Portal for ArcGIS incorpora una herramienta de secuencia de comandos de Python, portalScan.py, que analiza algunos de los problemas de seguridad más habituales. La herramienta comprueba si hay problemas basándose en algunas de las prácticas recomendadas para configurar un entorno seguro de su portal. Analiza seis criterios o propiedades de configuración y los divide en tres niveles de gravedad: Critical, Important y Recommended. Las descripciones de estos criterios son las siguientes:
| Id. | Gravedad | Propiedad | Descripción |
|---|---|---|---|
PS01 | Critical | Restricciones de proxy | Determina si la capacidad proxy está restringida. De manera predeterminada, el servidor proxy del portal está abierto a cualquier dirección URL. Para minimizar los posibles ataques por denegación de servicio (DoS) o falsificación de solicitud de servidor (SSRF), le recomendamos encarecidamente que restrinja la función proxy del portal a direcciones web aprobadas. |
PS02 | Critical | Solicitudes de token | Determina si se permite generar solicitudes de token con credenciales en el parámetro de consulta. Si se permite, al generar tokens, las credenciales de un usuario se podrían proporcionar como parte de la dirección URL y podrían quedar expuestas mediante el historial del navegador o los registros de la red. Esto debería deshabilitarse, salvo que se requiera para otras aplicaciones. |
PS03 | Important | Directorio de servicios del portal | Determina si se puede acceder al directorio de los servicios del portal mediante un navegador web. Esto debería deshabilitarse para reducir el riesgo de que los elementos, los servicios, los mapas web, los grupos y otros recursos del portal se puedan examinar, aparezcan en los resultados de las búsquedas web o se consulten mediante formularios HTML. |
PS04 | Important | Comunicación segura | Determina si el portal se comunica solamente mediante HTTPS. Para impedir la interceptación de cualquier comunicación dentro del portal, es recomendable configurar el portal y el servidor web que aloja Web Adaptor de modo que aplique SSL. |
PS05 | Recommended | Registro de cuenta incorporado | Determina si los usuarios pueden hacer clic en el botón Crear una cuenta en la página de registro del portal para crear una cuenta de portal integrada. Si utiliza cuentas corporativas o desea crear todas las cuentas manualmente, deshabilite esta opción. |
PS06 | Recommended | Acceso anónimo | Determina si se permite el acceso anónimo. Para impedir que los usuarios accedan al contenido sin proporcionar primero las credenciales para el portal, es recomendable configurar el portal para deshabilitar el acceso anónimo. |
La portalScan.py secuencia de comandos se encuentra en el directorio <Portal for ArcGIS installation location>/tools/security. Ejecute la secuencia de comandos desde la línea de comandos o shell. Tiene la opción de especificar uno o varios parámetros al ejecutar la secuencia de comandos.
parámetros de portalScan.py
| Parámetro | Descripción |
|---|---|
-n | El nombre de dominio completo del equipo donde está instalado Portal (por ejemplo, gisportal.domain.com). El valor predeterminado es el nombre de host del equipo donde se ejecuta la secuencia de comandos. |
-u | El nombre de usuario de una cuenta de administrador. |
-p | La contraseña de una cuenta de administrador. |
-o | El directorio donde se puede guardar el informe de escaneado de seguridad. El directorio predeterminado es la misma carpeta donde ejecuta la secuencia de comandos. |
-t | Se puede generar un token y utilizarlo en lugar del nombre de usuario y la contraseña. Al generar un token, se debe introducir el nombre de dominio completo del Portal que se va a escanear en el campo 'Dirección URL de aplicación web'. Cuando se proporciona un token, este invalida cualquier nombre de usuario o contraseña proporcionados. |
-h o -? | Genera una lista de los parámetros que se pueden especificar al ejecutar la secuencia de comandos. |
Ejemplo: python portalScan.py -n portal.domain.com -u admin -p my.password -o C:\Temp
Si la secuencia de comandos portalScan.py se ejecuta sin especificar parámetros, se le pedirá que los introduzca manualmente o que seleccione un valor predeterminado. Si desea utilizar un token, este se debe proporcionar como un parámetro al ejecutar la secuencia de comandos.
El análisis genera un informe con formato HTML en el que se muestra una lista de los problemas anteriores que se han encontrado en el portal especificado.
De forma predeterminada, el informe se guarda en la misma carpeta donde ejecutó la secuencia de comandos y se llama portalScanReport_[hostname]_[date].html.