Portal for ArcGIS incorpora una herramienta de secuencia de comandos de Python, portalScan.py, que analiza algunos de los problemas de seguridad más habituales. La herramienta comprueba si hay problemas basándose en algunas de las prácticas recomendadas para configurar un entorno seguro de su portal. Analiza seis criterios o propiedades de configuración y los divide en tres niveles de gravedad: Critical, Important y Recommended. Estas son las descripciones de estos criterios:
| Id. | Gravedad | Propiedad | Descripción |
|---|---|---|---|
PS01 | Critical | Restricciones de proxy | Determina si la capacidad proxy está restringida. De manera predeterminada, el servidor proxy del portal está abierto a cualquier dirección URL. Para minimizar los posibles ataques por denegación de servicio (DoS) o falsificación de solicitud de servidor (SSRF), le recomendamos encarecidamente que restrinja la función proxy del portal a direcciones web aprobadas. |
PS02 | Critical | Solicitudes de token | Determina si se permite generar solicitudes de token con credenciales en el parámetro de consulta. Si se permite, al generar tokens, las credenciales de un usuario se podrían proporcionar como parte de la dirección URL y podrían quedar expuestas mediante el historial del navegador o los registros de la red. Esto debería deshabilitarse, salvo que se requiera para otras aplicaciones. |
PS03 | Important | Directorio de servicios del portal | Determina si se puede acceder al directorio de los servicios del portal mediante un navegador web. Esto debería deshabilitarse para reducir el riesgo de que los elementos, los servicios, los mapas web, los grupos y otros recursos del portal se puedan examinar, aparezcan en los resultados de las búsquedas web o se consulten mediante formularios HTML. |
PS04 | Important | Comunicación segura | Determina si el portal se comunica solamente mediante HTTPS. Para impedir la interceptación de cualquier comunicación dentro del portal, es recomendable configurar el portal y el servidor web que aloja Web Adaptor de modo que aplique SSL. |
PS05 | Recommended | Registro de cuenta incorporado | Determina si los usuarios pueden hacer clic en el botón Crear una cuenta en la página de registro del portal para crear una cuenta de portal integrada. Si utiliza cuentas corporativas o desea crear todas las cuentas manualmente, deshabilite esta opción. |
PS06 | Recommended | Acceso anónimo | Determina si se permite el acceso anónimo. Para impedir que los usuarios accedan al contenido sin proporcionar primero las credenciales para el portal, es recomendable configurar el portal para deshabilitar el acceso anónimo. |
La portalScan.py secuencia de comandos se encuentra en el directorio <Portal for ArcGIS installation location>/tools/security. Ejecute la secuencia de comandos desde la línea de comandos o shell. Deberá indicar la dirección URL del portal, así como el nombre de usuario y la contraseña de un administrador.
El análisis genera un informe con formato HTML en el que se muestra una lista de los problemas anteriores que se han encontrado en el portal especificado. El informe se genera en la misma carpeta donde ejecutó la secuencia de comandos y se llama portalScanReport_[hostname]_[date].html.