis. Se as configurações implementadas para esta Oferta de Software permitirem que você, como cliente, colete informações de identificação pessoal de usuários finais por meio de cookies e outras tecnologias, você deverá consultar seu conselho jurídico sobre as leis aplicáveis a essa coleta de dados, incluindo requisitos para aviso e consentimento. Para obter mais informações sobre o uso de várias tecnologias, incluindo cookies, para estes propósitos, consulte a Política de Privacidade da IBM em e a Declaração de Privacidade Online da IBM em a seção intitulada Cookies, Web Beacons e Outras Tecnologias e a Declaração de Privacidade de Produtos de Software IBM e de Software como Serviço em Copyright IBM Corp. 2002,

22 14 IBM Endpoint Manager for Software Use Analysis: Guia de Segurança

23 Índice Remissivo Copyright IBM Corp. 2002,

24 16 IBM Endpoint Manager for Software Use Analysis: Guia de Segurança

25

26 Impresso no Brasil