Compartir a través de

Planeación de la seguridad para un entorno de acceso anónimo externo (Office SharePoint Server)

  • Artículo

En este artículo:

  • Protección de los servidores back-end

  • Configuración del acceso anónimo

  • Protección del sitio de Administración central

  • Protección de la distribución de contenido con SSL

  • Deshabilitación del correo electrónico entrante

  • Uso del modo de bloqueo

  • Lista de comprobación del diseño de la seguridad

  • Planeación del refuerzo de la seguridad para las funciones de servidor

  • Planeación de configuraciones seguras para las características de Office SharePoint Server

La orientación de seguridad para un entorno externo de acceso anónimo está destinada a permitir el acceso anónimo al contenido y, al mismo tiempo, proteger a los servidores back-end de la granja contra acceso directo por parte de usuarios o acciones maliciosas realizadas mediante servidores cliente web. En los entornos en los que se implementan varias granjas de servidores para proporcionar compatibilidad con características de creación, almacenamiento provisional y publicación, la orientación está destinada a la granja de servidores publicada (la granja de servidores a la que los usuarios obtienen acceso de forma anónima).

Hay varias recomendaciones específicas para un entorno de acceso anónimo externo. Es posible que algunas de estas recomendaciones no sean prácticas para todas las soluciones.

Protección de los servidores back-end

El hospedaje de sitios para el uso anónimo requiere servidores orientados a Internet. Puede limitar la exposición al tráfico de Internet si protege los servidores back-end, incluido el servidor de índices y otros servidores y funciones de servidores de aplicaciones que hospedan bases de datos:

  • Protección de servidores de base de datos   Como mínimo, coloque un firewall entre los servidores cliente web y los servidores que hospeden bases de datos. Algunos entornos dictan que los servidores de base de datos se deben hospedar en una red interna en lugar de directamente en un entorno de extranet.

  • Protección de servidores de aplicaciones   Para proteger los servidores de aplicaciones, como mínimo, requiera el protocolo de seguridad de Internet (IPsec) para proteger la comunicación entre los equipos de la granja de servidores. Asimismo, puede colocar los servidores de aplicaciones tras el firewall usado para proteger los servidores de base de datos, o bien, introducir otro firewall entre los servidores cliente web y los servidores de aplicaciones.

  • Protección de la función Índice   El componente de índice se comunica a través de un servidor cliente web para rastrear el contenido de los sitios. Para proteger este canal de comunicaciones, considere la opción de configurar un servidor cliente web dedicado para que lo usen uno o más servidores de índices. Esto aísla la comunicación de rastreo a un servidor cliente web que no es accesible para los usuarios. Además, configure Internet Information Services (IIS) para que restrinja SiteData.asmx (el servicio SOAP del rastreador) para permitir que sólo el servidor de índices (u otros rastreadores) puedan tener acceso a él. Si se proporciona un servidor cliente web dedicado al rastreo de contenido también se mejora el rendimiento al reducir la carga en los servidores cliente web principales, con lo que se mejora la experiencia del usuario.

Configuración del acceso anónimo

Para que el contenido esté disponible para el acceso anónimo:

  • El sitio o la colección de sitios deben estar configurados para permitir el acceso anónimo.

  • Al menos una zona de la aplicación web debe estar configurada para permitir el acceso anónimo.

Habilite el acceso anónimo sólo para las aplicaciones web que requieran acceso sin autenticación. Si desea usar la autenticación para fines de personalización, implemente la autenticación de formularios mediante un simple proveedor de autenticación de bases de datos.

Protección del sitio de Administración central

Como los usuarios externos tienen acceso a la zona de red, es importante proteger el sitio de Administración central a fin de bloquear el acceso externo y proteger el acceso interno:

  • Asegúrese de que el sitio de Administración central no esté hospedado en un servidor cliente web.

  • Bloquee el acceso externo al sitio de Administración central. Esto se puede conseguir colocando un firewall entre los servidores cliente web y el servidor que hospeda el sitio de Administración central.

  • Configure el sitio de Administración central con la Capa de sockets seguros (SSL). De esta manera, se garantiza que la comunicación entre la red interna y el sitio de Administración central sea segura.

Protección de la distribución de contenido

Si no va a usar la característica de distribución de contenido, configure la granja de servidores para que no reciba distribuciones de contenido (en Configuración de la distribución de contenido, seleccioneRechazar trabajos de distribución de contenido entrantes). Ésta es la opción predeterminada.

Si va a usar las características de distribución de contenido para distribuir contenido de una granja de servidores a otra, asegúrese de que el sitio de Administración central de la granja de servidores receptora esté configurado para usar SSL. Esto garantizará que la comunicación de los servidores relativa a la distribución de contenido entre las dos granjas de servidores estará protegida mediante SSL.

Asimismo, para proteger las identidades de los autores, deshabilite la opción Distribuir nombres de usuario cuando configure la ruta de distribución de contenido.

Deshabilitación del correo electrónico entrante

No use la integración de correo electrónico para el correo electrónico entrante. De esta manera, protegerá su entorno contra los riesgos asociados con el correo electrónico enviado desde orígenes anónimos en Internet. Si decide autorizar el correo electrónico entrante, configure el sitio de Administración central para que habilite el correo electrónico anónimo. Si bien es una opción posible, no es muy segura.

Uso del modo de bloqueo

El modo de bloqueo es una característica que se puede usar para proteger sitios publicados. Cuando está activado, se reducen los permisos específicos para el nivel de permisos de acceso limitado. En la siguiente tabla se incluyen los permisos predeterminados del nivel de permisos de acceso limitado y los permisos reducidos cuando el modo de bloqueo está activado

Permiso Acceso limitado: predeterminado Acceso limitado: modo de bloqueo

Permisos de lista: Ver páginas de aplicaciones

●

Permisos de sitio: Examinar información de usuario

●

●

Permisos de sitio: Utilizar interfaces remotas

●

Permisos de sitio: Usar características de integración de clientes

●

●

Permisos de sitio: Abrir

●

●

El modo de bloqueo se aplica a los sitios bajo las siguientes circunstancias:

  • La herramienta de línea de comandos Stsadm.exe se usa para activar el modo de bloqueo.

  • La plantilla de sitio Portal de publicación se aplica a la colección de sitios. De forma predeterminada, el modo de bloqueo se activa cuando se aplica esta plantilla.

Considere la posibilidad de usar el modo de bloqueo en sitios publicados si es necesaria una mayor seguridad en estos sitios. Asimismo, si aplicó la plantilla de sitio Portal de publicación, determine si el modo de bloqueo es la configuración deseada para estos sitios. Si no lo es, use la herramienta de línea de comandos Stsadm.exe para desactivar el modo de bloqueo.

En la siguiente tabla se especifican los comandos Stsadm relativos al uso del modo de bloqueo.

Acción Comando

Activar el modo de bloqueo para una colección de sitios

stsadm -o activatefeature -url <direcciónURLDeColecciónDeSitios> -filename ViewFormPagesLockDown\feature.xml

Desactivar el modo de bloqueo para una colección de sitios

stsadm -o deactivatefeature -url <direcciónURLDeColecciónDeSitios> -filename ViewFormPagesLockDown\feature.xml

Lista de comprobación del diseño de la seguridad

Use esta lista de comprobación de diseño junto con las listas de comprobación de Revisión de las listas de comprobación de diseño de topología segura (Office SharePoint Server).

Topología

[ ]

Proteja los servidores back-end colocando como mínimo un firewall entre los servidores cliente web y los servidores de aplicaciones y de base de datos.

[ ]

Planee un servidor cliente web dedicado para rastrear contenido. No incluya este servidor cliente web en la rotación de clientes web de usuario final.

Arquitectura lógica

[ ]

Habilite el acceso anónimo únicamente para las zonas de aplicaciones web que hospeden sitios o colecciones de sitios configurados para permitir el acceso anónimo.

Para obtener más información, vea Planeación de métodos de autenticación (Office SharePoint Server).

[ ]

Use SSL para proteger la distribución de contenido.

[ ]

Bloquee el acceso al sitio de Administración central y configure SSL para el sitio.

Planeación del refuerzo de la seguridad para las funciones de servidor

En la tabla siguiente, se describen recomendaciones de protección adicionales para entornos de acceso anónimo externo.

Componente Recomendación

Puertos

Bloquee el acceso externo al puerto para el sitio de Administración central.

Protocolos

  • Deshabilite SMTP.

  • Use SSL para proteger el contenido a medida que se implementa desde la granja de servidores de creación a las granjas de servidores provisionales y publicadas.

IIS

Si está configurando un servidor cliente web dedicado para indización, configure IIS para que restrinja SiteData.asmx (el servicio SOAP del rastreador) de forma que permita únicamente al servidor de índices (o a otros rastreadores) obtener acceso a él.

Planeación de configuraciones seguras para las características de Office SharePoint Server

En la tabla siguiente se describen las recomendaciones adicionales para proteger las características de Microsoft Office SharePoint Server 2007 en un entorno de acceso anónimo externo.

Característica o área Recomendación

Autenticación

Especifique la autenticación anónima en IIS.

Distribución de contenido

Si no va a usar la característica de distribución de contenido, configure la granja de servidores para que no reciba distribuciones de contenido. Ésta es la opción predeterminada.

Si va a usar la característica de distribución de contenido, se recomiendan las siguientes configuraciones:

  • Active SSL para el sitio de Administración central en la granja de servidores receptora.

  • Deshabilite la opción Distribuir nombres de usuario cuando configure la ruta de distribución de contenido.

Integración con correo electrónico

No habilite la integración con correo electrónico para el correo electrónico entrante.

Almacenamiento en caché de contenido de las páginas que tienen contenido personalizado

Puede usar el almacenamiento en caché de resultados para optimizar el rendimiento de los sitios que muestran contenido personalizado. En este escenario, la sustitución después del almacenamiento en caché se usa para asegurarse de que el contenido personalizado se actualiza para el usuario. Por tanto, si toda la página o la mayor parte de la página incluye contenido personalizado, usar el almacenamiento en caché de resultados es poco ventajoso.

Si va a usar el almacenamiento en caché de resultados en páginas que tienen contenido personalizado, tenga en cuenta las implicaciones de seguridad que se derivan del modo en que se configura. Si se cumplen las siguientes condiciones, asegúrese de que los sitios que muestran contenido personalizado admitan la sustitución después del almacenamiento en caché:

  • Tiene previsto habilitar el almacenamiento en caché de resultados de páginas (para optimizar el rendimiento).

  • Los usuarios tanto anónimos como autenticados tienen acceso al contenido.

  • Su solución incluye sitios con controles que muestran contenido personalizado (para usuarios autenticados).

En este escenario, todos los usuarios anónimos verán un contenido idéntico. El contenido que ven los usuarios autenticados depende de si se muestra el contenido personalizado y si se admite la sustitución después del almacenamiento en caché para este contenido:

  • Si se admite la sustitución después del almacenamiento en caché para el contenido personalizado, los usuarios autenticados con los mismos derechos sólo pueden ver su propio contenido personalizado.

  • Si no se admite la sustitución después del almacenamiento en caché para el contenido personalizado, los usuarios con los mismos derechos que otros también verán un contenido idéntico. En este escenario, si primero se almacena en caché contenido personalizado para el usuario A, todos los demás usuarios con los mismos derechos verán el contenido personalizado del usuario A en lugar del suyo.

InfoPath Forms Server

En un entorno anónimo, deshabilite el proxy del servicio web InfoPath Forms Services. Este servicio se ejecuta como una cuenta de servicio de confianza y reenvía solicitudes a los servicios web mediante la identidad de la cuenta de servicio de confianza.

En entornos en que sólo los usuarios autenticados tienen acceso a los formularios de InfoPath, el acceso a un sistema de datos back-end queda protegido mediante la autenticación. Sin embargo, si se crean más formularios de InfoPath para que los usen usuarios anónimos y estos formularios tienen acceso al mismo sistema de datos back-end, este sistema se configura para confiar en el proxy del servicio web y proporcionar los datos solicitados. En este caso, los usuarios anónimos pueden obtener acceso a los datos que normalmente sólo están disponibles para los usuarios autenticados.

De forma predeterminada, el proxy del servicio web está deshabilitado. Este servicio se administra en Administración central. En la ficha Administración de aplicaciones, consulte la categoría InfoPath Forms Services y haga clic en Administrar el proxy del servicio web.

Descarga de este libro

En este tema se incluye el siguiente libro descargable para facilitar la lectura y la impresión:

Vea la lista completa de libros disponibles en la sección de libros descargables para Office SharePoint Server 2007.