Skip To Content

Diretrizes de implementação do ArcGIS Enterprise

Os detalhes seguintes descrevem as melhores práticas durante a implementação do ArcGIS Enterprise.

Definições de segurança de aplicação

As seguintes melhores práticas são recomendadas para o ArcGIS Enterprise. Consoante o seu caso de utilização específico, recomenda-se que aplique as seguintes definições ao nível da aplicação na sua implementação do ArcGIS Enterprise:

  • Requer HTTPS em toda a sua implementação dorArcGIS Enterprise.
    • Requer encriptações HTTPS e protege os seus dados em trânsito.
  • Não exponha os interfaces do ArcGIS Server Manager, Server Admin ou Portal Admin ao público
    • Isto é possível implementando o web adaptor ou um proxy reverso.
  • Desative os diretórios de Serviços e do Portal para sistemas de produção.
    • O Diretório Serviços pode ser uma ferramenta de desenvolvimento útil; no entanto, a Esri recomenda que desative o Diretório Serviços para os sistemas de produção quando não quiser que os utilizadores naveguem na sua lista de serviços, encontrando os seus serviços numa pesquisa ou solicitando os seus serviços por meio de formulários HTML.
  • Desative operações de consulta de serviços (quando possível).
    • Se as operações de consulta não forem necessárias para qualquer serviço específico, devem ser desativadas para minimizar a superfície potencial de ataque.
  • Desative a Conta de Administrador do Site Principal (PSA) do ArcGIS Server e despromova ou elimine a Conta de Administrador Inicial (IAA) do Portal for ArcGIS.
    • A desativação das contas predefinidas assegura um caminho único de acesso para administradores identificados no armazenamento de identidade empresarial e garante uma maior responsabilização.
  • Limite o uso de bases de dados comerciais no seu website.
    • Não permita o acesso direto (ou indireto) de utilizadores públicos à base de dados empresarial. Um ficheiro geodatabase pode ser um intermediário útil e ajudar a mitigar potenciais ataques de injeção de SQL.
  • Ative consultas SQL normalizadas.
    • Ative esta opção de segurança no ArcGIS Enterprise para maior proteção contra ataques de injeção SQL.
  • Restrinja pedidos entre domínios.
    • Restrinja a utilização de recursos do ArcGIS Enterprise apenas a aplicações alojadas numa lista de permissão de domínios confiáveis.
  • Utilize o serviço de impressão do ArcGIS Online em vez do serviço de impressão do ArcGIS Server para aplicações expostas ao público (acessíveis fora da firewall empresarial).
    • Isto permite a descarga de pedidos para a infraestrutura de cloud e evita que pedidos de serviços web sejam efetuados diretamente para um ArcGIS Server interno.
    • Se tiver de utilizar o serviço de impressão do ArcGIS Server externamente, implemente sempre o ArcGIS Enterprise exposto ao público em DMZ e não internamente ou numa rede de confiança.

Para mais detalhes, consulte Melhores práticas para ArcGIS Server e Melhores práticas para Portal for ArcGIS.

Atualizações de segurança

As vulnerabilidades de risco moderado a alto são abordadas em patches de segurança padrão, lançados para versões de suporte de longa duração (LTS) de produtos ArcGIS Enterprise que ainda se encontram nas fases de Disponibilidade Geral e Suporte Alargado. O risco é determinado através de pontuação interna através da fórmula CVSSv3.1. Consulte as definições do ciclo de vida dos produtos Esri para as fases de suporte e a Atualização à publicação do blogue de Ciclo de Vida de Produtos ArcGIS Enterprise que descreve versões STS e LTS.

As vulnerabilidades exploráveis críticas e comprovadas são raras em produtos Esri. Quando uma vulnerabilidade explorável crítica e comprovada é descoberta no software Esri, a Esri poderá lançar um patch para todas as versões atualmente suportadas do software ArcGIS afetado, independentemente da respetiva fase de suporte ou da disponibilidade de versões de suporte de longa duração (LTS).

Os patches de segurança lançados para o ArcGIS Enterprise são cumulativos e incluem todos os patches de segurança anteriores lançados para a versão do ArcGIS Enterprise para os quais se destinam os patches.

Autenticação

A autenticação envolve a verificação das credenciais numa tentativa de ligação para confirmar a identidade do cliente.

  • Solicite autenticação a serviços ArcGIS Enterprise através da autenticação ao nível de SIG ou web. Caso utilize o Portal for ArcGIS federado com o seu ArcGIS Server, os seus clientes têm ainda a opção de utilizar inícios de sessão específicos da organização com SAML 2.0 ou OpenID Connect.
    • Autenticação GIS-tier: utiliza autenticação modelo ArcGIS Token e armazenamento do utilizador incorporado.
    • Autenticação Web-tier: utiliza qualquer autenticação suportada pelo servidor web, como uma Autenticação Integrada do Windows ou utiliza a Infraestrutura de Chave Pública (PKI) existente de uma organização.
    • Inícios de sessão específicos da organização: caso o Portal for ArcGIS esteja federado com o ArcGIS Server como parte de uma implementação do ArcGIS Enterprise, existe ainda a opção de utilizar inícios de sessão SAML ou Open ConnectID.
      • Integre com um Fornecedor de Identidade SAML 2.0 (IdP) ou OpenID Connect para proporcionar Web Single Sign On.
      • O SAML ou OpenID Connect é um padrão aberto para a transação segura de dados de autenticação entre o fornecedor de identidade e o fornecedor de servidores (neste caso, o Portal for ArcGIS)

Autorização

A autorização é o processo através do qual as permissões de clientes são verificadas antes do acesso a um recurso ou da execução de uma função específica.

  • Execute o Controlo de Acesso Baseado em Funções (RBAC).
    • Utilize um modelo de princípio de menor privilégio na gestão de papéis no ArcGIS Enterprise.
    • Atribua apenas os privilégios necessários para que o utilizador execute as funções que lhe são atribuídas.
  • Os papéis predefinidos que existem no ArcGIS Server são os seguintes:
    • Administrador
    • Publicador
    • Utilizador
  • Se utilizar o Portal for ArcGIS, recomenda-se que utilize papéis personalizados com base num princípio de menor privilégio, para definir o acesso de utilizador de modo mais filtrado.

Encriptação

Encriptação é o processo de transformação de dados para que sejam ilegíveis por aqueles que não têm acesso a uma chave de decriptação.

  • Encripte dados em trânsito ao ativar o HTTPS no ArcGIS Enterprise.
    • Utilize TLS 1.2.
    • Utilize uma infraestrutura de certificados existente e certificados assinados por uma autoridade de certificação independente de confiança.
  • Encripte dados armazenados (quando possível), específico para conjuntos de dados sensíveis.
    • Para as bases de dados, considere a utilização de Encriptação Transparente de Dados (Transparent data Encryption - TDE)
    • Para repositórios de ficheiros considere a utilização de encriptação total do disco.
  • Use algoritmos de encriptação fortes.
    • O campo da criptografia está em constante mudança e os algoritmos mais antigos continuarão a ser considerados inseguros.
    • Acompanhe entidades normativas, como o NIST, para obter recomendações.

Registo e auditoria

O Registo consiste em registar eventos importantes de determinado sistema. Auditoria é a prática de inspecionar estes registos para assegurar que o seu sistema está a funcionar adequadamente ou responder a uma questão específica sobre uma transação específica.

  • Registe eventos importantes, tais como quem está a publicar serviços.
  • Certifique-se de que o registo é usado em todo o sistema na aplicação, sistema operativo e camadas de rede.
  • Certifique-se de que os registos são revistos num intervalo de tempo definido pela organização.
  • A utilização de uma plataforma de Gestão de Informações e Eventos de Segurança (SIEM) é benéfica para ajudar na correlação automática.

Hardening

Hardening é o processo de configuração segura de sistemas para impedir tantos riscos de segurança quanto possível. A superfície de ataque pode ser minimizada num sistema específico através do seguinte:

  • Implementação de hardening ao nível das aplicações, como as diretrizes mencionadas acima.
  • Remoção de software desnecessário.
  • Desativação de serviços desnecessários.
  • Consulta de diretrizes adicionais de hardening específicas da aplicação, como o Esri ArcGIS Server STIG.
  • Políticas de Linha de Base de Vendedor de SO, utilizando ferramentas como o Microsoft Security Compliance Toolkit.
  • Revisão de diretrizes de segurança independentes, tais como os CIS Security Benchmarks.

Validação de segurança do ArcGIS Server

O script serverScan.py está localizado no diretório de <ArcGIS Server installation location>/tools/admin. Execute o script a partir da linha de comando ou shell. Pode especificar parâmetros ao executar o script.

Se executar o script serverScan.py sem especificar quaisquer parâmetros, ser-lhe-á pedido que os introduza manualmente ou selecione o valor predefinido. Para usar um token tem de fornecer o mesmo como um parâmetro ao executar o script.

A análise gera um relatório em formato HTML que lista qualquer uma das questões acima referidas que foram encontrados no site especificado do ArcGIS Server.

Por predefinição, o relatório é guardado na mesma pasta em que executa o script e é nomeado serverScanReport_[hostname]_[date].html.

Validação de segurança Portal for ArcGIS

O script portalScan.py está localizado no diretório <Portal for ArcGIS installation location>\tools\security. Execute o script a partir da linha de comando ou shell. Pode especificar um ou mais parâmetros ao executar o script.

Se executar o script portalScan.py sem especificar quaisquer parâmetros, ser-lhe-á pedido que os introduza manualmente ou selecione o valor predefinido. Para usar um token tem de fornecer o mesmo como um parâmetro ao executar o script.

O exame gera um relatório em formato HTML que lista qualquer uma das questões acima referidas que foram encontrados no portal especificado.

Por predefinição, o relatório é guardado na mesma pasta em que executa o script e é nomeado portalScanReport_[hostname]_[date].html.

Recursos adicionais

Informações adicionais sobre melhores práticas para o ArcGIS Server podem ser encontradas na documentação do produto.