Si bien es cierto que el Sistema IBM i – AS/400 es uno de los más seguros en el mercado, siguen existiendo brechas que representan vulnerabilidades de seguridad que podrían derivar en problemas delicados costando varios miles de dólares. Pérdidas que duelen más porque se pudieron haber evitado. Estas brechas se pueden encontrar en cualquier lado, tanto de fuentes externas (ej. ataques directos) como en fuentes internas (ej. mal uso de la información por parte de los empleados). Encontrar estas vulnerabilidades y blindar su Sistema de forma proactiva requiere de un amplio análisis por medio de assessments (o evaluaciones) de los controles de seguridad.
¿Involucrado en el sector bancario o necesitas proteger datos personales de tarjetas de crédito? Te podría interesar: Cumplimiento de Estándares PCI DSS en IBM i – AS400: Una Guía Comprensiva
Dados los nuevos panoramas con las regulaciones, hacer una buena evaluación de controles de seguridad para su IBM i se ha vuelto una tarea muy compleja que requiere un profundo conocimiento en el tema. Estas evaluaciones no sólo deben ser el punto de partida para entender la situación del Sistema IBM i, sino que también deberían hacerse de manera periódica para asegurar que las configuraciones se mantengan en los estándares deseados.
Un error común que puede dejar brechas de seguridad en su Sistema IBM i es creer que solamente con cubrir aspectos físicos y de red son suficientes para mantener su ambiente seguro. Sin duda son de suma importancia y cumplen parte del objetivo; sin embargo, las vulnerabilidades más comunes vienen de configuraciones de sistema inapropiadas. A continuación hablaremos sobre los principales puntos que deben ser analizados en estas evaluaciones de seguridad.
Existen algunas cuantas decenas de configuraciones en su IBM i relacionadas con la seguridad en los valores de sistema y en los atributos de red que deben ser evaluados. Realizar las revisiones de estas configuraciones a un alto nivel son esenciales para el análisis:
Mientras que los puntos anteriores se pueden atacar por medio de configuraciones en el Sistema, este punto requiere ser solucionado por otros medios. Además de ser uno de los puntos más fuertes e importantes que deben ser priorizados para blindar su IBM i.
Muchas aplicaciones intercambian información de su IBM i en diferentes redes por cuestiones de proceso o almacenamiento. Cuando la información sensible es enviada por medio de una red, es fundamental que viaje cifrada para que no sea interceptada por intrusos mientras se transfiere. En la evaluación se deben analizar todas las aplicaciones que transfieran información tanto en redes internas como externas, de igual forma se debe validar que se utilicen protocolos con altos estándares de seguridad (TLS 1.2 o superiores) así como el uso de algoritmos de cifrado de alta calidad; una buena referencia es que cumplan con los estándares de el NIST (National Institute of Standards of USA).
Determinar qué tipo de protocolos de red y qué algoritmos de cifrado utilizar no es una tarea sencilla y probablemente serán necesarios servicios externos para evaluar las aplicaciones. Existen algunas aplicaciones como WireShark que pueden facilitar la evaluación de configuraciones de seguridad de red.
Determinar que sus aplicaciones son seguras implica un reto desafiante al momento de hacer la evaluación. Algunos de los puntos que se deben responder al momento de analizar son:
Para entender completamente el nivel de seguridad de una aplicación se recomienda hacer pruebas de penetración para intentar “burlar o romper” la seguridad de la misma. Este tipo de pruebas deberían ser realizadas por proveedores externos para evitar sesgos en los resultados.
Realizar un análisis detallado de seguridad de su IBM i – AS/400 es una tarea complicada que puede representar para su empresa una inversión significativa de tiempo y de recursos humanos. Sin embargo, en Timware contamos con Assure Security, una solución sumamente robusta capaz de realizar esta evaluación y que cuenta con módulos especializados para atacar cada uno de los puntos mencionados en esta guía.
Gracias al módulo de Security Risk Assessment es posible tener visibilidad de todas las fortalezas y debilidades de su IBM i en cuanto seguridad se refiere. El análisis que obtendría de su sistema sería como se muestra en este ejemplo. Con base en este análisis, que se puede llevar a cabo totalmente sin costo (por primera vez), será posible determinar si alguno de los siguientes módulos pudiese ayudar a cerrar brechas de vulnerabilidad en su IBM i:
